Самозанятый и персональные данные: нужно ли уведомление
В законе о персональных данных нет отдельных правил для самозанятых, но оператором может быть и физическое лицо. Разбираем по тексту закона, когда нужно уведомление в Роскомнадзор, что показывает форма портала и какие штрафы предусмотрены для гражданина и для ИП.
Коротко: по тексту закона самозанятый, который работает с данными клиентов не для личных нужд, является оператором персональных данных. Если он хранит их в телефоне, таблице, CRM или на сайте, уведомить Роскомнадзор нужно до начала обработки. Не нужно только тем, кто работает исключительно без средств автоматизации, например на бумаге. Отдельного правила для самозанятых в законе № 152-ФЗ нет. Но в форме уведомления на портале Роскомнадзора есть тип оператора «Физическое лицо». В PDF-руководстве Роскомнадзора он обозначен в скобках как «самозанятый», в самой форме такой пометки нет.
Главное для самозанятого
- Оператором может быть физическое лицо (п. 2 ст. 3 закона № 152-ФЗ). Статус самозанятого этого не меняет.
- Личные и семейные нужды закон выводит из-под действия (п. 1 ч. 2 ст. 1), но работа с клиентами ради дохода к ним не подходит. Это вывод из формулировки, определения в законе нет.
- Уведомление нужно при автоматизации: телефон, таблица, мессенджер, CRM, сайт (ч. 1 и п. 8 ч. 2 ст. 22).
- Штраф за неуведомление для гражданина: от 5 до 10 тысяч рублей (ч. 10 ст. 13.11 КоАП).
- Самозанятый с ИП отвечает как ИП, то есть по более высоким суммам.
Самозанятый в законе о персональных данных
В законе № 152-ФЗ нет понятия «самозанятый». Есть понятия «физическое лицо» и «оператор». Разберём по статьям.
| Норма | Что говорит | Что это значит для самозанятого |
|---|---|---|
| ч. 1 ст. 1 | Закон регулирует обработку данных юридическими и физическими лицами с использованием средств автоматизации или без них при определённых условиях | Физическое лицо не выведено из-под закона только из-за того, что оно не организация |
| п. 2 ст. 3 | Оператор это государственный орган, муниципальный орган, юридическое или физическое лицо, которое организует или осуществляет обработку и определяет цели, состав данных и действия с ними | Самозанятый, который сам решает, чьи данные собирать и зачем, подходит под определение |
| п. 1 ч. 2 ст. 1 | Закон не действует при обработке данных физлицами исключительно для личных и семейных нужд, если не нарушаются права субъектов | Это исключение для частной жизни, а не для работы на клиента |
| ч. 1 ст. 22 | Оператор до начала обработки обязан уведомить Роскомнадзор | Правило общее, без отдельной оговорки для самозанятых |
| п. 8 ч. 2 ст. 22 | Уведомлять не нужно, если обработка идёт исключительно без средств автоматизации | Единственное практически значимое исключение: только бумага |
Определения «личных и семейных нужд» закон не даёт. Обычное прочтение такое: деятельность ради заработка к ним не относится. Мы называем это выводом из текста, а не разъяснением Роскомнадзора. Письменной позиции ведомства именно по самозанятым в проверенных нами источниках мы не нашли.
Что считается обработкой у самозанятого
Персональные данные это любая информация о прямо или косвенно определённом физическом лице (п. 1 ст. 3). Обработка это любое действие с ними: сбор, запись, хранение, использование, передача и другие (п. 3 ст. 3). Поэтому подходят даже простые вещи.
- Имя и телефон клиента в записной книжке телефона или в мессенджере.
- Таблица записей с фамилиями, датами и адресами.
- Заявки с сайта или страницы с формой.
- Фото клиентов, если вы их публикуете: для разрешённых для распространения данных закон требует отдельное согласие (ст. 10.1).
- Данные заказчиков по договорам: реквизиты, адреса, паспортные данные, если они вам нужны.
Все эти действия по сути совершаются с помощью телефона или компьютера, то есть с использованием средств автоматизации. Если таблица или сервис находятся в зарубежном облаке, возможна трансграничная передача, о ней читайте на странице об уведомлении о трансграничной передаче.
Что показывает сам Роскомнадзор
Письменной позиции мы не нашли, но на портале есть практические сведения.
- В руководстве Роскомнадзора по заполнению формы тип оператора «Физическое лицо» помечен как «самозанятый». Для него нужны фамилия, имя, отчество, а документ и СНИЛС необязательны.
- ИНН и ОГРН/ОГРНИП названы обязательными для юридических лиц, ИП, государственных и муниципальных органов. Для физического лица руководство обязательными их не называет.
