Договор с самозанятым и персональные данные

Самозанятый по ФЗ-422 не может нанимать работников и перепродавать чужие товары, но это не отменяет другого: подписывая договор, заказчик получает персональные данные исполнителя — ФИО, ИНН, паспорт, реквизиты, контакты. С этого момента он становится оператором ПДн со всеми обязанностями по 152-ФЗ: согласие до начала обработки, заявленные цели, хранение на серверах в России, удаление по требованию субъекта. Ошибки в договоре оборачиваются штрафами, претензиями Роскомнадзора и спорами при утечке.

Разберём, что именно требует 152-ФЗ от заказчика, как оформить согласие — отдельным документом или пунктом договора, какие данные самозанятого допустимо включать, а какие избыточны. Отдельно — обезличивание и минимизация, хранение и удаление данных после расторжения, распределение ответственности за утечку между сторонами и случаи, когда нужно уведомлять Роскомнадзор. В конце — чек-лист, по которому можно проверить договор до подписания.

Персональные данные в договоре с самозанятым: что требует 152-ФЗ

Как только вы вписываете в договор ФИО, паспортные данные, адрес регистрации или номер телефона исполнителя, вы становитесь оператором персональных данных. Это не метафора и не юридическая натяжка: по 152-ФЗ оператором считается любое лицо, которое организует и осуществляет обработку персональных данных. Малый бизнес и ИП под это определение попадают наравне с корпорациями, и никакого порога «мы слишком маленькие» в законе нет.

Ключевые обязанности оператора по 152-ФЗ, которые касаются договора с самозанятым:

• получить согласие субъекта до начала обработки — то есть до того, как вы внесли данные в договор, CRM или бухгалтерию;
• обрабатывать данные только для заявленных целей — если в согласии написано «для оформления договора», использовать тот же телефон для рекламных рассылок нельзя;
• хранить персональные данные граждан РФ на серверах в России (ч. 5 ст. 18) — это касается и облачных CRM, и зарубежных сервисов для подписания документов;
• обеспечить субъекту возможность отозвать согласие и потребовать удаления данных.

Практический нюанс: самозанятый в договоре выступает одновременно и субъектом персональных данных (его ФИО, паспорт, счёт), и стороной сделки. Это порождает путаницу — многие считают, что раз данные нужны для договора, то согласие не требуется. Это не так. Основание обработки (исполнение договора) и согласие — разные правовые конструкции, и для ряда операций одного договора недостаточно.

Отдельно про статус самозанятого. Плательщик НПД — это физлицо, а не организация, поэтому его данные защищены 152-ФЗ в полном объёме, как данные любого гражданина. Ссылка «он же ИП-подобный статус» здесь не работает: НПД регулируется ФЗ-422, а защита данных — ФЗ-152, и одно другого не отменяет.

Согласие на обработку данных: отдельный документ или пункт договора

Оба варианта законны, но у каждого своя цена в случае спора. Согласие — это отдельное юридически значимое действие субъекта, и 152-ФЗ требует, чтобы оно было конкретным, предметным и информированным. Формально его можно оформить пунктом договора, но тогда этот пункт должен содержать всё то же, что и отдельный документ.

Что обязательно должно быть в согласии, независимо от формы:

1. ФИО и паспортные данные субъекта (или иной идентификатор).
2. Перечень данных, которые вы обрабатываете: ФИО, телефон, адрес, паспорт, банковские реквизиты, ИНН.
3. Цели обработки — оформление и исполнение договора, расчёты, налоговый учёт.
4. Перечень действий с данными: сбор, запись, хранение, использование, передача (кому именно — банку, бухгалтерии, ФНС).
5. Срок действия согласия и порядок отзыва.
6. Подпись и дата.

Если выбираете вариант «пункт в договоре», вынесите согласие в отдельный блок с заголовком «Согласие на обработку персональных данных» и отдельной строкой для подписи — так проще доказать, что субъект осознанно его дал, а не подписал общий текст договора не глядя.

