30.06.2026
15 минут
19998
К маю 2026 года прошел год с момента, когда поправки 420-ФЗ заметно изменили экономику соблюдения 152-ФЗ для малого бизнеса. Раньше многие микрооператоры воспринимали уведомление в РКН и оформление согласий как формальность: риск штрафа казался ниже, чем затраты на юридическое оформление.
С 30 мая 2025 года эта арифметика изменилась: штрафы за нарушение 152-ФЗ выросли кратно (например, за неуведомление РКН – с 3–5 тыс. до 100–300 тыс. руб.), а за утечки они теперь измеряются миллионами. С конца 2024 года добавился риск другого уровня – уголовная статья 272.1 УК за незаконный оборот данных, где отвечает уже не бизнес, а лично человек, вплоть до реального срока.
В этой статье разбираем, что в новых условиях должны делать ИП и самозанятые, как онлайн-оплата связана с персональными данными и где проходят границы ответственности малого бизнеса.
ИП и самозанятый — две разных истории
Закон не делает между ИП и самозанятыми принципиального различия по самому факту обработки персональных данных. Важен не налоговый режим, а то, какие данные предприниматель собирает, где хранит, кому передает и для каких целей использует.
Самозанятый по природе НПД не может нанимать работников по трудовому договору, поэтому у плательщика НПД, как правило, нет кадрового блока обработки. Но клиентский блок остается: заявки, переписка, телефоны, электронной почты, адреса доставки, данные учеников и родителей, фото работ, отзывы.
У ИП ситуация зависит от того, работает он один или с командой. Пока сотрудников нет, обычно есть только клиентское направление: заявки, договоры, переписка, оплата, доставка, отзывы. С первым работником по трудовому договору появляется отдельный кадровый блок: паспорт, СНИЛС, ИНН, сведения для воинского учета, больничные, медкнижки, данные для зарплаты и налогового учета.
Договоры ГПХ стоит выделять отдельно: это не кадровая обработка в трудовом смысле, но персональные данные исполнителя все равно обрабатываются — для заключения договора, оплаты, налогового учета и документооборота.
Что считается обработкой персональных данных
Главная особенность 152-ФЗ — широкое определение обработки. Это не только хранение базы в CRM. Обработкой считается сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, удаление и уничтожение данных.
На практике риск статуса оператора возникает у большинства предпринимателей, которые не просто разово получают контакт клиента, а фиксируют его в переписке, таблице, CRM, телефоне, форме заявки или документах.
К обработке с использованием цифровых инструментов могут относиться:
- переписка с клиентом в Telegram, WhatsApp, Direct;
- Excel-таблица с клиентами, даже если в ней всего несколько записей;
- заметки в облачных сервисах вроде «Заметок», Google Keep, Notion;
- запись в CRM, Telegram-бот или сервис онлайн-записи;
- автоматический сбор контактов через форму на сайте;
- сохранение клиентского телефона в «Контактах» смартфона для деловых целей.
С маркетплейсами и площадками граница проходит в момент, когда предприниматель сам получает идентифицирующие сведения покупателя. Пока площадка передает только обезличенный номер заказа без ФИО и контактов, риск ниже. Но если клиент пишет продавцу в директ или мессенджер, присылает адрес доставки, фото, телефон или ссылку на профиль, у предпринимателя появляется собственный контур обработки по этим данным.
Исключения из обязанности уведомлять РКН нужно проверять отдельно. На практике малому онлайн-бизнесу сложно опираться на аргумент «мы не используем автоматизацию», если заявки, переписка и база клиентов ведутся через смартфон, мессенджеры, таблицы или облачные сервисы.
Платежный сервис не закрывает 152-ФЗ
Распространенное заблуждение: «у меня платежи идут через сервис, значит, за персональные данные отвечает он». Это не так.
Платежный сервис обрабатывает данные в своей части процесса: реквизиты карты, банковский контур, статус транзакции. Но продавец остается оператором в отношении тех сведений, которые собирает сам: имя клиента, телефон, электронная почта, адрес доставки, состав заказа, комментарий, переписка, история покупок, согласие на рассылку.
Поэтому подключение онлайн-оплаты не заменяет политику обработки на сайте, согласия в формах заявок, корректную работу с рассылками и проверку CRM. Платежный сервис закрывает платежный контур, но не всю клиентскую базу продавца.
Три частых сценария для малого бизнеса
Самозанятый-репетитор: мессенджеры, ученики и родители
Репетитор может обрабатывать ФИО ученика, данные родителя несовершеннолетнего, контакты, переписку, домашние задания, иногда фото или записи онлайн-уроков.
Что проверить: нужно ли подавать уведомление в РКН, какие согласия требуются и как фиксируется согласие законного представителя, если речь о несовершеннолетнем. Также важно понимать, где хранятся записи уроков и переписка, кто имеет к ним доступ и есть ли понятный текст политики обработки.
