Самозанятый и обработка персональных данных: что требует 152-ФЗ

Коротко

Да, самозанятый может быть оператором персональных данных. Закон о персональных данных для самозанятых отдельных правил не устанавливает: оператором признаётся и физическое лицо, которое само организует или ведёт обработку данных и определяет, зачем и какие данные собирать (п. 2 ст. 3 152-ФЗ). Освобождает только обработка исключительно для личных и семейных нужд (п. 1 ч. 2 ст. 1). Записи клиентов с телефонами, база заказчиков или анкеты перед услугой, по нашему прочтению, под это исключение не подпадают.

«Самозанятый» — название налогового режима, а не организационная форма. Налог на профессиональный доход применяют и физические лица без статуса ИП, и индивидуальные предприниматели (ч. 1 ст. 4 Федерального закона от 27.11.2018 № 422-ФЗ). Эта статья написана для физического лица без статуса ИП: репетитора, мастера, фотографа, фрилансера. Если вы зарегистрированы как ИП и применяете этот режим, вы идёте по общему маршруту индивидуального предпринимателя. Чем он отличается, в конце статьи.

Обязательными для такого оператора остаются три вещи: опубликовать политику в отношении обработки данных, получать согласие там, где нет другого основания обработки, и уведомить Роскомнадзор до начала обработки, если не подходит одно из исключений. Назначать ответственного приказом и издавать локальные акты закон от физического лица не требует. Статья разбирает нормы, а не вашу конкретную ситуацию: подходит ли вам исключение, определяется тем, как у вас на самом деле устроена обработка.

Является ли самозанятый оператором персональных данных

Обязанности по 152-ФЗ возникают не от налогового режима и не от регистрации, а от того, что человек делает с чужими данными. Оператор — это, среди прочих, физическое лицо, которое самостоятельно или совместно с другими организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и действия с ними (п. 2 ст. 3 152-ФЗ). В ч. 1 ст. 1 закон прямо говорит, что регулирует обработку данных и юридическими, и физическими лицами.

Обработка — любое действие с данными: сбор, запись, хранение, уточнение, использование, передача (п. 3 ст. 3 152-ФЗ). У самозанятого такие данные появляются почти сразу, как только появляются клиенты:

запись на приём, занятие или съёмку с именем и телефоном;
база заказчиков в таблице, блокноте, мессенджере или CRM;
анкеты и заявки, которые клиент заполняет перед услугой;
заявки с сайта, из формы или из личных сообщений;
данные для договора: ФИО, контакты, иногда адрес.

Если вы сами решаете, какие данные собирать и что с ними делать, вы оператор. Это верно и для тех, кто работает один: размер дела и наличие помощников в определении оператора не участвуют.

Два случая эта статья не разбирает: продажу через маркетплейс, где данные покупателей вам передаёт площадка, и работу по заданию другой компании, когда вы обрабатываете данные её клиентов. Кто в таких случаях оператор, зависит от того, кто определяет цели обработки и состав данных, и вопрос решается по фактам.

Когда 152-ФЗ не применяется: личные и семейные нужды

Закон не применяется к обработке данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права людей, чьи данные обрабатываются (п. 1 ч. 2 ст. 1 152-ФЗ). Это исключение для частной жизни: телефоны друзей в контактах, список гостей на семейный праздник, адресная книга для открыток.

Ключевое слово в норме — «исключительно». Когда сведения о человеке нужны для работы, например чтобы записать его на услугу, принять оплату или отправить готовый заказ, обработка перестаёт быть только личной. Это наше прочтение нормы, а не цитата закона. Позицию Роскомнадзора и судебную практику по границе «личных нужд» эта статья не описывает: подтверждённых источников у нас нет.

Пример. Телефон подруги в вашей телефонной книге не делает вас оператором. Таблица клиентов с датами записи и суммами уже рабочая обработка. Один и тот же человек может оказаться в обеих ролях: если подруга записалась к вам на услугу, её данные в вашем журнале записей относятся к работе.

Политика конфиденциальности для самозанятого: нужна ли она и где её разместить

Опубликовать политику обязан каждый оператор, в том числе физическое лицо. Закон требует опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику оператора в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите данных (ч. 2 ст. 18.1 152-ФЗ). Эта норма адресована операторам вообще, без деления на компании и граждан. «Политика конфиденциальности» и «политика обработки персональных данных» на сайтах обычно называют один и тот же документ, в законе он назван «документом, определяющим политику оператора в отношении обработки персональных данных».

