Считается ли сбором персональных данных переписка с клиентом в соцсетях и мессенджерах, если самозанятый не запрашивает телефон, но сохраняется переписка, имя или ник и фото?

Является ли ваша переписка в мессенджере обработкой персональных данных

Персональные данные — это не только паспортные данные или телефон, а любая информация, относящаяся к определённому или определяемому человеку. Поэтому имя, ник, фотография, содержание переписки о заказе, если по ним можно узнать или выделить клиента, — всё это персональные данные.

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
— п. 1 ст. 3 ФЗ-152

Обработкой считается практически любое действие с такими сведениями, в том числе сбор, запись и хранение. Вы их не «собираете» специально, но факт сохранения переписки в мессенджере — это уже запись/хранение.

обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
— п. 3 ст. 3 ФЗ-152

Поэтому по существу вопроса ответ: да, вы получаете и обрабатываете персональные данные клиента. Имя/ник, текст заказа, дата и время записи, фото — всё это относится к определённому или определяемому лицу.

оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
— п. 2 ст. 3 ФЗ-152

При этом сам факт, что вы «не просите телефон и не храните отдельно», значения не имеет: закон не делает исключений для «незначительных» данных. Значение имеет цель — вы используете эти сведения, чтобы записать человека на услугу и оказать ему услугу.

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
— ч. 2 ст. 5 ФЗ-152

Вывод: даже без телефона, ФИО и адреса вы обрабатываете персональные данные, когда ведёте переписку и записываете клиента: имя/ник или фото позволяют определить конкретного человека, а сохранение переписки — это их запись и хранение (п. 1 и п. 3 ст. 3, ч. 2 ст. 5 ФЗ-152). Вывод «телефон не запрашиваю — значит, персональных данных нет» юридически ошибочен.

Являетесь ли вы оператором персональных данных

Оператором является любое физическое лицо, которое организует и (или) осуществляет обработку и определяет цели и состав данных. Вы сами определяете, что нужно для записи на услугу и как вы это используете, — значит, по смыслу нормы вы оператор независимо от того, что вы самозанятый и работаете без сайта.

оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
— п. 2 ст. 3 ФЗ-152

Вывод: вы как физическое лицо (самозанятый), самостоятельно организующее хранение и использование переписки с клиентами, являетесь оператором персональных данных. Этот статус не зависит от формы налогообложения (НПД) и от отсутствия у вас сайта или базы данных.

Нужно ли отдельное согласие на обработку данных клиента

Отдельное письменное согласие нужно не всегда. Закон прямо разрешает обрабатывать данные без согласия, если это необходимо для исполнения договора, стороной которого является клиент, либо для заключения такого договора по его инициативе. Клиент сам вам пишет, вы согласуете услугу и время — это как раз заключение и исполнение договора, поэтому основанием обработки в этом объёме является п. 5 ч. 1 ст. 6.

обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
— п. 5 ч. 1 ст. 6 ФЗ-152

Там, где согласие всё же требуется (например, рассылки, реклама, передача данных третьим лицам, обработка, выходящая за рамки заказа), оно должно быть конкретным, предметным, информированным и однозначным, но может быть дано в любой форме, позволяющей подтвердить факт его получения, — то есть простая письменная форма и подпись не обязательны.

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме
— ч. 1 ст. 9 ФЗ-152

Риск в том, что доказывать наличие основания (согласия или договорной необходимости) должен именно оператор — то есть вы, и делать это нужно документально.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 ФЗ-152

Вывод: для самой записи на услугу и переписки по заказу отдельное согласие клиента не требуется — обработка оправдана необходимостью заключения и исполнения договора по инициативе клиента (п. 5 ч. 1 ст. 6 ФЗ-152). Но если вы начнёте использовать те же контакты для рассылок, рекламы или передадите данные третьим лицам, потребуется отдельное конкретное и однозначное согласие, и бремя доказывания его наличия лежит на вас (ч. 1 и ч. 3 ст. 9 ФЗ-152). Практический вывод: фиксируйте переписку как подтверждение заказа (дата, услуга, цена) — это одновременно доказывает и договорное основание обработки.

Обязанность опубликовать политику обработки персональных данных

Оператор обязан обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных. Если вы собираете данные через интернет (переписка в соцсетях и мессенджерах — это информационно-телекоммуникационная сеть), политику нужно опубликовать на используемых вами интернет-страницах.

Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.
— ч. 2 ст. 18.1 ФЗ-152

Вывод: как оператор вы обязаны иметь и обеспечить доступ к политике обработки персональных данных, а при сборе данных через интернет — разместить её там, где вы ведёте сбор (профиль, страница, сообщество). Непредставление такого документа — самостоятельное нарушение и наказывается штрафом для граждан от 1 500 до 3 000 рублей (ч. 2 ст. 18.1 ФЗ-152; ч. 3 ст. 13.11 КоАП РФ).

