Персональные данные для ИП и самозанятых: что обязательно

«Я работаю один, у меня даже сотрудников нет — какой мне 152-ФЗ?» Этот вопрос задают мастера маникюра, частные прокатчики с тремя машинами, репетиторы и фрилансеры. Короткий ответ: закон о персональных данных не делает исключений по размеру бизнеса. Если вы записываете телефоны клиентов, принимаете заявки через сайт или храните копии договоров, вы оператор персональных данных.

Хорошая новость в том, что для ИП и самозанятого минимальный набор обязанностей короче, чем для организации, и его можно закрыть за один вечер. Плохая — штрафы для ИП по ряду нарушений такие же, как для ООО. Разберём, что именно обязательно, что можно не делать и где чаще всего ошибаются.

ИП и самозанятый — тоже операторы

По статье 3 152-ФЗ оператор — это государственный орган, юридическое или физическое лицо, которое организует или осуществляет обработку персональных данных и определяет её цели. Индивидуальный предприниматель и самозанятый попадают под это определение, как только начинают собирать данные клиентов для своей деятельности.

Что считается обработкой: любые действия с данными — сбор, запись, хранение, использование, передача, удаление. Записали клиента в блокнот — это обработка без средств автоматизации. Добавили его в таблицу, CRM, приложение для записи или просто ведёте переписку в мессенджере — это автоматизированная обработка.

Уведомление в Роскомнадзор: нужно ли ИП

Да, в большинстве случаев. После изменений 2022 года освобождение от уведомления осталось только для тех, кто обрабатывает данные исключительно без средств автоматизации (п. 8 ч. 2 ст. 22 152-ФЗ). Если в работе есть компьютер или смартфон с клиентской базой, освобождение не применяется — и не важно, есть ли сотрудники.

Это самый частый вопрос в поисковых подсказках: «нужно ли ИП без сотрудников подавать уведомление в Роскомнадзор». Формально критерий — не сотрудники, а автоматизация. ИП без работников, но с клиентской базой в CRM уведомление подаёт.

Подать его можно бесплатно через Госуслуги или на портале pd.rkn.gov.ru. Пошаговый порядок и разбор полей формы — в статье уведомление в Роскомнадзор об обработке ПДн.

Что ИП может не делать

Статья 18.1 152-ФЗ перечисляет меры, которые оператор принимает для выполнения закона. Важно, что первые два пункта адресованы именно оператору — юридическому лицу:

• назначение ответственного за организацию обработки ПДн (п. 1 ч. 1 ст. 18.1 и ч. 1 ст. 22.1);
• издание локальных актов: положения об обработке, перечней данных, порядка уничтожения (п. 2 ч. 1 ст. 18.1).

Для ИП без работников это означает: приказ о назначении ответственного самому себе не нужен, ответственным де-факто являетесь вы. Толстый пакет локальных актов, который продают «под ключ», индивидуальному предпринимателю без штата обычно избыточен. При этом остальные обязанности остаются: защита данных, внутренний контроль, оценка вреда, ознакомление работников, если они появятся.

Что обязательно для любого ИП и самозанятого

1. Политика обработки персональных данных, опубликованная на сайте (ч. 2 ст. 18.1). Если сайта нет, политика должна быть доступна иным способом — например, ссылкой в профиле записи или в шапке канала.
2. Отдельное согласие на обработку в формах сайта и при записи, если вы обрабатываете данные на основании согласия. С 1 сентября 2025 года согласие оформляется отдельно от других документов (ч. 1 ст. 9).
3. Уведомление в Роскомнадзор о намерении обрабатывать ПДн, если обработка автоматизированная.
4. Хранение баз с данными граждан РФ на серверах в России (ч. 5 ст. 18). Это касается и облачных сервисов записи, CRM, таблиц.
5. Разумные меры защиты: пароль и второй фактор на аккаунтах, где лежит база, отсутствие общих логинов, резервная копия.
6. Порядок ответа на запросы клиентов: человек вправе узнать, какие его данные у вас есть, и потребовать удалить их. Срок ответа — 10 рабочих дней.

