152-ФЗ для ИП: полный чек-лист обязательных требований в 2026 году
Многие индивидуальные предприниматели убеждены: 152-ФЗ «О персональных данных» — это для крупного бизнеса. На практике это одно из самых дорогих заблуждений: штраф за отсутствие политики обработки персональных данных на сайте — до 30 000 ₽, за обработку данных без согласия — до 300 000 ₽, за утечку — до 500 000 ₽ с одного инцидента.
Любой ИП, у которого есть хотя бы один сотрудник, клиентская база или форма на сайте — уже оператор персональных данных по смыслу закона. Значит, обязан соблюдать конкретный перечень требований. Ниже — структурированный разбор: кто попадает под закон, что нужно сделать, какие документы подготовить и что проверят при плановой проверке РКН. Предварительно проверить сайт на наличие обязательных элементов можно с помощью scanbase.ru.
Кто такой «оператор персональных данных» и почему ИП им является
По ст. 3 152-ФЗ оператор — любое лицо, которое «организует и/или осуществляет обработку персональных данных». Термин «обработка» трактуется широко: сбор, хранение, использование, передача, уточнение и удаление данных. Под это определение попадает практически любой ИП.
Конкретные ситуации, когда ИП становится оператором ПДн:
- Нанимает хотя бы одного сотрудника — хранит паспортные данные, СНИЛС, ИНН.
- Ведёт клиентскую базу — в CRM, таблице Excel или мессенджере.
- Имеет сайт с формой «оставьте заявку», «подпишитесь на рассылку», «оформить заказ».
- Принимает онлайн-оплату — имя, телефон, email покупателя уже являются персональными данными.
- Использует онлайн-кассу с указанием ФИО покупателя в чеке.
Три мифа, из-за которых ИП игнорируют 152-ФЗ
Миф 1: «Я маленький — меня не проверят». Плановые проверки РКН ведутся по реестру операторов. Внеплановые — по жалобам физических лиц. Жалобу может подать любой клиент или бывший сотрудник, и тогда проверка состоится независимо от размера бизнеса.
Миф 2: «У меня нет базы данных — значит нет ПДн». Визитки в телефоне, переписка в WhatsApp, записная книжка с именами клиентов — всё это обработка персональных данных по смыслу закона.
Миф 3: «Политика на сайте — это всё, что нужно». Политика — лишь один из семи обязательных документов. Без остальных даже опубликованная политика не спасёт от штрафа.
Обязательные требования 152-ФЗ для ИП
Закон не разделяет ООО и ИП — требования одинаковые. Вот конкретный список:
- Определить цели и правовое основание обработки ПДн. Нельзя просто «собирать данные» — нужно зафиксировать: зачем, на каком основании (согласие, договор, закон), какие категории данных и сколько хранятся.
- Получить согласие субъекта. Для большинства случаев — письменное или электронное согласие с перечнем данных и целей. Одно общее согласие «на всё» не соответствует требованиям ст. 9 закона.
- Подать уведомление в Роскомнадзор. Обязаны все операторы, кроме прямо перечисленных исключений в ч. 2 ст. 22 152-ФЗ. Подаётся через портал РКН с УКЭП или на бумаге. При изменении заявленных сведений — уведомить не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22 152-ФЗ).
- Разработать и опубликовать Политику обработки ПДн. Обязательна, если есть сайт. Отдельная страница со ссылкой в подвале.
- Назначить ответственного за обработку ПДн. ИП вправе назначить себя. Но факт назначения должен быть зафиксирован приказом или иным локальным актом.
- Обеспечить защиту данных. Технические меры (пароли, антивирус, разграничение доступа) и организационные (инструктаж сотрудников, журнал доступа к базам).
- Реагировать на запросы субъектов. Клиент вправе запросить свои данные, потребовать исправления или удаления. Срок ответа на запрос — 10 рабочих дней, на удаление — 7 рабочих дней (ст. 21 152-ФЗ).
Обязательные документы по 152-ФЗ для ИП
| № | Документ | Для кого обязателен | Где хранится |
|---|---|---|---|
| 1 | Политика обработки персональных данных | Все ИП с сайтом | Публикуется на сайте |
| 2 | Согласие на обработку ПДн (клиентское) | Все ИП с клиентской базой | Бумажный/электронный архив |
| 3 | Согласие на обработку ПДн (сотрудники) | ИП-работодатели | Личное дело сотрудника |
| 4 | Приказ о назначении ответственного за ПДн | Все операторы | Внутренний документооборот |
| 5 | Регламент/инструкция по работе с ПДн | ИП с сотрудниками | Внутренний документооборот |
| 6 | Модель угроз и уровень защищённости ИСПДн | Все операторы с информационными системами | Внутренний документооборот |
| 7 | Журнал учёта обращений субъектов ПДн | Все операторы | Внутренний документооборот |
Штрафы за нарушение 152-ФЗ для ИП в 2026 году
ИП несёт ответственность как физическое или должностное лицо в зависимости от конкретного нарушения. Суммы после реформы КоАП в 2024–2025 годах существенно выросли:
| Нарушение | Штраф | Статья КоАП |
|---|---|---|
| Обработка ПДн без согласия субъекта | до 300 000 ₽ | ст. 13.11 ч. 2 |
| Отсутствие политики обработки ПДн на сайте | до 30 000 ₽ | ст. 13.11 ч. 3 |
| Непредоставление сведений субъекту по запросу | до 40 000 ₽ | ст. 13.11 ч. 4 |
| Нарушение требований к локализации данных | до 500 000 ₽, повторно — до 18 млн ₽ | ст. 13.11 ч. 8 |
| Утечка ПДн из-за ненадлежащей защиты | до 500 000 ₽ (от 1 000 субъектов) | ст. 13.11 ч. 13 |
| Несообщение об утечке в РКН в установленный срок | до 3 млн ₽ | ст. 13.11 ч. 15 |
Требования к сайту ИП по 152-ФЗ
Сайт — самая частая точка нарушений и самое простое место для проверки РКН: всё публично доступно без выезда. Пять обязательных элементов:
- Политика обработки ПДн — отдельная страница, ссылка в подвале сайта на каждой странице.