Требования к содержанию политики эта статья не разбирает. Ориентиром может служить перечень из п. 2 ч. 1 ст. 18.1: цели обработки, категории данных, категории людей, чьи данные обрабатываются, способы и сроки обработки и хранения, порядок уничтожения. Эта норма адресована юридическим лицам, но показывает, из чего закон складывает такие документы. Это наш ориентир, а не требование к физическому лицу.

Если данные вы принимаете через сайт, политика должна быть и там, где идёт сбор. Оператор, собирающий данные через интернет, обязан опубликовать политику в этой сети, в том числе на страницах своего сайта, с которых данные собираются, и обеспечить доступ к ней средствами этой сети (ч. 2 ст. 18.1). Политика конфиденциальности для сайта самозанятого — тот же документ, размещённый на страницах с формой заявки, записи или подписки. Наше прочтение: ссылка на неё должна быть рядом с формой, а не только в подвале главной страницы.

Если сайта нет, а запись идёт через страницу в соцсети или мессенджер, норма к слову «сайт» не привязана: политику нужно опубликовать «в соответствующей информационно-телекоммуникационной сети» и обеспечить доступ к ней средствами этой сети. Как именно оформить это в профиле, закон не описывает. Практический ориентир: ссылка на политику в описании профиля и в ответе человеку, которого вы просите прислать данные. За неопубликованную политику предусмотрен штраф, он описан в разделе об ответственности.

Нужно ли самозанятому подавать уведомление в Роскомнадзор

По общему правилу да. Оператор обязан до начала обработки уведомить Роскомнадзор о намерении обрабатывать данные, кроме случаев из ч. 2 ст. 22 (ч. 1 ст. 22 152-ФЗ). Норма говорит об операторе без оговорок по форме, поэтому статус физического лица от обязанности сам по себе не освобождает.

В запросах эту процедуру часто называют регистрацией самозанятого в Роскомнадзоре. Точнее: оператор подаёт уведомление, а Роскомнадзор в течение тридцати дней вносит сведения и дату направления уведомления в реестр операторов (ч. 4 ст. 22). Подача уведомления и запись в реестре — два разных момента, сразу после подачи записи может ещё не быть.

Исключений осталось три: данные в государственных системах безопасности (п. 7 ч. 2 ст. 22), обработка исключительно без использования средств автоматизации (п. 8) и случаи законодательства о транспортной безопасности (п. 9). Для самозанятого на практике проверяют п. 8. Бумажный журнал записи, из которого данные никуда не вносятся, — пример обработки без средств автоматизации. Если данные попадают в электронную таблицу, CRM, почту, мессенджер или форму на сайте, это, как правило, признак автоматизированной обработки, и п. 8 не подходит. Это наше прочтение нормы: подходит ли исключение, определяет фактическая модель обработки, а не желание не подавать уведомление.

О содержании уведомления, порядке подачи и о том, что изменилось в 2022 году, написана отдельная статья базы знаний «Нужно ли подавать уведомление в Роскомнадзор об обработке персональных данных». Ссылка на неё внизу этой страницы.

Согласие на обработку персональных данных у самозанятого: когда оно нужно, когда нет

Согласие — одно из оснований обработки, а не бланк, который нужно брать у каждого клиента. Обработка допускается при наличии одного из оснований, перечисленных в ч. 1 ст. 6 152-ФЗ, и согласие (п. 1) среди них только одно. Другое основание — обработка нужна, чтобы исполнить договор с человеком или заключить договор по его инициативе (п. 5 ч. 1 ст. 6). Согласие нужно там, где другого основания нет.

Условный пример: репетитор. Ученик-взрослый записывается на занятия и оставляет имя, телефон и удобное время. Эти данные нужны, чтобы заключить и исполнять договор об услугах, основание здесь договор (п. 5 ч. 1 ст. 6), и отдельное согласие для этой цели не требуется, если данные действительно ограничены тем, что нужно для договора. Иначе с другой целью. Например, вы хотите напоминать ученикам о наборе на новый курс. Продвижение услуг прямыми контактами по средствам связи допускается только при предварительном согласии, и доказывать, что оно получено, должен оператор (ч. 1 ст. 15). Публикация данных клиента, скажем имени и фото в портфолио, — ещё одна цель: согласие на обработку данных, разрешённых для распространения, оформляется отдельно от иных согласий (ч. 1 ст. 10.1). Остальные правила такого согласия эта статья не разбирает.