Политику можно собрать в генераторе политики конфиденциальности — он подставит ваши реквизиты и цели. Чтобы ничего не забыть, пройдите чек-лист по 152-ФЗ.

Штрафы для ИП: где они как у юрлица

По общему правилу статьи 2.4 КоАП предприниматель отвечает как должностное лицо, если кодексом не установлено иное. Но в статье 13.11 для ряда частей «иное» установлено прямо. Примечание 1 к статье приравнивает ИП к юридическим лицам по частям 1.1 и 8–18 — то есть за повторную незаконную обработку, нарушение локализации, неподачу уведомлений и утечки. В нескольких частях для ИП указаны отдельные суммы.

Суммы взяты из статьи 13.11 КоАП в редакции Федерального закона № 420-ФЗ, действующей на октябрь 2026 года. Для самозанятого без статуса ИП применяются суммы для граждан — они ниже, но тоже ощутимы: например, за неподачу уведомления 5–10 тыс. рублей, за базу за рубежом 30–50 тыс.

Посчитать вилку для своей ситуации можно в калькуляторе штрафов по 152-ФЗ.

Типичные ситуации малого бизнеса

Мастер или небольшой салон

Клиенты записываются через онлайн-запись, мастер видит телефон и историю визитов. Нужны: политика, отдельная галочка согласия в форме записи, уведомление, сервис записи с серверами в России. Если вы ведёте анкету с противопоказаниями и аллергиями, это данные о здоровье — специальная категория, и на неё нужно письменное согласие. Подробнее — в статье персональные данные в салоне красоты.

Частный прокат автомобилей

Для договора аренды паспортные данные и данные водительского удостоверения нужны, и основанием служит исполнение договора, а не согласие. Но вопросы вызывают копии документов, фото клиента при выдаче и хранение сканов в мессенджере. Разбор — в статье копия паспорта клиента в прокате и автосалоне.

Фрилансер, работающий с компаниями

Вы получаете ФИО, телефоны и почты сотрудников заказчика. Обычно этого достаточно отразить в политике (цель — исполнение договора) и в уведомлении. Если заказчик поручает вам обрабатывать данные своих клиентов — например, вы настраиваете ему CRM или рассылку, — в договоре должно быть поручение на обработку по ч. 3 ст. 6 152-ФЗ.

Мессенджеры и зарубежные сервисы

Самая скользкая тема для одиночек — где физически хранится клиентская база. Таблица в зарубежном облаке, форма заявки на иностранном конструкторе, запись через сервис с серверами за рубежом — всё это может нарушать требование локализации из части 5 статьи 18. Для организаций штраф по части 8 статьи 13.11 — от 1 до 6 млн рублей, и ИП здесь отвечает как юрлицо. Мы подробно разбирали это в статье локализация ПДн: Google Формы и зарубежные виджеты.

Практический вывод: основная копия клиентской базы должна жить в российском сервисе или на сервере в России. Переписка в мессенджере — отдельная история, но не храните там сканы документов и не используйте чат как CRM.

План на один вечер

1. Выпишите, какие данные клиентов и зачем вы собираете. Обычно хватает 2–4 целей.
2. Проверьте, где хранится база: в каком сервисе и в какой стране его серверы.
3. Соберите политику обработки и опубликуйте её на сайте или в профиле.
4. Добавьте в форму заявки или записи отдельную неотмеченную галочку согласия со ссылкой на текст согласия.
5. Подайте уведомление в Роскомнадзор через Госуслуги.
6. Включите второй фактор на почте и в сервисе записи, уберите общие пароли.
7. Поставьте напоминание пересматривать документы при любых изменениях: новый сервис, новая услуга, первый сотрудник.

Если клиентская база у вас пока в Excel, это ещё и вопрос безопасности: файл легко скопировать и отправить не туда. Как перейти на систему, где есть разграничение доступа и журнал действий, — в статье перенос данных из Excel в CRM. Наши облачные системы для салонов, автопроката и автосалонов имеют бесплатные тарифы для одиночек и хранят данные в России.