# Персональные данные контрагентов: ИП, физлица и представители компаний

> Источник: https://ftex.pro/blog/personalnye-dannye-kontragentov/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Персональные данные контрагентов: ИП, физлица и представители компаний. Основания обработки, уведомление человека, передача подрядчикам, хранение и штрафы.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: персональные данные есть не только у клиентов. У каждого контрагента есть люди — директор, подписант, менеджер по закупкам, водитель, и их данные закон тоже считает персональными (п. 1 ст. 3 закона № 152-ФЗ).** У контрагента-физлица и ИП основание обработки — договор (п. 5 ч. 1 ст. 6). Для представителей компании прямой нормы нет: по нашему прочтению здесь работают другие основания из ст. 6, а раз данные пришли не от самого человека, нужно смотреть ч. 3 и 4 ст. 18.

 

Разбор, политика, согласия и локальные акты по вашей ситуации · состав пакета называем до оплаты

 

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽, правки до «принимаю» включены

 

[Собрать пакет под мой бизнес →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное о контрагентах**

 

- **Сама компания не субъект,** а её подписант, менеджеры и работники — субъекты персональных данных.
- **ИП и самозанятый — физлица.** В ч. 2 ст. 1 исключений для них нет, основание обработки — договор (п. 5 ч. 1 ст. 6).
- **Для представителей компании** прямого основания в законе нет. Наше прочтение: п. 7 ч. 1 ст. 6 (законные интересы при условии, что не нарушаются права и свободы субъекта) и п. 2 там, где данные нужны для документов, которые закон велит хранить.
- **Данные получены не от человека:** действует ч. 3 ст. 18. Исключение п. 2 ч. 4 про договор самого субъекта к подписанту компании буквально не подходит (наше прочтение).
- **Хранить** не дольше цели, если срок не задан законом или договором (ч. 7 ст. 5); уничтожение подтверждать актом (ч. 7 ст. 21).

 

## Чьи данные оказываются в вашей базе

 

Персональные данные — любая информация о человеке, которого можно определить (п. 1 ст. 3). Статус ИП или самозанятого этого не меняет: в списке исключений ч. 2 ст. 1 есть личные и семейные нужды, архивы и государственная тайна, ИП там нет. Основания в правом столбце — наше прочтение, если не указано иное.

 

| Кто | Что обычно берут | Основание обработки |
|---|---|---|
| ИП, самозанятый, физлицо по договору | ФИО, ИНН, ОГРНИП, адрес, реквизиты счёта, подпись; паспорт и СНИЛС, если без них нельзя исполнить договор или сделать выплату | Договор, стороной, выгодоприобретателем или поручителем по которому является человек (п. 5 ч. 1 ст. 6). Объём ограничен целью (ч. 5 ст. 5) |
| Руководитель и подписант компании | ФИО, должность, подпись, реквизиты доверенности или устава | Прямой нормы нет. Организация действует через органы и представителей (ст. 53 и ст. 182 ГК). Подходят п. 7 ч. 1 ст. 6 и п. 2, если данные нужны для документов, которые закон велит хранить |
| Менеджеры и контактные лица | ФИО, должность, рабочий телефон, адрес электронной почты | П. 7 ч. 1 ст. 6. Продвижение прямыми контактами — с предварительного согласия (ч. 1 ст. 15); для деловых адресов закон отдельно не поясняет |
| Работники контрагента: водители, монтажники, охрана объекта | ФИО, паспорт или права, номер машины, допуски | Данные передаёт их работодатель. Для получения не от человека нужно подтвердить основание (ч. 8 ст. 9). Для бумажного журнала пропуска учтите условия п. 8 ПП № 687 (это не основание обработки) |

 

Ч. 8 ст. 9 разрешает получать данные от лица, не являющегося субъектом, если подтверждено основание из пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11. Согласие (п. 1) в этом списке не названо. Как это применять к обмену контактами между компаниями, закон не поясняет, разъяснений мы не нашли.

 

## Данные пришли не от человека: нужно ли ему сообщать

 

Если данные получены не от субъекта, до начала обработки оператор сообщает ему: кто оператор, цель и основание, перечень данных, пользователей, права и источник (ч. 3 ст. 18). Освобождают пять случаев из ч. 4. Среди них: человека уже уведомили (п. 1) и данные получены на основании закона или в связи с договором, стороной, выгодоприобретателем или поручителем по которому является субъект (п. 2); директор, например, может быть поручителем по договору компании.