Электронная форма согласия допустима, но должна позволять достоверно установить, кто её дал. Простая галочка в веб-форме без логирования IP и времени в спорах работает плохо.

Какие данные самозанятого можно и нельзя включать в договор

Принцип простой: включайте только то, без чего договор не исполняется и не проводится по учёту. Всё остальное — лишний риск и нарушение принципа минимизации.

Можно и нужно:

• ФИО полностью — для идентификации стороны и чека в «Мой налог»;
• ИНН — для налогового учёта и проверки статуса плательщика НПД;
• банковские реквизиты для оплаты — счёт, БИК, но не полные данные карты;
• контактный телефон и email — для связи по договору;
• адрес — если он нужен для направления документов или определения места исполнения.

Нельзя или рискованно:

• серия и номер паспорта «на всякий случай» — если вы не обязаны проверять личность по закону, эти данные избыточны;
• данные о семейном положении, здоровье, вероисповедании — это специальные категории, их обработка требует особых оснований;
• СНИЛС — нужен только в узких случаях, для договора ГПХ с самозанятым обычно не требуется;
• фото и сканы документов, если достаточно ввести номер вручную;
• данные третьих лиц (супругов, детей, водителей), которые не являются стороной договора.

Отдельная ловушка — копия паспорта. Многие заказчики требуют её «для бухгалтерии». Если самозанятый отказывается, он прав: закон не обязывает его передавать скан паспорта заказчику для обычного договора оказания услуг. Достаточно указать паспортные данные в тексте или приложении, если это действительно необходимо для идентификации.

Ещё один момент — проверка статуса. Чтобы убедиться, что исполнитель действительно плательщик НПД, достаточно запросить справку из «Мой налог» или проверить его через сервис ФНС. Для этого не нужны ни паспорт, ни СНИЛС — только ИНН.

Обезличивание и минимизация: как сократить объём собираемых данных

Минимизация — это не бюрократия ради галочки, а способ снизить последствия утечки. Чем меньше данных вы храните, тем меньше ущерб, если они всё-таки утекут. Логика простая: нельзя потерять то, чего у вас нет.

Практические шаги по сокращению объёма:

1. Проведите инвентаризацию. Выпишите все поля, которые сейчас собираете у самозанятых: договор, акты, анкеты, CRM, бухгалтерия. Напротив каждого поля поставьте цель обработки. Если цели нет — поле лишнее.
2. Замените хранение на запрос. Если данные нужны раз в год для отчёта, не храните их постоянно — запрашивайте у исполнителя по мере необходимости.
3. Обезличьте там, где личность не нужна. Для аналитики по объёмам работ, статистики по подрядчикам и внутренних отчётов достаточно идентификатора вместо ФИО. Обезличенные данные вообще выводятся из-под действия 152-ФЗ.
4. Уберите дубли. Один и тот же телефон в договоре, в CRM и в мессенджере — это три места, где он может утечь. Сведите к одному источнику.
5. Ограничьте доступ сотрудникам. Бухгалтеру не нужен адрес исполнителя, если он не отправляет туда документы. Настройте права в CRM по ролям.

Отдельно про обезличивание. Это обработка, при которой невозможно определить принадлежность данных конкретному человеку без дополнительной информации. Пример: вы ведёте статистику «средний чек по категории услуг» без привязки к конкретным исполнителям. Такие данные можно хранить и использовать свободно — они не персональные.

Важно не путать обезличивание с псевдонимизацией. Если вы заменили ФИО на код, но где-то рядом лежит таблица соответствия кодов и имён — это всё ещё персональные данные, и требования 152-ФЗ действуют в полном объёме. Настоящее обезличивание — это когда восстановить связь с человеком невозможно в принципе.

Для малого бизнеса рабочий минимум: ФИО, ИНН, контакт для связи, реквизиты для оплаты. Всё остальное добавляйте только под конкретную задачу и с обоснованием.