- В руководстве сказано, что дата начала обработки может совпадать с датой регистрации в качестве ИП, юрлица или статуса самозанятого.
- В реестре операторов есть записи с типом «физическое лицо». Это видно в результатах поиска.
Это не приказ и не разъяснение о том, кто обязан подавать. Это показывает, что форма для самозанятых предусмотрена. Решение об обязанности следует из текста закона: ч. 1 ст. 22, п. 2 ст. 3 и ч. 2 ст. 22. Как проверить запись в реестре, описано в статье про реестр операторов.
Самозанятый без ИП и самозанятый с ИП
Налог на профессиональный доход применяют физические лица, в том числе индивидуальные предприниматели (ч. 1 ст. 2 закона № 422-ФЗ). Значит, «самозанятый» это название налогового режима, и под ним могут работать два разных субъекта.
| Самозанятый без ИП | Самозанятый, зарегистрированный как ИП | |
|---|---|---|
| Кто это в КоАП | Гражданин (по нашему прочтению, практики квалификации нет) | Индивидуальный предприниматель |
| Штраф за неуведомление (ч. 10 ст. 13.11) | от 5 до 10 тысяч рублей | от 100 до 300 тысяч рублей: по примечанию 1 ИП отвечает как юридическое лицо |
| Штраф за отсутствие политики (ч. 3 ст. 13.11) | от 1,5 до 3 тысяч рублей | от 10 до 20 тысяч рублей |
| Ответственный за обработку (ст. 22.1) | Не требуется | Не требуется |
Если вы ИП, прочитайте статью об уведомлении для ИП. Какой тип оператора выбирать в форме тому, у кого есть и ИП, и режим самозанятого, в проверенных источниках не сказано, поэтому мы не называем его.
Штрафы для самозанятого без ИП
Все суммы ниже взяты из текста статьи 13.11 КоАП, столбец «граждане».
| Нарушение | Штраф для гражданина |
|---|---|
| Не уведомили Роскомнадзор или опоздали (ч. 10) | от 5 до 10 тысяч рублей |
| Не опубликовали политику, хотя собираете данные через сайт (ч. 3) | от 1,5 до 3 тысяч рублей |
| Не предоставили субъекту информацию об обработке его данных (ч. 4) | от 2 до 4 тысяч рублей |
| Обработка без письменного согласия там, где оно обязательно (ч. 2) | от 10 до 15 тысяч рублей |
Срок давности по делам в области персональных данных один год (ч. 1 ст. 4.5 КоАП). Подробнее обо всех частях статьи в материале о штрафах за персональные данные. Мы не приводим данных о том, как часто ведомство проверяет самозанятых, потому что подтверждённых сведений у нас нет.
Что делать самозанятому на практике
- Определите, есть ли автоматизация. Если данные клиентов хотя бы частично в телефоне, таблице, мессенджере, CRM или на сайте, она есть.
- Назовите цели. Например, заключение и исполнение договора с клиентом, связь с ним, расчёты. По каждой цели нужно указать категории данных, категории субъектов, основание, действия и способы (ч. 3.1 ст. 22).
- Определите основание. Для исполнения договора с клиентом согласие не нужно: ст. 6 допускает обработку, необходимую для исполнения договора (п. 5 ч. 1 ст. 6). Для рассылки и публикации фото нужны согласия.
- Подайте уведомление до начала обработки, выбрав тип оператора «Физическое лицо».
- Опубликуйте политику или иначе обеспечьте неограниченный доступ к ней (ч. 2 ст. 18.1); если собираете данные через сайт, разместите её на страницах сбора. Согласия оформляйте отдельно (ч. 1 ст. 9).
Подача идёт на портале pd.rkn.gov.ru: на бумаге, с усиленной квалифицированной подписью или через вход с Госуслугами (ЕСИА), для которого нужна подтверждённая учётная запись. Пошаговый порядок в статье как подать уведомление в Роскомнадзор, а о Госуслугах в статье об уведомлении через Госуслуги. Подача бесплатна (ч. 5 ст. 22), запись вносят в течение 30 дней. Общий порядок для всех операторов описан в основной статье об уведомлении. Если вы выросли до ООО, смотрите статью об уведомлении для ООО.
Как мы помогаем
Если вы сомневаетесь, нужно ли вам уведомление, это можно выяснить бесплатно: разберём вашу ситуацию на звонке и скажем честно, даже если ответ «не нужно». Если нужно, уведомление в Роскомнадзор под ключ стоит 4 900 ₽. Мы разберём цели и данные, заполним уведомление по каждой цели, подадим вместе с вами и ответим на запрос уточнений без доплаты. Вход на портал делаете вы, пароли и ключи нам не передаются. Подготовка и подача занимают 1–2 дня, запись в реестр вносит Роскомнадзор, по закону до 30 дней.