 

У ИП и физлица по договору п. 2 работает: данные пришли в связи с его договором. У подписанта и менеджера компании договор заключила компания, и буквально п. 2 к ним не подходит. Это наше прочтение, прямого разъяснения мы не нашли. Закон не говорит и о том, кто должен сообщить: вы или контрагент.

 

Наша рекомендация, чтобы закрыть вопрос без лишней переписки:

 

- в договоре записать, что контрагент вправе передавать данные своих работников и сам информирует их о том, что вы их обрабатываете;
- дать ссылку на опубликованную политику в договоре или в подписи письма;
- отдельное сообщение отправлять только тогда, когда вы получаете больше обычного: например, копии документов водителей.

 

Состав сообщения и образец разобраны в статье «[Уведомление субъекта об обработке ПДн](https://ftex.pro/blog/uvedomlenie-subekta-ob-obrabotke-pdn/)». Данные работников самого оператора описаны в хабе «[Персональные данные работников](https://ftex.pro/blog/personalnye-dannye-rabotnikov/)».

 

## Что записать в договоре и в политике

 

Особого раздела про персональные данные закон не требует. Наша рекомендация: так проще доказать основание и объём. Что стоит записать:

 

- какие данные стороны передают и зачем (ч. 5 ст. 5: содержание и объём не должны быть избыточными);
- что передающая сторона вправе передавать данные и подтверждает основание (ч. 8 ст. 9);
- как стороны сообщают друг другу о запросах людей и об утечках (ст. 14, ч. 3.1 ст. 21);
- кому данные передаются дальше, если у вас есть подрядчики.

 

С физлицом договор нельзя строить на молчании: заключаемый договор не может содержать положения, допускающие в качестве условия заключения договора бездействие субъекта (п. 5 ч. 1 ст. 6). Политику публикует любой оператор (ч. 2 ст. 18.1). Контрагентов в ней стоит описать отдельными группами: физлица и ИП, представители организаций. Как это выглядит в политике организации, показано в статье «[Политика обработки ПДн в ООО](https://ftex.pro/blog/politika-obrabotki-pdn-v-ooo/)».

 

## Передача данных подрядчикам

 

Данные контрагентов редко остаются у одного оператора: бухгалтерский аутсорс, электронный документооборот, банк, юрист, облачная CRM. Если подрядчик обрабатывает данные по вашему поручению, по ч. 3 ст. 6 поручение допускается с согласия субъекта, если иное не предусмотрено федеральным законом, и на основании договора с перечнем данных, действий и целей, с требованиями конфиденциальности и безопасности. Оператор отвечает перед человеком за действия такого лица (ч. 5 ст. 6). Часть передач идёт по закону или для исполнения договора (пп. 2 и 5 ч. 1 ст. 6), какие именно, зависит от вашей схемы.

 

Если сервис иностранный, смотрите два правила. Запись и хранение данных граждан России в базах за пределами страны не допускаются, кроме случаев из пп. 2, 3, 4, 8 ч. 1 ст. 6 (ч. 5 ст. 18). О трансграничной передаче нужно уведомить Роскомнадзор до её начала (ч. 3 ст. 12). Про бухгалтерский аутсорс подробно в статье «[Персональные данные в бухгалтерии](https://ftex.pro/blog/pdn-v-buhgalterii/)», про уведомление — в статье «[Уведомление о трансграничной передаче](https://ftex.pro/blog/uvedomlenie-o-transgranichnoj-peredache/)».

 

## Сколько хранить и когда уничтожать

 

Общее правило: хранить не дольше, чем требуют цели, если срок не установлен федеральным законом или договором, стороной, выгодоприобретателем или поручителем по которому является субъект (ч. 7 ст. 5). Для документов, которые ведутся как первичные учётные, срок задаёт закон о бухгалтерском учёте: по правилам архивного дела, но не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Единого срока для договоров и переписки мы в законе не нашли; цифры по видам документов берите из перечня для архивного дела, мы их не приводим.

 

Если переговоры закончились и договора не будет, цель достигнута. Тогда данные прекращают обрабатывать и уничтожают в срок не более 30 дней, если иное не установлено договором или законом (ч. 4 ст. 21). Наша рекомендация: зафиксировать в политике, сколько вы держите контакты несостоявшихся сделок, и раз в период чистить CRM. Уничтожение подтверждается актом, при обработке без средств автоматизации — только актом (ч. 7 ст. 21, п. 1 Требований приказа Роскомнадзора № 179). Акт хранится 3 года (п. 8 Требований). Как его составить, смотрите в статье «[Акт уничтожения ПДн](https://ftex.pro/blog/akt-unichtozheniya-personalnyh-dannyh/)».

