Иконка поиска
Логотип Все адвокаты
Вопрос
Защита персональных данных

Нужно ли самозанятому репетитору уведомлять Роскомнадзор об обработке персональных данных и как оформить согласие родителя на данные ребёнка

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Уточните у юриста или в Роскомнадзоре, требуется ли уведомление в вашей ситуации, и если да — подайте его до начала обработки. Подходящего шаблона для этой задачи не найдено.
  2. 2
    Обсудите с юристом, достаточно ли согласия родителя, данного в переписке при записи, или требуется отдельное письменное оформление.
  3. 3
    Оцените с юристом, какие из хранимых данных (дата рождения, переписка, записи занятий) действительно необходимы для оказания услуг, и при необходимости скорректируйте их состав.
  4. 4
    Опубликуйте политику обработки персональных данных или направляйте её клиентам при заключении договора. Подходящего шаблона для этой задачи не найдено.
  5. 5
    Установите сроки хранения данных и уничтожайте их после завершения занятий и налоговых целей.
  6. 6
    Храните доказательства получения согласий — бремя доказывания лежит на вас.

Документы и доказательства

  • Отдельное письменное согласие законного представителя ребёнка на обработку его персональных данных.
  • Подтверждение получения согласия (бремя доказывания на вас).
  • Политика обработки персональных данных, доступная неограниченному кругу лиц.
  • Перечень собираемых данных с обоснованием необходимости каждого (принцип минимизации).
  • Сроки хранения данных и порядок уничтожения/обезличивания по достижении целей.

  • Срочно: первые шаги

    • Опубликуйте политику обработки персональных данных в открытом доступе (ч. 2 ст. 18.1 ФЗ № 152-ФЗ).
    • Установите срок хранения данных и уничтожайте их по достижении целей (ч. 7 ст. 5 ФЗ № 152-ФЗ).

  • Сроки и риски

    • Уведомите Роскомнадзор до начала обработки персональных данных учеников.
    • Если изменение сведений в уведомлении: При изменении сведений в уведомлении подайте обновление в Роскомнадзор.
    • Храните данные не дольше, чем требуют цели; уничтожайте или обезличивайте по достижении целей.
    • Риск штрафа за неуведомление Роскомнадзора для гражданина — от 5 000 до 10 000 рублей.
    • Риск штрафа за обработку данных ребёнка без надлежащего согласия — от 10 000 до 15 000 рублей.
    • Храните доказательства получения согласия законного представителя — бремя доказывания на вас.

  • Чего не делать

    • Не полагайтесь на совет второго юриста об освобождении самозанятых — такого исключения в законе нет.
    • Не начинайте обработку данных до подачи уведомления в Роскомнадзор.
    • Не ссылайтесь на исключение для неавтоматизированной обработки — таблица и мессенджеры это автоматизация.
    • Не считайте, что указание родителем ФИО и даты рождения в переписке заменяет отдельное согласие.
    • Не собирайте избыточные данные (дата рождения, переписка, записи), не нужные для целей обработки.

  • Когда нужен адвокат

    • Если возникновение спора с Роскомнадзором по уведомлению или штрафу: Спор с Роскомнадзором по уведомлению или штрафу — нужен адвокат.
    • Если вынесение постановления по ч. 10 или ч. 2 ст. 13.11 КоАП РФ: Планируете оспаривать постановление по ч. 10 или ч. 2 ст. 13.11 КоАП РФ.
    • Если отзыв согласия родителем или требование удалить данные ребёнка: Родитель отзывает согласие или требует удалить данные ребёнка.
    • Готовите отдельное согласие законного представителя — лучше с адвокатом.
    • Если начало проверки Роскомнадзора: Проверка Роскомнадзора уже началась — без защитника не обойтись.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Клиент — самозанятый репетитор, оказывающий онлайн-услуги детям. Он собирает и хранит на ноутбуке в электронной таблице следующие персональные данные: ФИО родителя и ребёнка, возраст и дату рождения ребёнка, адрес электронной почты, номер телефона, переписку в мессенджере, записи о занятиях. Оплата поступает переводом на карту, договор оформляется в переписке или на бумаге. Данные никому не передаются.

