РКН Аудит
Сайт фрилансера с формой «Оставить заявку» — это сайт оператора персональных данных. Статья 3 152-ФЗ называет оператором и физическое лицо, а исключение для «личных и семейных нужд» из части 2 статьи 1 на работу с клиентами не распространяется. Поэтому у самозанятого дизайнера или ИП-разработчика те же базовые обязанности, что у компании: опубликовать политику (часть 2 статьи 18.1 152-ФЗ), иметь законное основание для каждой формы (статья 6 152-ФЗ), уведомить Роскомнадзор до начала обработки (статья 22 152-ФЗ), не отдавать данные клиентов в зарубежные базы (часть 5 статьи 18 152-ФЗ) и не публиковать чужие данные без согласия (статья 7 152-ФЗ). Отличаются только суммы штрафов: для граждан они в разы меньше, чем для организаций, а вот индивидуальный предприниматель по примечанию 1 к статье 13.11 КоАП за неуведомление Роскомнадзора и нарушение локализации баз отвечает как юридическое лицо.
Проверить свой сайт на нарушения 152-ФЗ — бесплатно за 30 секунд ←
Распространяется ли 152-ФЗ на фрилансера без юрлица?
Распространяется, и вопрос статуса здесь ложный. Закон определяет оператора через действия, а не через организационную форму: оператор — «государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных» (статья 3 152-ФЗ). Физическое лицо в перечне есть.
Единственное исключение для физических лиц — пункт 1 части 2 статьи 1: закон не применяется к обработке «физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных». Записная книжка с телефонами друзей — личные нужды. База заявок с сайта, счета клиентам, переписка по проектам, рассылка о новых услугах — нет: это профессиональная деятельность, и слово «исключительно» в норме отсекает любые попытки её туда подтянуть.
Что действительно зависит от статуса — размер ответственности. Статья 13.11 КоАП различает граждан, должностных лиц и юридических лиц, а в частях 2.1, 3, 4, 5, 5.1 и 6 отдельно называет индивидуальных предпринимателей со своими суммами.
Для ИП здесь есть развилка, которую легко пропустить. По общему правилу (примечание к статье 2.4 КоАП) предприниматель отвечает как должностное лицо, «если настоящим Кодексом не установлено иное». В статье 13.11 иное установлено: примечание 1 к ней прямо говорит, что за правонарушения по частям 1.1 и 8–18 индивидуальные предприниматели несут ответственность как юридические лица. В эти части попадают и неуведомление Роскомнадзора (часть 10), и нарушение локализации баз данных (части 8 и 9) — то есть именно те риски, о которых идёт речь ниже. Фрилансер без регистрации отвечает как гражданин. Подробнее о самозанятых на примере смежной профессии — в статье «Репетитор и 152-ФЗ: нужно ли согласие на данные учеников».
Что на сайте фрилансера собирает персональные данные?
Чаще, чем кажется владельцу, — и не только форма заявки. Пройдитесь по своему сайту с этой таблицей.
| Элемент сайта | Какие данные собирает | Основание по статье 6 152-ФЗ | На что обратить внимание |
|---|---|---|---|
| Форма заявки / «Обсудить проект» | Имя, телефон, email, описание задачи | Пункт 5 части 1 — заключение договора по инициативе субъекта | Согласие на саму заявку не требуется; требуется политика и точное описание, что с данными будет |
| Кнопка «Написать в Telegram / WhatsApp» | Данные уходят в мессенджер, сайт их не хранит | Обработка начинается у вас в мессенджере | Переписка с клиентами — тоже обработка; продумайте, где и сколько она хранится |
| Яндекс Метрика, пиксели соцсетей | Идентификаторы cookie, поведение, устройство | Согласие (статья 9 152-ФЗ) — для аналитики, не связанной с договором | Счётчик до согласия пользователя — типичная находка мониторинга |
| Подписка на рассылку / «Скидка за email» | Email, имя | Только предварительное согласие — статья 15 152-ФЗ | Отдельная галочка, не предотмеченная, с отдельным текстом |
| Портфолио, кейсы | ФИО, фото, должности контактных лиц, скриншоты переписки | Согласие на распространение — статья 10.1 152-ФЗ | Данные людей в кейсах либо обезличивать, либо брать отдельное согласие |
| Отзывы с именем и фото | ФИО, фото, иногда ссылка на профиль | Согласие на распространение — статья 10.1 152-ФЗ | Скриншот из мессенджера — тоже распространение |
| Договор-оферта, счета, акты | Паспортные данные, адрес, ИНН физлица | Пункт 5 части 1 — исполнение договора | Хранить столько, сколько требуют цели и законодательство о бухучёте, потом уничтожать |
| Комментарии, регистрация в личном кабинете | Email, имя, IP-адрес | Договор об использовании сервиса либо согласие | Регистрация ради регистрации — избыточные данные (часть 5 статьи 5) |
Главный принцип, который нарушают чаще всего, — часть 5 статьи 5 152-ФЗ: «обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки». Для первичной заявки достаточно имени и одного канала связи. Поле «дата рождения» или «компания и должность» в форме «Обсудить логотип» — лишнее, и объяснить его цель при проверке будет нечем.
