Нужно ли уведомлять Роскомнадзор самозанятому и ИП, если есть сайт

Самозанятый с сайтом, на котором есть форма заявки, обязан встать на учёт в Роскомнадзоре как оператор персональных данных. Статус самозанятого здесь роли не играет: 152-ФЗ «О персональных данных» распространяется на всех, кто собирает имена, телефоны или электронные адреса клиентов — вне зависимости от формы ведения бизнеса. Исключений в законе осталось три (ч. 2 ст. 22 152-ФЗ), и сайт с формой обратной связи ни под одно из них не подходит.

То же правило действует для ИП: наличие статуса индивидуального предпринимателя от обязанности уведомить РКН не освобождает. Разница между ИП и самозанятым здесь только в суммах штрафов, если что-то пойдёт не так.

Форма обратной связи уже означает обработку персональных данных

Когда посетитель заполняет форму на сайте — вводит имя, телефон или почту — он передаёт персональные данные. С момента, как эти данные оказались у вас в базе или пришли на почту, вы де-факто стали оператором персональных данных по смыслу 152-ФЗ. Роскомнадзор различает «не собирает» и «собирает, но не уведомил» — второй вариант уже нарушение.

Яндекс.Метрика, Google Analytics и любые счётчики аналитики добавляют к этому ещё один слой: они фиксируют поведение конкретных посетителей через идентификационные куки. Технически это тоже обработка данных, и её нужно отразить в документах и в реестре РКН.

Что будет, если не уведомить

За то, что уведомление не подано или подано с опозданием, штрафуют по ч. 10 ст. 13.11 КоАП: юрлицо — на 100–300 тысяч рублей, гражданина — на 5–10 тысяч. ИП по этой статье отвечает как юрлицо (примечание 1 к ст. 13.11), то есть рискует теми же 100–300 тысячами. Самозанятый без статуса ИП платит как гражданин.

Штрафом дело не заканчивается. Роскомнадзор может выписать предписание и назначить срок на устранение нарушения. Если за отведённое время уведомление так и не появится в реестре, штраф применяется повторно. Кроме того, ведомство вправе ограничить обработку данных — на практике это значит, что сбор заявок с сайта могут запретить до момента, когда документы приведены в порядок.

Жалобы — не единственный повод для проверки: ведомство само сверяет реестр операторов с открытыми источниками — сайтами, объявлениями о вакансиях, публичными страницами. Форма на сайте, а компании или ИП нет в реестре — достаточное основание для проверки.

Кто реально обязан подавать уведомление, а кто нет

Чёткий критерий: если ваш сайт собирает хоть какие-то данные о конкретных людях — через форму, кнопку «Перезвоните мне», регистрацию или онлайн-запись — уведомление нужно. Без уведомления закон разрешает обрабатывать данные только в трёх случаях (ч. 2 ст. 22 152-ФЗ):

• данные внесены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
• оператор обрабатывает данные исключительно без средств автоматизации, то есть только на бумаге;
• данные обрабатываются по законодательству о транспортной безопасности.

Раньше исключений было больше: данные только своих сотрудников, данные из договора с клиентом и другие. С 1 сентября 2022 года их отменил закон 266-ФЗ, но в старых статьях и шаблонах они ещё встречаются. Сайт с формой заявки обрабатывает данные автоматически, поэтому ни в один из трёх случаев не попадает.

Как подать уведомление

Уведомление подаётся через официальный сайт Роскомнадзора, в разделе для операторов персональных данных. Это разовая процедура: подали один раз — появились в реестре. Изменения в поданное уведомление (новые цели обработки, другие категории данных) оформляются отдельными уведомлениями, но исходная процедура одна.

Для заполнения формы понадобятся:

• ИНН и ОГРНИП (для ИП) — без них форму не принимают;
• адрес и контактные данные организации;
• цели обработки персональных данных — формулировки важны, расплывчатые не пройдут при проверке;
• категории данных: имена, телефоны, электронные адреса, куки;
• сроки хранения данных;
• перечень третьих лиц, которым данные могут передаваться — в том числе Яндекс, если используете Метрику.

Ошибки в формулировках не спасают от ответственности: формально уведомление считается поданным, но при проверке потребуют уточнений. Поэтому формулировки стоит проверить до подачи, а не после.

После подачи Роскомнадзор вносит сведения в реестр в течение 30 дней (ч. 4 ст. 22 152-ФЗ). Сложности чаще возникают не с самой подачей, а с тем, что правильно описать цели обработки и перечень третьих лиц без понимания технической стороны сайта затруднительно.

Что проверить прямо сейчас

Зайдите в реестр операторов персональных данных на сайте Роскомнадзора и введите свой ИНН или название. Если записи нет — срок подачи уже прошёл. Подать можно в любой момент, но штраф за прошедший период всё равно назначат по факту обнаружения нарушения, а не по дате подачи. Чем раньше подать, тем меньше риск, что ведомство найдёт нарушение первым.

Если сайт работает, а уведомление не подано — это уже нарушение. Перед подачей стоит убедиться, что и остальные требования 152-ФЗ выполнены: есть политика конфиденциальности, баннер согласия на куки работает правильно, реквизиты оператора опубликованы на сайте.

---

Бесплатная проверка сайта на соответствие 152-ФЗ →