 

## Чем рискует оператор

 

Суммы ст. 13.11 КоАП даны как диапазоны, а не фиксированные штрафы. Обработка в случаях, которые закон не предусматривает, — ч. 1: для организаций от 150 до 300 тыс. ₽. У ИП в ч. 1 своей строки нет, он отвечает как должностное лицо (ст. 2.4 КоАП): от 50 до 100 тыс. ₽. Неопубликованная политика — ч. 3: для организаций от 30 до 60 тыс. ₽, для ИП от 10 до 20 тыс. ₽. Срок давности один год (ст. 4.5). Остальные части и повторные нарушения описаны в статье «[Штрафы за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/)».

 

## Как мы помогаем

 

В [пакете документов по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) за 9 900 ₽ юрист разбирает ваши процессы: каких контрагентов и работников контрагентов вы встречаете, какие данные берёте, где храните и кому передаёте. Дальше пишет политику с отдельной группой контрагентов, согласия для форм, локальные акты, перечни и инструкции под вашу ситуацию. Правки включены, пока вы не напишете «принимаю». Состав называем после разбора, до оплаты.

 

Чего в услуге нет: договоров с контрагентами, оферты и соглашений об обработке данных как отдельного продукта. На разборе мы проверим, чтобы ваш договор не спорил с политикой и согласиями. Если контрагенты оставляют заявки на сайте, формы и политику проверит [аудит сайта на 152-ФЗ](https://ftex.pro/audit-sajta-152-fz/) за 4 900 ₽. Если вы не уведомили Роскомнадзор, подадим [уведомление под ключ](https://ftex.pro/uvedomlenie-v-roskomnadzor/) за 4 900 ₽.

 

Одним договором и по одной цене · правки включены

 

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

 

[Все услуги ФТИ →](https://ftex.pro/uslugi/)

 

Весь комплект документов показывает обзор «[Документы по персональным данным](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/)», клиентов разбирает статья «[Персональные данные клиентов](https://ftex.pro/blog/personalnye-dannye-klientov/)», самозанятого как оператора — «[Самозанятый и персональные данные](https://ftex.pro/blog/samozanyatyj-i-personalnye-dannye/)».

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Закон № 152-ФЗ, ст. 1 — сфера действия, исключения в ч. 2](https://www.consultant.ru/document/cons_doc_LAW_61801/d44bdb356e6a691d0c72fef05ed16f68af0af9eb/)
- [Закон № 152-ФЗ, ст. 3 — основные понятия](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Закон № 152-ФЗ, ст. 5 — принципы обработки, хранение](https://www.consultant.ru/document/cons_doc_LAW_61801/96fbc469f91f57235cc842a85e0516a99f23dc85/)
- [Закон № 152-ФЗ, ст. 6 — условия обработки, поручение](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Закон № 152-ФЗ, ст. 9 — согласие, ч. 8 про получение данных не от субъекта](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/)
- [Закон № 152-ФЗ, ст. 12 — трансграничная передача](https://www.consultant.ru/document/cons_doc_LAW_61801/e4ebbe1780de623c7cf32a59ca82a7bb523a25dd/)
- [Закон № 152-ФЗ, ст. 15 — продвижение товаров и услуг](https://www.consultant.ru/document/cons_doc_LAW_61801/5656527e0713bf229a6932ac7084dec50d0ebe1f/)
- [Закон № 152-ФЗ, ст. 18 — сбор данных, ч. 3–5](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/)
- [Закон № 152-ФЗ, ст. 21 — прекращение обработки и уничтожение](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Закон № 402-ФЗ, ст. 29 — хранение документов бухгалтерского учёта](https://www.consultant.ru/document/cons_doc_LAW_122855/eb7eaf7415d317fa9daf978473137c9209c1e1d7/)
- [Гражданский кодекс РФ, ст. 53 — органы юридического лица](https://www.consultant.ru/document/cons_doc_LAW_5142/186821aad91ce9ab6c6a5b2a30b458013dcd8817/)
- [Гражданский кодекс РФ, ст. 182 — представительство](https://www.consultant.ru/document/cons_doc_LAW_5142/0cf4748cf87a798af8d1bcc2115eb1bcc4cede31/)
- [Постановление Правительства № 687 — обработка без средств автоматизации, п. 8 о журналах пропуска](https://base.garant.ru/193875/)
- [Приказ Роскомнадзора от 28.10.2022 № 179 — подтверждение уничтожения](https://base.garant.ru/405821247/)
- [КоАП РФ, ст. 13.11 — нарушения в области персональных данных](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)
- [КоАП РФ, ст. 2.4 — ответственность должностных лиц, ИП](https://www.consultant.ru/document/cons_doc_LAW_34661/de33c73dc4e364406642dc44f280f59154201a2e/)
- [КоАП РФ, ст. 4.5 — давность привлечения](https://www.consultant.ru/document/cons_doc_LAW_34661/66a4b2666eea5f75cd1e947452b66bf52bf024d8/)

