Как составить согласие на обработку ПДн для ИП и самозанятых
Если вы записали имя и телефон клиента для дальнейшего оказания платной услуги, то вы уже являетесь оператором персональных данных по 152-ФЗ. Закон не предусматривает исключений для малого бизнеса: он одинаково распространяется как на крупные организации, так и на небольших ИП и самозанятых. Разбираемся, какие обязанности это влечет и как не получить штраф.
Содержание
Нужно ли согласие на обработку персональных данных при заключении договора с ИП?
Согласие требуется не всегда. Если ПДн нужны только для исполнения договора, то его можно не получать. Но как только цель обработки выходит за рамки договора, согласие обязательно.
По ст. 6 152-ФЗ согласие субъекта является лишь одним из оснований для обработки ПДн. Закон допускает обработку без согласия, если она необходима для исполнения договора, стороной которого является клиент. Например: ИП-репетитор записывает имя и телефон ученика, чтобы согласовать расписание и выставить счет.
Но стоит выйти за рамки договора, и согласие становится обязательным. Если вы отправили клиенту сообщение об акции, передали его контакт партнеру или добавили в общую рассылку, то на каждое из этих действий потребуется отдельное согласие.
Важный нюанс: согласие на обработку персональных данных при заключении договора должно быть оформлено отдельно от самого договора (ст. 9 152-ФЗ). Нельзя просто «зашить» его в текст соглашения мелким шрифтом, так как это будет являться нарушением.
Если вы работаете с контрагентами-ИП, ситуация аналогичная: данные ИП (ФИО, телефон, адрес) тоже являются ПДн физического лица. Согласие на обработку персональных данных с ИП может потребоваться в зависимости от цели обработки и от того, что вы планируете делать с этими данными после подписания договора.
Самозанятый и обработка ПДн: отдельный случай
Согласие на обработку персональных данных для ИП и самозанятых оформляется с учётом целей обработки и оснований, предусмотренных 152-ФЗ. В отношении самозанятых действует закон о самозанятости (422-ФЗ), регулирующий налог на профессиональный доход (НПД). Однако он никак не освобождает от обязанностей оператора ПДн. Роскомнадзор при проверке смотрит не на налоговый статус, а на факт сбора ПДн физических лиц в коммерческих целях.
Здесь важно понимать границу, которую проводит закон. Личная переписка не относится к обработке ПДн. Но как только номер используется для записи клиента, напоминания об услуге или рассылки, то осуществляется уже коммерческая обработка ПДн со всеми вытекающими обязанностями.
На практике самозанятые работают через WhatsApp, Telegram, Директ, ВКонтакте. Диалог в любом мессенджере, где клиент пишет свое имя и удобное время, считается обработкой ПДн. DIKIDI, YClients и другие сервисы онлайн-записи тоже собирают данные от вашего имени. В таком случае вы остаетесь оператором ПДн, а они выступают как обработчики по вашему поручению. При этом такое поручение необходимо оформить письменным договором (ч.3 ст.6 152-ФЗ). Без него вы нарушаете закон, даже если сервис сам технически получает согласия от клиентов.
Самозанятый обязан уведомить Роскомнадзор о начале обработки ПДн до того, как запишет первого клиента и начнет оказывать услуги. Регистрация в реестре операторов ПДн подтверждает включение сведений об операторе в реестр, но не освобождает от остальных требований 152-ФЗ. Если вы не уверены в правильности оформления уведомления, опытные юристы готовы помочь вам в этом процессе.
Наши кейсы
-
Вернули аванс 1,8 млн ₽ за невыполненные работы по договору подряда
Возвращён аванс + % за пользование чужими денежными средствами
Как брать согласие: инструкция для каждого формата работы
По ст.9 152-ФЗ молчание и бездействие не являются согласием. Поэтому клиент, как минимум, должен написать «Согласен» или аналогичное слово в ответном сообщении — только это будет юридически значимым подтверждением получения согласия в мессенджере. Скриншот переписки с явным ответом клиента будет вашим доказательством при проверке. Однако рекомендуем использовать более надежные способы получения согласия, а не просто переписку.
