Какие документы по персональным данным нужны ИП с тремя сотрудниками: минимальный комплект?

Первый: уведомление в Роскомнадзор (ст. 22), подробно Q134. Второй: политика в отношении обработки персональных данных. Обязанность издавать её п. 2 ч. 1 ст. 18.1 адресует оператору-юрлицу, но ч. 2 ст. 18.1 обязывает любого оператора опубликовать политику, а за неопубликование для ИП установлен отдельный штраф 10–20 тыс. рублей (ч. 3 ст. 13.11 КоАП РФ), поэтому политика нужна и ИП; если есть сайт с формой, она размещается на сайте. Третий: согласия там, где нет другого основания. Для работников согласие на кадровый учёт не нужно (п. 2 ч. 1 ст. 6; Q20), для клиентов по договору тоже (п. 5 ч. 1 ст. 6); согласие нужно на рассылки, на передачу данных третьим лицам вне договора, на публикацию (ст. 10.1), и с 01.09.2025 оно оформляется отдельным документом (ч. 1 ст. 9; Q04). Четвёртый: приказ или распоряжение ИП с перечнем лиц, допущенных к данным (п. 13 ПП № 1119 требует утверждённого перечня для любого уровня защищённости), и с назначением ответственного, если ИП решил его назначить (Q136). Пятый: документ об уровне защищённости информационной системы (Q16): у ИП с тремя работниками и клиентской базой без данных о здоровье и биометрии это обычно УЗ-4 (п. 12 ПП № 1119: угрозы 3-го типа, иные категории, менее 100 тыс. субъектов), для него достаточно режима помещения, сохранности носителей, перечня допущенных лиц и сертифицированных средств защиты, если без них не закрыть актуальные угрозы (п. 13). Шестой: акты уничтожения по приказу РКН № 179 (Q15), они появляются по мере уничтожения данных, например резюме отказников или данных уволенных.

Кроме того, работников нужно ознакомить с политикой и правилами под подпись (п. 6 ч. 1 ст. 18.1; п. 8 ст. 86 ТК РФ), а если бумажные анкеты или журналы ведутся, их формы должны соответствовать п. 7 ПП № 687. Отдельной памятки Роскомнадзора для ИП и малого бизнеса при сверке не найдено; перечень выше собран из норм закона.

Практические шаги: завести папку «Персональные данные» с шестью разделами; политику писать от реальных процессов (Q137); согласия на рассылку собирать отдельной галочкой с текстом; раз в год пересматривать перечень допущенных и проверять, что в уведомлении указаны все цели и актуальное место базы.