ИП становится оператором персональных данных точно так же, как ООО. Размер бизнеса, оборот и система налогообложения тут не важны. Важно одно: определяет ли предприниматель, зачем и как он работает с данными клиентов, работников или посетителей сайта.
Принимаете заявки, ведете клиентскую базу, заключаете договоры, платите зарплату? Значит, персональные данные уже участвуют в вашей работе. Даже телефоны клиентов в мессенджере считаются обработкой: они записаны, хранятся, используются и иногда пересылаются. Это не делает из предпринимателя корпорацию, но требует понимать, зачем контакт хранится и у кого к нему есть доступ.
Где ИП встречает персональные данные
| Процесс | Какие данные появляются |
|---|---|
| Форма на сайте | Имя, телефон, email, текст обращения, технические сведения |
| Продажа и договор | Контакты, адрес, состав заказа, платежные документы |
| CRM и мессенджеры | История общения, комментарии, статус сделки |
| Доставка и подрядчики | Контакты получателя, адрес |
| Работники | Документы, зарплата, кадровые и налоговые сведения |
| Рассылка | Email или телефон, согласие, история отписки |
Четыре частых сценария
Набор требований зависит от того, как устроена работа.
| Ситуация | На что обратить внимание |
|---|---|
| ИП оказывает услуги лично и ведет клиентов в телефоне | Основания для хранения контактов, защита телефона, срок хранения переписки, передача данных бухгалтеру |
| ИП принимает заявки через сайт | Политика, поля формы, аналитика, хостинг, CRM, согласие там, где оно действительно нужно |
| ИП продает товары с доставкой | Данные получателя, передача службе доставки, платежные сервисы, история заказов, рассылки |
| У ИП есть работники | Кадровые документы, доступы, зарплата, банк, отчетность, архив после увольнения |
Форма бизнеса одна, а процессы разные. Поэтому мастеру маникюра без сайта и интернет-магазину с курьерами нужны разные комплекты документов.
Нужно ли ИП уведомлять Роскомнадзор
Почти всегда да. Статья 22 Закона № 152-ФЗ требует подать уведомление до начала обработки. С сентября 2022 года исключений осталось совсем мало, и для обычного бизнеса реально работает только одно: обработка без средств автоматизации, то есть только на бумаге. Если клиенты записаны в телефоне, таблице или CRM, это исключение уже не подходит.
Отсутствие работников, небольшой оборот или работа из дома от уведомления не освобождают.
Проверьте себя в реестре операторов по ИНН. Если запись есть, сравните цели, категории данных, адрес и другие сведения с тем, как вы работаете сейчас. Устаревшую запись нужно обновить информационным письмом.
Заполнять уведомление по формулировкам конкурента не стоит. Сначала выпишите собственные заявки, договоры, рассылки, работников и сервисы. Иначе в реестре окажутся процессы, которых у вас нет, а реальные останутся за его пределами. Пошаговый порядок мы разобрали в инструкции по уведомлению Роскомнадзора.
Если вы закрываете ИП или прекращаете обработку, об этом тоже сообщают, в течение десяти рабочих дней.
Какие штрафы грозят ИП
Многие предприниматели думают, что штрафы для ИП символические. По части составов это так, но не по всем. По ряду составов ИП отвечают как юридические лица, это прямо сказано в примечании к статье 13.11 КоАП. После поправок, действующих с 30 мая 2025 года, в этот список попали неподанное уведомление и утечки.
| Нарушение | Штраф для ИП |
|---|---|
| Не подано уведомление о начале обработки (ч. 10) | от 100 000 до 300 000 рублей |
| Не опубликована политика обработки данных (ч. 3) | от 10 000 до 20 000 рублей |
| Не дан ответ человеку о его данных (ч. 4) | от 20 000 до 30 000 рублей |
| Не исполнено требование уточнить или удалить данные (ч. 5) | от 20 000 до 40 000 рублей |
| Данные россиян хранятся в зарубежной базе (ч. 8) | от 1 до 6 млн рублей |
| Не уведомили Роскомнадзор об утечке (ч. 11) | от 1 до 3 млн рублей |
| Утечка данных более 1 000 человек (ч. 12 и далее) | от 3 млн рублей |
Для обработки без законного основания и без письменного согласия, где оно обязательно, суммы ниже, ИП там отвечают как должностные лица. Но и они исчисляются десятками и сотнями тысяч.
