Самозанятый и персональные данные: оператор, уведомление, согласие

Каждый день тысячи фрилансеров, мастеров, консультантов и репетиторов работают на режиме самозанятости — и почти никто из них не задумывается о том, что, получая имя, телефон или адрес клиента, они автоматически вступают в зону действия Федерального закона № 152-ФЗ «О персональных данных». Закон не делает исключений для малого масштаба: если вы собираете, храните или используете чужие личные сведения — вы оператор персональных данных. А значит, у вас появляются обязанности, за неисполнение которых предусмотрены штрафы.

Самое распространённое заблуждение звучит так: «Я работаю один, клиентов немного, закон не для меня». Это ошибка. Роскомнадзор при плановых и внеплановых проверках не смотрит на размер бизнеса — он смотрит на факт обработки персональных данных. Репетитор, ведущий базу учеников в таблице Excel, мастер маникюра с журналом записей на телефоне, копирайтер, которому заказчик присылает паспортные данные для договора, — все они обрабатывают персональные данные.

В этой статье команда Bejure разберёт ключевые вопросы: является ли самозанятый оператором персональных данных по умолчанию, нужно ли подавать уведомление в Роскомнадзор, как правильно оформить согласие клиента и что должна содержать политика конфиденциальности. Разберём конкретные ситуации, штрафы и типичные ошибки.

---

Является ли самозанятый оператором персональных данных

Ответ однозначный: да, если вы хоть раз получаете, храните или используете персональные данные физических лиц — вы оператор в смысле ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ.

Персональные данные — это любая информация, которая прямо или косвенно позволяет идентифицировать человека:

• имя и фамилия;
• номер телефона;
• адрес электронной почты;
• адрес доставки или место жительства;
• дата рождения;
• паспортные данные (в договоре);
• ИНН, СНИЛС;
• фотография;
• IP-адрес (если у вас есть сайт).

Оператором признаётся «государственный орган, муниципальный орган, юридическое лицо или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных» (ст. 3 № 152-ФЗ). Обратите внимание: физическое лицо прямо включено в это определение. Самозанятый — физическое лицо, применяющее специальный налоговый режим. Следовательно, он подпадает под действие закона без каких-либо изъятий.

⚠️ Важно: Закон № 152-ФЗ не содержит порога «минимального числа субъектов», с которого возникают обязанности оператора. Даже если у вас два клиента и один подрядчик — обязанности уже есть.

Когда самозанятый точно является оператором:

1. Ведёт базу клиентов (таблица, CRM, записная книжка в телефоне).
2. Заключает договоры с физическими лицами, указывая их паспортные данные.
3. Принимает онлайн-записи через сайт или лендинг.
4. Ведёт переписку с клиентами через мессенджеры и сохраняет её.
5. Использует сервисы email-рассылок для уведомления клиентов.
6. Обрабатывает фотографии клиентов (например, фотографы, стилисты).

Исключение предусмотрено п. 1 ч. 2 ст. 22 № 152-ФЗ: уведомление не нужно, если данные обрабатываются исключительно в личных и семейных целях, не связанных с предпринимательством. Ведение бизнеса — пусть даже в формате самозанятости — под это исключение не подпадает.

---

Нужно ли подавать уведомление в Роскомнадзор: самозанятый и реестр операторов

Это, пожалуй, самый болезненный вопрос. Многие самозанятые уверены, что регистрация в реестре операторов — это что-то для больших компаний. На деле закон обязывает уведомить Роскомнадзор до начала обработки персональных данных — если только деятельность не подпадает под исчерпывающий перечень исключений из ч. 2 ст. 22 № 152-ФЗ.

Когда уведомление НЕ нужно (исключения по ч. 2 ст. 22):

• данные обрабатываются в рамках трудовых отношений (актуально, если самозанятый вдруг нанял кого-то по трудовому договору — но тогда это уже не чистая самозанятость);
• данные получены в связи с заключением договора, по которому субъект является стороной, и используются исключительно для его исполнения — без передачи третьим лицам и без смешивания с иными базами;
• обрабатываются общедоступные данные;
• данные включают только ФИО и место работы;
• обработка нужна исключительно для однократного пропуска на территорию.

📎 Ч. 2 ст. 22 № 152-ФЗ: Оператор вправе приступить к обработке персональных данных без уведомления уполномоченного органа в случаях, прямо перечисленных в данной норме.

