Ответ нейросети:
Здравствуйте!
По описанной ситуации вам, скорее всего, нужно подать уведомление в Роскомнадзор. То, что ученики сами находят вас и первыми пишут в мессенджеры, от этой обязанности не освобождает. Однако подача уведомления с опозданием
не означает автоматического назначения штрафа.
Почему обязанность, вероятнее всего, есть
Имена учеников, номера телефонов, аккаунты в мессенджерах и сведения об уроках, связанные с конкретным человеком, — персональные данные. Когда вы сохраняете переписку, используете контакты для организации занятий и ведёте записи об учениках, вы обрабатываете эти данные и выступаете их оператором — независимо от наличия статуса ИП. Это следует из статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Исключение для обработки данных исключительно в личных и семейных целях здесь не подходит: данные используются для профессиональной деятельности.
Вы правильно слышали об изменении исключений. До 1 сентября 2022 года статья 22 Закона № 152-ФЗ позволяла при определённых условиях не уведомлять Роскомнадзор об обработке данных в связи с договором с самим клиентом. Федеральный закон от 14.07.2022 № 266-ФЗ это исключение отменил.
Сейчас сохраняется, в частности, исключение для обработки
исключительно без использования средств автоматизации. Но при работе с клиентскими контактами и перепиской в Telegram или WhatsApp рассчитывать на него не стоит.
Отсутствие отдельного подписанного договора также не освобождает от уведомления. При этом сама переписка об условиях занятий и их оплата могут подтверждать договорные отношения.
С какого момента нужно было уведомить и какой возможен штраф
По общему правилу уведомление подаётся
до начала обработки персональных данных — часть 1 статьи 22 Закона № 152-ФЗ. Отдельного срока «две недели после регистрации ИП» нет.
Поскольку вы работали с учениками ещё как самозанятая, обязанность могла возникнуть
до регистрации ИП, после отмены прежнего исключения. Смена налогового или предпринимательского статуса сама по себе не обнуляет историю обработки данных.
С 30 мая 2025 года за неуведомление или несвоевременное уведомление предусмотрена ответственность по
части 10 статьи 13.11 КоАП РФ. Для ИП по этой норме применяется штраф как для юридических лиц —
от 100 000 до 300 000 рублей.
Здесь важны оговорки:
-
Уведомление не влечёт штраф автоматически. Для привлечения к ответственности необходимы отдельное производство и установление состава нарушения.
- Добровольное устранение нарушения не гарантирует освобождения от ответственности, но может учитываться при рассмотрении дела.
- Поскольку ваша деятельность началась раньше введения нового штрафа, имеют значение дата возникновения обязанности, квалификация нарушения и срок давности.
Нельзя автоматически применять новый повышенный штраф к нарушению, оконченному до вступления этой нормы в силу — статья 1.7 КоАП РФ.
Поэтому надёжно оценить вероятность штрафа в процентах невозможно. Но оставлять ситуацию без исправления — не способ снизить риск.
Что сделать сейчас
1. Проверьте, есть ли вы в реестре операторов персональных данных.
Он доступен на официальном портале персональных данных Роскомнадзора. Если уведомление раньше не подавали, переходите к следующему шагу.
2. Подайте уведомление о намерении обрабатывать персональные данные.
Используйте официальную форму Роскомнадзора и предусмотренный на портале способ подачи. Это уведомление, а не заявление на получение разрешения.
Укажите реальные сведения:
- данные оператора — вас как ИП;
- цели обработки: организация занятий, заключение и исполнение договоров, расчёты;
- категории людей: ученики, а при необходимости — их родители или законные представители;
- какие данные вы действительно используете;
- способы обработки, места нахождения баз данных и меры защиты.
Не указывайте фиктивную дату начала обработки только потому, что недавно зарегистрировали ИП. Если фактическая работа с данными началась в 2022 году, это нужно учитывать при заполнении. Сохраните подтверждение подачи.
3. Приведите в порядок саму работу с данными.
Уведомление — только одна из обязанностей оператора. Для вашей практики стоит определить сроки хранения клиентских данных, ограничить доступ к переписке и устройствам, оформить политику обработки персональных данных и необходимые внутренние правила. Ответственным за организацию обработки можете быть вы сами.
Отдельное согласие ученика требуется не всегда: необходимые для заключения и исполнения договора данные могут обрабатываться на основании пункта 5 части 1 статьи 6 Закона № 152-ФЗ. Но для публикации отзывов с именами, фотографиями или скриншотами переписки нужны отдельные правовые основания.
4. Проверьте использование иностранных сервисов.
Telegram и WhatsApp требуют отдельной оценки с точки зрения локализации баз данных и возможной трансграничной передачи — статьи 18 и 12 Закона № 152-ФЗ. Подача основного уведомления сама по себе эти вопросы не решает.
Для точного вывода важны: когда именно в 2022 году вы начали занятия, какие данные храните, работаете ли с несовершеннолетними, используете ли таблицы, облачные хранилища или CRM и где находятся соответствующие базы данных.
Для точной оценки этих деталей и риска ответственности стоит обратиться к юристу.