Согласия и политику под ваш сайт или страницу можно заказать отдельно: документы по 152-ФЗ стоят 9 900 ₽, а аудит сайта на 152-ФЗ 4 900 ₽. Всё вместе в пакете «Старт»: 14 900 ₽ вместо 18 700 ₽, он описан на странице услуги ФТИ.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 152-ФЗ, статья 1 — сфера действия закона, исключение для личных и семейных нужд
- Федеральный закон № 152-ФЗ, статья 3 — основные понятия: персональные данные, оператор, обработка
- Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке персональных данных
- Федеральный закон № 152-ФЗ, статья 6 — условия обработки персональных данных
- КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных
- КоАП РФ, статья 4.5 — давность привлечения к административной ответственности
- Федеральный закон № 422-ФЗ, статья 2 — налог на профессиональный доход, физические лица, в том числе ИП
- Роскомнадзор — руководство по заполнению электронной формы уведомления, тип оператора «Физическое лицо» (самозанятый) (PDF)
- Портал персональных данных Роскомнадзора — реестр операторов
Частые вопросы
Нужно ли самозанятому подавать уведомление в Роскомнадзор?
По тексту закона да, если самозанятый обрабатывает персональные данные клиентов с использованием средств автоматизации и это не личные нужды. Уведомление подаётся до начала обработки (ч. 1 ст. 22 закона № 152-ФЗ). Отдельного правила для самозанятых в законе нет, письменной позиции Роскомнадзора именно по ним мы не нашли.
Когда самозанятый может не подавать уведомление?
Когда обработка идёт исключительно без средств автоматизации (п. 8 ч. 2 ст. 22), например только в бумажном журнале. Запись клиента в телефоне, таблице или мессенджере уже считается автоматизированной.
Является ли самозанятый оператором персональных данных?
Оператором может быть физическое лицо, которое организует обработку данных и определяет её цели (п. 2 ст. 3). Если самозанятый сам решает, чьи данные собирать и зачем, он подходит под это определение. Определения личных и семейных нужд в законе нет, поэтому это вывод из текста.
Есть ли в форме Роскомнадзора вариант для самозанятых?
Отдельного варианта нет: в форме есть тип «Физическое лицо». В PDF-руководстве Роскомнадзора он обозначен как «Физическое лицо (самозанятый)», но в живой форме такой пометки нет, и вывода о том, что самозанятые обязаны подавать уведомление, из этого не следует. ИНН и ОГРН для него руководство обязательными не называет, а дата начала обработки может совпадать с датой регистрации статуса самозанятого.
Какой штраф самозанятому за неуведомление?
Для гражданина без ИП от 5 до 10 тысяч рублей по части 10 статьи 13.11 КоАП. Если самозанятый зарегистрирован как ИП, он отвечает как юридическое лицо: от 100 до 300 тысяч рублей. Срок давности один год.
Нужна ли самозанятому политика обработки персональных данных?
Закон обязывает любого оператора опубликовать политику или иным образом обеспечить неограниченный доступ к ней (ч. 2 ст. 18.1); при сборе данных через сайт её размещают на его страницах. За отсутствие политики для гражданина часть 3 статьи 13.11 предусматривает от 1,5 до 3 тысяч рублей.
Нужно ли самозанятому согласие клиента на обработку данных?
Не всегда. Для исполнения договора с клиентом согласие не требуется (п. 5 ч. 1 ст. 6). Согласие нужно там, где нет другого основания, например для рассылки. Оно оформляется отдельно от иных документов (ч. 1 ст. 9) и подтверждается оператором.
Нужен ли самозанятому ответственный за обработку данных?
Нет. Статья 22.1 обязывает назначать ответственного оператора, являющегося юридическим лицом. В форме уведомления поле для ответственного есть, как его заполнять самозанятому, проверенных разъяснений нет.
Можно ли подать уведомление самозанятому через Госуслуги?
Подача на портале Роскомнадзора возможна тремя способами: на бумаге, электронно с усиленной квалифицированной подписью или электронно через вход с Госуслугами (ЕСИА). Для ЕСИА нужна подтверждённая учётная запись.
Где разобраться с уведомлением и сколько это стоит у ФТИ?
Разобрать вашу ситуацию можно бесплатно на звонке: скажем честно, нужно ли уведомление. Уведомление в Роскомнадзор под ключ стоит 4 900 ₽: разбор, заполнение по каждой цели, подача и ответ на запрос уточнений без доплаты. Вход на портал делаете вы, пароли и ключи нам не передаются.