Практика для самозанятых. Если вы:

• заключаете договор с клиентом, используете его данные только для исполнения этого договора и не передаёте данные третьим лицам — уведомление формально не нужно;
• ведёте базу постоянных клиентов, делаете рассылки, храните историю заказов — уведомление необходимо;
• используете на сайте формы обратной связи, собирающие email и телефон, — уведомление необходимо.

⚠️ Важно: Позиция Роскомнадзора состоит в том, что любое систематическое накопление данных клиентов выходит за рамки «исполнения конкретного договора». Регулятор трактует исключение узко. Если есть сомнения — подайте уведомление: это бесплатно и занимает около 20 минут через портал pd.rkn.gov.ru.

Как подать уведомление самозанятому:

1. Перейти на портал pd.rkn.gov.ru.
2. Выбрать «Подать уведомление об обработке персональных данных».
3. Авторизоваться через Госуслуги.
4. Заполнить форму: указать цели обработки, категории субъектов, категории данных, правовые основания, меры защиты, срок обработки.
5. Подписать электронной подписью или отправить по почте.

Внесение в реестр операторов — бесплатная процедура. За неподачу уведомления при обязательности его предоставления предусмотрен административный штраф по ч. 1 ст. 19.7 КоАП РФ — от 3 000 до 5 000 рублей для физических лиц. Звучит скромно, но это лишь «входной» штраф: следом могут последовать проверка и более серьёзные санкции по ст. 13.11 КоАП РФ.

---

Согласие на обработку персональных данных: когда и как его оформить

Согласие субъекта персональных данных — один из ключевых правовых механизмов, дающих оператору право работать с чужими сведениями. Оно предусмотрено ст. 9 № 152-ФЗ и должно быть конкретным, информированным, сознательным и однозначным.

Когда самозанятому нужно получать согласие:

• при сборе данных через сайт (форма записи, форма обратной связи, регистрация);
• при подписке клиента на рассылку;
• при обработке специальных категорий данных (состояние здоровья — актуально для массажистов, косметологов, психологов);
• при передаче данных третьим лицам (курьерской службе, платёжному агрегатору);
• при публикации фотографий клиентов в портфолио или соцсетях.

📎 Ч. 4 ст. 9 № 152-ФЗ: В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.

Что должно быть в согласии:

1. ФИО и контакты оператора (самозанятого).
2. Цель обработки персональных данных.
3. Перечень данных, на обработку которых даётся согласие.
4. Перечень действий с данными (сбор, хранение, передача и т. д.).
5. Срок действия согласия.
6. Порядок отзыва согласия.
7. Подпись субъекта (для письменной формы).

📋 Пример: Фотограф-самозанятый публикует свадебные фотографии в Instagram. Даже если съёмка оплачена, публикация требует отдельного согласия клиентов на распространение их изображений — это особая категория персональных данных (биометрия). Без такого согласия каждая публикация — потенциальное нарушение.

Согласие на сайте. Если у самозанятого есть лендинг или интернет-магазин, достаточно установить чекбокс под формой с текстом: «Я согласен(на) на обработку персональных данных в соответствии с Политикой конфиденциальности». Чекбокс должен быть незаполненным по умолчанию — автоматически проставленная галочка не считается добровольным согласием.

---

Политика конфиденциальности для самозанятых: структура и обязательные элементы

Политика конфиденциальности — это публичный документ, в котором оператор рассказывает субъектам данных, что именно и зачем он собирает, как хранит и кому передаёт их сведения. Для самозанятых, работающих через сайт или мобильное приложение, наличие такого документа — обязательное требование ст. 18.1 № 152-ФЗ.

⚠️ Важно: Отсутствие политики конфиденциальности при наличии сайта с формами сбора данных — одно из первых нарушений, которое выявляется при автоматическом мониторинге Роскомнадзора.

Обязательные разделы политики:

1. Общие положения — кто является оператором, на какие данные распространяется политика.
2. Цели обработки — зачем собираются данные (исполнение договора, маркетинг, учёт заказов).
3. Перечень обрабатываемых данных — конкретные категории (имя, email, телефон, адрес и т. д.).
4. Правовые основания — согласие, договор, законный интерес.
5. Порядок хранения и защиты — где хранятся данные, какие меры защиты применяются.
6. Передача третьим лицам — кому и при каких условиях передаются данные (платёжные системы, курьеры, аналитические сервисы).
7. Права субъектов — право на доступ, исправление, удаление, ограничение обработки.
8. Сроки хранения — как долго хранятся данные и когда удаляются.
9. Контакты оператора — как связаться для реализации прав.