Нужно ли уведомлять Роскомнадзор

По общему правилу оператор до начала обработки обязан уведомить уполномоченный орган — Роскомнадзор — о своём намерении обрабатывать персональные данные.

Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
— ч. 1 ст. 22 ФЗ-152

Однако есть изъятие: уведомление не требуется, если обработка ведётся исключительно без использования средств автоматизации.

в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
— п. 8 ч. 2 ст. 22 ФЗ-152

Здесь и находится решающая развилка. Если вы всё ведёте только вручную (бумажные записи, вообще без компьютера, телефона, CRM, облачных заметок и без хранения переписки на устройстве) — уведомление не нужно по п. 8 ч. 2 ст. 22. Но переписка в мессенджере, страница в соцсети, электронная запись, заметки на телефоне — это хранение и систематизация данных с помощью средств вычислительной техники, то есть автоматизированная обработка; в этом случае изъятие не применяется, и уведомление в РКН в общем случае требуется. Уведомление направляется до начала обработки, повторно подаётся при изменении сведений.

Вывод: поскольку вы храните переписку в мессенджере/соцсети и, вероятно, ведёте электронную запись, ваша деятельность — это обработка с использованием средств автоматизации, а значит, изъятие п. 8 ч. 2 ст. 22 ФЗ-152 не действует и уведомление в Роскомнадзор в общем случае требуется (ч. 1 ст. 22). Если же вы полностью исключите любую электронную обработку и будете вести записи только на бумаге, уведомление не подаётся. Несвоевременное уведомление или его отсутствие наказывается штрафом для граждан от 5 000 до 10 000 рублей (ч. 10 ст. 13.11 КоАП РФ), поэтому безопаснее уведомление направить (удобнее — через Портал персональных данных Роскомнадзора).

Фотографии клиента: изображение, биометрия, информация о частной жизни

Фото клиента — это отдельный трек. Обнародование и дальнейшее использование изображения гражданина допускаются только с его согласия.

Обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина.
— п. 1 ст. 152.1 ГК РФ

Если фото используется для установления личности (а не просто как иллюстрация к заказу), оно приобретает режим биометрических персональных данных и обрабатывается только при наличии письменного согласия.

Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных
— ч. 1 ст. 11 ФЗ-152

Отдельно защищается и сама частная жизнь: без согласия гражданина не допускаются сбор, хранение, распространение и использование любой информации о его частной жизни.

не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
— п. 1 ст. 152.2 ГК РФ

Вывод: вы можете использовать присланные клиентом фото только для обсуждения и исполнения заказа. Их нельзя публиковать в портфолио, соцсетях, рекламе без отдельного согласия клиента (п. 1 ст. 152.1 ГК РФ), а если вы используете фото для установления личности — нужно письменное согласие (ч. 1 ст. 11 ФЗ-152). Разглашать сведения о частной жизни клиента, ставшие известными из заказа, нельзя (п. 1 ст. 152.2 ГК РФ).

Сколько хранить переписку и что делать после достижения цели

Хранение данных должно быть не дольше, чем требуют цели обработки; после достижения цели данные подлежат уничтожению или обезличиванию.

Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки
— ч. 7 ст. 5 ФЗ-152

Конкретный срок установлен и для уничтожения после достижения цели обработки.

В случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных
— ч. 4 ст. 21 ФЗ-152

Вывод: держать всю переписку «на всякий случай» бессрочно нельзя. Когда услуга оказана и цель достигнута, данные должны быть уничтожены в срок не свыше 30 дней (ч. 7 ст. 5, ч. 4 ст. 21 ФЗ-152). Практически: удаляйте переписку и фото клиента после оказания услуги и истечения разумного срока для возможных претензий (если только закон или договор не требуют более длительного хранения). При отзыве согласия или обращении клиента уточнить/уничтожить данные — реагируйте в установленные сроки (ст. 21 ФЗ-152); за невыполнение требования субъекта предусмотрен штраф для граждан от 2 000 до 4 000 рублей (ч. 5 ст. 13.11 КоАП РФ).

Ответственность за нарушения и что делать при жалобе клиента

Обработка данных в случаях, не предусмотренных законом, либо несовместимая с целями сбора наказывается штрафом для граждан от 10 000 до 15 000 рублей.

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
— ч. 1 ст. 13.11 КоАП РФ

Обработка без согласия в письменной форме, когда оно необходимо, наказывается для граждан штрафом от 10 000 до 15 000 рублей.

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
— ч. 2 ст. 13.11 КоАП РФ

Неприкосновенность частной жизни относится к неотчуждаемым нематериальным благам, защищаемым гражданским законодательством.

