Персональные данные

Персональные данные контрагентов: ИП, физлица и представители компаний

Редактор ФТИ 7 октября 2026 9 мин чтения

Коротко

Данные контрагентов: ИП, самозанятых и представителей компаний. На каком основании их обрабатывать, когда сообщать человеку, что писать в договоре, сколько хранить и что передавать подрядчикам.

Коротко: персональные данные есть не только у клиентов. У каждого контрагента есть люди — директор, подписант, менеджер по закупкам, водитель, и их данные закон тоже считает персональными (п. 1 ст. 3 закона № 152-ФЗ). У контрагента-физлица и ИП основание обработки — договор (п. 5 ч. 1 ст. 6). Для представителей компании прямой нормы нет: по нашему прочтению здесь работают другие основания из ст. 6, а раз данные пришли не от самого человека, нужно смотреть ч. 3 и 4 ст. 18.

Разбор, политика, согласия и локальные акты по вашей ситуации · состав пакета называем до оплаты

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽, правки до «принимаю» включены

Собрать пакет под мой бизнес →

Главное о контрагентах

Сама компания не субъект, а её подписант, менеджеры и работники — субъекты персональных данных.
ИП и самозанятый — физлица. В ч. 2 ст. 1 исключений для них нет, основание обработки — договор (п. 5 ч. 1 ст. 6).
Для представителей компании прямого основания в законе нет. Наше прочтение: п. 7 ч. 1 ст. 6 (законные интересы при условии, что не нарушаются права и свободы субъекта) и п. 2 там, где данные нужны для документов, которые закон велит хранить.
Данные получены не от человека: действует ч. 3 ст. 18. Исключение п. 2 ч. 4 про договор самого субъекта к подписанту компании буквально не подходит (наше прочтение).
Хранить не дольше цели, если срок не задан законом или договором (ч. 7 ст. 5); уничтожение подтверждать актом (ч. 7 ст. 21).

Чьи данные оказываются в вашей базе

Персональные данные — любая информация о человеке, которого можно определить (п. 1 ст. 3). Статус ИП или самозанятого этого не меняет: в списке исключений ч. 2 ст. 1 есть личные и семейные нужды, архивы и государственная тайна, ИП там нет. Основания в правом столбце — наше прочтение, если не указано иное.

Кто	Что обычно берут	Основание обработки
ИП, самозанятый, физлицо по договору	ФИО, ИНН, ОГРНИП, адрес, реквизиты счёта, подпись; паспорт и СНИЛС, если без них нельзя исполнить договор или сделать выплату	Договор, стороной, выгодоприобретателем или поручителем по которому является человек (п. 5 ч. 1 ст. 6). Объём ограничен целью (ч. 5 ст. 5)
Руководитель и подписант компании	ФИО, должность, подпись, реквизиты доверенности или устава	Прямой нормы нет. Организация действует через органы и представителей (ст. 53 и ст. 182 ГК). Подходят п. 7 ч. 1 ст. 6 и п. 2, если данные нужны для документов, которые закон велит хранить
Менеджеры и контактные лица	ФИО, должность, рабочий телефон, адрес электронной почты	П. 7 ч. 1 ст. 6. Продвижение прямыми контактами — с предварительного согласия (ч. 1 ст. 15); для деловых адресов закон отдельно не поясняет
Работники контрагента: водители, монтажники, охрана объекта	ФИО, паспорт или права, номер машины, допуски	Данные передаёт их работодатель. Для получения не от человека нужно подтвердить основание (ч. 8 ст. 9). Для бумажного журнала пропуска учтите условия п. 8 ПП № 687 (это не основание обработки)

Ч. 8 ст. 9 разрешает получать данные от лица, не являющегося субъектом, если подтверждено основание из пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11. Согласие (п. 1) в этом списке не названо. Как это применять к обмену контактами между компаниями, закон не поясняет, разъяснений мы не нашли.

Данные пришли не от человека: нужно ли ему сообщать

Если данные получены не от субъекта, до начала обработки оператор сообщает ему: кто оператор, цель и основание, перечень данных, пользователей, права и источник (ч. 3 ст. 18). Освобождают пять случаев из ч. 4. Среди них: человека уже уведомили (п. 1) и данные получены на основании закона или в связи с договором, стороной, выгодоприобретателем или поручителем по которому является субъект (п. 2); директор, например, может быть поручителем по договору компании.

У ИП и физлица по договору п. 2 работает: данные пришли в связи с его договором. У подписанта и менеджера компании договор заключила компания, и буквально п. 2 к ним не подходит. Это наше прочтение, прямого разъяснения мы не нашли. Закон не говорит и о том, кто должен сообщить: вы или контрагент.