Хранение и удаление данных после расторжения договора

Договор закончился, но данные остались. Это нормально и даже обязательно — но не бессрочно. Сроки хранения персональных данных в договоре с самозанятым определяются не желанием заказчика, а требованиями налогового и бухгалтерского учёта.

Базовые сроки, на которые ориентируются на практике:

• документы по договорам с исполнителями — обычно не менее 5 лет после окончания года, в котором договор исполнен (для налоговой проверки);
• документы по расчётам с физлицами, включая НПД-чеки, — тот же горизонт;
• если есть спор или проверка — до полного завершения разбирательства.

Что делать по шагам, когда договор расторгнут:

1. Определите, какие данные ещё обязаны храниться по налоговым и бухгалтерским правилам. Эти данные удалять нельзя, даже если самозанятый требует.
2. Остальные данные (контакты для рассылок, анкеты, лишние сканы) удалите или обезличьте.
3. Зафиксируйте удаление — акт, выгрузка из системы, лог. Это доказательство, если субъект пожалуется в РКН.
4. Уведомите самозанятого, если он подавал заявление об отзыве согласия, — в разумный срок, обычно до 30 дней.
5. Проверьте резервные копии — данные должны удаляться и оттуда, иначе удаление фиктивно.

Нюанс: если самозанятый отзывает согласие, но вы обязаны хранить данные по налоговому законодательству, вы вправе продолжить обработку в части, необходимой для исполнения закона. Это не нарушение — 152-ФЗ прямо допускает обработку без согласия, когда она требуется по закону. Но использовать эти данные для других целей (реклама, рассылки) уже нельзя.

Ещё один момент — прекращение обработки по требованию субъекта. Если данных для хранения по закону нет, вы обязаны прекратить обработку и уничтожить данные в срок, не превышающий 30 дней с даты обращения, если иное не предусмотрено договором или законом.

Ответственность за утечку: кто платит — заказчик или самозанятый

Ответственность за персональные данные лежит на операторе, а оператор — это тот, кто организует обработку. В договоре с самозанятым оператором почти всегда выступает заказчик: он собирает данные, хранит их, передаёт в бухгалтерию и налоговую. Самозанятый в этой схеме — субъект данных, а не оператор.

Это значит, что за утечку из вашей CRM, из бухгалтерской программы или из облачного сервиса отвечаете вы, а не исполнитель. Даже если данные утекли по вине подрядчика, к которому вы их передали, — оператором остаётесь вы, и разбираться с последствиями тоже вам.

Что грозит оператору за нарушения по 152-ФЗ:

• штрафы за обработку без согласия или с нарушениями — для малого бизнеса суммы ощутимые, для повторных нарушений — кратно выше;
• штрафы за неуведомление Роскомнадзора о начале обработки;
• штрафы за нарушение требований о локализации данных (хранение за рубежом);
• отдельные повышенные штрафы за утечку персональных данных.

Точные суммы штрафов регулярно меняются — смотрите актуальные значения в КоАП или у юриста перед проверкой. Важнее другое: ответственность нельзя переложить на самозанятого пунктом договора. Можно прописать обязанность исполнителя не разглашать данные, которые он получает от вас (например, данные ваших клиентов), и взыскивать с него убытки в порядке регресса — но перед РКН и перед субъектом отвечать будете вы.

Обратная ситуация: самозанятый передал вам данные третьих лиц (своих клиентов, помощников) без их согласия. Здесь уже он нарушил закон как оператор, и риски ложатся на него. Ваша задача — не принимать такие данные и прописать в договоре запрет на их передачу без подтверждённого согласия.

Практический вывод: не рассчитывайте закрыть риски утечки договором с исполнителем. Закрывайте их технически — минимизацией данных, ограничением доступа и хранением на серверах в РФ.

Уведомление Роскомнадзора: когда заказчику нужно подавать

Уведомление Роскомнадзора о начале обработки персональных данных — обязанность оператора. Многие малые компании и ИП её игнорируют, ошибочно считая, что «мы маленькие». Это заблуждение: исключения в законе узкие, и большинство бизнесов под них не подпадает.