Что должно быть в согласии? Независимо от формата, документ должен содержать: ФИО и контакты оператора (ваши реквизиты как ИП или самозанятого), перечень собираемых персональных данных и цели их обработки, срок действия согласия и порядок его отзыва. Эти сведения должны быть указаны как обязательное условие оформления согласия.
Письменное согласие. Подходит для офлайн-работы: клиент подписывает отдельный лист согласия при первом визите. Это самый надежный вариант, так как бумага с подписью снимает все вопросы при проверке. Важно учитывать, что согласие оформляется отдельно от договора на услугу.
Электронное согласие. Если вы работаете через сайт или лендинг, необходимо поместить активный чекбокс с текстом согласия рядом с формой записи. Предустановленная галочка не считается согласием по закону.
Согласие в мессенджере. Если клиент пишет в WhatsApp, Telegram или Директ, следует включить в первое сообщение следующую формулировку:
«Записываясь на услугу, вы соглашаетесь с обработкой ваших персональных данных (имя, телефон) в целях записи и связи. Политика конфиденциальности: [ссылка].»
Продолжение диалога и подтверждение записи со стороны клиента приравниваются к его согласию. Скриншот переписки уже будет являться вашим доказательством при проверке. Вариант ещё лучше — добавить в бот для записи кнопку «согласен», нажатие которой необходимо для продолжение диалога и произведения записи.
|
Формат работы |
Способ получения согласия |
| Офлайн-прием (салон, кабинет) | Подписанный лист согласия |
| Сайт, Tilda, Taplink | Активный чекбокс с текстом |
| Мессенджер, Директ | Фраза в первом сообщении + скриншот диалога |
| Сервис онлайн-записи (DIKIDI, YClients) | Встроенная форма согласия сервиса |
Где хранить клиентскую базу: телефон как улика
У большинства самозанятых нет корпоративных серверов и CRM-систем. Клиентской базой в этом случае служат контакты в телефоне, таблица в Google Sheets и переписка в мессенджерах. Закон не запрещает такой подход, но устанавливает четкое требование: оператор обязан обеспечить защиту ПДн от несанкционированного доступа, утечки и уничтожения.
Личная адресная книга смартфона синхронизируется с облаком автоматически, часто без дополнительной защиты. Это несет в себе большие риски: если телефон украдут или аккаунт взломают, то контакты клиентов окажутся в открытом доступе.
Чтобы снизить риск, необходимо разделять личные контакты и клиентскую базу. Для базы стоит использовать отдельный защищенный инструмент: Google Таблицы с ограниченным доступом и двухфакторной аутентификацией или специализированный сервис онлайн-записи.
Штрафы: сколько стоит халатность
Ответственность за нарушения в сфере персональных данных установлена преимущественно ст. 13.11 КоАП РФ, в которой закреплено несколько составов в зависимости от вида нарушения.
| Нарушение | Гражданин (Самозанятый без ИП) | ИП |
| Обработка ПДн без согласия или с нарушением требований к нему | 10 000 – 15 000 руб. | 50 000 – 100 000 руб. |
| Обработка ПДн без публикации политики конфиденциальности | 1 500 – 3 000 руб. | 10 000 – 20 000 руб. |
| Необеспечение субъекту доступа к его ПДн | 2 000 – 4000 руб. | 20 000 – 30 000 руб. |
| Неуведомление РКН об обработке ПДн | 5 000 – 10 000 руб. | 100 000 – 300 000 руб. |
| Утечка ПДн (необеспечение безопасности) | 100 000 – 400 000 руб. (в зависимости от количества субъектов утекших ПДн) | 1 000 000 – 15 000 000 руб. (в зависимости от количества субъектов утекших ПДн) |
Самозанятые без статуса ИП являются гражданами: для них применяются штрафы из колонки «Гражданин». Самозанятый с ИП несет ответственность как ИП. Важный нюанс: согласно Примечанию 1 к ст.13.11 КоАП РФ, по частям 1.1 и 8 — 18 этой статьи ИП несут ответственность как юридические лица. Это означает, что за утечку данных штрафы для ИП исчисляются миллионами рублей.
Важно понимать, что проверка РКН инициируется не только планово, но и по жалобе. Написать жалобу может любой недовольный клиент, которому вы отправили рассылку без согласия, или конкурент, знающий о ваших нарушениях. Одного обращения достаточно для того, чтобы началась проверка.
