152-ФЗ для самозанятых: что нужно сделать в 2026 году
Самозанятый — тоже оператор персональных данных. Налоговый режим НПД не освобождает от требований 152-ФЗ. Если вы знаете имя и телефон хотя бы одного клиента — у вас есть обязанности по закону. Разбираем минимальный пакет документов, штрафы и конкретные действия.
Распространяется ли 152-ФЗ на самозанятых?
Да, распространяется. 152-ФЗ «О персональных данных» не делает исключений по налоговому режиму. Закон регулирует деятельность по обработке персональных данных, а не организационно-правовую форму.
Чтобы сразу понять, что из требований относится именно к вам, пройдите самопроверку за пять вопросов: она занимает минуту, сайт для нее не нужен, а разбор под ваш случай приходит на почту.
Оператором персональных данных является любое физическое лицо, юридическое лицо, государственный орган, которые обрабатывают персональные данные. Самозанятый — физическое лицо, ведущее профессиональную деятельность. Как только вы начинаете записывать данные клиентов — вы оператор.
Любое действие с данными: сбор, запись, хранение, уточнение, использование, передача, удаление. Записали номер телефона клиента в телефон — собрали и храните. Отправили имя клиента менеджеру — передали. Все это обработка ПДн по 152-ФЗ.
Когда самозанятый становится оператором ПДн
Практически сразу после начала работы с клиентами. Вот конкретные ситуации:
- Сайт с формой заявки — собираете имя и email → оператор
- Запись клиентов в мессенджере — имя + телефон → оператор
- Google Sheets с базой клиентов — любые ФИО + контакт → оператор
- Аккаунт на Авито/Яндекс.Услугах — переписка содержит данные → оператор
- Telegram-бот для записи — имена, телефоны → оператор
- AmoCRM, Notion, Trello с клиентами — хранение данных → оператор
- Выдача чека через «Мой налог» — сохранение ФИО плательщика → оператор
«Я работаю без сайта — мне не нужны документы.» Неверно. Политику обработки ПДн должен иметь любой оператор (ст. 18.1 152-ФЗ): без сайта ее не публикуют на странице, а дают к ней доступ иначе — например, ссылкой в профиле или в переписке с клиентом. Согласие и уведомление в РКН тоже нужны независимо от сайта. Закон регулирует деятельность, а не канал.
Дальше — штрафы, минимальный пакет документов и пошаговый план.
Штрафы для самозанятых по 152-ФЗ
| Нарушение | Штраф (физлицо / самозанятый) |
|---|---|
| Политика не опубликована (ч. 3 ст. 13.11) | 1 500–3 000 ₽ |
| Обработка ПДн без законного основания, в т. ч. счетчики на сайте без согласия на cookie (ч. 1 ст. 13.11) | 10 000–15 000 ₽ |
| Не подано уведомление в РКН (ч. 10 ст. 13.11) | 5 000–10 000 ₽ |
| Нет согласия в письменной форме там, где оно обязательно: здоровье, биометрия (ч. 2 ст. 13.11) | 10 000–15 000 ₽ |
| Не уведомил РКН об утечке (ч. 11 ст. 13.11) | 50 000–100 000 ₽ |
Все нарушения самостоятельные — суммируются: нет политики, нет законного основания и нет уведомления в РКН — разом до 28 000 руб. Суммы для физлица заметно ниже, чем для ИП и организаций, но при регистрации ИП вы переходите в другую категорию — а по утечкам ИП отвечает уже как организация, от 1 млн руб.
Минимальный пакет документов для самозанятого
Есть базовый минимум — три документа, которые закрывают основные основания для штрафов:
-
1Политика конфиденциальности
Нужна любому оператору. Если есть сайт — публикуется на отдельной странице, если нет — даете ссылку клиентам. Должна содержать ваши реквизиты как оператора (ФИО, ИНН), категории данных, цели и сроки обработки, права субъектов.
-
2Согласие на обработку персональных данных
Нужно там, где нет договора с клиентом: рассылка, публикация фото работ и отзывов. На сайте — отдельная галочка, для офлайн-клиентов — бумажное согласие или явное подтверждение в переписке (с указанием, на что именно дается согласие). У формы заявки достаточно строки со ссылкой на политику: согласие для нее не нужно (п. 5 ч. 1 ст. 6 152-ФЗ).
-
3Уведомление в Роскомнадзор
Подается через pd.rkn.gov.ru один раз. После подачи вы получаете регистрационный номер оператора и попадаете в официальный реестр. Это разовое действие.