Политика публикуется на сайте — как правило, в подвале (footer) — и должна быть доступна для ознакомления до момента, когда пользователь оставляет свои данные.

Типичные ошибки в политике конфиденциальности самозанятых:

• скопирована с чужого сайта, содержит данные другой компании;
• указаны несуществующие цели обработки или цели шире реальных;
• не перечислены конкретные третьи лица (платёжные агрегаторы, сервисы рассылок);
• отсутствует механизм отзыва согласия;
• документ не обновлялся при смене инструментов (например, при переходе на новую CRM).

---

Штрафы за нарушения в сфере персональных данных в 2024–2025 году

С 2023–2024 года ответственность за нарушения в сфере обработки персональных данных существенно возросла. Изменения внесены в ст. 13.11 КоАП РФ. Для физических лиц (а самозанятый — физическое лицо) санкции следующие:

Нарушение	Штраф для физлица
Обработка данных без согласия (ч. 2 ст. 13.11)	от 10 000 до 15 000 ₽
Необеспечение доступа к политике конфиденциальности (ч. 3 ст. 13.11)	от 3 000 до 6 000 ₽
Несоблюдение обязанности по локализации данных (ч. 8 ст. 13.11)	от 100 000 до 200 000 ₽
Повторные нарушения	кратно увеличиваются

⚠️ Важно: С принятием Федерального закона № 266-ФЗ от 14.07.2022 требования к операторам ужесточились: введена обязанность уведомлять Роскомнадзор об утечках данных в течение 24 часов (первичное уведомление) и 72 часов (расширенное уведомление). За нарушение этих сроков предусмотрена отдельная ответственность.

Отдельно стоит упомянуть законопроекты об оборотных штрафах за крупные утечки — они пока касаются преимущественно крупного бизнеса, однако тенденция к ужесточению регулирования очевидна.

---

Что проверяет Роскомнадзор у малого бизнеса и самозанятых

Роскомнадзор проводит как плановые (по утверждённому графику), так и внеплановые проверки. Самозанятые попадают в зону риска преимущественно через жалобы клиентов — именно они чаще всего запускают внеплановую проверку.

Что проверяется в первую очередь:

1. Наличие уведомления в реестре операторов персональных данных (при обязательности подачи).
2. Политика конфиденциальности на сайте — её наличие, актуальность, доступность.
3. Согласие на обработку — как оно собирается, хранится ли подтверждение.
4. Локализация данных — хранятся ли данные российских граждан на серверах в России (ст. 18.1 № 152-ФЗ). Если используете зарубежные CRM или облачные хранилища — это риск.
5. Порядок уничтожения данных — есть ли процедура удаления данных по истечении срока хранения или при отзыве согласия.
6. Документы внутренней политики — для физических лиц требования мягче, чем для организаций, но базовые локальные регламенты желательны.

📋 Пример: Клиент мастера по наращиванию ресниц пожаловался в Роскомнадзор на то, что его фотография «до/после» была опубликована в Instagram без согласия. Инспектор запросил документы: согласие на публикацию фото, политику конфиденциальности, подтверждение уведомления о включении в реестр. Ни одного из этих документов у мастера не оказалось. Итог — штраф по ч. 1 и ч. 2 ст. 13.11 КоАП РФ, общая сумма — 25 000 рублей.

Что подготовить заранее:

• шаблон согласия на обработку персональных данных (отдельно для клиентов офлайн и онлайн);
• политику конфиденциальности, опубликованную на сайте;
• журнал учёта согласий (простая таблица с датой, ФИО, способом получения согласия);
• инструкцию по уничтожению данных по истечении срока.

Для самозанятых, которые ведут документооборот в цифровом формате, удобно использовать специализированные платформы. Например, Bejure позволяет хранить все документы в защищённой системе с электронной подписью — это означает, что в случае проверки нужный документ можно предъявить за 30 секунд, без поиска по папкам и мессенджерам.

---

Типичные ошибки самозанятых при работе с персональными данными

Разберём наиболее частые нарушения, которые фиксируются при проверках и жалобах клиентов.

Ошибка 1: «Я же не компания — закон не про меня» Закон № 152-ФЗ прямо называет физических лиц операторами. Самозанятость не освобождает от обязанностей оператора.

Ошибка 2: Скачанная политика конфиденциальности с «левого» сайта Чужой шаблон содержит данные другой организации, неактуальные цели и инструменты. При проверке это воспринимается как отсутствие политики. Шаблоны из интернета — это риск, оформленный в Word. Документ должен отражать вашу реальную деятельность.

