Обязательна ли политика конфиденциальности для ИП и самозанятого

Да, обязательна — и статус предпринимателя тут ничего не меняет по сути, только вилку штрафа. Многие ИП рассуждают так: «я почти физлицо, у меня нет ООО, значит корпоративные требования меня не касаются». Закон о персональных данных смотрит не на организационно-правовую форму, а на факт обработки чужих данных, и под это определение попадает почти любой предприниматель с формой заявки, перепиской в WhatsApp или карточкой на маркетплейсе.

Кого это касается

152-ФЗ оперирует словом «оператор» — тот, кто организует обработку персональных данных (ст. 3 закона). Форма ведения бизнеса роли не играет: под обязанность попадают четыре разных практических случая, и все они — про ИП.

• ИП с обычным сайтом. Форма заявки, корзина, запись на приём, счётчик Метрики — любой из этих элементов делает предпринимателя оператором с того момента, как он появился на странице.
• ИП без сайта, но с профилем на Авито, Wildberries или в Instagram. Отсутствие собственного домена не освобождает от обязанности: если покупатель оставляет телефон в форме заказа маркетплейса или пишет в директ, обработка данных всё равно идёт, просто на чужой площадке.
• ИП, который принимает заявки только через WhatsApp или Telegram. Переписка с именем и номером клиента — это уже сбор и хранение персональных данных, даже без единой строчки кода.
• ИП-работодатель. Данные сотрудников — отдельная, ещё более требовательная категория обработки, но по обязанности публиковать политику это тот же самый случай.

Отдельно стоит случай самозанятого — плательщика налога на профессиональный доход. Он не обязан регистрировать ИП, чтобы легально принимать оплату от клиентов, и именно поэтому многие самозанятые уверены, что раз у них нет предпринимательского статуса, то и требования 152-ФЗ написаны не про них. Дальше в статье разберём, почему это не так.

Почему «я почти физлицо» не освобождает от закона

В законе действительно есть исключение для физических лиц — часть 2 статьи 1 152-ФЗ. Закон не применяется, когда физлицо обрабатывает персональные данные исключительно для личных и семейных нужд, если при этом не нарушаются права других людей. Именно на эту норму неосознанно ссылаются, когда говорят «я же не компания».

Исключение работает для личного адресного блокнота, семейного альбома, переписки с друзьями — там, где обработка не связана с получением дохода. У самозанятого и ИП обработка данных клиента прямо связана с оказанием услуги или продажей товара: это не личная, а профессиональная деятельность, и льгота статьи 1 к ней не применяется, даже если формально человек — физическое лицо без статуса ИП. Разница не в том, зарегистрирован ли предприниматель, а в том, для чего он собирает данные: для себя лично или для заработка.

Отсюда практический вывод: продажа на Авито в виде подработки, услуги маникюра на дому, репетиторство через объявление в Telegram-канале — всё это уже не личная нужда, а деятельность с целью дохода, и оператором становится любой, кто её ведёт, независимо от регистрации в налоговой.

Что говорит закон

Обязанность единая для всех операторов, ИП и самозанятые не исключение:

• опубликовать политику обработки персональных данных с неограниченным доступом — часть 2 статьи 18.1 152-ФЗ;
• подать уведомление о начале обработки в Роскомнадзор — часть 1 статьи 22 152-ФЗ, с 30 мая 2025 года исключения для этой обязанности резко сократили;
• получить согласие субъекта там, где обработка не опирается на другое законное основание, — статья 9 152-ФЗ.

Что именно должно быть в самом документе — оператор, цели, категории данных, сроки хранения, права субъекта — разобрано по разделам в статье что должно быть в политике конфиденциальности. Для ИП состав документа не отличается: разница только в том, чьё имя и какие регистрационные данные там появляются.

Чем это грозит на практике

За отсутствие политики отвечает часть 3 статьи 13.11 КоАП, и статус предпринимателя прямо влияет на размер санкции — закон различает вилки по субъекту нарушения:

Кто нарушил	Размер санкции
Гражданин (в том числе самозанятый без статуса ИП)	1 500 – 3 000 ₽
Индивидуальный предприниматель	10 000 – 20 000 ₽
Юридическое лицо	30 000 – 60 000 ₽

Суммы приведены по действующей редакции КоАП с учётом изменений Федерального закона от 30.11.2024 № 420-ФЗ, вступивших в силу 30 мая 2025 года. Это вилка по составу, а не прогноз конкретного платежа — итоговую сумму внутри вилки назначает тот, кто рассматривает дело.

Цифра для ИП скромнее, чем для юрлица, и здесь легко ошибиться в оценке риска. Отсутствие политики почти никогда не приходит одно: рядом почти всегда обнаруживаются несобранные согласия и неподанное уведомление в реестр операторов, а это уже составы части 1 и части 2 той же статьи 13.11 — там вилки для ИП идут по общему правилу примечания к статье 2.4 КоАП, то есть как для должностного лица, и это уже десятки тысяч рублей за один эпизод. Как несколько составов складываются в одном деле, разобрано в статье про штраф за отсутствие политики конфиденциальности.

Проверяет всё это Роскомнадзор — и чаще всего дистанционно, без выезда: специалист открывает сайт или профиль предпринимателя точно так же, как обычный посетитель.

Как это выглядит там, где нет обычного сайта

Здесь стоит отдельно остановиться на случае, которого нет у ИП с классическим сайтом: у ИП без сайта нет привычного подвала, куда обычно кладут ссылку на политику, — и это не освобождает от обязанности, а меняет площадку публикации.

