Индивидуальный предприниматель, так же как и организация, признаётся оператором персональных данных, если он собирает и использует ПДн клиентов, сотрудников, подрядчиков или партнёров. Обязанности ИП по ФЗ-152 ничем не отличаются от требований к юридическим лицам, поэтому базовый комплект документов обязателен в любом случае.
Обязательные документы для ИП по ПДн:
- Политика обработки персональных данных — публичный документ, который размещается на сайте или предоставляется по запросу клиентов.
- Положение о ПДн (регламент обработки) — внутренний документ, где прописаны категории данных, цели, сроки хранения, порядок уничтожения.
- Перечень обрабатываемых ПДн — показывает, какие сведения собираются и зачем.
- Приказ о назначении ответственного за ПДн — даже если ИП работает один, он издаёт приказ, назначая себя ответственным.
- Регламент по срокам хранения и уничтожения ПДн — устанавливает, сколько хранятся данные клиентов и сотрудников.
- Формы согласий — для случаев, когда обработка возможна только на основании согласия субъекта (например, фото, реклама).
- Журнал учёта согласий — фиксирует полученные согласия.
- Журнал учёта обращений субъектов ПДн — чтобы документировать запросы на доступ, исправление или удаление данных.
- Порядок реагирования на инциденты — документ о действиях при утечке или нарушениях безопасности.
Обоснование по законодательству
- Ст. 3 ФЗ-152 — оператором может быть любое лицо, включая индивидуального предпринимателя.
- Ст. 18.1 ФЗ-152 — обязывает операторов утверждать локальные акты по ПДн.
- Ст. 19 ФЗ-152 — закрепляет обязанность обеспечить безопасность ПДн.
- Ст. 22 ФЗ-152 — требует уведомлять Роскомнадзор о начале обработки (в том числе ИП).
Позиция Роскомнадзора
РКН отмечает, что размер бизнеса не освобождает от обязанностей. Даже если у ИП нет сотрудников, но он работает с клиентами (например, репетитор, фотограф, мастер), он обязан иметь документы по ПДн. На практике проверяют политику, положение, согласия и приказы. У некоторых ИП выявляли только размещённую на сайте политику, но отсутствие внутренних документов считалось нарушением.
Что особенно важно для ИП
- Если ИП ведёт бухгалтерию и кадровый учёт (нанимает сотрудников), пакет документов должен включать кадровые согласия и положения.
- Даже в микробизнесе (парикмахер, репетитор, мастер на дому) нужна политика, согласия и порядок обработки данных клиентов.
- Для ИП на онлайн-услугах особенно важно иметь корректно составленную политику на сайте.
Рекомендации и выводы
Да, индивидуальные предприниматели обязаны иметь документы по ПДн. Чтобы действовать законно и избежать штрафов:
- Подготовьте политику и положение, где прописаны все цели и категории данных.
- Утвердите перечень ПДн и сроки их хранения.
- Используйте формы согласий для случаев, где это необходимо.
- Ведите журналы учёта согласий и обращений субъектов.
Компания ICTech разработает для ИП полный пакет документов по ФЗ-152 — от политики и положения до приказов и форм согласий. Это избавит от рисков при проверках и обеспечит надёжную защиту бизнеса.
