Нужно ли ИП оформлять приказы по направлениям деятельности и отдельно утверждать согласие и политику по персональным данным, если на сайте нет регистрации, но есть форма заявки?

Нужны ли ИП отдельные приказы по направлениям деятельности

Правовой режим ИП отличается от режима юридического лица: гражданин приобретает статус предпринимателя с момента регистрации и ведёт предпринимательскую деятельность непосредственно от своего имени.

1. Гражданин вправе заниматься предпринимательской деятельностью без образования юридического лица с момента государственной регистрации в качестве индивидуального предпринимателя, за исключением случаев, предусмотренных абзацем вторым настоящего пункта
   — п. 1 ст. 23 ГК РФ

К деятельности ИП применяются правила ГК о коммерческих организациях лишь в части, не противоречащей существу правоотношения. Это значит, что внутренняя «бюрократия» юридического лица (приказы о структуре, направлениях деятельности, распределении полномочий между работниками) сама по себе ИП не вменяется: у ИП нет обязательных органов управления, а направления деятельности отражаются не во внутренних приказах, а кодами ОКВЭД в ЕГРИП.

1. К предпринимательской деятельности граждан, осуществляемой без образования юридического лица, соответственно применяются правила настоящего Кодекса, которые регулируют деятельность юридических лиц, являющихся коммерческими организациями, если иное не вытекает из закона, иных правовых актов или существа правоотношения
   — п. 3 ст. 23 ГК РФ

Вывод: оформлять приказами «направления деятельности» ИП не обязан. Для ИП роль такого акта выполняет заявление по форме Р21001 с указанием кодов ОКВЭД, внесённых в ЕГРИП. Приказы по направлениям деятельности ИП издаёт по своему усмотрению — это не обязательный документ, и закон не связывает с их отсутствием никаких санкций. Обязательные для ИП распорядительные документы возникают лишь там, где закон прямо говорит об «операторе», «работодателе» или иной обязанности (например, в сфере персональных данных — см. блок 2).

Возникает ли у ИП статус оператора персональных данных, если сайт лишь собирает имя, телефон и e-mail

Определяющим является не наличие регистрации пользователя, а само совершение действий с персональными данными. Закон широко определяет оператора: это любое физическое лицо, которое организует и (или) осуществляет обработку ПДн и определяет её цели и состав.

1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными
   — п. 2 ст. 3 ФЗ № 152-ФЗ

К обработке отнесён, в частности, сбор и использование данных (п. 3 ст. 3 ФЗ № 152-ФЗ). Поскольку через форму заявки ИП собирает имя, телефон и e-mail посетителей и определяет, зачем он это делает, он становится оператором ПДн — независимо от того, регистрируется ли клиент, ведётся ли база и есть ли у ИП работники.

Вывод: ИП, собирающий через форму на сайте имя, телефон и e-mail, является оператором персональных данных со всеми вытекающими обязанностями, даже если пользователи не регистрируются. Добровольность заполнения формы значения не имеет: статус оператора определяется фактом обработки, а не способом её организации.

Обязан ли ИП утвердить и опубликовать на сайте политику обработки персональных данных

Политика обработки ПДн — обязательный документ для любого оператора, и её наличие прямо предусмотрено законом как одна из мер обеспечения выполнения обязанностей.

Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных
— ч. 1 ст. 18.1 ФЗ № 152-ФЗ

Обратите внимание: обязанность издать документ, определяющий политику, и локальные акты закон адресует оператору, являющемуся юридическим лицом (это относится и к назначению ответственного за организацию обработки ПДн). Однако это не освобождает ИП от политики: издание документов поименовано лишь как одна из возможных мер, а сам перечень мер оператор определяет самостоятельно с учётом существа правоотношения. Отдельной и универсальной обязанностью любого оператора является публикация политики.

1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети
   — ч. 2 ст. 18.1 ФЗ № 152-ФЗ

Здесь закон различает две ситуации. Первая — общая обязанность опубликовать политику либо иным образом обеспечить неограниченный доступ к ней и к сведениям о реализуемых требованиях к защите ПДн. Вторая прямо адресована тем операторам, которые собирают данные через интернет, и она возникла именно в описываемом случае: клиент собирает данные через форму на сайте.