Наша рекомендация, чтобы закрыть вопрос без лишней переписки:

в договоре записать, что контрагент вправе передавать данные своих работников и сам информирует их о том, что вы их обрабатываете;
дать ссылку на опубликованную политику в договоре или в подписи письма;
отдельное сообщение отправлять только тогда, когда вы получаете больше обычного: например, копии документов водителей.

Состав сообщения и образец разобраны в статье «Уведомление субъекта об обработке ПДн». Данные работников самого оператора описаны в хабе «Персональные данные работников».

Что записать в договоре и в политике

Особого раздела про персональные данные закон не требует. Наша рекомендация: так проще доказать основание и объём. Что стоит записать:

какие данные стороны передают и зачем (ч. 5 ст. 5: содержание и объём не должны быть избыточными);
что передающая сторона вправе передавать данные и подтверждает основание (ч. 8 ст. 9);
как стороны сообщают друг другу о запросах людей и об утечках (ст. 14, ч. 3.1 ст. 21);
кому данные передаются дальше, если у вас есть подрядчики.

С физлицом договор нельзя строить на молчании: заключаемый договор не может содержать положения, допускающие в качестве условия заключения договора бездействие субъекта (п. 5 ч. 1 ст. 6). Политику публикует любой оператор (ч. 2 ст. 18.1). Контрагентов в ней стоит описать отдельными группами: физлица и ИП, представители организаций. Как это выглядит в политике организации, показано в статье «Политика обработки ПДн в ООО».

Передача данных подрядчикам

Данные контрагентов редко остаются у одного оператора: бухгалтерский аутсорс, электронный документооборот, банк, юрист, облачная CRM. Если подрядчик обрабатывает данные по вашему поручению, по ч. 3 ст. 6 поручение допускается с согласия субъекта, если иное не предусмотрено федеральным законом, и на основании договора с перечнем данных, действий и целей, с требованиями конфиденциальности и безопасности. Оператор отвечает перед человеком за действия такого лица (ч. 5 ст. 6). Часть передач идёт по закону или для исполнения договора (пп. 2 и 5 ч. 1 ст. 6), какие именно, зависит от вашей схемы.

Если сервис иностранный, смотрите два правила. Запись и хранение данных граждан России в базах за пределами страны не допускаются, кроме случаев из пп. 2, 3, 4, 8 ч. 1 ст. 6 (ч. 5 ст. 18). О трансграничной передаче нужно уведомить Роскомнадзор до её начала (ч. 3 ст. 12). Про бухгалтерский аутсорс подробно в статье «Персональные данные в бухгалтерии», про уведомление — в статье «Уведомление о трансграничной передаче».

Сколько хранить и когда уничтожать

Общее правило: хранить не дольше, чем требуют цели, если срок не установлен федеральным законом или договором, стороной, выгодоприобретателем или поручителем по которому является субъект (ч. 7 ст. 5). Для документов, которые ведутся как первичные учётные, срок задаёт закон о бухгалтерском учёте: по правилам архивного дела, но не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Единого срока для договоров и переписки мы в законе не нашли; цифры по видам документов берите из перечня для архивного дела, мы их не приводим.

Если переговоры закончились и договора не будет, цель достигнута. Тогда данные прекращают обрабатывать и уничтожают в срок не более 30 дней, если иное не установлено договором или законом (ч. 4 ст. 21). Наша рекомендация: зафиксировать в политике, сколько вы держите контакты несостоявшихся сделок, и раз в период чистить CRM. Уничтожение подтверждается актом, при обработке без средств автоматизации — только актом (ч. 7 ст. 21, п. 1 Требований приказа Роскомнадзора № 179). Акт хранится 3 года (п. 8 Требований). Как его составить, смотрите в статье «Акт уничтожения ПДн».

Чем рискует оператор

Суммы ст. 13.11 КоАП даны как диапазоны, а не фиксированные штрафы. Обработка в случаях, которые закон не предусматривает, — ч. 1: для организаций от 150 до 300 тыс. ₽. У ИП в ч. 1 своей строки нет, он отвечает как должностное лицо (ст. 2.4 КоАП): от 50 до 100 тыс. ₽. Неопубликованная политика — ч. 3: для организаций от 30 до 60 тыс. ₽, для ИП от 10 до 20 тыс. ₽. Срок давности один год (ст. 4.5). Остальные части и повторные нарушения описаны в статье «Штрафы за персональные данные».