Главная ошибка: «у меня нет сайта — значит, 152-ФЗ не касается». Сайт не является решающим критерием. Важен сам факт сбора и использования персональных данных.
ИП с услугами и сайтом-визиткой
Такой бизнес может обрабатывать данные из форм заявок, cookie, сведения из систем аналитики, данные из виджетов обратной связи и сервисов рассылок.
Обычно нужно проверить обязанность подать уведомление в РКН, опубликовать политику обработки по постоянной ссылке, поставить отдельный непредзаполненный чекбокс согласия в форме, раскрыть cookie и счетчики аналитики, а также проверить локализацию баз заявок и CRM.
Главная ошибка: согласие «зашито» в кнопку «Отправить» без отдельного действия пользователя. Такая конструкция уязвима с точки зрения требований к согласию по ст. 9 152-ФЗ.
Фотограф или мастер красоты с публикацией работ
К базовому набору добавляется отдельное согласие на распространение персональных данных. Это не то же самое, что согласие на обработку: публикация фото в портфолио, соцсетях или на сайте раскрывает данные неопределенному кругу лиц.
Важно не смешивать несколько режимов. Фото, по которому человека можно узнать, обычно относится к персональным данным. Но биометрические персональные данные возникают не из любого фото лица, а прежде всего тогда, когда изображение используется для идентификации человека. Обычное фото «до/после» в портфолио автоматически биометрией не становится, но к его публикации все равно нужно подходить отдельно — через согласие на распространение и согласие на использование изображения.
Четыре согласия, которые часто путают
В типовом малом бизнесе может понадобиться до четырех разных согласий. Они не взаимозаменяемы.
1. Согласие на обработку персональных данных — когда нет другого правового основания. В нем должны быть перечень данных, цели, действия с данными, срок действия, порядок отзыва и сведения об операторе. Общая формулировка «согласен на обработку в соответствии с законодательством» уязвима.
2. Согласие на распространение персональных данных — когда данные раскрываются неопределенному кругу лиц: соцсети, портфолио, сайт, отзывы с именем клиента, публичные кейсы.
3. Согласие на рекламные коммуникации — для email-рассылок, SMS, сообщений в мессенджерах и рекламных звонков. Оно регулируется прежде всего ст. 18 ФЗ «О рекламе»: согласие на рекламу не заменяет согласие на обработку персональных данных и наоборот.
4. Согласие на использование изображения — если бизнес публикует фото или видео клиента в коммерческих материалах: портфолио, лендингах, рекламе. Это уже норма гражданского, а не информационного права, но для фотографов, бьюти-мастеров и видеографов ее игнорировать нельзя.
Согласие может стать уязвимым, если галочка проставлена заранее, несколько разных целей объединены в один общий текст, не указан срок действия, способ отзыва или конкретный перечень действий с данными. Срок реакции оператора на отзыв согласия — 10 рабочих дней.
Что сделать: семь шагов
1. Провести инвентаризацию данных.
Какие данные собираете: имя, телефон, e-mail, адрес, ник в мессенджере, фото, данные ребенка, реквизиты договора. По каким каналам: сайт, форма оплаты, CRM, Telegram, WhatsApp, email, таблицы, онлайн-запись, виджет обратной связи. Где хранятся: телефон, облако, CRM, почта, бухгалтерский сервис, сервис рассылок.
2. Определить цели и правовые основания.
Для каждой категории данных нужно понимать, зачем она собирается и на каком основании обрабатывается: договор, законная обязанность, согласие или другой допустимый вариант. Без этого сложно корректно оформить политику, согласия и уведомление в РКН.
3. Подготовить документы.
Минимальный набор — политика обработки, формы согласий, локальный акт. Для ИП-работодателя нужен отдельный комплект документов на кадровые данные.
4. Проверить обязанность подать уведомление в РКН.
Уведомление подают через Госуслуги по форме из приложения 1 к приказу РКН от 28.10.2022 № 180. Исключения есть, но их нужно проверять по фактической модели обработки, а не по принципу «мы маленькие, значит не надо».
5. Настроить сайт.
На сайте нужна ссылка на политику в подвале, непредзаполненный чекбокс согласия в каждой форме, понятный текст согласия, плашка cookie с раскрытием счетчиков и сервисов аналитики.
6. Проверить локализацию.
Согласно ч. 5 ст. 18 152-ФЗ, при сборе персональных данных граждан РФ оператор должен обеспечить первичную запись, систематизацию, накопление, хранение, уточнение и извлечение этих данных с использованием баз данных, находящихся на территории РФ. Поэтому перед подключением CRM, формы заявок, сервиса рассылок, онлайн-записи или облачного хранилища стоит проверить, где находится база и как поставщик описывает работу с данными российских пользователей.
7. Проверить подрядчиков.
Если данные клиентов получает бухгалтер, курьерская служба, CRM, сервис рассылок, коллтрекинг, онлайн-чат или подрядчик по рекламе, нужно понимать, кто из них самостоятельный оператор, кто — обработчик по поручению, а кто — получатель данных. В договоры с такими подрядчиками стоит включать условия о конфиденциальности, целях обработки и мерах защиты.
