Самозанятый и персональные данные клиентов: минимальный набор требований

Самозанятый и персональные данные клиентов - тема, которую большинство самозанятых обходят стороной до первой жалобы клиента или случайной проверки. Логика на первый взгляд простая: нет юрлица, нет наемных сотрудников, нет офиса - значит закон о персональных данных как будто не про вас. На практике 152-ФЗ определяет оператора персональных данных через факт обработки данных, а не через организационно-правовую форму бизнеса. Репетитор с таблицей учеников в Google Sheets, мастер маникюра с записями клиентов в мессенджере, фотограф с базой контактов в блокноте телефона - все они операторы персональных данных с обязанностями по закону, которые принципиально не отличаются от обязанностей ООО.

У среднего самозанятого в сфере услуг база из ста-трехсот контактов набирается за год-полтора работы: имя, телефон, нередко адрес, если мастер выезжает к клиенту, и переписка с историей заказов. Этого достаточно, чтобы попасть под действие закона. Дальше в статье - какой минимальный набор документов нужен самозанятому, обязательно ли подавать уведомление в РКН и сколько стоит ошибка на практике, если проверка или жалоба клиента все же случились.

Самозанятый - тоже оператор персональных данных

Закон 152-ФЗ о персональных данных называет оператором любое лицо, которое самостоятельно или совместно с другими организует обработку персональных данных, а также определяет ее цели, состав данных и действия с ними. В тексте закона прямо перечислено, кто может быть оператором: государственный орган, муниципальный орган, юридическое лицо или физическое лицо. Самозанятый - физическое лицо, применяющее налог на профессиональный доход, и формально он ничем не отличается от любого другого гражданина, который ведет базу контактов ради собственных нужд, а не для заработка. Разница появляется в момент, когда контакты начинают использоваться систематически: для повторных продаж, напоминаний, рассылок с акциями - тогда обработка данных перестает быть частным делом и становится частью бизнес-процесса, к которому применяются все требования закона в полном объеме, независимо от того, оформлен ли этот процесс где-нибудь на бумаге.

Отсутствие статуса ИП ничего не меняет. Обязанности оператора возникают не из регистрации бизнеса, а из самого факта сбора и хранения чужих персональных данных с целью их дальнейшего использования - для записи на услугу, доставки, напоминания о визите, рассылки о скидках. Разница между самозанятым и компанией - в масштабе: меньше данных, меньше каналов утечки, но и меньше ресурсов на то, чтобы самостоятельно разбираться в требованиях закона. Отсюда и минимальный набор документов, о котором дальше: закрывающий базовые риски комплект можно собрать за один день, без юридического отдела.

Какие данные собирает самозанятый и зачем это важно

Набор данных зависит от профессии, но у большинства самозанятых в сфере услуг он однотипный: имя и фамилия, номер телефона, адрес электронной почты, адрес - если специалист выезжает к клиенту (мастер маникюра, клининг, ремонт техники на дому), история заказов и переписка в мессенджере, где обсуждаются детали встречи. Отдельно стоит переписка с оплатой: скриншот перевода с номером карты клиента, который случайно остается в чате навсегда, тоже относится к персональным данным и требует такой же аккуратности при хранении, как и остальная база.

У репетиторов, детских тренеров и специалистов, работающих с несовершеннолетними, в базе часто оказываются данные ребенка: имя, возраст, иногда информация об особенностях здоровья или обучения. Это уже не рядовые персональные данные, а специальная категория, для которой закон требует отдельного и более строгого согласия - как правило, от родителя или законного представителя, а не от самого ребенка.

У психологов, косметологов и мастеров, которые собирают данные о противопоказаниях (аллергии, беременность, хронические заболевания клиента), в анкетах и переписке регулярно всплывают сведения о здоровье - тоже специальная категория персональных данных. Самозанятый редко осознает, что обычный вопрос про аллергии перед процедурой переводит его из статуса просто собираю контакты в статус оператора, обрабатывающего чувствительные данные с повышенными требованиями к согласию и сроку хранения.

