ИП может быть оператором персональных данных так же, как ООО. Масштаб бизнеса не имеет решающего значения. Важно, определяет ли предприниматель цели и порядок работы с данными клиентов, работников или посетителей сайта.
Если вы принимаете заявки, ведете клиентскую базу, заключаете договоры или платите зарплату, персональные данные уже участвуют в работе. Даже один телефон в мессенджере не превращает предпринимателя в крупную корпорацию, но требует понимать, зачем контакт хранится и кому доступен.
Где ИП встречает персональные данные
| Процесс | Какие данные могут появляться |
|---|---|
| Форма на сайте | Имя, телефон, email, содержание обращения, технические сведения |
| Продажа и договор | Контакты, адрес, состав заказа, платежные документы |
| CRM и мессенджеры | История общения, комментарии, статус сделки |
| Доставка и подрядчики | Контакты получателя и адрес исполнения |
| Работники | Документы, зарплата, кадровые и налоговые сведения |
| Рассылка | Email или телефон, согласие и история отписки |
Даже если заявки приходят только в мессенджер, это все равно обработка. Данные записываются, хранятся, используются и иногда передаются другим людям.
Четыре частых сценария
Требования зависят от того, как устроена работа.
| Ситуация | На что обратить внимание |
|---|---|
| ИП оказывает услуги лично и ведет клиентов в телефоне | Основания для контактов, защита устройства, срок хранения переписки и передача бухгалтеру |
| ИП принимает заявки через сайт | Политика, форма и ее поля, аналитика, хостинг, CRM, согласие там, где оно действительно нужно |
| ИП продает товары с доставкой | Данные получателя, передача службе доставки, платежные сервисы, история заказов и рассылки |
| У ИП есть работники | Кадровые документы, доступы, сведения о зарплате, банк, отчетность и архив после увольнения |
Форма бизнеса одна, а процессы разные. Поэтому комплект документов для мастера без сайта и интернет-магазина с курьерами не может быть одинаковым.
Нужно ли ИП уведомлять Роскомнадзор
По общему правилу оператор уведомляет Роскомнадзор до начала обработки. Закон содержит ограниченные исключения, которые нужно проверять по конкретному процессу. Отсутствие работников, небольшой оборот или работа из дома сами по себе не освобождают ИП от уведомления.
Проверьте себя в реестре операторов по ИНН. Если запись есть, сравните цели, категории данных, адрес и другие сведения с текущей работой. Устаревшую запись нужно обновить.
Порядок заполнения мы разобрали в отдельной инструкции по уведомлению Роскомнадзора.
Не подавайте уведомление, просто копируя формулировки конкурента. Сначала выпишите собственные заявки, договоры, рассылки, работников и сервисы. Иначе в реестре появятся процессы, которых у вас нет, а реальные останутся за пределами уведомления.
Чем требования к ИП отличаются от ООО
Большинство обязанностей оператора зависит от обработки, а не от организационной формы. ИП также определяет цели, основания, сроки, доступ, правила работы с подрядчиками и меры безопасности.
Есть организационная разница: обязанность назначить лицо, ответственное за организацию обработки персональных данных, закон прямо устанавливает для юридического лица. ИП может вести эту работу самостоятельно. Но отсутствие отдельного приказа не отменяет политику, уведомление, работу с запросами, уничтожение и другие применимые меры.
Если у предпринимателя есть сотрудники, полезно письменно закрепить, кто принимает обращения, кто удаляет данные и кто связывается с сервисами при утечке. Это не формальность, а способ не потерять срок, когда сам ИП занят клиентами.
Какие документы нужны ИП
Точный состав зависит от процессов, но обычно стоит проверить:
- карту целей, людей, данных и систем;
- политику обработки персональных данных;
- согласия для процессов, где нет другого основания;
- правила доступа работников;
- порядок ответов на запросы и отзывы;
- сроки хранения и порядок уничтожения;
- действия при утечке;
- договоры и поручения с CRM, бухгалтерией и другими подрядчиками.
Если есть сайт, документы нужно сверять с его фактической работой. Политика может быть составлена аккуратно, но заявка одновременно уходит на почту, в CRM, систему аналитики и чат. Все эти точки должны попасть в карту обработки.
Подрядчики не снимают обязанностей
Многие ИП не хранят базу на собственном сервере. Они используют облачную бухгалтерию, CRM, конструктор сайта, доставку и сервис рассылки. Это удобно, но данные не перестают относиться к процессу предпринимателя.
По каждому сервису выясните:
- Какие данные он получает.
- Для какой цели.
- Где находятся базы.
- Может ли сервис использовать данные для себя.
- Как он сообщает об инциденте.
- Как удалить данные после окончания договора.
Фраза поддержки «мы соответствуем 152-ФЗ» не заменяет эти ответы и условия в договоре.
С чего начать, если ничего не оформлено
Найти все точки сбора → определить цели и основания → проверить реестр → оформить сайт и документы → проверить подрядчиков → ограничить доступ → настроить хранение, удаление и ответы людям.
Не пытайтесь за один вечер прочитать весь закон и выпустить двадцать приказов. Сделайте по порядку:
- Возьмите последнего клиента и проследите путь его данных.
- Составьте список сайта, телефона, почты, таблиц и сервисов.
- Уберите поля и копии, которые не нужны для работы.
- Проверьте запись в реестре и уведомление.
- Приведите политику, формы и договоры в соответствие с картой.
- Ограничьте доступ и включите базовые меры защиты.
- Назначьте понятный порядок для обращений, удаления и инцидентов.
Коротко: ИП не нужна папка документов ради папки. Нужны правила, которые совпадают с реальной работой и которые можно показать сотруднику, клиенту или Роскомнадзору.
Такая система снижает риск утечки, жалобы и штрафа. Предприниматель продолжает заниматься своим делом, а юридические вопросы решаются по понятному плану, без попытки изучить весь 152-ФЗ за один вечер.