Утечка персональных данных учащихся – серьезное нарушение‚ которое влечет за собой как административную‚ так и уголовную ответственность. В статье подробно описаны правовые основания‚ порядок подготовки и подачи уведомления в Роскомнадзор‚ а также рекомендации для школ‚ родителей и ответственных лиц.

Что считается утечкой данных школьников?

Утечкой (инцидентом) считается любое несанкционированное раскрытие‚ изменение‚ удаление или доступ к персональным данным учащихся‚ в т.ч.:

• ФИО‚ дата рождения‚ адрес проживания;
• Контактные телефоны и электронные почты родителей;
• Оценки‚ медицинские сведения‚ сведения о посещаемости;
• Фотографии и видеоматериалы‚ сделанные в школьных условиях.

Важно помнить‚ что даже если данные попали в публичный доступ случайно (например‚ через несоблюдение правил работы с электронными журналами)‚ это уже считается утечкой.

Правовая база

Основные нормативные акты‚ регулирующие обработку и защиту персональных данных в России:

1. Федеральный закон № 152‑ФЗ «О персональных данных» (части 1 и 2 ст. 22‚ ст. 23).
2. Приказ Роскомнадзора № 706 от  г. «Об утверждении методических рекомендаций по заполнению уведомления об обработке персональных данных».
3. Приказ Роскомнадзора № 3‑н от  г. «Об утверждении формы уведомления об обработке персональных данных» (в т.ч. в электронном виде).
4. Приказ Минобрнауки РФ от  г. «О порядке получения согласия родителей на обработку персональных данных несовершеннолетних учащихся».

Когда необходимо уведомлять Роскомнадзор?

Согласно ст. 22 ч. 1 152‑ФЗ‚ оператор (школа‚ ИТ‑компания‚ поставщик сервисов) обязан сообщить Роскомнадзору о факте утечки персональных данных в течение 72 часов с момента её обнаружения‚ если утечка может повлечь за собой:

• Нарушение прав и свобод физических лиц;
• Ущерб их имуществу;
• Создание угрозы жизни и здоровью.

Если утечка произошла в результате нарушения требований к технической защите (п. 60 методических рекомендаций)‚ уведомление также обязательно.

Какие документы нужно подготовить?

Ниже перечислены обязательные и рекомендованные материалы:

1. Заявление‑уведомление (форма № 1 по приказу № 3‑н).
2. Описание инцидента (что произошло‚ когда‚ как было обнаружено).
3. Перечень затронутых персональных данных (фИО‚ классы‚ типы данных).
4. Оценка масштабов ущерба (количество пострадавших‚ возможные последствия).
5. Меры‚ принятые для локализации и устранения утечки (технические и организационные).
6. План дальнейших действий (повторный аудит‚ обучение персонала).
7. Копия согласия родителей (если утечка касается несовершеннолетних) – обязательно в случае‚ когда обработка данных проводится без согласия.
8. Протокол внутреннего расследования (при наличии).

Пошаговая инструкция подачи уведомления в Роскомнадзор

Шаг 1. Сбор информации

Сразу после обнаружения утечки сформируйте внутреннюю группу (директор‚ ИТ‑специалист‚ юрист). Зафиксируйте:

• Дата и время обнаружения;
• Технические детали (какой сервис‚ какая база данных‚ какие уязвимости использовались);
• Список пострадавших (по классам‚ группам‚ отдельным ученикам).

Шаг 2. Оценка риска

Определите‚ какие последствия могут возникнуть у учащихся (компрометация личных данных‚ возможность кибербуллинга‚ утрата доверия). При необходимости привлеките независимого аудитора.

Шаг 3. Подготовка формы уведомления

Скачайте актуальную форму на официальном сайте Роскомнадзора (rkn.gov.ru) и заполните её в электронном виде. Важно:

• Указать полные реквизиты оператора (полное наименование‚ ИНН‚ ОГРН‚ контактный телефон).
• Отметить тип данных («персональные данные несовершеннолетних»).
• Подробно описать факт утечки (см. пункт 2‑го списка выше).
• Приложить список документов из раздела 4.

