Если вы работаете как ИП или самозанятый и обрабатываете чужие персональные данные в рамках деятельности, вы оператор персональных данных наравне с организацией, и требования 152-ФЗ распространяются на вас в полном объеме: нужны согласия клиентов, назначенный ответственный за обработку, внутренние документы и уведомление в Роскомнадзор до начала работы с данными.
Исключение в законе есть только для обработки данных исключительно для личных и семейных нужд - переписка с друзьями, личная записная книжка. Как только данные использует физлицо в предпринимательской деятельности, это исключение не работает, и статус ИП или самозанятого значения не имеет.
Ответственным за организацию обработки можно назначить себя же - отдельного сотрудника нанимать не обязательно, если вы работаете один. На практике это оформляется приказом или иным внутренним актом, где вы своей подписью возлагаете на себя эту функцию. Дальше нужны: политика обработки персональных данных, форма согласия для клиентов, минимальный набор мер защиты (пароли, ограниченный доступ к файлам, антивирус) и уведомление в Роскомнадзор о начале обработки - его подают до старта работы с данными, а не после.
Раз вы обрабатываете паспортные данные и ИНН для отчетности, не тяните с подачей уведомления и составьте перечень категорий данных заранее: штрафы по статье 13.11 КоАП действуют и для физлиц-операторов, а не только для юрлиц.