Клиент самостоятельно определяет цели, состав и действия с персональными данными, поэтому является оператором персональных данных (п. 2 ст. 3 ФЗ № 152-ФЗ). Хранение данных в электронной таблице на ноутбуке и переписка в мессенджере квалифицируются как автоматизированная обработка персональных данных (п. 4 ст. 3 ФЗ № 152-ФЗ). Следовательно, на него распространяется общая обязанность уведомить Роскомнадзор до начала обработки (ч. 1 ст. 22 ФЗ № 152-ФЗ), а исключение для неавтоматизированной обработки (п. 8 ч. 2 ст. 22 ФЗ № 152-ФЗ) неприменимо.

Обязан ли самозанятый-репетитор уведомлять Роскомнадзор

Вы являетесь оператором персональных данных, поскольку самостоятельно определяете цели, состав и состав действий с данными учеников и их родителей:

  1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
    — п. 2 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ

Собираемые вами сведения (ФИО, возраст и дата рождения, e-mail, телефон, переписка, записи занятий) — это персональные данные. Их хранение в таблице на ноутбуке и переписка в мессенджере — обработка с использованием средств автоматизации, то есть средств вычислительной техники:

  1. автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники; 5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; 6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; 7) блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных); 8) уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных; 9) обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных; 10) информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств; 11) трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
    — п. 4 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ

По общему правилу оператор обязан уведомить уполномоченный орган (Роскомнадзор) о намерении обрабатывать ПД до начала обработки:

  1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
    — ч. 1 ст. 22 ФЗ от 27.07.2006 № 152-ФЗ

Исключений всего два, и оба к вам НЕ относятся: (1) обработка исключительно без средств автоматизации — но вы храните данные на ноутбуке и ведёте переписку в мессенджерах, значит это автоматизированная обработка; (2) обработка в целях транспортной безопасности. Никакого отдельного исключения «для самозанятых», «для физлиц, оказывающих услуги частным лицам» или «по договору» в действующей редакции ч. 2 ст. 22 не существует:

  1. в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства. (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ ) 3. Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения: (В редакции Федерального закона от 25.07.2011 № 261-ФЗ ) 1) наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 7) описание мер, предусмотренных статьями 18 1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
    — п. 8 ч. 2 ст. 22 ФЗ от 27.07.2006 № 152-ФЗ

Отсюда ключевой вывод: тезис второго юриста о том, что в 2025 году самозанятые «освобождены» от уведомления Роскомнадзора со ссылкой на п. 2 ст. 22 ФЗ № 152-ФЗ, не соответствует тексту закона. Ни само по себе указание на «заключение и исполнение договоров с частными лицами», ни наличие согласия клиента, ни «непередача третьим лицам» не являются основаниями для освобождения от уведомления — этих условий в законе нет. Освобождение даёт только п. 8 ч. 2 ст. 22 (исключительно неавтоматизированная обработка), который к вам неприменим, поскольку данные хранятся в электронной таблице.

Вывод: да, вы обязаны подать уведомление в Роскомнадзор до начала обработки. Утверждение о том, что можно не уведомлять, — ошибочно.

На каком основании обрабатываются данные ребёнка и нужно ли отдельное согласие родителя

Для обработки ПД, необходимых для исполнения договора (оказания репетиторских услуг), отдельное согласие по общему правилу не требуется — действует самостоятельное правовое основание:

  1. обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
    — п. 5 ч. 1 ст. 6 ФЗ от 27.07.2006 № 152-ФЗ

Однако применительно к ребёнку ситуация различается по возрасту. Ребёнок младше 14 лет (малолетний) самостоятельно договор возмездных услуг не заключает — стороной договора выступает родитель, который для ребёнка является законным представителем. Ребёнок от 14 до 18 лет заключает договор с письменного согласия законного представителя:

  1. Несовершеннолетние в возрасте от четырнадцати до восемнадцати лет совершают сделки, за исключением названных в пункте 2 настоящей статьи, с письменного согласия своих законных представителей - родителей, усыновителей или попечителя. Сделка, совершенная таким несовершеннолетним, действительна также при ее последующем письменном одобрении его родителями, усыновителями или попечителем. 2. Несовершеннолетние в возрасте от четырнадцати до восемнадцати лет вправе самостоятельно, без согласия родителей, усыновителей и попечителя: 1) распоряжаться своими заработком, стипендией и иными доходами; 2) осуществлять права автора произведения науки, литературы или искусства, изобретения или иного охраняемого законом результата своей интеллектуальной деятельности; 3) в соответствии с законом вносить вклады в кредитные организации и распоряжаться ими; (В редакции Федерального закона от 30.12.2012 № 302-ФЗ) 4) совершать мелкие бытовые сделки и иные сделки, предусмотренные пунктом 2 статьи 28 настоящего Кодекса. По достижении шестнадцати лет несовершеннолетние также вправе быть членами кооперативов в соответствии с законами о кооперативах. 3. Несовершеннолетние в возрасте от четырнадцати до восемнадцати лет самостоятельно несут имущественную ответственность по сделкам, совершенным ими в соответствии с пунктами 1 и 2 настоящей статьи. За причиненный ими вред такие несовершеннолетние несут ответственность в соответствии с настоящим Кодексом. 4.
    — п. 1 ст. 26 ГК РФ