Нужно ли самозанятому уведомление в РКН

Короткий ответ - да, в большинстве случаев, если данные обрабатываются с использованием средств автоматизации: таблицы, CRM-сервиса, приложения для записи клиентов на смартфоне. Закон освобождает от уведомления только отдельные случаи, перечисленные в статье 22 152-ФЗ: например, обработку данных исключительно в рамках трудовых отношений без передачи третьим лицам или обработку без использования средств автоматизации вообще, без компьютера и смартфона, что для современной практики самозанятого - редкость. Самозанятый, который ведет клиентов в заметках телефона, таблице или CRM-сервисе для мастеров, под эти исключения не подпадает и обязан подать уведомление.

Подать уведомление можно бесплатно через сайт РКН, срок рассмотрения обычно укладывается в несколько недель, а пошаговый порядок заполнения формы с разбором типичных ошибок собран в отдельной инструкции по подаче уведомления в РКН. Пропустить этот шаг соблазнительно: кажется, что небольшой бизнес никто не заметит среди тысяч операторов. На практике отсутствие записи в реестре - один из первых пунктов, которые проверяет инспектор, если жалоба клиента на самозанятого все же поступила, и формальное отсутствие уведомления наказывается отдельно от остальных нарушений.

Уведомление подается один раз, но не превращается в документ навсегда: если состав обрабатываемых данных заметно меняется - например, самозанятый начал собирать не только телефон и имя, а еще и данные о здоровье клиента для косметологических процедур, - сведения в реестре нужно актуализировать. На практике многие об этом не вспоминают годами, и реестр у РКН расходится с реальной работой оператора; при проверке это тоже фиксируется отдельным замечанием, хотя штраф за устаревшие сведения обычно мягче, чем за полное отсутствие уведомления.

Минимальный комплект документов для самозанятого

Если свести требования закона к рабочему минимуму, для самозанятого с клиентской базой получается четыре документа. Без юриста в штате и без сложных процедур - скорее чек-лист, чем полноценный комплаенс.

Политика обработки персональных данных

Политика - это публичный текст, который объясняет клиенту, какие данные вы собираете, зачем, как долго храните и кому можете передать (например, банку-эквайеру при оплате картой или курьерской службе при доставке). Ее размещают на сайте или в описании профиля, ссылку добавляют рядом с формой записи. Готовая структура документа под актуальные требования 2026 года разобрана в статье с образцом политики обработки персональных данных - там же перечислены обязательные пункты, которые нельзя пропустить.

Согласие клиента - отдельный документ, а не строчка в переписке

До сентября 2025 года многие операторы обходились фразой в духе отправляя сообщение, вы соглашаетесь на обработку данных где-нибудь в подвале сайта. С 1 сентября 2025 года по закону 156-ФЗ от 24 июня 2025 года согласие оформляется отдельным документом, а не растворяется в тексте политики или пользовательского соглашения. Для самозанятого это означает: нужна отдельная форма или файл, который клиент подписывает или подтверждает явным действием - галочкой при заполнении формы, ответом да в переписке на конкретный вопрос о согласии, подписью на бумажном бланке при первой встрече. Рабочий шаблон и порядок оформления - в материале про образец согласия на обработку персональных данных.

Порядок уничтожения данных

Данные нельзя хранить бессрочно просто на всякий случай. Закон требует уничтожить их, когда цель обработки достигнута (заказ выполнен и прошел гарантийный срок, если он есть), когда клиент отозвал согласие или когда данные больше не нужны для работы - например, контакты человека, который обращался один раз три года назад и больше не выходит на связь. У самозанятого это чаще всего сводится к удалению карточки клиента из CRM или таблицы и переписки в мессенджере, но факт удаления стоит зафиксировать - хотя бы короткой записью с датой. Что именно писать и как оформить такую фиксацию, показано в примере акта уничтожения персональных данных.

Что делать, если клиент просит удалить или показать свои данные

У любого субъекта персональных данных есть право запросить у оператора сведения о том, какие его данные обрабатываются, с какой целью и на каком основании, а также потребовать их исправить или удалить. Для самозанятого это означает: если бывший клиент написал с просьбой удалить его номер и историю заказов, отвечать нужно не отговорками, а по существу. Закон не обязывает отвечать мгновенно, но и тянуть бесконечно не получится - на обращение отводится ограниченный срок, обычно речь идет о тридцати днях с возможностью продления еще на тридцать, если для этого есть объективная причина.

