Актуальность темы. С 1 сентября 2025 г. все операторы персональных данных обязаны передавать в государственную информационную систему только обезличенную информацию. Образовательные учреждения, работающие с цифровыми платформами и онлайн-сервисами, становятся одними из главных распространителей персональных данных. В январе–сентябре 2025 г. на долю государственных организаций пришлось уже 73 % зафиксированных утечек. Как минимизировать риски и соблюсти требования 152-ФЗ и ПП № 1119, расскажем далее.
Что считается персональными данными в образовании
- Персональные данные ученика:
- ФИО, дата рождения, адрес;
- оценки, пропуски, медицинские справки, результаты тестов;
- IP-адрес, логины/пароли, cookies онлайн-платформ;
- фото/видео с уроков, голосовые сообщения;
- Персональные данные учителя:
- паспортные данные, СНИЛС, ИНН;
- трудовой договор, электронная подпись, доступ к ЕГЭ-системе;
- методические разработки, авторские курсы, личные заметки.
Нормативная база, которую нельзя игнорировать
| Нормативный акт | Ключевое требование |
|---|---|
| ФЗ-152 от | Обеспечить конфиденциальность, достоверность, необходимость и достаточность обрабатываемых данных (ст. 5, 19). |
| ПП № 1119 от | Определить технические меры: шифрование, разграничение прав доступа, логирование действий. |
| Приказы Роскомнадзора 2025 г. | Обязать использовать обезличивание (псевдонимизацию или анонимизацию) до передачи данных в госИС. |
Три главные угрозы в 2025 году
- Утечка через внешние онлайн-платформы. Каждое онлайн-занятие, тест или домашнее задание оставляет цифровой след. Если сервис не прошёл российскую сертификацию (ФСТЭК/ФСБ), вероятен экспорт данных за границу.
- Внутренний человеческий фактор. Более 40 % инцидентов связаны с ошибками персонала: слабые пароли, флешки без шифрования, доступ через личные устройства.
- Фишинг и социальная инженерия. Письма «от Минобрнауки» или «платформа Zoom» с просьбой «срочно сменить пароль» заставляют преподавателей и учеников раздавать логины добровольно.
Пошаговый план защиты для школы и ВУЗа
Шаг 1. Инвентаризация данных
Составьте реестр информационных систем:
- Электронный журнал (1С:Школа, МЭШ, ЯКласс);
- Платформа видеоконференций (ZoomGov, Webinar.ru);
- Сервисы тестирования (Яндекс.Контест, SkySmart);
- Облачные хранилища (Mail.ru Cloud, МойОфис).
Шаг 2. Обезличивание и псевдонимизация
Вместо ФИО ученика используйте уникальный ID. Для учителей — кодовые имена в открытых отчётах. Пример:
Ученик: ID_2026_АБВ Учитель: TCH_Химия_42
Шаг 3. Технические меры
| Мера | Инструмент | Ответственный |
|---|---|---|
| Шифрование базы данных | Transparent Data Encryption (TDE), BitLocker | Системный администратор |
| Многофакторная авторизация | КЭП + SMS, Google Authenticator | Заместитель директора по ИТ |
| Резервные копии | Ежедневное инкрементное копирование на защищённый NAS | Оператор системы |
Шаг 4. Организационные меры
- Приказ директора «О защите персональных данных обучающихся и работников»;
- Политика паролей (не менее , менять каждые 90 дней);
- Обучающие тренинги 1 раз в квартал по теме «Фишинг и социальная инженерия»;
- Аудит по чек-листу Роскомнадзора 2 раза в год.
Чек-лист для учителя: 6 правил безопасности
- Не используйте личные аккаунты для проведения уроков. Заведите рабочий профиль с двухфакторной авторизацией.
- Проверяйте ссылку на вебинар — только официальный домен школы (.edu.ru).
- Не размещайте фото класса в открытом доступе без согласия родителей (ст. 152.1 ГК РФ).
- Шифруйте флешки и ноутбуки программой VeraCrypt.
- Храните пароли в менеджере Bitwarden, а не в блокноте.
- Немедленно сообщайте в отдел ИТ о подозрительных письмах и звонках;
Чек-лист для родителя и ученика
Родитель:
- Ознакомьтесь с соглашением об обработке персональных данных школы (подписывается 1 раз в год).
- Требуйте информированного согласия перед фото/видеосъёмкой ребёнка.
- Установите на домашний компьютер антивирус и VPN с российской лицензией.
Ученик:
- Не делитесь логином и паролем от личного кабинета даже с лучшим другом.
- Проверяйте URL перед вводом данных: должен быть https:// и домен школы.
- Не загружайте посторонние расширения в браузер, особенно «помощники» для ЕГЭ.
Что делать при инциденте
Зафиксируйте время и характер утечки (скриншоты, логи).
В течение 24 часов сообщите оператору (замдиректора по ИТ) и Роскомнадзор.
Проинформируйте пострадавших (учеников, родителей, учителей) в течение 72 часов (ст. 19 152-ФЗ).
Проведите внутреннее расследование и устраните уязвимость.
Тренды и рекомендации до 2027 года
- Концепция отраслевых стандартов Роскомнадзора вводит обязательные типовые решения по защите персональных данных для школ.
- Федеральный реестр обезличенных данных будет внедрён до конца 2026 г. — проверьте, что ваше ПО уже поддерживает формат JSON-LD для экспорта.
- Гибкий подход к обезличиванию: разрешены криптографические хеши (SHA-256) и детерминированные псевдонимы, а не только полное удаление имени.
ИТОГ: 5 ключевых действий прямо сегодня
- Подготовьте реестр ИС и персональных данных.
- Внедрите двухфакторную авторизацию во всех онлайн-сервисах.
- Обучите персонал за 1 час онлайн-курса по фишингу (есть бесплатные от Минцифры).
- Проверьте договоры с подрядчиками — должна быть ответственность за утечку.
- Назначьте ответственного за защиту персональных данных и утвердите политику обработки.
Соблюдение этих шагов позволит не только избежать штрафов до 300 000 руб. (ст. 13.11 КоАП), но и создаст доверительную цифровую средту для учеников и учителей.