Если ученик — ребёнок, договор, как правило, заключает родитель. Согласие может дать субъект данных или его представитель, а полномочия представителя проверяет оператор (ч. 1 ст. 9). Кто и с какого возраста вправе действовать за ребёнка, определяет гражданское законодательство, эта статья его не разбирает. Хватает ли для данных самого ребёнка основания по договору или нужно отдельное согласие, зависит от того, кто стороной договора и для каких целей используются данные; в сомнительном случае лучше обсудить его со специалистом.

Как оформляется согласие. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным и оформлено отдельно от иных информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9 в редакции Федерального закона от 24.06.2025 № 156-ФЗ, действует с 01.09.2025). Дать согласие можно в любой форме, позволяющей подтвердить факт его получения, если иное не установлено федеральным законом. Для отдельных случаев закон требует письменной формы (ч. 4 ст. 9), эти случаи здесь не разбираются.

Принятая у нас практика, а не дословное требование ч. 1 ст. 9: отдельный текст согласия на каждую цель, а не абзац внутри договора или оферты; отдельное действие человека, например чекбокс, который не отмечен заранее; одно действие не подтверждает одновременно и оферту, и согласие.

Доказывать получение согласия должен оператор (ч. 3 ст. 9), поэтому сохраняйте подтверждение: письмо, запись отметки в форме с датой, сообщение клиента. Согласие можно отозвать (ч. 2 ст. 9). После отзыва оператор прекращает обработку и, если хранить данные больше не нужно, уничтожает их в течение тридцати дней с даты получения отзыва (ч. 5 ст. 21). Есть оговорки: например, если иное предусмотрено договором или обработка допускается без согласия по другому основанию.

Чего закон не требует от самозанятого, в отличие от ООО

Часть обязанностей адресована только оператору, который является юридическим лицом. Приказ об ответственном за организацию обработки данных: ч. 1 ст. 22.1 152-ФЗ обязывает назначить такое лицо оператора, «являющегося юридическим лицом». Физическое лицо в норме не названо. Так же устроен п. 2 ч. 1 ст. 18.1: издание документов, определяющих политику, и локальных актов по вопросам обработки данных перечислено среди мер оператора, являющегося юридическим лицом.

Вывод из этих двух норм: физическое лицо не обязано назначать ответственного приказом и не обязано издавать локальные акты по п. 2 ч. 1 ст. 18.1. Вывод «никаких документов не нужно» из них не следует. Политику опубликовать всё равно придётся (ч. 2 ст. 18.1), и обязанность принимать меры остаётся: оператор должен принимать меры, необходимые и достаточные для выполнения обязанностей по закону, а состав этих мер определяет сам (ч. 1 ст. 18.1). Если клиентская база лежит в таблице или облачном сервисе, вопрос о её защите остаётся вашим и без приказов.

Если у вас есть исполнители по договору ГПХ

Самозанятым нередко помогают ассистент, администратор, ретушёр или монтажёр по гражданско-правовому договору (ГПХ). Налоговый режим при этом устроен так: не вправе применять его те, у кого есть работники, с которыми заключены трудовые отношения (п. 4 ч. 2 ст. 4 Федерального закона № 422-ФЗ). Исполнители по гражданско-правовым договорам в этой норме не названы. Налоговую сторону такой схемы статья не разбирает.

С точки зрения 152-ФЗ важно другое: получает ли помощник доступ к данным ваших клиентов. Если получает, работают два правила. Первое: операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам без согласия человека, если иное не предусмотрено федеральным законом (ст. 7). Наш практический совет: закрепить конфиденциальность в договоре с исполнителем.

Второе: если вы поручаете исполнителю именно обработку данных, например вести запись клиентов от вашего имени, это поручение обработки. Оператор вправе поручить обработку другому лицу с согласия человека, если иное не предусмотрено федеральным законом, на основании договора (ч. 3 ст. 6). В поручении нужно определить перечень данных, перечень действий, цели обработки и обязанность соблюдать конфиденциальность, а также другие условия из ч. 3 ст. 6. Перед клиентом за действия исполнителя отвечаете вы как оператор (ч. 5 ст. 6). Готовых формулировок для договора статья не предлагает.

Что будет, если ничего не делать

Ответственность наступает по ст. 13.11 КоАП РФ. Физическое лицо без статуса ИП отвечает по строке «граждане». Два состава, которые связаны с темой статьи:

не опубликована политика или не обеспечен неограниченный доступ к ней — ч. 3 ст. 13.11: для граждан от 1 500 до 3 000 рублей;
не подано уведомление — ч. 10 ст. 13.11 (введена Федеральным законом от 30.11.2024 № 420-ФЗ, действует с 30.05.2025): для граждан от 5 000 до 10 000 рублей.