На практике для самозанятого запрос выглядит просто: клиент пишет в тот же мессенджер, где раньше записывался на услугу. Ответить стоит тем же способом - подтвердить, что данные найдены (или что их уже нет), и что именно сделано: удалена карточка в CRM, стерта переписка с личными данными, при необходимости оставлена только обезличенная запись о факте заказа для бухгалтерии. Если запрос пришел на удаление, а данные еще нужны для налоговой отчетности или гарантийных обязательств, отказ по этому основанию стоит кратко объяснить клиенту - молчание в ответ на такое обращение само по себе способно стать поводом для жалобы.

Игнорировать подобные обращения - распространенная ошибка: самозанятому кажется, что раз бизнес маленький, формальный ответ необязателен. На деле именно проигнорированный запрос клиента, а не абстрактная проверка, чаще всего запускает разбирательство: человек, которому не ответили, идет с жалобой в Роскомнадзор, и тогда разговор идет уже не о вежливости, а о соблюдении сроков, установленных законом.

Частые ошибки самозанятых с персональными данными

Ошибки почти всегда одни и те же и почти всегда связаны не с умыслом, а с тем, что рабочие и личные каналы связи смешаны в одну кучу.

• Клиентская база живет в личном WhatsApp или Telegram вперемешку с перепиской с друзьями и родственниками - при потере телефона или смене номера данные клиентов оказываются нигде не защищены и нигде не зафиксированы.
• Контакты экспортируются в общую Google Таблицу без ограничения доступа - ссылку на нее случайно открывает кто-то посторонний, например, при пересылке файла для другой задачи.
• Данные клиента пересылаются подрядчику или коллеге без всякого оформления - например, мастер маникюра передает телефон клиента другому мастеру для замены, когда заболел сам.
• На сайте или лендинге стоит форма заявки без чекбокса согласия и без ссылки на политику обработки данных.
• Контакты бывших клиентов, с которыми не было работы два-три года, продолжают храниться просто потому, что руки не дошли их удалить.
• Резервная копия базы делается на всякий случай и лежит в облачном хранилище с общей ссылкой, которую никто не помнит, кому отправлял.

Сколько может стоить нарушение

Базовая ответственность за нарушения в сфере персональных данных установлена статьей 13.11 КоАП РФ. Она делится на несколько частей в зависимости от вида нарушения, и штрафы для граждан по разным частям статьи заметно ниже, чем для юридических лиц, но не символические: формальные нарушения вроде отсутствия уведомления в РКН обходятся в несколько тысяч рублей, а обработка без согласия, когда оно требовалось по закону, - уже в суммы повыше. Для самозанятого, у которого доход с одного клиента может быть в разы меньше штрафа, это ощутимый удар по прибыли одного месяца.

С 30 мая 2025 года в силу вступил закон 420-ФЗ от 30 ноября 2024 года, который ввел оборотные штрафы за утечку персональных данных и уголовную ответственность по статье 272.1 УК РФ за наиболее серьезные случаи. Оборотные штрафы привязаны к выручке компании-нарушителя, и логика расчета для юридического лица с оборотом в десятки миллионов и для физического лица без сотрудников устроена по-разному, но появление такой нормы в законе - сигнал, что тема давно вышла за рамки формальности даже для небольшого бизнеса. Утечка базы клиентов через слитый архив переписки или взломанный аккаунт CRM способна привести к разбирательству, а не только к неловкому объяснению перед клиентами.

Отдельно стоит учитывать репутационный риск, который для самозанятого часто больнее штрафа: узкая ниша, сарафанное радио, и один клиент, чьи данные слили или использовали без согласия, способен закрыть канал новых заказов на месяцы вперед быстрее, чем любая проверка РКН.

Показательный сценарий: у мастера на дому украли или потеряли телефон, в котором была переписка с полутора сотнями клиентов - имена, адреса, история визитов. Формально это утечка персональных данных, и по хорошему сценарию оператор обязан оценить риски для субъектов и, если риск существенный, уведомить пострадавших и РКН. На практике большинство самозанятых в такой ситуации просто меняют номер и заводят новый чат, не оформляя вообще ничего - и именно это отсутствие какой-либо реакции, а не сам факт кражи телефона, выглядит нарушением при разборе, если кто-то из клиентов позже пожалуется на звонки от посторонних людей.