Чем требования к ИП отличаются от ООО
Почти все обязанности оператора привязаны к обработке, а не к организационной форме. ИП так же определяет цели, основания, сроки, доступ, правила работы с подрядчиками и меры защиты.
Разница одна, организационная. Назначать ответственного за организацию обработки закон обязывает юридических лиц. ИП может вести эту работу сам. Но отсутствие приказа не отменяет политику, уведомление, ответы на запросы, уничтожение данных и остальные меры.
Если у предпринимателя есть сотрудники, полезно письменно закрепить, кто принимает обращения, кто удаляет данные и кто связывается с сервисами при утечке. Иначе срок легко пропустить, пока сам ИП занят клиентами.
Какие документы нужны ИП
Точный состав зависит от процессов, но обычно проверяют:
- карту целей, людей, данных и систем;
- политику обработки персональных данных;
- согласия для процессов, где нет другого основания;
- правила доступа работников;
- порядок ответов на запросы и отзывы согласия;
- сроки хранения и порядок уничтожения;
- действия при утечке;
- договоры и поручения с CRM, бухгалтерией и другими подрядчиками.
Если есть сайт, документы сверяют с тем, как он работает на самом деле. Политика бывает написана аккуратно, а заявка тем временем уходит на почту, в CRM, систему аналитики и чат-бот. Все эти точки должны попасть в карту обработки. Подробнее в статье какие документы по персональным данным нужны организации и ИП.
Подрядчики не снимают обязанностей
Свой сервер у ИП бывает редко. Обычно это облачная бухгалтерия, CRM, конструктор сайта, служба доставки и сервис рассылок. Удобно, но данные от этого не перестают быть частью вашего процесса, и отвечаете за них вы.
По каждому сервису выясните:
- Какие данные он получает.
- Для какой цели.
- Где находятся его базы, в России или за рубежом.
- Может ли он использовать данные для себя.
- Как он сообщает об инциденте.
- Как удалить данные после окончания договора.
Ответ поддержки «мы соответствуем 152-ФЗ» эти вопросы не закрывает. Нужны конкретные условия в договоре или оферте.
С чего начать, если ничего не оформлено
Читать весь закон за вечер и выпускать двадцать приказов не нужно. Двигайтесь по порядку:
- Возьмите последнего клиента и проследите, куда попали его данные.
- Составьте список: сайт, телефон, почта, таблицы, сервисы.
- Уберите поля и копии, которые для работы не нужны.
- Проверьте запись в реестре и подайте или обновите уведомление.
- Приведите политику, формы и договоры в соответствие с картой.
- Ограничьте доступ и включите базовую защиту: пароли, двухфакторную авторизацию, блокировку телефона.
- Определите порядок ответов на обращения, удаления данных и действий при утечке.
ИП не нужна папка документов ради папки. Нужны правила, которые совпадают с реальной работой и которые не стыдно показать сотруднику, клиенту или Роскомнадзору.
Частые вопросы
Я работаю один и записываю клиентов только в блокнот. Нужно уведомление?
Если обработка ведется исключительно без средств автоматизации, закон позволяет обойтись без уведомления. Но как только появляется телефонная книжка, таблица, мессенджер или онлайн-запись, исключение перестает работать.
Нужна ли ИП политика обработки персональных данных?
Да. Публиковать или иным образом обеспечивать доступ к политике обязан любой оператор, а если данные собираются через сайт, политика должна быть на этом сайте.
ИП на патенте тоже оператор?
Да. Система налогообложения на статус оператора не влияет.
Чем отличаются требования для ИП и самозанятого?
По Закону № 152-ФЗ почти ничем: оба становятся операторами, если сами определяют цели обработки. Разница в КоАП: самозанятые отвечают как граждане, и суммы штрафов для них ниже.
Понятная система снижает риск утечки, жалобы и штрафа. А предприниматель продолжает заниматься своим делом и решает юридические вопросы по плану, а не в панике после письма Роскомнадзора.