Когда уведомление подавать нужно:

• вы собираете и обрабатываете персональные данные самозанятых, клиентов, сотрудников;
• вы используете CRM, бухгалтерские программы, облачные сервисы для хранения данных;
• вы передаёте данные третьим лицам — банкам, бухгалтерии на аутсорсе, сервисам рассылок.

Когда можно не подавать (узкие исключения):

• данные обрабатываются исключительно без средств автоматизации — то есть в бумажном виде, без компьютеров и программ;
• данные используются только для исполнения договора с субъектом и не передаются третьим лицам и не распространяются;
• обрабатываются только общедоступные данные.

На практике второе исключение почти никого не спасает: как только вы завели данные самозанятого в Excel, 1С или CRM, обработка стала автоматизированной. А если вы отправляете данные в банк для платежа или в ФНС — это уже передача третьим лицам.

Порядок подачи:

1. Заполните форму уведомления на сайте Роскомнадзора — там есть электронный конструктор.
2. Укажите цели обработки, категории данных, категории субъектов, перечень действий, срок хранения, меры защиты.
3. Опишите, где хранятся данные — важно указать серверы в РФ.
4. Подайте через личный кабинет или на бумаге.
5. Дождитесь внесения в реестр операторов.

Уведомление подаётся до начала обработки. Если вы уже обрабатываете данные, а уведомление не подавали, — подайте сейчас, это лучше, чем ждать проверки. При изменении сведений (новые цели, новые категории данных, смена места хранения) уведомление подаётся повторно.

Отдельно: уведомление о намерении обрабатывать данные и уведомление об уже начатой обработке — не одно и то же. Если обработка началась до подачи, в уведомлении это отражается, и штраф за просрочку может быть наложен.

Что проверить в договоре до подписания: чек-лист по персональным данным

Перед подписанием договора с самозанятым пройдитесь по этому списку. Каждый пункт — конкретное действие, а не абстрактное «убедиться в законности».

1. Проверьте перечень данных. Выпишите все поля, которые собираете у исполнителя. Напротив каждого — цель обработки. Поля без цели вычеркните.
2. Убедитесь, что согласие оформлено. Отдельным документом или отдельным блоком в договоре с подписью. Согласие должно быть до начала обработки, а не задним числом.
3. Проверьте формулировки целей. «Для исполнения договора» — ок. «Для любых целей, связанных с деятельностью заказчика» — нет, такая формулировка неконкретна и уязвима.
4. Проверьте место хранения данных. Если используете зарубежный сервис — данные граждан РФ должны храниться на серверах в России (ч. 5 ст. 18 152-ФЗ). Иностранные облака для основной базы не подходят.
5. Проверьте, кому передаются данные. Банк, бухгалтерия, сервис рассылок — все они должны быть указаны в согласии или в договоре.
6. Проверьте срок хранения. Он должен быть обоснован: налоговые сроки, сроки исковой давности. «Бессрочно» — плохая формулировка.
7. Проверьте порядок отзыва согласия. Должно быть понятно, куда и как самозанятый подаёт заявление и что вы делаете дальше.
8. Проверьте, подано ли уведомление в РКН. Если нет — подайте до начала работы с данными.
9. Проверьте доступ сотрудников. Кто из ваших людей видит данные самозанятых и зачем. Лишние доступы закройте.
10. Проверьте резервные копии. Данные должны удаляться и из бэкапов, иначе удаление неполное.

Если по итогам проверки вы нашли пробелы — не откладывайте. Начните с двух самых критичных: согласие до начала обработки и хранение на серверах в РФ. Это те нарушения, которые проверяются в первую очередь и по которым штрафы наиболее вероятны.

Для типового договора с самозанятым на небольшие суммы достаточно: ФИО, ИНН, контакт для связи, реквизиты для оплаты и корректное согласие. Всё остальное — под конкретную задачу, с обоснованием и сроком хранения.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.