Данные ребёнка в любом случае относятся к самому ребёнку как субъекту ПД. Если ребёнок не даёт согласие сам (в силу возраста согласие за него даёт законный представитель), то применяется правило о представителе, и согласие должно быть оформлено отдельно от договора и иных документов:

  1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
    — ч. 1 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ

То есть «достаточно того, что родитель написал ФИО и дату рождения в переписке при записи» — недостаточно: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, оформленным отдельно от договора/переписки о записи. Простой заказ услуги (оферта-акцепт) создаёт основание по п. 5 ч. 1 ст. 6 ФЗ в отношении данных, минимально необходимых для исполнения договора, но данные ребёнка — а тем более избыточные сведения (дата рождения, развёрнутая переписка, записи занятий) — обрабатываются корректнее всего именно по согласию законного представителя.

Закон прямо возлагает бремя доказывания получения согласия на оператора:

  1. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
    — ч. 3 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ

Вывод: данные ребёнка обрабатывайте по отдельному согласию, которое подписывает родитель (законный представитель) как представитель ребёнка. Отдельное оформление обязательно: «сам написал при записи» не заменяет согласие и создаёт доказательственный риск при проверке Роскомнадзора. Минимальная практическая рекомендация — выдать/направить родителю отдельный текст согласия (цель, перечень данных, действия, срок, способ отзыва) и получить подтверждение его дачи.

Ответственность и прочие обязанности оператора

За неуведомление Роскомнадзора о намерении обрабатывать ПД установлен отдельный состав:

Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц - от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц - от ста тысяч до трехсот тысяч рублей. (Дополнение частью - Федеральный закон от 30.11.2024 № 420-ФЗ) 11. Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, - влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц - от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц - от одного миллиона до трех миллионов рублей. (Дополнение частью - Федеральный закон от 30.11.2024 № 420-ФЗ) 12.
— ч. 10 ст. 13.11 КоАП РФ

При этом, как самозанятый (физическое лицо, а не юрлицо), вы отвечаете по строкам «на граждан» — от 5 до 10 тысяч рублей за неуведомление. Обработка без требуемого согласия образует иной, более строгий состав:

  1. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
    — ч. 2 ст. 13.11 КоАП РФ

Дополнительно действуют принципы минимизации и ограничения срока хранения: вы не вправе хранить данные дольше, чем требуют цели обработки, и не вправе собирать избыточные данные:

  1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
    — ч. 5 ст. 5 ФЗ от 27.07.2006 № 152-ФЗ
  1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
    — ч. 7 ст. 5 ФЗ от 27.07.2006 № 152-ФЗ

Это практически означает: дата рождения и возраст ребёнка нужны для оказания услуги лишь в минимальном объёме; развёрнутая переписка и «записи о занятиях» сверх необходимого — потенциально избыточные данные, хранение которых «впрок» не должно превышать целей обработки, а по завершении сотрудничества данные подлежат уничтожению/обезличиванию (при отсутствии законных оснований их хранить, например налоговых).

Наконец, оператор обязан обеспечить доступ к политике обработки ПД:

  1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.
    — ч. 2 ст. 18.1 ФЗ от 27.07.2006 № 152-ФЗ

Вывод: при отсутствии уведомления вы рискуете штрафом по ч. 10 ст. 13.11 КоАП РФ (как гражданин — 5–10 тыс. руб.), при обработке данных ребёнка без надлежащего согласия — по ч. 2 ст. 13.11 КоАП РФ. Санкции сохраняются и в 2025 году (ч. 10 введена и действует с 30.11.2024). Рекомендуется также оформить политику обработки ПД и минимизировать состав собираемых сведений.

Да, уведомлять Роскомнадзор вы обязаны. Утверждение второго юриста о том, что самозанятые, работающие с частными лицами, освобождены от этой обязанности, не соответствует закону — такого исключения в ст. 22 ФЗ № 152-ФЗ нет.