Нужно ли фрилансеру уведомлять Роскомнадзор?
Нужно, и это самое частое открытие для тех, кто запускал сайт несколько лет назад. Часть 1 статьи 22 152-ФЗ: оператор до начала обработки обязан уведомить уполномоченный орган о своём намерении обрабатывать персональные данные.
Раньше существовало удобное исключение: можно было не уведомлять, если данные получены в связи с заключением договора с самим субъектом и используются только для его исполнения. Это исключение — как и пять соседних — утратило силу с 1 сентября 2022 года. Из части 2 статьи 22 152-ФЗ остались три случая, и ни один не подходит сайту:
- обработка исключительно без использования средств автоматизации — форма на сайте и почта это условие нарушают сразу;
- данные в государственных информационных системах, созданных для защиты безопасности государства;
- обработка в соответствии с законодательством о транспортной безопасности.
Ответственность — часть 10 статьи 13.11 КоАП: за невыполнение или несвоевременное выполнение обязанности по уведомлению штраф для граждан от 5 000 до 10 000 рублей, для юридических лиц — от 100 000 до 300 000 рублей. Индивидуальный предприниматель платит здесь как юридическое лицо — 100 000–300 000 рублей (примечание 1 к статье 13.11 КоАП). Категория «должностные лица» с её 30 000–50 000 рублей к коммерческому оператору в этой части не относится вовсе: по примечанию 2 в частях 10–18 под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации.
Уведомление подаётся через портал персональных данных Роскомнадзора с подтверждённой учётной записью Госуслуг, для физического лица и ИП — от своего имени. В нём указываются цели обработки, категории данных и субъектов, правовые основания, меры защиты и место нахождения базы данных. Пошаговая инструкция — в статье «Уведомление в РКН об обработке персональных данных». Если сайт работает давно, а уведомления нет, подать его сейчас лучше, чем ждать запроса: нарушение и так уже есть, а подача его прекращает.
Какая политика нужна и где её разместить?
Часть 2 статьи 18.1 152-ФЗ обязывает оператора, который собирает персональные данные через интернет, «опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта… с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных». Норма адресована оператору вообще — юридическим лицом он быть не обязан.
Что это значит для одностраничного сайта фрилансера:
- Политика — отдельная страница, а не абзац в подвале и не PDF, который открывается только скачиванием. Ссылка на неё должна быть рядом с каждой формой.
- Политика — своя. Скопированный документ описывает чужие формы, чужие цели и чужие подрядчики; при проверке расхождение между политикой и реальным сайтом — самостоятельная претензия. Почему копирование не работает — в статье «Можно ли скопировать политику ПДн с другого сайта».
- В политике названы реальные вещи: кто оператор (ФИО, ИНН, контакт), какие данные и с какой целью собираются, на каком основании, кому передаются (хостинг, CRM, сервис рассылок, Метрика), сколько хранятся, как субъект может запросить, изменить или удалить свои данные, и в какой срок вы ответите — 10 рабочих дней по статье 20 152-ФЗ.
Ответственность за отсутствие политики — часть 3 статьи 13.11 КоАП: граждане от 1 500 до 3 000 рублей, индивидуальные предприниматели от 10 000 до 20 000 рублей, юридические лица от 30 000 до 60 000 рублей. Суммы небольшие, но именно отсутствие или недоступность политики — то нарушение, которое автоматизированный мониторинг Роскомнадзора находит на сайте без всякого запроса. Структура документа по разделам — в статье «Политика обработки ПДн: шаблон».
