Нужно ли назначать ответственного за обработку персональных данных, если ИП работает один?

При этом функции ответственного никуда не исчезают: кто-то должен принимать запросы субъектов и отвечать на них в 10 рабочих дней (ч. 1 ст. 20), следить за соблюдением закона, знакомить работников с правилами (ч. 4 ст. 22.1 описывает это для юрлиц, но сами обязанности лежат на операторе по ст. 18.1, 20, 21). Для ИП без работников всё это делает он сам. В форме уведомления Роскомнадзора сведения об ответственном лице обязательны (п. 7.1 ч. 3 ст. 22), поэтому ИП указывает в этом поле себя: ФИО, телефон, почтовый и электронный адрес.

Если у ИП есть работники и обработка идёт в информационной системе уровня защищённости УЗ-3 и выше, ПП № 1119 требует назначить должностное лицо, ответственное за безопасность данных в системе (п. 14); для УЗ-4, типичного для малого бизнеса, такого требования нет (п. 13). Это другая роль (безопасность, а не организация обработки), но на практике ИП совмещает обе в одном лице.

Практические шаги: в уведомлении и политике указать себя как ответственного и контакт для запросов субъектов; если работники есть, распоряжением закрепить, кто принимает запросы в отсутствие ИП, и включить его в перечень допущенных лиц; приказ «о назначении ответственного» по образцу для ООО не вреден, но и не обязателен.