Короткий ответ: 152-ФЗ обязателен для всех, кто обрабатывает персональные данные не для личных нужд. Форма собственности, размер бизнеса и наличие сотрудников значения не имеют. Закон смотрит не на то, кто вы, а на то, что вы делаете с данными людей.

Ключевое понятие закона — оператор. Это государственный орган, организация или просто гражданин, который организует обработку данных людей. Самозанятый, ИП и ООО становятся операторами в равной степени — как только начинают собирать данные клиентов.

Кому точно нужно выполнять закон

«У меня маленький сайт-визитка»

Это не освобождает от закона. Размер сайта не важен — важен сам факт сбора данных. Даже одна форма «Заказать звонок», куда человек вводит имя и телефон, делает вас оператором. Другое дело, что для небольшого сайта перечень требований короче, чем для интернет-магазина с регистрацией и оплатой.

Когда закон НЕ применяется

152-ФЗ не действует, если гражданин обрабатывает данные исключительно для личных и домашних нужд — например, ведёт личную записную книжку с телефонами друзей. Но стоит начать использовать те же данные для бизнеса или передачи другим людям — и вы уже оператор.

Как понять, что вы уже оператор

Простейшая проверка: есть ли на вашем сайте форма, куда человек вводит свои данные? Если да — вы их обрабатываете, а значит закон на вас распространяется. То же касается email-рассылок, записи через мессенджеры и сбора заявок.

Что грозит за игнорирование

Многие откладывают закон «на потом», пока не приходит проверка или жалоба. За обработку данных без правовых оснований и документов предусмотрены штрафы по статье 13.11 КоАП РФ. Кроме того, Роскомнадзор может вынести предписание устранить нарушения — а это время и переделка сайта.

Чтобы не гадать, какие именно требования относятся к вашему сайту, полезно запустить автоматическую проверку — она покажет, что уже сделано, а чего не хватает.