Уведомление в Роскомнадзор и политика для сайта: нужно ли ИП без сотрудников и самозанятому

В октябре в чате самозанятых мастер написала: «только сейчас начала вникать во все эти согласия на обработку персональных данных, уведомления Роскомнадзора и штрафы». И спросила главное: «Если раньше никаких согласий с клиентами не оформлял и в Роскомнадзор не подавал уведомление, реально могут оштрафовать?» В другом чате предприниматель спрашивал: «если я пока работаю без сотрудников, нужно в Роскомнадзор регистрироваться как оператор по обработке ПД?» Мастеру ответил человек, назвавший себя юристом: «Нужно ли бежать в РКН? Нет, не нужно», потому что данные нужны «только для исполнения договора». Сверим этот ответ с действующим законом. Разберём, что обязан сделать владелец сайта с формой заявки: подать уведомление и разместить политику.

Коротко

Оператор персональных данных обязан уведомить Роскомнадзор до начала обработки (152-ФЗ «О персональных данных», статья 22, часть 1). В законе нет исключений для ИП без сотрудников, самозанятых и для данных, которые нужны «для исполнения договора».
Без уведомления можно работать только в трёх случаях. Владельцу сайта с формой заявки ни один не подходит. Ближе всех обработка «исключительно без использования средств автоматизации», но форма на сайте уже работает программой.
Политику обработки персональных данных нужно опубликовать на тех страницах сайта, где собираются данные (статья 18.1, часть 2).
За неподанное уведомление ИП платит штраф как юрлицо, от 100 до 300 тысяч рублей (КоАП, статья 13.11, часть 10 и примечание 1). За неопубликованную политику ИП платит от 10 до 20 тысяч рублей, юрлицо от 30 до 60 тысяч (часть 3).
Подать уведомление можно бесплатно.

Кто обязан подавать уведомление

Первая часть статьи 22 закона о персональных данных говорит прямо: «Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи».

Уполномоченный орган здесь Роскомнадзор. Если на вашем сайте есть форма, где просят имя и телефон, вы получаете чужие персональные данные и становитесь оператором. Число сотрудников и форма бизнеса значения не имеют.

Исключения: их осталось три

Раньше в части 2 статьи 22 было девять исключений. Первые шесть «утратили силу с 1 сентября 2022 года». Без уведомления сейчас можно обрабатывать данные только в трёх случаях:

данные включены в государственные информационные системы, созданные «в целях защиты безопасности государства и общественного порядка»;
оператор работает с данными «исключительно без использования средств автоматизации»;
данные обрабатываются по законодательству о транспортной безопасности.

Исключения для данных, которые нужны только для договора с клиентом, в действующем тексте нет. Поэтому ответ из чата расходится с законом, который действует с 1 сентября 2022 года.

Слова «исключительно без использования средств автоматизации» значат, что данные ведутся только на бумаге. Форма на сайте собирает имя и телефон с помощью программы и складывает их в почту или базу. Владельцу сайта с формой это исключение не подходит.

Что указать в уведомлении

Уведомление подают на бумаге или электронным документом. Его подписывает уполномоченное лицо (статья 22, часть 3). Форму уведомления утверждает сам Роскомнадзор (часть 8). По закону в уведомлении должно быть:

кто вы и ваш адрес;
зачем вы обрабатываете данные;
какие меры защиты принимаете, в том числе есть ли шифровальные средства;
кто отвечает за обработку данных и как с ним связаться;
когда вы начали обработку и когда или при каком условии её прекратите;
передаёте ли данные за границу;
где находится база данных с персональными данными граждан России;
как обеспечена безопасность данных по требованиям Правительства.

Для каждой цели отдельно перечислите категории данных, чьи это данные, на каком основании вы их обрабатываете, что с ними делаете и каким способом (часть 3.1).

Платить за уведомление не нужно: «На оператора не могут возлагаться расходы в связи с рассмотрением уведомления» (часть 5). Роскомнадзор вносит сведения в реестр операторов в течение тридцати дней (часть 4).

Если сведения поменялись, сообщить об этом нужно не позднее 15-го числа следующего месяца. Если вы прекратили обработку, сообщить нужно в течение десяти рабочих дней (часть 7).

