152-ФЗ для ИП: когда предприниматель — оператор данных и сколько стоят нарушения
«Я ИП без сотрудников, 152-ФЗ — это про корпорации» — самое дорогое заблуждение микробизнеса. Закон определяет оператора персональных данных без оглядки на размер: оператором может быть и физическое лицо, которое организует обработку и определяет её цели (п. 2 ст. 3 152-ФЗ). База клиентов в телефоне, заявки с сайта, бумажная тетрадь записи — всё это делает ИП оператором. А по самому частому нарушению — отсутствию уведомления в Роскомнадзоре — ИП платит столько же, сколько юрлицо: до 300 000 ₽. Разбираем, где проходит граница закона и во что обходится каждое нарушение именно предпринимателю.
Когда ИП — оператор, а когда нет
Закон не действует, когда физическое лицо обрабатывает данные исключительно для личных и семейных нужд (п. 1 ч. 2 ст. 1 152-ФЗ). Записная книжка с телефонами друзей, семейный фотоархив, список гостей на свадьбу — не про 152-ФЗ.
Граница проходит по цели. Как только те же телефоны собираются ради дохода — запись клиентов, рассылка о скидках, заявки с лендинга — это уже предпринимательская деятельность, и ИП становится оператором со всеми обязанностями. Двух категорий «немного оператор» закон не знает.
Не спасает и отказ от техники: обработкой считаются любые действия с данными — «с использованием средств автоматизации или без» (п. 3 ст. 3). Бумажный журнал записи — та же обработка, что и CRM.
Три мифа, которые дорого стоят
«У меня нет сотрудников — закон не про меня». Сотрудники лишь добавляют обязанностей (глава 14 ТК — отдельный разбор). Статус оператора возникает из клиентской базы: пока вы собираете контакты покупателей, размер штата значения не имеет.
«Я не в реестре, значит, меня не видят». Наоборот: Роскомнадзор мониторит сайты и сверяет их с реестром операторов — письма «подайте уведомление» приходят именно тем, кого в реестре нет. Форма заявки на сайте видна роботу так же хорошо, как клиенту.
«Согласия у меня в оферте, галочка стоит». С 01.09.2025 согласие на обработку оформляется отдельным документом, а не пунктом внутри оферты (156-ФЗ). Старая галочка «согласен со всем сразу» — это согласие не по форме.
Сколько платит именно ИП: таблица
Тонкость, которую упускают: КоАП приравнивает ИП к юрлицам только по части составов ст. 13.11 (примечание 1 — части 1.1 и 8–18). По остальным ИП отвечает по общему правилу — как должностное лицо: закон смотрит на предпринимателя-одиночку как на условного «руководителя» своего бизнеса, поэтому сумма выше, чем у обычного гражданина, но ниже, чем у компании. Отсюда неожиданная раскладка:
| Нарушение | ИП платит | Для сравнения: юрлицо |
|---|---|---|
| Нет уведомления в РКН (ч. 10) | 100 000 – 300 000 ₽ — как юрлицо | 100 000 – 300 000 ₽ |
| Спецкатегории или биометрия без письменного согласия (ч. 2) | 100 000 – 300 000 ₽ — как должностное лицо | 300 000 – 700 000 ₽ |
| Обработка без согласия или согласие не отдельным документом (ч. 1) | 50 000 – 100 000 ₽ — как должностное лицо | 150 000 – 300 000 ₽ |
| Нет политики на сайте (ч. 3) | 10 000 – 20 000 ₽ | 30 000 – 60 000 ₽ |
| Не уведомил об утечке (ч. 11) | 1 – 3 млн ₽ — как юрлицо | 1 – 3 млн ₽ |
Обратите внимание на крайние строки: и самый вероятный состав (уведомление, ч. 10), и самый тяжёлый (утечка, ч. 11) входят в перечень примечания 1 — по ним ИП платит в полную силу, без скидки на размер бизнеса. Все составы, включая миллионные штрафы за утечки, — в полной таблице.
План из четырёх шагов
1. Подайте уведомление в Роскомнадзор. Бесплатно: портал pd.rkn.gov.ru → «Подать уведомление» → форма с реквизитами ИП, целями обработки и категориями данных, отправка с подтверждением. Один вечер работы — и самый крупный типовой риск (100–300 тыс.) закрыт. Нюансы заполнения — в пошаговой инструкции.
2. Опубликуйте политику обработки ПД. Минимум, который в ней должен быть: кто оператор (ваши ФИО и ОГРНИП), какие данные и для каких целей собираете, на каком основании, сколько храните и как субъект может отозвать согласие. Готовый файл положите по адресу вида вашсайт.ру/privacy и дайте ссылку в подвале и у форм. Полный разбор — как составить политику.
3. Разложите основания. Для исполнения заказа клиента согласие не нужно — это договорное основание (п. 5 ч. 1 ст. 6). Отдельные согласия нужны для рассылок (только с предварительного согласия адресата — ст. 18 38-ФЗ) и прочих необязательных обработок; с 01.09.2025 — отдельным документом.
4. Соберите внутренний комплект. Приказ об ответственном, положение об обработке, журналы — полный перечень с разбором. Для ИП без сотрудников комплект короче, чем для компании, но он есть.
Частые вопросы
Я продаю на маркетплейсах, своего сайта нет. Я оператор? Если контакты покупателей в любом виде попадают к вам — выгрузки, таблицы, переписка для допродаж — да, вы обрабатываете данные для предпринимательских целей. Безопасно считать себя «не оператором» можно только когда вы вообще не касаетесь данных покупателей за пределами интерфейса площадки.
У меня лендинг с одной формой «оставьте телефон». Этого достаточно, чтобы попасть под закон? Да. Сбор телефонов через форму — обработка персональных данных в коммерческих целях: нужны уведомление, политика и корректное основание для звонка.
Что проверят первым делом? Сопоставят факт сбора данных (форма на сайте) с реестром операторов и наличием политики. Оба пункта проверяются удалённо за минуты — с них и начинайте.
Сколько времени занимает привести всё в порядок? Уведомление — вечер. Остальной комплект под ваш бизнес конструктор соберёт за 10 минут — 2 990 ₽ против штрафа от 100 000 ₽ по самому частому составу.
Итог
152-ФЗ не делает исключений по размеру бизнеса: есть клиентская база — есть статус оператора. Разница с корпорацией только в цене ошибок, и по ключевым составам (уведомление, утечка) её нет вовсе. Начните с диагностики: бесплатная проверка за 10 минут покажет, каких документов не хватает именно вам. Если решите закрыть всё разом — готовый комплект под ваш бизнес конструктор соберёт за 2 990 ₽.