Регистрация оператора персональных данных в Роскомнадзоре по 152-ФЗ: документы, сроки и наши услуги.
Самозанятость сама по себе не отвечает на вопрос о Роскомнадзоре. Налог на профессиональный доход регулирует, как человек платит налог с дохода от услуг или работ. А уведомление Роскомнадзора связано с другим: собирает ли самозанятый персональные данные людей и как он с ними работает.
Если самозанятый получает заказы через мессенджер, записывает клиентов в таблицу, хранит телефоны и адреса, ведет рассылку, принимает заявки с сайта или публикует фото клиентов, он может быть оператором персональных данных. В этом случае нужно оценить обязанность по статье 22 Федерального закона №152-ФЗ и, если исключения не подходят, направить уведомление в Роскомнадзор до начала обработки.
Почему режим НПД не заменяет 152-ФЗ
Режим НПД описан в Федеральном законе №422-ФЗ и на официальном ресурсе ФНС npd.nalog.ru. Он нужен для налогов: кто может применять режим, как учитывать доход и как платить налог. В законе о персональных данных логика другая. Там важен не налоговый статус, а факт обработки данных конкретных людей.
Поэтому самозанятый без ИП и без сотрудников тоже может стать оператором персональных данных. Например, репетитор хранит телефоны учеников и родителей, фотограф передает клиенту галерею с персональными фото, мастер записывает клиентов по имени и телефону, консультант собирает заявки на сайте. В каждом таком сценарии есть данные, по которым можно определить человека.
Когда самозанятому нужно уведомление Роскомнадзора
Общий ориентир простой: если данные используются для работы с клиентами, записью, оплатой, доставкой, договором, рассылкой или доступом к услуге, уведомление чаще всего нужно. Часть 2 статьи 22 №152-ФЗ содержит исключения, но они узкие: государственные информационные системы для задач безопасности и общественного порядка, обработка исключительно без средств автоматизации, отдельные случаи транспортной безопасности.
У самозанятого редко получается опереться на исключение про обработку без автоматизации. Телефон, ноутбук, облачная таблица, CRM, сайт, онлайн-форма, мессенджер, календарь записи, сервис рассылки или электронная почта уже показывают, что данные живут в цифровой среде. Даже если база небольшая, сам принцип обработки остается.
| Ситуация | Какие данные появляются | Что проверить |
|---|---|---|
| Запись клиента на услугу | Имя, телефон, дата визита, услуга | Есть ли уведомление РКН, политика и согласие на сайте или в форме |
| Продажа курса или консультации | Email, телефон, платежные сведения, переписка | Цели обработки, рассылка, передача платежному сервису |
| Фото, видео, портфолио | Изображение человека, имя, соцсети | Согласие на публикацию и хранение материалов |
| Доставка товара | ФИО, адрес, телефон, заказ | Передача данных курьеру или агрегатору |
| Работа через CRM или календарь | Карточка клиента, история заказов, напоминания | Место хранения базы и доступы к ней |
Если данные ведутся только в телефоне или мессенджере
У самозанятых часто нет отдельного сайта и CRM. Работа идет через WhatsApp, Telegram, личные сообщения в соцсетях, заметки в телефоне или календарь. Это не делает обработку невидимой для закона. Если в переписке есть имя клиента, телефон, адрес, дата услуги, фото результата или история заказов, самозанятый фактически хранит и использует персональные данные.
В таких случаях нужно описывать не "большую систему", а обычный рабочий процесс: где появляется заявка, как долго хранится переписка, кто имеет доступ к телефону или аккаунту, передаются ли данные платежному сервису, курьеру, площадке или помощнику. Такой подход лучше, чем универсальная формулировка "данные клиентов", потому что он показывает реальную схему и помогает не забыть важные каналы.
Если самозанятый работает через платформу
Маркетплейс, сервис записи, образовательная платформа или агрегатор может сам быть оператором по своей части обработки. Но это не всегда снимает обязанности с самозанятого. Если исполнитель получает контакты клиента, ведет собственную переписку, сохраняет базу, отправляет материалы, делает рассылку или публикует результат работы, у него появляется самостоятельная обработка данных.
Перед подачей уведомления стоит разделить роли. Платформа отвечает за свой личный кабинет, платежи и правила сервиса. Самозанятый отвечает за те данные, которые он забрал в свою работу: телефон клиента, адрес доставки, фото, расписание, заметки по заказу, переписку, базу постоянных клиентов. Именно эта часть описывается в уведомлении и в документах для клиентов.
Что такое уведомление и где его подать
Уведомление об обработке персональных данных подается через официальную страницу Роскомнадзора для уведомлений операторов. Это не лицензия и не разрешение на работу. Самозанятый сообщает ведомству, кто он, какие данные собирает, с какой целью, где хранит базу и какие действия выполняет с данными.
После поступления уведомления Роскомнадзор вносит сведения в реестр операторов в течение 30 дней. Госпошлины за рассмотрение уведомления и внесение сведений нет. Если самозанятый обращается за сопровождением, он платит не государству, а специалисту за подготовку формы, проверку схемы обработки и документов.
Какие поля нужно продумать до формы
Главная сложность не в кнопке подачи, а в описании реальной работы. Самозанятый часто думает: "у меня просто клиенты в телефоне". Для уведомления этого мало. Нужно разложить обработку по целям и понять, какие данные попадают в каждую цель.