1. Правительство Российской Федерации устанавливает перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами. 4. Оператор обязан представить документы и локальные акты, указанные в части 1 настоящей статьи, и (или) иным образом подтвердить принятие мер, указанных в части 1 настоящей статьи, по запросу уполномоченного органа по защите прав субъектов персональных данных. (Дополнение статьей - Федеральный закон от 25.07.2011 № 261-ФЗ) Статья 19. Меры по обеспечению безопасности персональных данных при их обработке 1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. 2. Обеспечение безопасности персональных данных достигается, в частности: 1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
   — ч. 3 ст. 18.1 ФЗ № 152-ФЗ

Вывод: да, ИП обязан иметь документ, определяющий политику обработки ПДн, и обеспечить к нему неограниченный доступ. Поскольку сбор данных идёт через сайт, закон требует опубликовать политику именно на страницах сайта, с использованием которых осуществляется сбор (то есть разместить её на сайте, а не только хранить во внутренних файлах). Обязанность привязана к сбору данных через интернет, поэтому наличие или отсутствие регистрации пользователей значения не имеет.

Нужно ли получать согласие субъекта и каким документом его оформлять

Обработка ПДн допускается только при наличии законного основания. Одно из них — согласие субъекта, другое — исполнение договора, стороной которого является субъект, либо заключение договора по его инициативе.

1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
   — п. 1 ч. 1 ст. 6 ФЗ № 152-ФЗ

1. обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных
   — п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ

Это ключевая развилка для сайта с формой заявки. Если посетитель оставляет заявку, чтобы заключить с ИП договор (заказать услугу, получить консультацию), обработка имени, телефона и e-mail оправдана и без отдельного согласия — по п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ, поскольку необходима для заключения договора по инициативе субъекта. Но если данные собираются для иных целей (рассылка, маркетинг, передача третьим лицам, аналитика), такое основание не работает и требуется согласие. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным; при этом закон допускает «любую позволяющую подтвердить факт его получения форму».

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором
— ч. 1 ст. 9 ФЗ № 152-ФЗ

1. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 4) цель обработки персональных данных; 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; 6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных
   — ч. 4 ст. 9 ФЗ № 152-ФЗ

Письменная (в том числе через электронную подпись) форма согласия с обязательным перечнем реквизитов нужна только в случаях, прямо установленных федеральным законом; для обычного сбора контактных данных на сайте достаточно способа, позволяющего подтвердить факт согласия (например, проставление галочки и фиксация техническими средствами сайта).

Согласие должно содержать следующую информацию: 1) фамилия, имя, отчество (при наличии) субъекта персональных данных; 2) контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных); 3) сведения об операторе-организации - наименование, адрес, указанный в Едином государственном реестре юридических лиц, идентификационный номер налогоплательщика, основной государственный регистрационный номер (если он известен субъекту персональных данных); сведения об операторе-физическом лице - фамилия, имя, отчество (при наличии), место жительства или место пребывания; сведения об операторе-гражданине, являющимся индивидуальным предпринимателем, - фамилия, имя, отчество (при наличии), идентификационный номер налогоплательщика, основной государственный регистрационный номер (если он известен субъекту персональных данных); 4) сведения об информационных ресурсах оператора (адрес, состоящий из наименования протокола (http или https), сервера (www), домена, имени каталога на сервере и имя файла веб-страницы), посредством которых будут осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных; 5) цель (цели) обработки персональных данных; 6) категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных
— п. 5–6 Требований, утв. Приказом Роскомнадзора № 18 от 24.02.2021

Вывод: отдельное согласие на обработку ПДн — не самоцель, а один из способов легализовать обработку. Если данные собираются исключительно для заключения и исполнения договора по инициативе клиента, достаточно информирования субъекта и наличия политики. Если хотя бы одна из целей выходит за рамки договора (рассылки, реклама, передача третьим лицам), нужно получать согласие. Форма согласия на обработку для обычных контактных данных может быть простой — достаточно механизма на сайте, который позволяет подтвердить и зафиксировать факт его получения. Требования Роскомнадзора № 18 от 24.02.2021 к содержанию обязательны для согласия на распространение данных; если распространение (публикация данных для неограниченного круга) не планируется, эти требования не применяются, но использовать их как ориентир по составу сведений целесообразно.

