Касается ли закон о персональных данных ИП, самозанятых и мастеров без сайта

«А мне надо?» спрашивают чаще всего

Для исследования «Чем страшнее пост про персональные данные, тем чаще в нём ошибка» мы прочитали 5 878 комментариев под 150 постами о персональных данных в Instagram*. Чаще всего люди спрашивали не «как оформить», а «касается ли это меня». Такой вопрос прозвучал 218 раз:

Ответ на все семь вопросов строится на одном правиле, с него и начнём.

Решают данные и то, где они лежат

Закон называет оператором любого, кто сам решает, зачем ему чужие персональные данные и что с ними делать. Это может быть организация, ИП или обычный человек (п. 2 ст. 3 152-ФЗ).

Персональными данными закон считает любые сведения, по которым можно понять, о каком человеке речь (п. 1 ст. 3). Имя клиента рядом с его телефоном как раз такие сведения.

Оператор подаёт уведомление в Роскомнадзор до того, как начнёт работать с данными (ч. 1 ст. 22). С 1 сентября 2022 года исключений осталось три. Малому бизнесу подходит одно: обработка исключительно без средств автоматизации, то есть только на бумаге (п. 8 ч. 2 ст. 22).

Налоговый режим, патент, отсутствие сотрудников, печати или сайта среди исключений не названы. Поэтому вопрос «касается ли меня» сводится к двум другим: получаете ли вы данные людей и где их храните.

Ситуации из комментариев

«Сайта нет, клиенты пишут в мессенджер». Способ связи от уведомления не освобождает. Контакты в телефоне, переписка и приложение для записи работают на технике, а это автоматизированная обработка (п. 4 ст. 3). Центральный аппарат Роскомнадзора в ответе на обращение от 19.06.2026 № 02-11-27280 назвал так даже правку электронных документов и пересылку по почте. Сервис записи хранит данные у себя, но цели обработки определяете вы, поэтому оператор вы (п. 2 ст. 3).

«Я самозанятый». Налоговый режим на обязанности по закону о персональных данных не влияет. Самозанятый без ИП для закона физлицо, а физлицо тоже бывает оператором. В эфире для малого бизнеса Роскомнадзор разбирал случай самозанятого психолога: телефоны клиентов в смартфоне, форма записи на сайте. Ответ был такой: уведомление нужно.

В комментариях пишут и так: «В СФР звонила, сказали, самозанятым не нужно». Но Социальный фонд персональными данными не занимается, а устный ответ потом не предъявишь. Статья 22 152-ФЗ исключения для самозанятых не делает. Отвечает самозанятый как гражданин: за неподанное уведомление 5–10 тыс. ₽ (ч. 10 ст. 13.11 КоАП). Это не 300 тысяч, которые ему часто приписывают в постах.

«Записываю клиентов в блокнот». Здесь исключение действительно есть. Если вы работаете с данными только на бумаге, уведомление не нужно (п. 8 ч. 2 ст. 22). Условие строгое: исключительно без средств автоматизации. Тот же клиент в контактах телефона уже выводит вас из исключения. Остальные правила закона касаются и бумаги, если в записях можно найти нужного человека (ч. 1 ст. 1).

«Веду клиентов в Excel или в Google-таблице». Центральный аппарат Роскомнадзора считает работу в Excel и Word автоматизацией (письмо от 10.11.2022 № 08-99909). Управление Роскомнадзора по ЦФО (обращение рег. № 02-11-47114/77 от 04.12.2025) считает иначе: Word и Excel без макросов и сложных формул это обработка без средств автоматизации. Но поиск, фильтр и сортировку управление тоже относит к автоматизации. Позиции расходятся. Мы рекомендуем исходить из позиции центрального аппарата: она весомее.

У Google-таблиц есть второй вопрос. Данные граждан России при сборе нужно записывать и хранить в базах на территории России (ч. 5 ст. 18). В комментариях спрашивали: «6 миллионов? Это за то, что я веду табличку клиентов в Google Таблицах?» Такая сумма в КоАП есть: это верхняя граница ч. 8 ст. 13.11 за базы данных за рубежом, для организации и ИП. Самозанятому по той же части грозит 30–50 тыс. ₽. Перенести таблицу в российский сервис проще, чем выяснять, какая сумма ваша.

«Имя и телефон, это вообще персональные данные?» Да, если вместе они указывают на конкретного человека (п. 1 ст. 3). Запись «Анна, стрижка, 15:00» с номером телефона как раз такая. Граница проходит по цели. Записная книжка с телефонами друзей и родных закона не касается: это личные и семейные нужды (п. 1 ч. 2 ст. 1). Список клиентов к личным нуждам не относится.