- Баннер согласия на cookies — при первом посещении, до начала сбора данных.
- Чекбокс согласия в каждой форме захвата — обратная связь, подписка, оформление заказа. Чекбокс не должен быть предзаполнен.
- Ссылка на политику рядом с формой — недостаточно просто иметь политику на сайте: пользователь должен иметь возможность прочитать её до отправки данных.
- Локализация данных на серверах в РФ — если используется иностранный хостинг или облачная CRM, необходимо убедиться, что данные российских пользователей хранятся на серверах в России.
Scanbase.ru автоматически проверяет сайт на наличие всех этих элементов — политики, форм согласия, cookies-баннера — и показывает конкретные нарушения без привлечения юриста.
Чек-лист соответствия 152-ФЗ для ИП
Пройдитесь по каждому пункту и отметьте выполненные — это поможет определить приоритеты.
Выполнено: 0/16
- ✓Разработана Политика обработки персональных данных
- ✓Разработаны формы согласий: отдельно для клиентов, отдельно для сотрудников
- ✓Издан приказ о назначении ответственного за обработку ПДн
- ✓Разработан регламент работы с ПДн (при наличии сотрудников)
- ✓Определён уровень защищённости информационных систем (ИСПДн)
- ✓Ведётся журнал учёта обращений субъектов ПДн
- ✓Проверено: подпадаю ли под исключения из обязанности уведомлять РКН
- ✓Подано уведомление в Роскомнадзор (или зафиксировано основание для освобождения)
- ✓Уведомление актуализировано при изменении данных об обработке
- ✓Политика обработки ПДн опубликована на сайте, ссылка в подвале
- ✓В каждой форме — незаполненный чекбокс и ссылка на политику
- ✓Настроен баннер согласия на cookies
- ✓Данные российских пользователей хранятся на серверах в РФ
- ✓Ограничен доступ к базам с персональными данными
- ✓Проводится инструктаж сотрудников по работе с ПДн
- ✓Установлен порядок реагирования на утечки и уведомления РКН в течение 24 часов
Частые вопросы
Зависит от того, собирает ли ИП данные о физических лицах — например, ведёт записи клиентов в телефоне или принимает заказы через мессенджер. Если да — он уже оператор ПДн и обязан соблюдать базовые требования: иметь правовое основание обработки и обеспечить защиту данных. Уведомление в РКН при этом практически всегда обязательно: основания, освобождавшие ИП с сотрудниками или клиентской базой, утратили силу с 1 сентября 2022 года.
Система налогообложения (УСН, ОСНО, патент) не влияет на обязанности по 152-ФЗ. Уведомление нужно подать, если ИП обрабатывает ПДн и не подпадает под одно из трёх оставшихся исключений ч. 2 ст. 22 закона (данные в ГИС безопасности, обработка без средств автоматизации, транспортная безопасность). Большинство ИП с сотрудниками или клиентской базой обязаны уведомить РКН.
Штраф по ст. 13.11 ч. 3 КоАП РФ — до 30 000 ₽ для должностного лица. При повторном нарушении — до 60 000 ₽. Это одно из наиболее легко выявляемых нарушений: РКН проверяет сайт дистанционно, без выезда. Проверить наличие политики и других обязательных элементов можно через scanbase.ru до прихода проверки.
Частично. Даже в B2B ИП обрабатывает персональные данные физических лиц: контактных лиц контрагентов (имена, телефоны, email), собственных сотрудников, представителей подрядчиков. Полностью избежать обязанностей оператора ПДн не получится — только сократить их объём по сравнению с B2C.
152-ФЗ — не «корпоративный» закон. Любой ИП с сайтом, сотрудниками или клиентской базой обязан соблюдать его требования, а штрафы в 2026 году продолжают расти. Начать можно с малого: пройтись по чек-листу выше и закрыть самые очевидные пробелы.
Проверьте сайт на соответствие 152-ФЗ прямо сейчас
Scanbase автоматически выявляет отсутствующие элементы: политику ПДн, формы согласия, cookies-баннер. Аудит занимает меньше минуты.
Запустить проверку →
Эксперт по соответствию сайтов 152-ФЗ. Пишет о практике защиты персональных данных, требованиях Роскомнадзора и технической стороне закона.