- оператор: ФИО, ИНН, адрес и контакты самозанятого;
- цели обработки: запись на услугу, исполнение договора, связь с клиентом, рассылка, доставка, публикация работ;
- категории субъектов: клиенты, подписчики, ученики, заказчики, представители организаций;
- категории данных: имя, телефон, email, адрес, фото, сведения о заказе, переписка;
- правовые основания: договор, согласие, закон, иной применимый документ;
- место нахождения базы данных граждан РФ: телефон, CRM, сайт, хостинг, облачный сервис;
- трансграничная передача: зарубежные сервисы, облака, рассылки или платформы, если они участвуют в обработке;
- меры защиты: доступы, пароли, ограничение передачи данных, резервное хранение, порядок удаления.
Если самозанятый ведет только разовые переписки, форма все равно должна описывать не абстрактный бизнес, а конкретные каналы: мессенджер, сайт, соцсети, электронная почта, платежный сервис, календарь записи. Тогда запись в реестре не будет расходиться с тем, что реально происходит.
Как проверить запись в реестре
Публичная проверка находится в реестре операторов персональных данных. После внесения сведений самозанятый может искать себя по ФИО или ИНН. В карточке смотрят регистрационный номер, дату внесения, сведения об операторе, цели обработки, категории субъектов и данных, правовые основания, действия с данными и сведения о трансграничной передаче.
Проверка нужна не только для спокойствия. Если самозанятый поменял формат работы, открыл сайт, начал рассылку, подключил CRM или стал передавать данные подрядчику, старая запись может стать неполной. Изменения направляют в Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменения. Если обработка прекращена полностью, уведомление о прекращении направляют в течение 10 рабочих дней.
Какие документы нужны рядом с уведомлением
Уведомление в реестр закрывает только контакт с Роскомнадзором. Клиенту на сайте или в форме записи нужно объяснить, какие данные собираются и что с ними происходит. Поэтому самозанятому обычно нужен базовый комплект документов и настроек.
| Документ или настройка | Когда нужен | Что в нем фиксируют |
|---|---|---|
| Политика обработки персональных данных | Есть сайт, лендинг, форма записи или публичный сбор заявок | Оператора, цели, состав данных, права субъекта и контакты |
| Согласие на обработку | Данные собираются через форму, анкету, рассылку или запись | Согласие человека на конкретную цель обработки |
| Согласие на публикацию фото | Работы клиента размещаются в портфолио, соцсетях или кейсах | Где и как можно использовать изображение |
| Договор или оферта | Услуга продается онлайн или регулярно | Предмет услуги, порядок связи, оплату и обработку данных для договора |
| Порядок доступа к базе | Есть помощники, подрядчики, CRM или облачные сервисы | Кто видит данные и на каком основании |
Ответственность за отсутствие уведомления
С 30 мая 2025 года в статье 13.11 КоАП РФ действует отдельная часть 10 за непредставление или несвоевременное представление уведомления в Роскомнадзор. Для граждан штраф составляет от 5 000 до 10 000 рублей, для должностных лиц от 30 000 до 50 000 рублей, для юридических лиц от 100 000 до 300 000 рублей.
Самозанятый без статуса ИП обычно оценивает риск как физическое лицо. Если самозанятый зарегистрирован как ИП, нужно учитывать примечание к статье 13.11 КоАП РФ: по частям 8-18 индивидуальные предприниматели несут ответственность как юридические лица. Кроме уведомления, отдельно проверяются политика, согласия, трансграничная передача, публикация фото, защита аккаунтов и фактическое хранение данных.
Как мы помогаем самозанятым
Мы начинаем с короткой диагностики: чем занимается самозанятый, откуда приходят клиенты, какие данные собираются, где они хранятся и кому передаются. После этого становится ясно, нужна ли подача уведомления, какие цели указывать и какие документы нужно привести в порядок рядом с уведомлением.
«Реестр Гарант» готовит уведомление для Роскомнадзора, помогает описать цели обработки, сверяет данные для публичного реестра, подсказывает, что разместить на сайте или в форме записи. Если у самозанятого уже есть запись, можно проверить ее актуальность: часто после запуска сайта, курса, рассылки или CRM сведения требуют обновления.
\nЕсли есть сомнение, лучше начинать с карты данных на одной странице: откуда человек оставляет контакт, куда попадает заявка, кто ее видит, сколько она хранится и в какой момент удаляется. Такая схема быстро показывает, нужна ли подача уведомления, какие цели указать и какие документы показать клиенту до отправки формы.
FAQ
Короткие ответы на вопросы, которые чаще всего возникают при подготовке документов и подаче заявки.
Самозанятый обязан уведомлять Роскомнадзор?
Да, если он обрабатывает персональные данные клиентов, подписчиков, учеников, заказчиков или других физических лиц и не попадает под исключения статьи 22 №152-ФЗ. Налоговый режим НПД сам по себе не освобождает от обязанностей оператора персональных данных.
Нужно ли уведомление, если клиентов всего несколько?
Количество клиентов не является главным критерием. Важнее, какие данные собираются, где они хранятся и используются ли цифровые инструменты: телефон, мессенджер, таблица, сайт, CRM, календарь записи или электронная почта.
Где подать уведомление?
Уведомление подается через официальный сервис Роскомнадзора для операторов персональных данных. Перед подачей нужно подготовить цели обработки, категории данных, сведения о базе, правовые основания и контакты оператора.
Через сколько появляется запись в реестре?
Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления. После этого запись можно проверить в публичном реестре по ФИО или ИНН.
Есть ли госпошлина за регистрацию?
Нет. Закон указывает, что расходы на рассмотрение уведомления и внесение сведений в реестр на оператора не возлагаются. Платным бывает только сопровождение специалиста, если самозанятый поручает подготовку документов внешнему исполнителю.
Что делать, если самозанятый начал вести сайт или рассылку после подачи?
Нужно проверить, изменились ли цели, состав данных, каналы обработки или сведения о трансграничной передаче. Изменения направляют в Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменения.