достоинство личности, личная неприкосновенность, честь и доброе имя, деловая репутация, неприкосновенность частной жизни
— п. 1 ст. 150 ГК РФ

Вывод: для вас как гражданина типичные риски — штрафы по ч. 1 и ч. 3 ст. 13.11 КоАП РФ (обработка без основания / отсутствие политики) и по ч. 10 ст. 13.11 КоАП РФ (отсутствие уведомления РКН). Если клиент обратится в Роскомнадзор или потребует удалить данные, вы обязаны в установленные сроки уточнить, заблокировать или уничтожить их (ст. 21 ФЗ-152); невыполнение — штраф по ч. 5 ст. 13.11 КоАП РФ. Дополнительно при неправомерном использовании фото возможны исковые требования клиента по ст. 152.1, 152.2 ГК РФ о удалении изображения/информации и защите нематериальных благ (п. 1 ст. 150 ГК РФ), а при утечке данных — повышенные штрафы по ч. 11–17 ст. 13.11 КоАП РФ. Минимизируйте риски: фиксируйте основание договором/перепиской, публикуйте политику, подайте уведомление в РКН, не публикуйте фото без согласия и удаляйте данные по достижении цели.

Как подтвердить основание обработки (доказательства)

Основанием обработки без согласия является необходимость исполнения договора, заключаемого по инициативе клиента. Чтобы этим основанием воспользоваться, его нужно уметь подтвердить — а бремя доказывания законом возложено на вас.

обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
— п. 5 ч. 1 ст. 6 ФЗ-152

Это бремя прямо закреплено за оператором.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 ФЗ-152

Вывод: сохраняйте переписку как доказательство заказа — она подтверждает и заключение договора (основание обработки по п. 5 ч. 1 ст. 6), и его условия. При этом если вы полагаетесь на согласие, а не на договорное основание, именно вы обязаны доказать факт его получения (ч. 3 ст. 9 ФЗ-152), поэтому согласие лучше оформлять в письменно фиксируемой форме — сообщением в переписке, отдельным текстом или галочкой. Если доказательств основания нет, любая проверка РКН или жалоба клиента обернётся против вас как обработка без основания (ч. 1 ст. 13.11 КоАП РФ).

Альтернатива: работа полностью без средств автоматизации

Изъятие из обязанности уведомлять Роскомнадзор действует, если обработка ведётся исключительно без использования средств автоматизации.

в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
— п. 8 ч. 2 ст. 22 ФЗ-152

При этом общий принцип обработки — ограничение конкретными, заранее определёнными и законными целями — сохраняется при любом способе, поэтому «перейти на бумагу» не отменяет остальных обязанностей оператора.

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
— ч. 2 ст. 5 ФЗ-152

Вывод: работать без уведомления РКН можно лишь при обработке исключительно без средств автоматизации (п. 8 ч. 2 ст. 22 ФЗ-152): никаких мессенджеров, соцсетей, заметок и CRM — только бумажные записи. Это нереалистично, если вы ведёте переписку в интернете, поэтому практичнее принять статус оператора и оформить минимальный комплект: политику обработки, при необходимости — согласие, и уведомление в РКН. В любом случае остаются обязанности по обеспечению безопасности данных и удалению их по достижении цели (ст. 19, 21 ФЗ-152).

Режим фотографий клиента (изображение, биометрия, частная жизнь)

Фото клиента, присланное для обсуждения заказа, — это одновременно персональные данные и изображение гражданина. Обнародование и дальнейшее использование изображения допускаются только с согласия гражданина.

Обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина.
— п. 1 ст. 152.1 ГК РФ

Если фото используется для установления личности, оно становится биометрическими персональными данными и обрабатывается только при письменном согласии.

Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных
— ч. 1 ст. 11 ФЗ-152

Параллельно защищается частная жизнь: без согласия гражданина не допускаются сбор, хранение, распространение и использование любой информации о его частной жизни.

не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
— п. 1 ст. 152.2 ГК РФ

Вывод: присланные клиентом фото можно использовать только для обсуждения и исполнения заказа. Публикация их в портфолио, соцсетях или рекламе без отдельного согласия запрещена (п. 1 ст. 152.1 ГК РФ); использование фото для установления личности требует письменного согласия (ч. 1 ст. 11 ФЗ-152); разглашение сведений о частной жизни клиента недопустимо (п. 1 ст. 152.2 ГК РФ). Эти ограничения действуют независимо от того, запрашиваете ли вы у клиента телефон.

Доказательства основания обработки и согласия

Обработка без согласия допускается, когда она необходима для исполнения договора, заключаемого по инициативе субъекта.

обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
— п. 5 ч. 1 ст. 6 ФЗ-152

Доказывать получение согласия либо наличие договорного основания обязан оператор.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 ФЗ-152

Вывод: сохраняйте переписку как доказательство заказа — она подтверждает и заключение договора (основание по п. 5 ч. 1 ст. 6 ФЗ-152), и его условия. Если вы опираетесь на согласие, а не на договор, именно вы обязаны доказать факт его получения (ч. 3 ст. 9 ФЗ-152), поэтому согласие желательно получить в письменно-фиксируемой форме (сообщение в переписке, отдельный текст, галочка). При отсутствии доказательств основания любая проверка РКН или жалоба клиента будет квалифицирована как обработка без основания (ч. 1 ст. 13.11 КоАП РФ).