«У меня ИП без сотрудников» или «нулевой ИП». ИП для закона оператор, центральный аппарат Роскомнадзора прямо написал это в ответе на обращение от 16.09.2026 № 02-11-42318. Сотрудников может не быть, но есть клиенты, подрядчики, иногда кандидаты. Нулевой ИП без клиентов и чужих данных пока ничего не обрабатывает. Уведомление подают до начала обработки, то есть до первых чужих данных: клиента, работника или подрядчика.

Отвечает ИП строже самозанятого. За неподанное уведомление ИП платит как организация, 100–300 тыс. ₽ (ч. 10 ст. 13.11 КоАП). За неопубликованную политику обработки персональных данных 10–20 тыс. ₽ (ч. 3). Назначать ответственного за персональные данные ИП не обязан: это требование к юрлицам (ч. 1 ст. 22.1 152-ФЗ). Но если ИП указывает ответственного в уведомлении, этот раздел заполняют целиком: в письме ниже Роскомнадзор вернул уведомление в том числе из-за него.

И ещё одна ситуация, которой нет в таблице.

«ООО, где я один: учредитель, директор и единственный сотрудник». Организация для закона оператор, как только у неё появляются чьи-то персональные данные (п. 2 ст. 3). Даже у ООО из одного человека они почти всегда есть: имена, телефоны и почты сотрудников клиентов и поставщиков в договорах и переписке, данные клиентов-физлиц. Данные самого директора компания тоже обрабатывает: для закона организация и человек разные лица.

Исключения для работодателей больше нет: с 1 сентября 2022 года обработка данных работников тоже требует уведомления. Поэтому, если работа идёт не только на бумаге, ООО подаёт уведомление до начала обработки (ч. 1 ст. 22). Ответственного за организацию обработки персональных данных ООО назначает обязательно (ч. 1 ст. 22.1). Запрета назначить самого директора в законе нет, и в компании из одного человека директор назначает ответственным себя.

За неподанное уведомление отвечает организация: 100–300 тыс. ₽ (ч. 10 ст. 13.11 КоАП). Директор коммерческой организации по этой части лично не отвечает: должностные лица наказываются по ней только в госорганах и некоммерческих организациях (примечание 2 к ст. 13.11).

«Продаю на маркетплейсе». Ответ зависит от договора площадки. В оферте Wildberries для продавцов оператором данных покупателей назван продавец, а площадка обрабатывает их по его поручению. Если вы сами отправляете заказы и получаете имя, телефон и адрес покупателя, вы тоже их обрабатываете. Прочитайте раздел о персональных данных в договоре своей площадки и проверьте, есть ли у вас работники или подрядчики-физлица.

Размер штрафа определяется с учётом обстоятельств дела.

Каким бывает ответ Роскомнадзора

Подать уведомление мало, его ещё должны принять. Вот настоящее письмо Управления Роскомнадзора по Камчатскому краю индивидуальному предпринимателю, сентябрь 2026 года. Данные получателя и сотрудников скрыты. Нажмите на письмо, чтобы открыть обе страницы.

Предприниматель подал уведомление сам, и в реестр операторов его не внесли. Четыре раздела Роскомнадзор признал неполными или искажёнными: цели обработки описаны не конкретно, категории людей и правовые основания не соответствуют целям, в разделе об ответственном заполнены не все поля. На исправление дали десять рабочих дней (ч. 4 ст. 20 152-ФЗ).

Вторая ошибка в том же письме: уведомление ушло не в то управление. Сведения в реестр вносит управление по месту регистрации оператора, поэтому предпринимателя из Московской области направили в Управление Роскомнадзора по ЦФО.

Два мифа, которые мешают ответить

Проверьте себя за пять минут

Для организаций и ИП эти проверки соберёт заключение по ИНН: данные из государственных реестров и реестра операторов, затем несколько вопросов о вашей работе.

Разбор эксперта

Почти все вопросы «касается ли меня» на деле про другое: где лежат данные клиентов и зачем они нужны. Ответ определяет способ работы с данными, налоговый статус на него не влияет.

Поэтому заключение Комитета начинается с вашей работы: какие данные вы получаете, где их храните и что из этого требует закон. Каждое заключение я подписываю лично.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

Разборы выходят и в каналах:Telegram

Частые вопросы