Если бизнес уже обрабатывает персональные данные, но уведомление в РКН не подавал, разумнее проверить обязанность и подать его сейчас. Сам факт подачи постфактум не отменяет прошлого риска, но приведение процессов в порядок обычно безопаснее, чем ожидание жалобы клиента, конкурента или бывшего сотрудника.
Штрафы: что важно понимать ИП
Главная ошибка малого бизнеса — считать, что ИП всегда отвечает по КоАП как физлицо. По ст. 13.11 это не так: согласно примечанию к этой статье, по частям 1.1, 8–18 индивидуальные предприниматели несут административную ответственность как юридические лица.
Это важно для самых дорогих составов: неуведомления РКН, утечек, повторных нарушений, неуведомления об утечке. Поэтому ориентироваться только на «штрафы для граждан» некорректно — реальный риск ИП в ряде случаев ближе к юрлицовскому.
Ниже — основные составы по ст. 13.11 КоАП РФ в действующей редакции. Конкретный размер штрафа зависит от состава нарушения, статуса нарушителя и обстоятельств дела:
- нарушение порядка обработки — для должностных лиц 50 000–100 000 руб., для юрлиц 150 000–300 000 руб.;
- обработка без согласия — для должностных лиц 100 000–300 000 руб., для юрлиц 300 000–700 000 руб.;
- повторная обработка без согласия — для ИП до 1 000 000 руб., для организаций до 1 500 000 руб.;
- неуведомление РКН о начале обработки — для юрлиц и ИП в этом режиме 100 000–300 000 руб.;
- утечка данных от 1 000 до 10 000 субъектов — 3–5 млн руб.;
- неуведомление РКН об утечке — от 1 до 3 млн руб.;
- повторные серьезные утечки — оборотные штрафы до 3% годовой выручки.
Главное изменение — не в одной конкретной сумме, а в масштабе риска. Нарушения, которые раньше воспринимались как недорогая формальность, после реформы стали измеряться десятками и сотнями тысяч рублей, а при утечках — миллионами.
Отдельно стоит упомянуть уголовную ответственность по ст. 272.1 УК, введенную в 2024 году. Продажа клиентской базы, использование купленных баз для холодных звонков, передача данных третьим лицам без правового основания может вывести ситуацию за пределы административного нарушения — в отдельных случаях речь уже о рисках по уголовному законодательству.
Состав специфический: значение имеют способ получения данных, незаконность оборота, квалифицирующие признаки. Но для ИП или самозанятого, который рассматривает «передать базу знакомому» или «купить базу для обзвона», это сигнал, что вопрос вышел за пределы административки.
Закрытие ИП или снятие самозанятого с учета
Часто забываемая обязанность: при прекращении деятельности оператор должен направить в РКН уведомление о прекращении обработки. Форма — приложение 3 к приказу РКН от 28.10.2022 № 180.
Параллельно нужно решить судьбу клиентских баз: уничтожить с составлением акта, передать правопреемнику или обезличить. «Забыть про старую базу» — формально нарушение, потому что обработка считается продолжающейся, пока данные физически существуют у оператора.
Чек-лист: что проверить, чтобы снизить риск
- Проверить, нужно ли подавать уведомление о начале обработки в РКН.
- Опубликовать политику обработки на сайте по постоянной ссылке.
- Сделать отдельные согласия под разные цели: обработку, распространение, рекламные коммуникации, использование изображения.
- Поставить непредзаполненный чекбокс согласия в каждой форме сбора данных.
- Проверить, где фактически хранятся базы заявок, CRM, рассылок и резервные копии.
- Категоризировать подрядчиков: бухгалтер, курьеры, рассылки, реклама, CRM, коллтрекинг.
- Закрыть передачу данных подрядчикам договорными условиями.
- Для ИП-работодателя подготовить отдельный комплект документов на кадровые данные.
- При закрытии ИП или снятии самозанятого с учета подать уведомление о прекращении обработки и оформить уничтожение баз актом, если данные больше не нужны.
Что в итоге
С 30 мая 2025 года 152-ФЗ для малого бизнеса перестал быть формальностью. Это не означает, что РКН немедленно начнет проверять каждого ИП, но размер потенциальной санкции вырос настолько, что один эпизод — жалоба клиента, утечка, конфликт с бывшим сотрудником — может стоить дороже годовой выручки микробизнеса.
Именно это главное изменение после первого года новой системы штрафов: не «всех штрафуют», а «штраф стал экономически значимым».
Базовый комплект документов и настроек не устраняет все риски, но закрывает самые частые ошибки малого бизнеса: отсутствие уведомления в РКН, политики обработки, корректных согласий, понятной работы с подрядчиками и контроля за клиентской базой.
Для микрооператора это не папка документов ради папки, а нормальная гигиена работы с клиентами, которая стала экономически оправданной после реформы 2025 года.
