Защита персональных данных для ИП и микропредприятия
Индивидуальный предприниматель отвечает за персональные данные так же, как компания: обязанности зависят не от размера бизнеса, а от того, что и как он обрабатывает. Разберём, что нужно оформить, если работников один-два, а бухгалтерию ведёт сторонний специалист.
Знакомые ситуации
- •Я ИП без работников — распространяется ли на меня закон вообще.
- •Бухгалтерию ведёт сторонний бухгалтер, а данные работников у него — как это оформить.
- •Не хочу платить за аудит: понять бы, что нужно сделать своими руками.
Что нужно по 152-ФЗ
Когда предприниматель — оператор
Оператором становится тот, кто сам определяет цели обработки и состав данных (пункт 2 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ). Для предпринимателя это обычная работа с клиентами и работниками; послаблений по размеру бизнеса закон не даёт, но и объём обязанностей зависит от процессов, а не от численности.
Уведомление Роскомнадзора
По общему правилу уведомить надзорный орган нужно до начала обработки (часть 1 статьи 22 того же закона); если обработка уже идёт, уведомление подают, не откладывая. Прежние исключения для кадров и договоров отменены Федеральным законом от 14.07.2022 № 266-ФЗ с 01.09.2022 — осталось, в частности, исключение для обработки исключительно без средств автоматизации, то есть для полностью бумажного учёта.
Политика обработки
Если данные собираются через сайт — форму заявки, обратный звонок, регистрацию, — политику обработки публикуют и дают к ней доступ на тех же страницах (часть 2 статьи 18.1). Ответственного за организацию обработки закон обязывает назначать операторов-юридических лиц (часть 1 статьи 22.1); предприниматель вправе назначить его сам, но обязанности такой у него нет.
Бухгалтер и сервисы на аутсорсе
Если сторонний бухгалтер, кадровик или сервис обрабатывает данные по заданию предпринимателя, это поручение обработки: его условия включают в договор (часть 3 статьи 6). Перед работником и клиентом за такую обработку отвечает сам предприниматель, а у обработчика есть и свои обязанности — конфиденциальность и безопасность.
Ответственность
Обработка без нужного согласия, неподанное уведомление и неопубликованная политика — нарушения по статье 13.11 КоАП РФ. С 30.05.2025 (Федеральный закон от 30.11.2024 № 420-ФЗ) за утечку введены крупные штрафы в твёрдых суммах, а оборотные — за повторную.
С чего начать
Нужно ли уведомлять Роскомнадзор →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.
Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.
Какие условия должны быть в поручении на обработку персональных данных (договоре с обработчиком) по части 3 статьи 6 152-ФЗ: перечень данных, цели, конфиденциальность, меры защиты, уведомление об инцидентах.
Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).
Частые вопросы
Нужно ли ИП без работников выполнять требования по персональным данным?
Да, если предприниматель обрабатывает данные клиентов, заказчиков или контрагентов-физических лиц и сам решает, зачем и какие данные собирать. Объём документов зависит от процессов: чем меньше целей обработки и сервисов-посредников, тем короче список.
Можно ли обойтись без документов, если всё ведёт бухгалтер на аутсорсе?
Нет. Если бухгалтер обрабатывает данные по заданию предпринимателя, это поручение обработки, и оформляет его оператор — сам предприниматель: условия по части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ включают в договор. Уведомление Роскомнадзора и политика обработки на сайте тоже остаются на нём.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.