• Маркетплейс. Wildberries и Ozon дают отдельное поле для документов продавца в личном кабинете — политику размещают там, а не рассчитывают, что площадка сделает это за продавца.
• Instagram и другие соцсети. Политику публикуют на любой доступной странице — например, в отдельном посте с закреплением или на странице-визитке, ссылку на которую ставят в шапку профиля рядом с контактами.
• WhatsApp Business. В разделе «О компании» есть поле для сайта или ссылки — туда и ставится адрес страницы с политикой, даже если сама страница — это один статичный текст без остального сайта.

Наш сканер именно так и устроен: он ищет ссылку на политику там, где обычно расположен подвал сайта. Если у предпринимателя вместо сайта — профиль в соцсети или на маркетплейсе, автоматической проверки для таких площадок нет, но требование к предпринимателю от этого не меняется: доступ к документу должен быть у любого, кто открыл страницу, без регистрации и без запроса.

Что сделать в зависимости от формата

Порядок действий разный для ИП с сайтом и ИП без него, но результат один — работающая ссылка на политику, доступная без пароля.

1. Определите, где именно клиент видит вас первым. Сайт, карточка на маркетплейсе, профиль в соцсети, чат WhatsApp — политика публикуется там, куда клиент приходит раньше всего.
2. Составьте документ под свою реальную обработку, а не под шаблон целиком: какие данные собираете (имя, телефон, адрес доставки), для чего и как долго храните.
3. Опубликуйте на постоянном адресе. Для сайта — отдельная страница, для соцсети — закреплённый пост или страница-визитка на стороннем сервисе, для маркетплейса — раздел документов продавца в личном кабинете.
4. Укажите верные регистрационные данные. У ИП это ФИО с пометкой «ИП» и ОГРНИП вместо ОГРН; у самозанятого — ФИО и ИНН без ОГРН, потому что плательщикам налога на профессиональный доход этот номер не выдают в принципе.
5. Подайте уведомление в Роскомнадзор, если ещё не подавали, — с 30 мая 2025 года это касается предпринимателей почти без исключений, а сама подача бесплатна и идёт через Госуслуги. Порядок разобран в статье как подать уведомление в Роскомнадзор.
6. Сверьте регистрационные данные с теми, что уже видны клиенту — в подписи чата, на визитке, в реквизитах у формы оплаты. Полный список того, что должно быть на виду у покупателя, собран в статье какие реквизиты должны быть на сайте.

Что чаще всего ломается на практике

• Политику скопировали у другого ИП вместе с названием его бизнеса. Регистрационные данные в тексте принадлежат чужому предпринимателю — расхождение видно с первого абзаца.
• У ИП в документе стоит ИНН физлица без пометки статуса и без ОГРНИП рядом — по этим цифрам ведут разные реестры, и покупатель не может проверить, с кем имеет дело.
• У самозанятого в шаблоне осталась строка про ОГРН, который ему не выдают, — выглядит как забытая часть чужого документа, а не как адаптированный текст.
• Ссылка на политику работает в десктопной версии Instagram, но обрезается в мобильном приложении — большинство клиентов открывают профиль именно с телефона.
• Политика есть, но её никто не видел — документ загрузили в личный кабинет маркетплейса не в тот раздел, который открыт покупателю.

Как проверить, что вопрос закрыт

• ссылка на политику есть там, где клиент видит вас первым — на сайте, в шапке профиля соцсети или в разделе документов продавца на маркетплейсе;
• документ открывается без регистрации и без пароля, с телефона так же, как с компьютера;
• в тексте — ваши актуальные данные: ФИО с пометкой «ИП» и ОГРНИП, либо ФИО и ИНН без ОГРН для самозанятого;
• уведомление о начале обработки подано в Роскомнадзор и отражено в реестре операторов;
• перечисленные в политике цели и данные совпадают с тем, что вы реально собираете у клиента.

Быстрее пройти этот список по сайту — бесплатной проверкой: она смотрит на страницу так же, как проверяющий, и отдельно показывает, чего не хватает в реквизитах и в политике.

Частые вопросы

Нужна ли политика конфиденциальности ИП, у которого нет сайта — только Авито и WhatsApp? Да. Обязанность привязана не к наличию домена, а к факту обработки данных клиента. Политику публикуют там, где клиент реально видит предпринимателя: в описании профиля площадки, в закреплённом сообщении или на отдельной странице, ссылку на которую дают в переписке.

Самозанятый — это физическое лицо. На него точно распространяется 152-ФЗ? Да, если обработка данных связана с оказанием услуг или продажей товара, а не с личными нуждами. Льгота части 2 статьи 1 152-ФЗ рассчитана на переписку и записи для себя, а не на приём заказов с оплатой — деятельность с целью дохода под эту льготу не подпадает независимо от регистрации в налоговой.

Чем реквизиты в политике у ИП отличаются от реквизитов у самозанятого? У ИП рядом с ФИО и ИНН указывается ОГРНИП. У самозанятого ОГРН не появляется вовсе — этот номер плательщикам налога на профессиональный доход не выдают, и требовать его бессмысленно.

Если у ИП всего одна форма заявки на лендинге, а не полноценный сайт, — обязанность та же? Да. Закон не устанавливает минимальный объём обработки, ниже которого обязанность не наступает. Одна форма с именем и телефоном уже делает владельца страницы оператором персональных данных.

Штраф для ИП такой же, как для юридического лица? Нет, вилка ниже: по части 3 статьи 13.11 КоАП для ИП это 10 000 – 20 000 ₽ против 30 000 – 60 000 ₽ для юрлица. Но состав обязанностей одинаковый, и рядом с отсутствием политики почти всегда находят несобранные согласия — а там вилки для ИП идут уже по правилам должностного лица и стоят заметно дороже.