Ошибка 3: Хранение данных на Google Диске или в зарубежных CRM Данные российских граждан должны первично обрабатываться и храниться на серверах в РФ. Использование иностранных облаков — нарушение требования о локализации (ст. 18.1 № 152-ФЗ), штраф — до 200 000 рублей для физлица.

Ошибка 4: Публикация фото клиентов без согласия Изображение человека — персональные данные (биометрия при возможности идентификации). Для публикации в портфолио, соцсетях, рекламных материалах требуется отдельное письменное согласие.

Ошибка 5: Отсутствие механизма отзыва согласия Субъект вправе отозвать согласие в любой момент (ст. 9 № 152-ФЗ). Оператор обязан прекратить обработку и уничтожить данные. Если у вас нет процедуры — это нарушение.

Ошибка 6: Передача данных клиентов курьерам, партнёрам без договора Если вы передаёте данные третьей стороне (например, курьерской службе), необходимо заключить договор поручения обработки персональных данных (ст. 6 № 152-ФЗ). Без него ответственность за действия третьего лица может быть возложена на вас.

---

Часто задаваемые вопросы

Обязан ли самозанятый уведомлять Роскомнадзор, если у него нет сайта?

Зависит от характера обработки. Если вы ведёте систематическую базу клиентов — даже в Excel или телефонной книге — и это выходит за рамки обработки в рамках одного конкретного договора, уведомление необходимо. Отсутствие сайта не освобождает от обязанностей оператора персональных данных. Оцените реальную практику: если у вас более 10–15 постоянных клиентов и вы храните их данные длительно — подача уведомления будет безопаснее.

Нужно ли согласие на обработку персональных данных при заключении договора с физлицом?

При заключении договора и использовании данных исключительно для его исполнения согласие может не требоваться — это один из допустимых оснований обработки по п. 5 ч. 1 ст. 6 № 152-ФЗ. Однако если вы планируете также отправлять клиенту рекламные сообщения, добавлять его в базу для последующего маркетинга или передавать данные третьим лицам — нужно отдельное согласие на каждую из этих целей.

Что будет, если клиент пожалуется в Роскомнадзор?

Жалоба клиента запускает внеплановую проверку. Инспектор запросит документы: подтверждение уведомления в реестре, согласие на обработку, политику конфиденциальности, доказательства соблюдения прав субъекта. Если документов нет — составляется протокол по ст. 13.11 КоАП РФ. Штрафы для физических лиц — от 3 000 до 200 000 рублей в зависимости от состава нарушения. При повторных нарушениях суммы возрастают.

Может ли самозанятый использовать зарубежные сервисы (Notion, Trello, Google Sheets) для хранения данных клиентов?

Формально — нет, если речь идёт о данных российских граждан. Закон требует первичной обработки и хранения на серверах в России (ст. 18.1 № 152-ФЗ). На практике Роскомнадзор сосредоточен на крупных игроках, однако жалоба клиента может привлечь внимание и к самозанятому. Безопаснее использовать российские аналоги или хранить данные клиентов локально.

Как правильно уничтожить персональные данные клиента после окончания работы?

Данные должны быть уничтожены по истечении срока хранения, указанного в согласии или политике конфиденциальности, а также при получении отзыва согласия (в течение 30 дней). Уничтожение означает безвозвратное удаление: из таблиц, почты, мессенджеров, облачных хранилищ. Факт уничтожения рекомендуется зафиксировать — хотя бы простой записью в журнале с датой и перечнем удалённых сведений.

---

Заключение

Самозанятость — удобный налоговый режим, но он не создаёт «зону освобождения» от требований законодательства о персональных данных. Как только вы начинаете работать с клиентами и фиксировать их контакты — вы становитесь оператором со всеми вытекающими обязанностями: уведомить Роскомнадзор (при необходимости), получить согласие, разработать политику конфиденциальности, обеспечить защиту данных и предусмотреть процедуру их уничтожения.

Хорошая новость: большинство требований закона выполнимы без юриста и больших затрат. Нужно один раз грамотно оформить документы, опубликовать политику на сайте и наладить работу с согласиями — и вы будете защищены при любой проверке или жалобе клиента. Для тех, кто предпочитает работать с готовыми, юридически выверенными документами, платформа Bejure предоставляет шаблоны, соответствующие актуальному законодательству, — с возможностью подписания электронной подписью и надёжным хранением в закрытой системе, где данные не уходят третьим лицам.

Не ждите проверки — выстройте порядок заранее.