Есть ли исключения для самозанятых
Исключений из обязанности уведомлять Роскомнадзор в ч. 2 ст. 22 152-ФЗ три. Для самозанятого реально только одно:
- Обработка без средств автоматизации — только бумажный журнал, без телефона, мессенджера, почты и таблиц
- Данные в государственных информационных системах для защиты безопасности государства — к самозанятым не относится
- Обработка по законодательству о транспортной безопасности — касается транспортной инфраструктуры и перевозчиков, не самозанятых с клиентами
Обработка для личных и семейных нужд под закон вообще не попадает, но данные клиентов к личным нуждам не относятся. На практике самозанятый, который ведет клиентов в телефоне или мессенджере, под исключение не подпадает. Уведомление подавать нужно.
Пошаговый план для самозанятого
- Определите, какие данные вы обрабатываете — имена, телефоны, email, адреса, банковские реквизиты
- Определите цели обработки — выполнение договора, маркетинг, ведение учета
- Оформите документы — политику, согласие и подготовьте уведомление в РКН
- Опубликуйте политику на сайте (если он есть), добавьте в формы строку со ссылкой на нее
- Подайте уведомление в РКН через pd.rkn.gov.ru
- Проверьте сайт — сканер Privadoc находит нарушения за минуту
Самозанятый фотограф, репетитор или мастер ногтевого сервиса с клиентской базой в Telegram и формой заявки на сайте — типичный случай. Политика конфиденциальности с вашим ИНН, строка со ссылкой на нее у кнопки формы и поданное уведомление в РКН — это все, что нужно для базового соответствия. Галочка согласия понадобится, если вы собираете подписчиков на рассылку. Занимает один вечер.
С чего начать прямо сейчас
Порядок действий отличается в зависимости от того, есть у вас сайт или нет.
Сайта нет, заявки идут в мессенджеры. Начните с самопроверки за пять вопросов: она спрашивает только о том, как вы работаете, и показывает, что именно требуется в вашем случае. Следующий шаг после нее — бесплатное уведомление в Роскомнадзор. Это отдельная обязанность по ст. 22 152-ФЗ, она не зависит от наличия сайта, а за неподанное уведомление предусмотрен штраф 5 000–10 000 ₽ для самозанятого. Если сомневаетесь, попадаете ли вы под требования, — критерии разобраны в статье «Когда ИП становится оператором персональных данных».
Сайт или лендинг есть. Посмотрите на него так, как это делает проверяющий — снаружи. Сканер сайта Privadoc бесплатно находит политику, проверяет формы и согласия и сразу показывает первые находки; после этого станет понятно, какие документы нужны именно вам.
Отдельная тема, которую самозанятые чаще всего упускают, — cookie-баннер: аналитические счетчики ставят идентификаторы посетителей, поэтому нужно согласие, и одного уведомления «мы используем cookie» недостаточно.
Документы для самозанятого — от 590 ₽
Политика конфиденциальности с вашим ИНН, согласие на обработку ПДн и готовое уведомление для РКН. Генерируются за 10 минут, ссылка на скачивание приходит на email, файлы в редактируемом формате.
Оформить документы — от 590 ₽Часто задаваемые вопросы
Да. 152-ФЗ распространяется на всех операторов персональных данных вне зависимости от налогового режима. Самозанятый, который собирает имена, телефоны или email клиентов — оператор ПДн с обязанностью иметь политику конфиденциальности, получать согласие там, где оно нужно, и уведомить Роскомнадзор.
Минимальный пакет: политика конфиденциальности (на сайте или по ссылке для клиентов), строка со ссылкой на политику у формы заявки, согласие там, где оно нужно (рассылка, публикация фото работ и отзывов), и уведомление в РКН. Все это генерирует Privadoc с вашими реквизитами от 590 руб.
Да. Уведомление в Роскомнадзор требуется при любой обработке персональных данных — независимо от наличия сайта. Если вы ведете базу клиентов в любом виде (блокнот, телефон, таблица, CRM) — подача уведомления обязательна.
Нарушения суммируются: политика не опубликована — 1 500–3 000 руб., обработка без законного основания — 10 000–15 000 руб., нет уведомления в РКН — 5 000–10 000 руб. Три нарушения одновременно — до 28 000 руб. Отдельно и намного дороже — неуведомление об утечке ПДн: 50 000–100 000 руб.