Сколько документов нужно — один приказ или отдельный под каждый

Закон не устанавливает требования издавать отдельный приказ под каждое направление деятельности или под каждый документ. Оператор самостоятельно определяет состав и перечень необходимых мер.

Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных
— ч. 1 ст. 18.1 ФЗ № 152-ФЗ

Как видно из этой же нормы, издание документов, определяющих политику, и локальных актов, а также назначение ответственного за организацию обработки ПДн, закон адресует оператору, являющемуся юридическим лицом. Для ИП строгий «набор приказов» из нормы прямо не вытекает — обязательным для любого оператора остаётся наличие политики и обеспечение доступа к ней. Поэтому один распорядительный документ (единый приказ ИП), которым разом утверждаются политика, форма согласия и порядок обработки, закону не противоречит и является достаточной формой фиксации. Издать несколько отдельных приказов тоже допустимо — это выбор ИП, а не требование нормы.

Вывод: отдельный приказ под каждый документ или направление деятельности не требуется — такого требования закон не содержит. ИП вправе оформить единый распорядительный акт, которым утверждаются и политика ПДн, и форма согласия. Решающее значение имеет не число приказов, а фактическое наличие политики, обеспечение к ней доступа и наличие законного основания для обработки (согласие либо договор); именно за отсутствие политики (а не за форму приказа) установлена ответственность по ч. 3 ст. 13.11 КоАП РФ.

Ответственность за отсутствие политики и согласия, уведомление Роскомнадзора и иные обязанности оператора

Нарушение законодательства о ПДн образует состав административного правонарушения с самостоятельными санкциями за разные нарушения.

1. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц - от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от тридцати тысяч до шестидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 4. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до тридцати тысяч рублей; на юридических лиц - от сорока тысяч до восьмидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 5.
   — ч. 3 ст. 13.11 КоАП РФ

1. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей
   — ч. 2 ст. 13.11 КоАП РФ

Отдельный риск связан с тем, что КоАП предъявляет ИП повышенные требования по ряду составов: за нарушения, предусмотренные частями 1.1 и 8–18 ст. 13.11, ИП отвечает как юридическое лицо (то есть по более высоким штрафам, привязанным к юрлицам).

1. За административные правонарушения, предусмотренные частями 1 1 , 8 - 18 настоящей статьи, статьями 13.31, 13.35 - 13.37, 13.39, 13.40 и 13.46 настоящего Кодекса, индивидуальные предприниматели несут административную ответственность как юридические лица
   — прим. 1 ст. 13.11 КоАП РФ, п. 1

Кроме того, у оператора есть самостоятельная обязанность уведомить Роскомнадзор о намерении обрабатывать персональные данные, но из этого правила есть исключение: уведомление не требуется, если обработка ведётся исключительно без использования средств автоматизации.

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
   — ч. 1 ст. 22 ФЗ № 152-ФЗ

1. в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства. (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 3. Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения: (В редакции Федерального закона от 25.07.2011 № 261-ФЗ) 1) наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) описание мер, предусмотренных статьями 18 1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
   — п. 8 ч. 2 ст. 22 ФЗ № 152-ФЗ

Для сайта с формой заявки обработка идёт с применением средств автоматизации (компьютерная техника, база данных сайта), поэтому исключение п. 8 ч. 2 ст. 22 ФЗ № 152-ФЗ на неё не распространяется — уведомление Роскомнадзору подаётся.

Наконец, у субъекта ПДн есть право на судебную защиту, включая возмещение убытков и компенсацию морального вреда.

1. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке
   — ч. 2 ст. 17 ФЗ № 152-ФЗ

Вывод: отсутствие опубликованной политики грозит ИП штрафом по ч. 3 ст. 13.11 КоАП РФ (для ИП — от 10 000 до 20 000 рублей), а обработка без надлежащего согласия, когда оно требуется, — по ч. 2 ст. 13.11 КоАП РФ; по ряду составов ИП отвечает как юридическое лицо. Помимо публикации политики ИП обязан до начала обработки направить уведомление в Роскомнадзор, поскольку сбор данных через форму на сайте предполагает автоматизированную обработку и под исключение п. 8 ч. 2 ст. 22 ФЗ № 152-ФЗ не подпадает. Дополнительно субъект вправе требовать в суде возмещения убытков и компенсации морального вреда. Всё это подтверждает: сбор данных через форму заявки — это полноценная обработка ПДн, требующая и политики, и уведомления Роскомнадзора, и законного основания.