Согласие или договор: что писать под формой заявки?
Здесь фрилансеры ошибаются в обе стороны: одни не ставят ничего, другие требуют «согласие на обработку персональных данных» на каждое действие. Правильный ответ зависит от цели.
Заявка на проект — согласие не нужно. Пункт 5 части 1 статьи 6 152-ФЗ допускает обработку, необходимую «для заключения договора по инициативе субъекта персональных данных». Клиент сам написал «хочу сайт» — это и есть инициатива. Под формой достаточно фразы вроде «Отправляя заявку, вы соглашаетесь с политикой обработки персональных данных» со ссылкой — это уведомление о политике, а не согласие, и предотмеченных галочек оно не требует.
Оговорка, о которой стоит знать заранее. Договорное основание — вещь внутренняя: снаружи, по одной странице, его не видно. Поэтому автоматическая проверка — и наша, и автоматизированный мониторинг — видит форму с контактными полями и без чекбокса как обработку без зафиксированного согласия и помечает её как нарушение. Юридически у вас есть чем ответить: пункт 5 части 1 статьи 6 152-ФЗ и описание обработки в оферте и политике. Но многие операторы сознательно оставляют под формой необязательный чекбокс «ознакомлен с политикой обработки персональных данных» — он не превращает основание в согласие, зато снимает вопрос и у робота, и у проверяющего. Когда чекбокс действительно обязателен, а когда нет, разобрано в статье «Форма без чекбокса согласия».
Рассылка — только с предварительного согласия. Статья 15 152-ФЗ: обработка в целях продвижения товаров, работ и услуг путём прямых контактов с потенциальным потребителем «допускается только при условии предварительного согласия субъекта», а доказывать его получение обязан оператор. Значит, галочка «Хочу получать новости и предложения» — отдельная, по умолчанию пустая, с понятным текстом. С 1 сентября 2025 года согласие по части 1 статьи 9 152-ФЗ оформляется «отдельно от иных информации и (или) документов» — вшивать его в оферту или политику нельзя.
Аналитика и трекеры — согласие. Метрика и пиксели не нужны для исполнения договора с клиентом, поэтому основание для них — согласие пользователя, и загружать их до него не следует. Требует ли Метрика согласия и как это устроено — в статье «Требует ли Яндекс.Метрика согласия по 152-ФЗ».
Обработка без законного основания — часть 1 статьи 13.11 КоАП: граждане от 10 000 до 15 000 рублей, должностные лица от 50 000 до 100 000 рублей, юридические лица от 150 000 до 300 000 рублей. Что именно сканер видит в форме без чекбокса и когда это нарушение, а когда нет, — в статье «Форма без чекбокса согласия».
Портфолио, кейсы и отзывы: что можно публиковать?
Это специфическая для фриланса зона риска: портфолио — главный инструмент продаж, и в него попадает чужая информация.
Логотип и название компании-клиента — не персональные данные. Можно ли их показывать, определяет договор с клиентом (NDA), а не 152-ФЗ.
Имя, фото и должность контактного лица, скриншоты переписки, договоры с реквизитами физлица — персональные данные. Их размещение на сайте — распространение, то есть раскрытие неопределённому кругу лиц (статья 3). Статья 7 152-ФЗ обязывает не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, а статья 10.1 требует для распространения отдельного согласия — его содержание установлено приказом Роскомнадзора от 24.02.2021 № 18 (Минюст 21.04.2021 № 63204, в силе с 01.09.2021). Обычное согласие на обработку из формы заявки его не заменяет.
Отзывы — та же логика. «Спасибо, всё отлично! — Анна, владелица кофейни» с фотографией — это распространение персональных данных Анны. Варианты: получить от неё согласие на распространение и хранить его, либо публиковать отзыв без фамилии и фото, либо ссылаться на отзыв на площадке, где Анна разместила его сама.
Работы с данными третьих лиц — макет сайта клиники с реальными фамилиями врачей, интерфейс CRM с настоящими клиентами, таблица с телефонами. Перед публикацией в кейсе такие данные заменяют вымышленными. Это простое правило закрывает большую часть претензий.
Чем рискует иностранный конструктор сайта или форм?
Часть 5 статьи 18 152-ФЗ в действующей редакции: при сборе персональных данных, в том числе через интернет, «запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона» (то есть 152-ФЗ). Исключения — обработка по международному договору, для правосудия и исполнения судебных актов, для государственных полномочий и для журналистской либо творческой деятельности; к форме заявки на сайте фрилансера ни одно из них не относится.