Статья 13.11 содержит и другие составы, например за обработку данных без надлежащего основания. Здесь они не разбираются, как и практика применения: подтверждённых источников о практике Роскомнадзора и судов у нас нет. Для ИП размеры штрафов другие, они приведены в ответе на вопрос о разнице между самозанятым и ИП.

Что сделать

Выпишите, какие данные о людях вы обрабатываете в работе и где они лежат: тетрадь, телефон, таблица, мессенджер, сайт. Для каждого набора данных запишите, зачем вы его собираете.
Для каждой цели определите основание: договор с клиентом, согласие или другое основание из ч. 1 ст. 6. Согласие нужно там, где другого основания нет, например для рассылок и для публикации данных клиента.
Подготовьте политику и опубликуйте её там, где принимаете данные: ссылка рядом с формой на сайте или в описании профиля, если запись идёт через соцсеть или мессенджер.
Где нужно согласие, подготовьте отдельный текст на каждую цель и отдельное действие клиента, например чекбокс, не отмеченный заранее. Сохраняйте подтверждение согласия с датой.
Проверьте, подходит ли исключение из п. 8 ч. 2 ст. 22: вся обработка идёт без компьютера и электронных сервисов. Если не подходит, уведомление подаётся до начала обработки. Есть ли вы в реестре операторов, можно проверить самостоятельно, при этом запись появляется в течение тридцати дней после подачи.
Если вам помогают исполнители по договору ГПХ и видят данные клиентов, закрепите в договоре конфиденциальность, а при поручении обработки — условия из ч. 3 ст. 6.

Нормы

п. 2 ст. 3 152-ФЗ — определение оператора
п. 3 ст. 3 152-ФЗ — определение обработки
ч. 1 и п. 1 ч. 2 ст. 1 152-ФЗ — по действующему тексту ИПС на 25.09.2026
ч. 1 и п. 4 ч. 2 ст. 4 Федерального закона от 27.11.2018 № 422-ФЗ — по действующему тексту ИПС на 25.09.2026
ст. 7 152-ФЗ — в ред. 261-ФЗ от 25.07.2011
ч. 1 ст. 6 152-ФЗ — по действующему тексту ИПС на 25.09.2026
п. 5 ч. 1 ст. 6 152-ФЗ — в ред. 266-ФЗ от 14.07.2022
ч. 3 ст. 6 152-ФЗ (первое предложение) — по действующему тексту ИПС на 25.09.2026
ч. 3 ст. 6 152-ФЗ (состав поручения) — по действующему тексту ИПС на 25.09.2026
ч. 5 ст. 6 152-ФЗ — по действующему тексту ИПС на 25.09.2026
ч. 1 ст. 9 152-ФЗ — в ред. 156-ФЗ от 24.06.2025, с 01.09.2025
ч. 2 ст. 9 152-ФЗ — по действующему тексту ИПС на 25.09.2026
ч. 3 ст. 9 152-ФЗ — по действующему тексту ИПС на 25.09.2026
ч. 1 ст. 10.1 152-ФЗ — по действующему тексту ИПС на 25.09.2026
ч. 1 ст. 15 152-ФЗ — по действующему тексту ИПС на 25.09.2026
ч. 1 ст. 18.1 152-ФЗ (вводная часть) — в ред. 266-ФЗ от 14.07.2022
п. 2 ч. 1 ст. 18.1 152-ФЗ — в ред. 266-ФЗ от 14.07.2022, с 01.09.2022
ч. 2 ст. 18.1 152-ФЗ — в ред. 266-ФЗ от 14.07.2022
ч. 5 ст. 21 152-ФЗ — по действующему тексту ИПС на 25.09.2026
ч. 1 ст. 22 152-ФЗ — по действующему тексту ИПС на 25.09.2026
ч. 2 ст. 22 152-ФЗ — п. 1–6 утратили силу по 266-ФЗ от 14.07.2022, с 01.09.2022
ч. 3, 3.1 и 4 ст. 22 152-ФЗ — ч. 3.1 введена 266-ФЗ от 14.07.2022
ч. 1 ст. 22.1 152-ФЗ — по действующему тексту ИПС на 25.09.2026
ч. 3 ст. 13.11 КоАП РФ — по тексту ИПС на 25.09.2026
ч. 10 ст. 13.11 КоАП РФ — введена 420-ФЗ от 30.11.2024, действует с 30.05.2025
примечания 1–3 к ст. 13.11 КоАП РФ — по тексту на 25.09.2026

