Нужно ли мне подавать уведомление о персональных данных в Роскомнадзор?

Согласно статье 3 и статье 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» вы являетесь оператором персональных данных, поскольку в процессе своей деятельности обрабатываете персональные данные покупателей (например, ФИО, контактные данные, адреса доставки и т.п.).

Обязанность подачи уведомления о начале обработки персональных данных в Роскомнадзор возникает у всех операторов, за исключением случаев, прямо предусмотренных частью 2 статьи 22 Закона № 152-ФЗ. Исключения применимы, например, если обработка персональных данных осуществляется без использования средств автоматизации, либо данные включены в государственные информационные системы, созданные для обеспечения безопасности государства, либо обработка связана с транспортной безопасностью. Продажа товаров через маркетплейсы с использованием автоматизированных систем не подпадает под эти исключения.

Таким образом, вы обязаны подать уведомление в Роскомнадзор о намерении осуществлять обработку персональных данных. Уведомление подается один раз за время деятельности и направляется в территориальный орган Роскомнадзора по месту регистрации ИП (адрес, указанный в налоговом органе). В уведомлении необходимо указать:

наименование оператора (ФИО ИП), адрес;
цели обработки персональных данных (например, выполнение договоров купли-продажи);
категории персональных данных и субъектов данных (покупатели);
правовое основание обработки (например, исполнение договора);
перечень действий с персональными данными и способы обработки;
меры по обеспечению безопасности персональных данных;
сведения о наличии или отсутствии трансграничной передачи данных;
дату начала обработки и срок или условие прекращения обработки;
данные ответственных лиц за обработку персональных данных.
Форма уведомления утверждена Приказом Роскомнадзора от 28.10.2022 № 180. Образец и форму можно найти на официальном сайте Роскомнадзора.

Если же вы не используете автоматизированные средства обработки персональных данных (например, не ведете электронные базы данных, а только вручную обрабатываете сведения), то уведомление подавать не нужно (часть 2 ст. 22 Закона № 152-ФЗ).

Резюмируя:

Если вы обрабатываете персональные данные покупателей с использованием автоматизированных средств (электронные базы, CRM, сайты и т.п.), то обязаны подать уведомление в Роскомнадзор до начала обработки (ч. 1 ст. 22 Закона № 152-ФЗ).
Если обработка происходит исключительно без использования средств автоматизации, уведомление не требуется (ч. 2 ст. 22 Закона № 152-ФЗ).
Для точного соблюдения требований рекомендую ознакомиться с Приказом Роскомнадзора № 180 от 28.10.2022.