Вы являетесь оператором персональных данных (п. 2 ст. 3 ФЗ № 152-ФЗ), поскольку самостоятельно определяете цели, состав и действия с данными учеников и их родителей. Хранение данных в таблице на ноутбуке и переписка в мессенджерах — это автоматизированная обработка (п. 4 ст. 3 ФЗ № 152-ФЗ), а значит, исключение, предусмотренное п. 8 ч. 2 ст. 22 ФЗ № 152-ФЗ (обработка исключительно без средств автоматизации), к вам не применяется. Обязанность уведомить Роскомнадзор возникает до начала обработки персональных данных (ч. 1 ст. 22 ФЗ № 152-ФЗ).

Что касается данных ребёнка: обработка на основании п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ допустима для данных, необходимых для исполнения договора; при этом действует самостоятельный принцип минимизации (ч. 5 ст. 5 ФЗ № 152-ФЗ), запрещающий избыточные данные. Для данных ребёнка, выходящих за минимально необходимые для исполнения договора (дата рождения, переписка, записи занятий), надёжнее получить отдельное согласие законного представителя (родителя) по ч. 1 ст. 9 ФЗ № 152-ФЗ; для минимально необходимых данных достаточно основания п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, отдельно от договора или переписки о записи. Простое указание родителем данных при обращении такое согласие не заменяет. Бремя доказывания получения согласия лежит на вас (ч. 3 ст. 9 ФЗ № 152-ФЗ).

За неуведомление Роскомнадзора предусмотрен штраф для граждан от 5 000 до 10 000 рублей (ч. 10 ст. 13.11 КоАП РФ), за обработку данных без надлежащего согласия — от 10 000 до 15 000 рублей (ч. 2 ст. 13.11 КоАП РФ). Санкции действуют и в 2025 году.

Дополнительно вы обязаны соблюдать принцип минимизации данных (ч. 5 ст. 5 ФЗ № 152-ФЗ) — не собирать избыточные сведения, хранить данные не дольше, чем требуют цели обработки, и уничтожать или обезличивать их по достижении целей (ч. 7 ст. 5 ФЗ № 152-ФЗ), а также обеспечить доступ к политике обработки персональных данных (ч. 2 ст. 18.1 ФЗ № 152-ФЗ).

Пошаговые действия

  1. Подайте уведомление в Роскомнадзор о намерении осуществлять обработку персональных данных. Сделайте это до начала обработки (ч. 1 ст. 22 ФЗ № 152-ФЗ). Уведомление направляется в виде документа на бумажном носителе или в форме электронного документа и должно содержать сведения, перечисленные в ч. 3 ст. 22 ФЗ № 152-ФЗ: ваши ФИО и адрес, цель обработки, описание мер защиты данных (ст. 18.1 и 19 ФЗ № 152-ФЗ), включая сведения о шифровальных средствах, если они используются.

  2. Оформите отдельное согласие на обработку персональных данных ребёнка от его законного представителя (родителя). Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, оформленным отдельно от договора или переписки (ч. 1 ст. 9 ФЗ № 152-ФЗ). Укажите в нём цель обработки, перечень данных, перечень действий с ними, срок действия согласия и порядок его отзыва. Храните подтверждение получения согласия — бремя доказывания лежит на вас (ч. 3 ст. 9 ФЗ № 152-ФЗ).

  3. Минимизируйте состав собираемых данных (ч. 5 ст. 5 ФЗ № 152-ФЗ). Оцените, действительно ли вам нужны дата рождения ребёнка, развёрнутая переписка и записи занятий. Исключите избыточные сведения, не соответствующие заявленным целям обработки.

  4. Опубликуйте или иным образом обеспечьте неограниченный доступ к политике обработки персональных данных (ч. 2 ст. 18.1 ФЗ № 152-ФЗ). Это можно сделать, например, разместив документ на вашем сайте или направляя его клиентам при заключении договора.

  5. Установите сроки хранения данных и уничтожайте их по достижении целей обработки (ч. 7 ст. 5 ФЗ № 152-ФЗ). После завершения занятий с учеником данные, которые больше не требуются для целей обработки (в том числе налоговых), подлежат уничтожению или обезличиванию.

  6. При изменении сведений, указанных в уведомлении, направьте в Роскомнадзор уведомление об изменениях не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения (ч. 7 и ч. 8 ст. 22 ФЗ № 152-ФЗ).