Что дальше

Быстрая проверка из десяти вопросов покажет, с чего начать. В первом вопросе выберите «Не зарегистрирован — физическое лицо или самозанятый». Для такого случая результат получит статус «Нужен эксперт»: сервис работает с ООО, АО и индивидуальными предпринимателями и комплект документов физическому лицу автоматически не собирает. Дальше на странице результата есть кнопка «Заполнить анкету»: в вопросе о том, кто оператор, выберите «Другое», и откроется форма. Оставьте почту — специалист посмотрит ответы и напишет, можем ли помочь. Это обращение, а не покупка. Если вы зарегистрированы как ИП, выбирайте «Индивидуальный предприниматель»: что сервис делает для ИП, ООО и АО, описано на странице тарифов.

Пройти быструю проверку Статья про уведомление в Роскомнадзор Что сервис делает для ООО, АО и ИП

Вопросы о самозанятых и персональных данных

Является ли самозанятый оператором персональных данных?

Если самозанятый без статуса ИП сам организует обработку данных клиентов и определяет цели и состав данных, он оператор: п. 2 ст. 3 152-ФЗ называет оператором и физическое лицо. Налоговый режим этого не меняет. Исключение — обработка исключительно для личных и семейных нужд (п. 1 ч. 2 ст. 1), но запись клиентов и база заказчиков, по нашему прочтению, под него не подпадают.

Нужно ли самозанятому подавать уведомление в Роскомнадзор?

Обязанность уведомить Роскомнадзор до начала обработки лежит на любом операторе, если нет исключения из ч. 2 ст. 22 (ч. 1 ст. 22). Форма оператора значения не имеет. Из трёх оставшихся исключений самозанятому стоит проверить п. 8: вся обработка идёт без использования средств автоматизации. Данные в электронных таблицах, мессенджере, CRM или форме на сайте, как правило, означают, что это исключение не подходит. Подробнее об уведомлении — в отдельной статье базы знаний.

Нужна ли политика конфиденциальности, если у меня страница в соцсети, а не сайт?

Опубликовать политику или иным образом обеспечить неограниченный доступ к ней обязан любой оператор (ч. 2 ст. 18.1 152-ФЗ). Если данные собираются через информационно-телекоммуникационную сеть, политику нужно опубликовать в этой сети и обеспечить доступ к ней средствами сети. Как оформить это в профиле, закон не описывает. Практический ориентир: ссылка на политику в описании профиля.

Чем самозанятый отличается от ИП по 152-ФЗ?

«Самозанятый» — налоговый режим, его применяют и физические лица без ИП, и ИП (ч. 1 ст. 4 Федерального закона № 422-ФЗ). Для 152-ФЗ важен статус. Обязанности оператора — опубликовать политику, уведомить Роскомнадзор, определить основание обработки — от него не зависят. Различаются штрафы по ст. 13.11 КоАП РФ. Физическое лицо без ИП отвечает по строке «граждане»: по ч. 3 от 1 500 до 3 000 рублей, по ч. 10 от 5 000 до 10 000. ИП по ч. 3 назван отдельно: от 10 000 до 20 000 рублей, а по ч. 10, согласно примечанию 1, отвечает как юридическое лицо: от 100 000 до 300 000 рублей. Обязанность назначить ответственного (ч. 1 ст. 22.1) закон адресует юридическому лицу, ИП в ней не назван так же, как и физическое лицо.

Нужен ли мне приказ об ответственном за обработку?

Ч. 1 ст. 22.1 152-ФЗ обязывает назначить ответственного оператора, являющегося юридическим лицом. Физическое лицо в норме не названо, поэтому по тексту закона у самозанятого без ИП такой обязанности нет. Остаются обязанность принимать необходимые и достаточные меры (ч. 1 ст. 18.1) и обязанность опубликовать политику (ч. 2 ст. 18.1). Отвечать за их выполнение вам как оператору.

Что будет, если я ничего не сделаю?

За неопубликованную политику для граждан предусмотрен штраф от 1 500 до 3 000 рублей (ч. 3 ст. 13.11 КоАП РФ). За неподачу уведомления при наличии такой обязанности — от 5 000 до 10 000 рублей (ч. 10 ст. 13.11, действует с 30.05.2025). В этой статье КоАП есть и другие составы, например за обработку без надлежащего основания. Практику применения мы не описываем: подтверждённых источников нет.