## Частые вопросы

### Являются ли данные директора контрагента персональными данными?

Да. Закон относит к персональным данным любую информацию о человеке, которого можно определить (п. 1 ст. 3). ФИО, должность, подпись и контакты директора под это определение подходят. Сама организация субъектом не является.

### Нужно ли согласие ИП на обработку его данных по договору?

Для самого договора нет: основание есть в п. 5 ч. 1 ст. 6, ИП стороной договора является. Согласие нужно для другого: например, для рекламной рассылки (ч. 1 ст. 15). Оформляется оно отдельно от иных документов (ч. 1 ст. 9).

### Нужно ли согласие представителя компании, чьи данные в договоре?

Прямой нормы про представителей юридических лиц в законе нет. По нашему прочтению для подписи и контактов в договоре подходят п. 7 ч. 1 ст. 6 и, для документов учёта, п. 2. Согласие на каждого менеджера обычно не собирают, но основание нужно уметь назвать и подтвердить (ч. 3 ст. 9 про согласие, по аналогии для других оснований).

### Нужно ли сообщать человеку, что мы получили его данные от его работодателя?

Если данные получены не от субъекта, ч. 3 ст. 18 требует сообщить ему сведения до начала обработки. Исключение п. 2 ч. 4 говорит о договоре, стороной, выгодоприобретателем или поручителем по которому является субъект; к подписанту компании оно, по нашему прочтению, чаще не подходит, но если директор выступает поручителем, подходит. Наша рекомендация: записать в договоре, что контрагент информирует своих работников, и дать ссылку на политику.

### Можно ли хранить копии паспортов контрагентов-физлиц?

Прямого запрета или разрешения на копии мы в законе не нашли. Действует ч. 5 ст. 5: объём не должен быть избыточным. Наша рекомендация: хранить копию, только если без неё нельзя исполнить договор, иначе записывать нужные реквизиты.

### Как долго хранить данные контрагентов после окончания договора?

Для первичных учётных документов — не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ) и дольше по правилам архивного дела. Для остальных данных — пока есть цель (ч. 7 ст. 5), после её достижения до 30 дней на уничтожение, если закон или договор не говорят иначе (ч. 4 ст. 21).

### Нужно ли уведомление Роскомнадзора, если у нас только база контрагентов?

Да, если данные ведутся с помощью компьютера: 1С, Excel, CRM. Исключение остаётся для обработки исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). Исключения для договоров отменены с 01.09.2022. За неуведомление по ч. 10 ст. 13.11 организациям и ИП предусмотрено от 100 до 300 тыс. ₽.

### Можно ли передать базу контрагентов бухгалтерскому аутсорсеру?

Это поручение обработки на основании договора и с согласием субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6). В договоре нужны перечень данных, действия, цели, конфиденциальность и требования безопасности. Подробно в статье о персональных данных в бухгалтерии.

### Можно ли рассылать контрагентам коммерческие предложения?

Обработка данных для продвижения путём прямых контактов допускается только с предварительного согласия человека; если оператор не докажет согласие, обработка признаётся осуществляемой без него (ч. 1 ст. 15). Как это работает для деловых адресов, закон отдельно не поясняет. Осторожный путь: взять согласие. Для рекламы по сетям электросвязи ч. 1 ст. 18 закона о рекламе тоже требует предварительного согласия адресата.

### Поможете оформить документы для работы с контрагентами?

Да. В пакете документов по 152-ФЗ за 9 900 ₽ юрист разбирает ваши процессы и пишет политику, согласия и локальные акты, правки до «принимаю» включены. Сами договоры с контрагентами мы не разрабатываем, но на разборе проверим стык договора с политикой.