Для фрилансера это вопрос выбора инструментов:
- конструктор сайта с базой за рубежом, в которую сохраняются ответы форм, — нарушение при каждой заявке;
- зарубежный сервис форм или опросов, который хранит ответы у себя, — то же самое;
- зарубежный сервис рассылок — база подписчиков-граждан России за пределами страны;
- российский хостинг и российские формы — требование выполнено; зарубежные инструменты остаются там, где персональные данные в них не попадают.
Штрафы по частям 8 и 9 статьи 13.11 КоАП — самые крупные в статье, и вилка зависит от статуса:
| Кто нарушил | Часть 8 (впервые) | Часть 9 (повторно) |
|---|---|---|
| Гражданин — самозанятый без ИП | 30 000 – 50 000 ₽ | 50 000 – 100 000 ₽ |
| Должностное лицо | 100 000 – 200 000 ₽ | 500 000 – 800 000 ₽ |
| Индивидуальный предприниматель | как юридическое лицо: 1 – 6 млн ₽ | как юридическое лицо: 6 – 18 млн ₽ |
| Юридическое лицо | 1 – 6 млн ₽ | 6 – 18 млн ₽ |
Строку про ИП стоит перечитать дважды: примечание 1 к статье 13.11 КоАП переводит предпринимателя в категорию юридических лиц именно для частей 8–18, и «я же не ООО» здесь не работает. Как определить, где реально хранятся данные, и что делать с уже накопленной базой — в статье «Хранение ПДн: серверы в России».
Чек-лист аудита сайта фрилансера
Пройти его можно за час. Порядок — от того, что видно снаружи и находится автоматически, к тому, что видно только вам.
- Политика опубликована отдельной страницей, ссылка есть рядом с каждой формой, документ описывает именно ваш сайт.
- Уведомление в Роскомнадзор подано, запись в реестре есть, контакты в ней рабочие.
- Формы собирают минимум: имя и канал связи для заявки, ничего лишнего.
- Под формой заявки — ссылка на политику. Юридически обязательная галочка «согласия» на саму заявку не нужна: основание — договор. Но учтите оговорку из раздела про согласие: снаружи договорное основание не читается, и автоматическая проверка — наша и мониторинг регулятора — видит форму без чекбокса как отсутствие согласия.
- Галочка на рассылку отдельная, пустая по умолчанию, с текстом, что именно будет приходить.
- Счётчики и пиксели не загружаются до согласия посетителя.
- Хостинг, формы, CRM и рассылки хранят данные в России.
- Портфолио и отзывы не содержат чужих ФИО, фото и переписок без согласия на распространение.
- Есть канал для запросов субъектов и понимание, что ответить нужно в 10 рабочих дней.
- Старые заявки — определён срок хранения, а неактуальные удаляются, а не лежат годами в почте и таблицах.
Часть этого списка видна снаружи, без запроса документов. Бесплатная проверка на rkn-ok.ru за полминуты показывает политику и её доступность, ссылку на неё рядом с формой, чекбоксы и предотмеченные галочки, счётчики и пиксели, загруженные до согласия, а также запись в реестре операторов — последнее при условии, что на сайте или в политике указан ИНН (ещё один довод за то, чтобы его там указать). Избыточность полей в форме, сроки хранения и содержимое портфолио автоматически не проверяются — эти пункты остаются на вас, и список выше для этого и написан.
Проверить сайт фрилансера бесплатно: политика, формы, трекеры, реестр ←
Что читать дальше
- «Нужно ли уведомлять РКН, если у вас только сайт-визитка» — почему исключения статьи 22 почти не работают.
- «Репетитор и 152-ФЗ» — самозанятый как оператор на примере другой профессии.
- «Политика обработки ПДн: шаблон» — структура документа по разделам.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 1, 3, 5, 6, 7, 9, 10.1, 15, 18, 18.1, 20, 22 — consultant.ru/document/cons_doc_LAW_61801/.
- КоАП РФ, статьи 2.4 и 13.11 (включая примечания 1 и 2 к статье 13.11) — consultant.ru/document/cons_doc_LAW_34661/.
- Приказ Роскомнадзора от 24.02.2021 № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения» — publication.pravo.gov.ru/Document/View/0001202104210039.