Шаг 4. Электронная отправка

Зайдите в Личный кабинет оператора на портале portal.rkn.gov.ru. После входа:

1. Выберите раздел «Уведомления об обработке персональных данных»;
2. Нажмите «Создать новое уведомление»;
3. Загрузите заполненную форму и приложенные документы;
4. Подтвердите отправку цифровой подписью (если у организации есть ЭЦП) или через СМС‑код.

Шаг 5. Подтверждение и дальнейшие действия

После отправки вы получите регистрационный номер и подтверждение о получении. Сохраните его – он понадобится при общении с инспекторами Роскомнадзора.

Шаг 6. Информирование родителей и учащихся

Согласно ст. 23 152‑ФЗ‚ оператор обязан сообщить субъектам персональных данных (в данном случае – ученикам и их законным представителям) о факте утечки в разумные сроки. Рекомендованный шаблон письма:

Уважаемые родители и законные представители‚
Сообщаем‚ что г. в нашей школе произошел инцидент‚ в результате которого могли быть раскрыты персональные данные ваших детей (ФИО‚ класс‚ контактные телефоны). Мы уже приняли меры по локализации утечки и уведомили Роскомнадзор. Приносим извинения и гарантируем дальнейшее усиление защиты данных.
С уважением‚
[ФИО директора]‚ директор школы
[Контактный телефон]

Как оформить согласие родителей заранее

Для снижения риска административных штрафов рекомендуется собрать согласие заранее (до начала учебного года). Примерный порядок:

1. Разработать форму согласия в соответствии с Приказом Минобрнауки от  г.
2. Разослать форму родителям через электронную почту/мессенджер и разместить в личном кабинете родителей.
3. Получить подписи (электронные или печатные) и сохранить в архиве (цифровом и бумажном).
4. Внести сведения о полученных согласиях в реестр обработки персональных данных школы.

Что делать после подачи уведомления?

• Мониторинг статуса – проверяйте в личном кабинете наличие запросов от Роскомнадзора.
• Внутренний аудит – проведите повторный аудит ИТ‑инфраструктуры‚ устраните выявленные уязвимости.
• Обучение персонала – проведите тренинг по безопасности данных для учителей‚ администраторов и обслуживающего персонала.
• Документирование – оформите акт о завершении расследования и передайте его в архив.
• Обратная связь – при необходимости подготовьте разъяснения для Роскомнадзора в течение 30 дней с даты получения запроса.

Часто задаваемые вопросы (FAQ)

Вопрос: Нужно ли платить штраф‚ если уведомление подано в срок?

Само по себе подача уведомления не освобождает от ответственности за нарушение требований к защите данных. Если после расследования будет установлено‚ что школа не обеспечивала надлежащую техническую защиту‚ может быть наложен штраф (от 5 000 руб. до 500 000 руб. в зависимости от тяжести нарушения).

Вопрос: Можно ли подать уведомление по телефону?

Нет. По закону уведомление должно быть подано в письменной форме (бумажной или электронной). Телефонный звонок может рассматриваться лишь как предварительное сообщение‚ но не заменяет официального уведомления.

Вопрос: Что делать‚ если у школы нет ЭЦП?

В таком случае уведомление можно подписать обычной печатью и отсканировать документ. При этом в личном кабинете необходимо загрузить скан с подписью и печатью‚ а также приложить оригиналы в бумажном виде в течение 5 рабочих дней после отправки электронного варианта.

Вопрос: Как доказать‚ что утечка произошла именно в школе‚ а не в стороннем сервисе?

Требуется провести форензик‑анализ журналов доступа‚ IP‑адресов‚ временных меток. Вывести отчет‚ где будет указано‚ какие учетные записи и откуда осуществляли доступ к базе данных. Такой отчет считается доказательной базой.

Утечка персональных данных школьников – ситуация‚ требующая быстрой и четкой реакции. Соблюдение законодательных сроков‚ правильное оформление уведомления и информирование родителей позволяют минимизировать последствия и избежать серьезных штрафов. Регулярный аудит‚ обучение персонала и наличие согласий родителей являются лучшей профилактикой подобных инцидентов.

Помните: профилактика лучше‚ чем реакция. Инвестируйте в безопасность данных уже сегодня‚ чтобы завтра не пришлось объяснять утечку.

Автор статьи: Ваш полезный помощник. Дата публикации: .