Как мы помогаем

В пакете документов по 152-ФЗ за 9 900 ₽ юрист разбирает ваши процессы: каких контрагентов и работников контрагентов вы встречаете, какие данные берёте, где храните и кому передаёте. Дальше пишет политику с отдельной группой контрагентов, согласия для форм, локальные акты, перечни и инструкции под вашу ситуацию. Правки включены, пока вы не напишете «принимаю». Состав называем после разбора, до оплаты.

Чего в услуге нет: договоров с контрагентами, оферты и соглашений об обработке данных как отдельного продукта. На разборе мы проверим, чтобы ваш договор не спорил с политикой и согласиями. Если контрагенты оставляют заявки на сайте, формы и политику проверит аудит сайта на 152-ФЗ за 4 900 ₽. Если вы не уведомили Роскомнадзор, подадим уведомление под ключ за 4 900 ₽.

Одним договором и по одной цене · правки включены

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

Все услуги ФТИ →

Весь комплект документов показывает обзор «Документы по персональным данным», клиентов разбирает статья «Персональные данные клиентов», самозанятого как оператора — «Самозанятый и персональные данные».

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Являются ли данные директора контрагента персональными данными?

Да. Закон относит к персональным данным любую информацию о человеке, которого можно определить (п. 1 ст. 3). ФИО, должность, подпись и контакты директора под это определение подходят. Сама организация субъектом не является.

Нужно ли согласие ИП на обработку его данных по договору?

Для самого договора нет: основание есть в п. 5 ч. 1 ст. 6, ИП стороной договора является. Согласие нужно для другого: например, для рекламной рассылки (ч. 1 ст. 15). Оформляется оно отдельно от иных документов (ч. 1 ст. 9).

Нужно ли согласие представителя компании, чьи данные в договоре?

Прямой нормы про представителей юридических лиц в законе нет. По нашему прочтению для подписи и контактов в договоре подходят п. 7 ч. 1 ст. 6 и, для документов учёта, п. 2. Согласие на каждого менеджера обычно не собирают, но основание нужно уметь назвать и подтвердить (ч. 3 ст. 9 про согласие, по аналогии для других оснований).

Нужно ли сообщать человеку, что мы получили его данные от его работодателя?

Если данные получены не от субъекта, ч. 3 ст. 18 требует сообщить ему сведения до начала обработки. Исключение п. 2 ч. 4 говорит о договоре, стороной, выгодоприобретателем или поручителем по которому является субъект; к подписанту компании оно, по нашему прочтению, чаще не подходит, но если директор выступает поручителем, подходит. Наша рекомендация: записать в договоре, что контрагент информирует своих работников, и дать ссылку на политику.

Можно ли хранить копии паспортов контрагентов-физлиц?

Прямого запрета или разрешения на копии мы в законе не нашли. Действует ч. 5 ст. 5: объём не должен быть избыточным. Наша рекомендация: хранить копию, только если без неё нельзя исполнить договор, иначе записывать нужные реквизиты.

Как долго хранить данные контрагентов после окончания договора?

Для первичных учётных документов — не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ) и дольше по правилам архивного дела. Для остальных данных — пока есть цель (ч. 7 ст. 5), после её достижения до 30 дней на уничтожение, если закон или договор не говорят иначе (ч. 4 ст. 21).

Нужно ли уведомление Роскомнадзора, если у нас только база контрагентов?

Да, если данные ведутся с помощью компьютера: 1С, Excel, CRM. Исключение остаётся для обработки исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). Исключения для договоров отменены с 01.09.2022. За неуведомление по ч. 10 ст. 13.11 организациям и ИП предусмотрено от 100 до 300 тыс. ₽.

Можно ли передать базу контрагентов бухгалтерскому аутсорсеру?

Это поручение обработки на основании договора и с согласием субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6). В договоре нужны перечень данных, действия, цели, конфиденциальность и требования безопасности. Подробно в статье о персональных данных в бухгалтерии.

Можно ли рассылать контрагентам коммерческие предложения?

Обработка данных для продвижения путём прямых контактов допускается только с предварительного согласия человека; если оператор не докажет согласие, обработка признаётся осуществляемой без него (ч. 1 ст. 15). Как это работает для деловых адресов, закон отдельно не поясняет. Осторожный путь: взять согласие. Для рекламы по сетям электросвязи ч. 1 ст. 18 закона о рекламе тоже требует предварительного согласия адресата.

Поможете оформить документы для работы с контрагентами?

Да. В пакете документов по 152-ФЗ за 9 900 ₽ юрист разбирает ваши процессы и пишет политику, согласия и локальные акты, правки до «принимаю» включены. Сами договоры с контрагентами мы не разрабатываем, но на разборе проверим стык договора с политикой.