22 апреля 2026 г., образовательные организации в России обязаны соблюдать жёсткие требования по защите персональных данных (ПДн) своих воспитанников и их законных представителей. Нарушение этих требований влечёт за собой административную, гражданско-правовую и уголовную ответственность, вплоть до миллионных штрафов и уголовных наказаний.
Нормативно-правовая база
- Федеральный закон № 152-ФЗ «О персональных данных» (от ) — основной документ, регулирующий обработку ПДн.
- КоАП РФ, ст. 13.11 — предусматривает штрафы за незаконную обработку и утечку ПДн.
- ФЗ-273 «Об образовании в РФ» и приказы Минпросвещения — вводят специальные обязанности операторам ПДн в сфере образования.
Кто является оператором ПДн в школе?
Оператором персональных данных выступает руководитель образовательного учреждения (или уполномоченное им лицо). Например, МБУ ДО «ОБЕЗЛИЧЕНО» является оператором, который:
- собирает и хранит сведения об учащихся и их законных представителях;
- определяет цели обработки ПДн в Уставе школы;
- обеспечивает техническую и организационную защиту информации.
Основные запреты и обязанности
Запрещено:
- передавать ПДн третьим лицам без письменного согласия родителя/опекуна;
- хранить данные на незащищённых носителях (флеш-накопители, личные аккаунты Google Drive и т.д.);
- использовать облачные сервисы без заключения соглашений об обработке ПДн (DPA).
Обязаны:
- получать согласие законного представителя на обработку ПДн ребёнка;
- вести реестр учётных записей и журналов доступа к системам;
- обучать персонал требованиям информационной безопасности.
Виды ответственности за утечку ПДн
| Вид ответственности | Размер санкций / меры | Кто привлекается |
|---|---|---|
| Административная (КоАП РФ, ст. 13.11) |
| Школа, директор |
| Гражданско-правовая | Компенсация морального вреда и убытков родителям | Образовательная организация |
| Уголовная (ст. 137 УК РФ) | Штраф до 300 тыс. ₽, либо лишение свободы до 2 лет | Виновное должностное лицо |
Практические рекомендации школам и детсадам
Технические меры
- Разворачивать сегментированные локальные сети (VLAN) для ПК бухгалтерии и медперсонала.
- Внедрять шифрование хранилищ (BitLocker, VeraCrypt) на ноутбуках учителей.
- Использовать корпоративные аккаунты Google Workspace for Education с подписанным Data Processing Agreement.
Организационные меры
- Утвердить «Положение о защите персональных данных обучающихся» и ознакомить с ним весь персонал под роспись.
- Раз в год проводить обучение сотрудников по ФЗ-152 и проверки Роскомнадзора.
- Вести журнал регистрации доступа к информационным системам и электронным журналам.
Пошаговый алгоритм при утечке
- Фиксация инцидента: сохранить логи, скриншоты, список затронутых учащихся.
- Уведомление: в течение 24 часов сообщить в Роскомнадзор и родителям пострадавших.
- Расследование: назначить внутреннюю комиссию, при необходимости — внешний аудит ИБ.
- Устранение последствий: блокировка доступа, смена паролей, восстановление резервных копий.
- Отчётность: подать уведомление о завершении расследования в Роскомнадзор.
Образовательные учреждения несут повышенную ответственность за безопасность персональных данных учащихся. Нарушение законодательства влечёт за собой крупные штрафы, судебные иски и репутационные потери. Соблюдение технических и организационных мероприятий, регулярное обучение персонала и чёткий план реагирования на инциденты позволяют минимизировать риски и обеспечить доверие родителей и государственных органов.
Материал подготовлен на основе актуального законодательства РФ на 22 апреля 2026 г. Для консультаций по внедрению мер информационной безопасности рекомендуется обратиться к аккредитованным специалистам по защите информации.