При этом штрафы суммируются: если вас нет в реестре РКН, отсутствует политика конфиденциальности и вы собирали ПДн без согласия — это три разных состава с тремя отдельными штрафами.
Вывод
Таким образом, ИП с тремя клиентами и корпорация из тысячи сотрудников несут одинаковые обязанности оператора ПДн: разница заключается только в масштабе последствий при нарушении. Однако все задачи решаемы, если знать специфику законодательства о персональных данных.
Чтобы обезопасить свой бизнес на долгие годы, оставьте заявку на правовой аудит от экспертов нашей команды. Разберем вашу ситуацию, проверим документы и поможем устранить нарушения до того, как это сделает Роскомнадзор.
Ответы на вопросы
-
Является ли ИП оператором персональных данных?
Да. Любой ИП, который собирает имена, телефоны или адреса клиентов для оказания услуг или продажи товаров, автоматически становится оператором ПДн по 152-ФЗ.
-
Нужно ли брать согласие на обработку персональных данных у ИП?
Не всегда. Если персональные данные используются для заключения или исполнения договора, это и есть предусмотренное законом основание для такой обработки без согласия, отдельный документ не требуется. Для других целей, например рекламы или рассылки, нужно отдельно определить правовое основание обработки и при необходимости получить согласие.
-
Можно ли хранить ПДн клиентов в WhatsApp или Telegram?
Формально закон это не запрещает, но мессенджеры не считаются надежным хранилищем в виду рисков взлома, утечки и потери доступа к аккаунту. Клиентскую базу лучше вести в защищенном отдельном инструменте, например Google Таблицах с закрытым доступом или специализированном сервисе записи.
-
Должен ли самозанятый подавать уведомление в Роскомнадзор?
Да. После поправок 2022 года уведомление обязаны подавать все операторы ПДн, включая самозанятых. Подать его можно через Госуслуги до начала работы с персональными данными клиентов.
-
Что грозит за обработку ПДн без согласия?
По ч.2 ст.13.11 КоАП для самозанятых-граждан (без ИП) штраф составит 10 000 – 15 000 рублей, для ИП как должностного лица — 50 000 – 100 000 рублей. При утечке данных ИП несет ответственность как юридическое лицо (Примечание 1 к ст.13.11 КоАП): штрафы составляют от 1 000 000 до 15 000 000 рублей в зависимости от числа пострадавших субъектов. Штрафы по разным составам суммируются.
-
Является ли ИП оператором персональных данных?
Да. Любой ИП, который собирает имена, телефоны или адреса клиентов для оказания услуг или продажи товаров, автоматически становится оператором ПДн по 152-ФЗ.
-
Нужно ли брать согласие на обработку персональных данных у ИП?
Не всегда. Если персональные данные используются для заключения или исполнения договора, это и есть предусмотренное законом основание для такой обработки без согласия, отдельный документ не требуется. Для других целей, например рекламы или рассылки, нужно отдельно определить правовое основание обработки и при необходимости получить согласие.
-
Можно ли хранить ПДн клиентов в WhatsApp или Telegram?
Формально закон это не запрещает, но мессенджеры не считаются надежным хранилищем в виду рисков взлома, утечки и потери доступа к аккаунту. Клиентскую базу лучше вести в защищенном отдельном инструменте, например Google Таблицах с закрытым доступом или специализированном сервисе записи.
-
Должен ли самозанятый подавать уведомление в Роскомнадзор?
Да. После поправок 2022 года уведомление обязаны подавать все операторы ПДн, включая самозанятых. Подать его можно через Госуслуги до начала работы с персональными данными клиентов.
-
Что грозит за обработку ПДн без согласия?
По ч.2 ст.13.11 КоАП для самозанятых-граждан (без ИП) штраф составит 10 000 – 15 000 рублей, для ИП как должностного лица — 50 000 – 100 000 рублей. При утечке данных ИП несет ответственность как юридическое лицо (Примечание 1 к ст.13.11 КоАП): штрафы составляют от 1 000 000 до 15 000 000 рублей в зависимости от числа пострадавших субъектов. Штрафы по разным составам суммируются.
Руководитель юридического отдела
8 лет опыта
более 300 выигранных дел
Комментарии