Самозанятый и сервисы-посредники: маркетплейсы, агрегаторы записи, эквайринг

Многие самозанятые работают не напрямую, а через посредников: Авито Услуги, Профи, сервисы онлайн-записи вроде YClients, эквайринг для приема карт. С точки зрения закона это меняет схему получения клиента, но не снимает ответственность за дальнейшую работу с его данными. Сам сервис-агрегатор - тоже оператор персональных данных, у него своя политика и свое согласие для пользователей площадки. Но данные, которые самозанятый получает через агрегатор и переносит к себе - в свою CRM, таблицу, личную переписку, - подпадают уже под его собственную обработку, с его собственными обязанностями, отдельными от обязанностей платформы.

Частая ошибка - решить, что раз клиент пришел через маркетплейс и уже согласился на обработку данных площадкой, отдельное согласие для самозанятого не требуется. Это не так: согласие, которое клиент дал агрегатору, распространяется на обработку агрегатором, а не автоматически на всех исполнителей на площадке. Если самозанятый сохраняет номер клиента отдельно от платформы - например, чтобы в следующий раз написать напрямую в обход комиссии сервиса, - это уже его собственная обработка данных, которая требует своего основания и, как правило, своего согласия.

С эквайрингом ситуация проще. Банк или платежный агрегатор обрабатывает данные карты как отдельный оператор в рамках расчетов, самозанятый обычно не видит и не хранит полный номер карты клиента - только факт и сумму платежа. Здесь дополнительное согласие не нужно: обработка идет в рамках исполнения договора об оказании услуги, это законное основание само по себе. А вот скриншот перевода с полностью читаемым номером карты, который остается в переписке после оплаты, - другая история, и его стоит удалять по тем же правилам, что и остальные чувствительные данные из чата.

Самозанятый и налоговая: что передается без согласия

Отдельный источник путаницы - данные, которые самозанятый передает через приложение Мой налог при формировании чека. ФНС получает сведения о сумме сделки и, в некоторых случаях, о плательщике - это происходит в силу прямого указания закона, а не потому что клиент подписал какое-то согласие специально для налоговой. Здесь у самозанятого нет выбора и не нужно отдельное согласие: обработка данных для целей налогового учета и контроля - одно из законных оснований, не требующих согласия субъекта. Подробнее о том, какие данные и в каком объеме автоматически попадают в налоговую и чем это отличается от передачи данных клиентской базы третьим лицам по своей инициативе, - в статье про персональные данные и налоговую.

Путаница возникает, когда самозанятый переносит эту логику на клиентскую базу целиком: раз налоговая как-то получает данные без моего отдельного согласия, значит, и все остальное можно передавать так же. Это ошибка: основания, на которых данные идут в ФНС в силу закона, никак не распространяются на передачу тех же данных третьим лицам по собственной инициативе - партнеру, подрядчику, сервису рассылок. Для такой передачи нужно либо согласие клиента, либо отдельное законное основание, и предполагать его по аналогии с налоговой нельзя.

Что делать прямо сейчас

Собрать минимальный комплект можно за один рабочий день, если действовать по порядку.

1. Выписать на одном листе, где физически хранятся данные клиентов: телефон, ноутбук, CRM-сервис, бумажные записи, - и что именно в каждом месте лежит.
2. Проверить, подпадает ли ваша обработка под исключения из статьи 22 152-ФЗ, и если нет - подать уведомление в РКН.
3. Составить и разместить политику обработки персональных данных там, где клиент реально ее увидит перед тем, как оставить свои данные.
4. Добавить форму согласия - отдельным документом, а не строчкой мелким шрифтом - на всех точках сбора данных: сайте, лендинге, форме записи, первой встрече.
5. Прописать для себя простое правило, когда и как удалять данные клиентов, с которыми работа завершена, и раз в квартал проходить по базе, вычищая лишнее.
6. Проверить переписку и таблицы на специальные категории данных - здоровье, дети - и убедиться, что согласие на них оформлено отдельно, а не общей фразой.

Часть этой работы - формулировки политики и формы согласия, которые не устареют после следующей поправки в закон, - проще заказать готовыми, чем собирать по обрывкам форумов. На сайте можно заказать подготовку документов и доработку сайта под требования 152-ФЗ под вашу конкретную ситуацию, без лишних формальностей и без обещаний того, чего сайт не делает: аттестации ИСПДн там нет, зато есть работающий комплект документов и техническая доработка форм сбора данных. Для самозанятого с небольшой базой такая доработка обычно ограничивается несколькими файлами и правкой формы записи на сайте - без остановки работы и без переделки того, что уже приносит клиентов.