Политика обработки персональных данных на сайте

Статья 18.1 закона требует: оператор, который собирает данные через интернет, «обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных».

Проще говоря, ссылка на политику должна быть на той странице, где стоит форма заявки, записи или заказа.

Какие штрафы

Все суммы взяты из статьи 13.11 Кодекса об административных правонарушениях.

За неподанное или поданное с опозданием уведомление (часть 10):

гражданину от 5 до 10 тысяч рублей;
юрлицу от 100 до 300 тысяч рублей;
ИП столько же, сколько юрлицу. Примечание 1 к статье: «индивидуальные предприниматели несут административную ответственность как юридические лица».

Обычно КоАП наказывает ИП как должностных лиц (статья 2.4), но только «если настоящим Кодексом не установлено иное». Для части 10 иное как раз установлено, поэтому ИП платит как фирма.

За неопубликованную политику (часть 3):

ИП от 10 до 20 тысяч рублей;
юрлицу от 30 до 60 тысяч рублей.

Что решают суды

Арбитражный суд города Москвы 4 февраля 2026 года рассмотрел дело № А40-342666/25-93-2864. На сайте фирмы были формы регистрации и подачи заявок, а ещё счётчики «Яндекс Метрика» и «Google Analytics». Уведомление в Роскомнадзор фирма не подала. Она ссылалась на то, что Роскомнадзор её не предупреждал. Суд ответил: «обязанность направления уведомления возложена на Общество в силу требований ФЗ «О персональных данных»». Штраф предупреждением не заменили. Фирма была малым предприятием, поэтому штраф назначили в половину минимума: «50 000 (пятьдесят тысяч) рублей».

Мировой судья судебного участка № 1 города Шумерли 20 мая 2026 года (дело № 5-181/2026) рассмотрел дело ИП, который заключал договоры с клиентами через сайт. Защитник говорил, что данные обрабатывались без средств автоматизации. Суд ответил, что этот довод «опровергается представленными доказательствами, согласно которым договор об оказании услуг заключался посредством сайта в сети «Интернет»». Штраф снизили ниже минимума, до 50 000 рублей.

Иногда суд назначает предупреждение. Арбитражный суд Республики Башкортостан 8 сентября 2025 года (дело № А07-27941/2025) назначил директору фирмы «административное наказание в виде предупреждения». В этом деле речь шла о передаче данных за границу.

Если уведомление раньше не подавали

Закон требует уведомить Роскомнадзор «до начала обработки». Штраф в части 10 грозит и за невыполнение, и за несвоевременное выполнение этой обязанности. Поэтому поданное сегодня уведомление не отменяет того, что раньше его не было. Но с момента подачи вы работаете по закону, а сведения о вас появятся в реестре операторов.

Чем поможет ИИПодпись

ИИПодпись пока не составляет уведомление в Роскомнадзор и политику. Если на сайте есть оферта или договор с клиентом, загрузите его файлом, фотографией или текстом. Проверка покажет условия, которые стоит поправить, и объяснит, чем каждое из них грозит. Это не заключение о законности, а список мест, которые нужно прочитать внимательно.

Проверить оферту или договор сайта

Вопросы и ответы

Нужно ли подавать уведомление в Роскомнадзор ИП без сотрудников?

Да, если вы получаете персональные данные клиентов не только на бумаге. Статья 22 не связывает обязанность с наличием работников. Исключений осталось три, и ИП без сотрудников среди них нет.

Должен ли самозанятый подавать уведомление?

В законе нет отдельного правила для самозанятых. Обязанность лежит на любом операторе, который обрабатывает данные не только на бумаге. Самозанятый без статуса ИП в КоАП отдельно не назван: в части 10 статьи 13.11 есть строки для граждан, должностных лиц и юрлиц.

Сколько стоит подать уведомление?

Нисколько. Расходы на рассмотрение уведомления и внесение в реестр на оператора возлагать нельзя (статья 22, часть 5).

Нужна ли политика, если на сайте нет формы?

Публиковать политику или иным образом обеспечить к ней доступ обязан любой оператор (статья 18.1, часть 2, первое предложение). Требование разместить её именно на страницах сайта касается тех страниц, через которые собираются данные.