Доказательства и процедура: как подтвердить согласие и что включить в документы оператора

Бремя доказывания наличия законного основания для обработки (в том числе получения согласия) закон прямо возлагает на оператора.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором
— ч. 1 ст. 9 ФЗ № 152-ФЗ

Это означает практическое требование к сайту: форма заявки должна фиксировать факт согласия техническими средствами (например, отметка о согласии, сохранение в логах даты, времени и привязки к версии политики). Без такой фиксации ИП не сможет доказать наличие основания, если субъект обратится в Роскомнадзор или в суд.

Процедурно оператор обязан до начала обработки направить уведомление в Роскомнадзор, описав принимаемые меры.

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
   — ч. 1 ст. 22 ФЗ № 152-ФЗ

1. в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства. (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 3. Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения: (В редакции Федерального закона от 25.07.2011 № 261-ФЗ) 1) наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) описание мер, предусмотренных статьями 18 1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
   — п. 8 ч. 2 ст. 22 ФЗ № 152-ФЗ

При сборе данных через сайт применяются средства автоматизации, поэтому исключение п. 8 ч. 2 ст. 22 ФЗ № 152-ФЗ не действует и уведомление подаётся. В нём среди прочего указываются цель обработки, описание мер по ст. 18.1 и 19 ФЗ № 152-ФЗ, дата начала и срок обработки.

Вывод: ИП должен не только иметь политику и основание для обработки, но и быть готовым доказать получение согласия — а значит, форма на сайте обязана фиксировать факт согласия. Процедурно уведомление в Роскомнадзор направляется до начала обработки, а в сам пакет документов оператора включаются политика, форма согласия и описание применяемых мер защиты. Если фактически согласие как основание не нужно (данные собираются только для договора), проверка смещается на наличие информирования субъекта и политики — но фиксацию лучше вести в любом случае.

Альтернативы и объём собираемых данных

Закон допускает обработку лишь при наличии основания (согласие или исполнение договора), а цели обработки должны быть законными и определёнными.

1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
   — п. 1 ч. 1 ст. 6 ФЗ № 152-ФЗ

Из этого следует, что ИП не обязан запрашивать у посетителей больше данных, чем нужно для заявленной цели. Если единственная цель — обработка заявки для заключения договора, то сбор имени, телефона и e-mail оправдан по п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ, а отказ от дополнительных полей (адрес, паспортные данные и т.п.) снижает объём обязанностей оператора и риски. Альтернативой является либо минимизация собираемых данных под цель заключения договора (тогда отдельное согласие не нужно), либо явное расширение целей с получением согласия.

Вывод: у ИП есть выбор: собирать минимум данных исключительно для обработки заявки и заключения договора (тогда основанием служит п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ, а требуются политика, информирование и уведомление Роскомнадзора), либо собирать данные для дополнительных целей (рассылки, маркетинг) с обязательным оформлением согласия. Чем уже цель и меньше объём данных, тем меньше обязанностей и рисков.

Исполнение требований субъекта и последствия выявленного нарушения

Субъект ПДн вправе требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не нужны для заявленной цели. Невыполнение этого требования в установленный срок — самостоятельное нарушение.

1. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц - от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от тридцати тысяч до шестидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 4. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до тридцати тысяч рублей; на юридических лиц - от сорока тысяч до восьмидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 5.
   — ч. 3 ст. 13.11 КоАП РФ

Если оператор не отреагировал на такое требование в срок, это образует состав по ч. 5 ст. 13.11 КоАП РФ. Кроме того, субъект вправе обратиться в Роскомнадзор или в суд.

1. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке
   — ч. 2 ст. 17 ФЗ № 152-ФЗ

Вывод: наряду с публикацией политики и уведомлением Роскомнадзора ИП обязан исполнять требования субъектов об уточнении, блокировании или уничтожении их данных в установленные законом сроки; за неисполнение грозит отдельный штраф (ч. 5 ст. 13.11 КоАП РФ). При выявлении нарушения Роскомнадзором либо по иску субъекта ИП несёт ответственность по ст. 13.11 КоАП РФ, а также обязан возместить убытки и компенсировать моральный вред (ч. 2 ст. 17 ФЗ № 152-ФЗ).