152-ФЗ для ИП и самозанятых: что нужно и чем это отличается от ООО

Марк Голдин, юрист · 23 сентября 2026

«Я работаю один, какие у меня персональные данные?» — самая частая фраза, которую слышат юристы от ИП и самозанятых. Но оператором закон считает не только компании: как только вы собираете имя и телефон клиента через сайт, мессенджер или анкету, 152-ФЗ касается и вас. Разбираем, что нужно именно ИП и самозанятому и чем их ситуация отличается от ООО.

ИП и самозанятый — операторы персональных данных?

Да. Оператор — это любое лицо, которое само определяет, зачем и как обрабатываются данные (п. 2 ст. 3 152-ФЗ): государственный орган, организация или физическое лицо. Исключение одно — обработка физическим лицом исключительно для личных и семейных нужд (ч. 2 ст. 1). Контакты клиентов, с которыми вы работаете за деньги, под это исключение не подпадают: это уже деятельность, а не личные нужды.

Чем ИП и самозанятый отличаются от ООО

Обратите внимание на последнюю строку. По ряду составов статьи 13.11 КоАП — неуведомление, локализация, утечки, повторные нарушения — ИП отвечают как юридические лица (примечание 1 к статье). Самозанятый без статуса ИП — физическое лицо и отвечает как гражданин, то есть по нижней вилке. Все суммы — на странице про штрафы.

Минимальный набор для ИП и самозанятого

1. Политика обработки персональных данных — короткая, но про ваши реальные цели: запись, заявка, оказание услуги, отправка чека. Если есть сайт — на отдельной странице со ссылкой в подвале. Что должно быть внутри.
2. Согласие у формы на сайте — галочка со ссылкой на политику. Если вы только исполняете заказ клиента, основанием может быть договор, но проинформировать человека нужно всё равно. Как оформить.
3. Уведомление в Роскомнадзор — до начала обработки. Исключения почти не применимы: даже таблица с клиентами в Excel — уже обработка с использованием средств автоматизации. Как подать.
4. Российские сервисы для хранения заявок и переписки: CRM, облако, почта. Заявки в Google Таблицах — риск нарушения локализации.
5. Порядок на случай запроса или утечки — хотя бы короткий: кто отвечает на обращение клиента в течение 10 рабочих дней и как вы сообщите в Роскомнадзор об утечке в течение 24 часов.

Если у ИП есть работники

Данные работников — тоже персональные. Для обработки в рамках трудовых отношений согласие обычно не нужно, основание — закон. Но отдельное согласие понадобится, если вы публикуете фото и контакты сотрудника на сайте (согласие на распространение по ст. 10.1 152-ФЗ) или передаёте его данные третьим лицам, например в банк для зарплатного проекта. Назначать ответственного приказом ИП не обязан: требование ч. 1 ст. 18.1 о назначении ответственного адресовано операторам — юридическим лицам.

Мессенджеры, соцсети и сайт-визитка

• Заявки в WhatsApp и Telegram. Переписка хранится у зарубежных компаний. Если это единственное место, где лежат данные клиентов, — риск нарушения локализации. Переносите контакты в российскую CRM или хотя бы в таблицу на российском сервисе.
• Отзывы с именами и фото клиентов на сайте — распространение персональных данных, для которого нужно отдельное согласие.
• Сайт-визитка с одной формой «Заказать звонок» — всё равно нужны политика, галочка и уведомление.

Можно ли получить предупреждение вместо штрафа

За впервые совершённое нарушение, выявленное при государственном контроле, штраф при определённых условиях может быть заменён предупреждением (ст. 4.1.1 КоАП РФ). Это не автоматическое освобождение, но для «бумажных» нарушений небольшого ИП — реальный сценарий. Условия и исключения.

Чек-лист для ИП и самозанятого

Полный список требований к сайту — в чек-листе по 152-ФЗ. Если вы работаете в отрасли с особыми данными — разборы для салонов красоты, клиник и риелторов.

Автор: Марк Голдин, юрист →