Актуальность темы: с 1 января 2026 г. усиливается контроль Роскомнадзора за соблюдением 152-ФЗ «О персональных данных» в образовательных организациях. Нарушения ч. 9–11 ст. 13.11 КоАП РФ влекут штрафы до 300 000 ₽ для юрлиц и до 50 000 ₽ для должностных лиц. Поэтому школам и колледжам критически важно правильно организовать работу с персональными данными (ПДн) обучающихся;
Кто является субъектами и операторами ПДн в образовательной среде
- Субъекты ПДн: ученики, студенты, их родители (законные представители), педагоги, административно-технический персонал, контрагенты и даже волонтёры.
- Операторы: любые образовательные учреждения: школы, гимназии, колледжи, вузы, детские сады, дополнительные образовательные организации.
Правовые основания для обработки ПДн
Перечень нормативных актов
- Федеральный закон от № 152-ФЗ «О персональных данных».
- Федеральный закон от № 273-ФЗ «Об образовании в РФ» — ст. 29 (открытость информации), ст. 98 (требования к ИС в образовании).
- Постановление Правительства РФ от № 1119 — требования к защите ПДн при автоматизированной обработке.
- Постановление Правительства РФ от № 687, особенности обработки без автоматизации.
- КоАП РФ, ст. 13.11, административная ответственность.
Безусловные правовые основания
Школа может обрабатывать ПДн без согласия субъекта, если:
- обработка необходима для исполнения договора об образовании (п. 4 ч. 1 ст. 6 152-ФЗ);
- требуется для организации трудовых отношений с работниками (п. 5 ч. 1 ст. 6 152-ФЗ);
- осуществляется в рамках статистического учёта и обеспечения безопасности учащихся (п. 2 ч. 1 ст. 6 152-ФЗ).
Когда нужно согласие
Если школа выходит за рамки обязательных оснований (например, публикация фото детей на сайте, передача данных сторонним онлайн-сервисам), потребуется письменное согласие родителя/учащегося старше 18 лет.
Минимальный «пакет документов» образовательной организации
| Документ | Содержание | Нормативная отсылка |
|---|---|---|
| Политика обработки ПДн | Цели, категории ПДн, сроки хранения, меры защиты | ч. 2 ст. 18.1 152-ФЗ |
| Согласие родителя/учащегося | Цели, перечень данных, подпись | ст. 9 152-ФЗ |
| Приказ о назначении ответственного за защиту ПДн | ФИО, должность, обязанности | п. 3 ч. 1 ст. 18 152-ФЗ |
| Регламент доступа к ИС | Учётные записи, уровни доступа, журнал аудита | ст. 98 273-ФЗ |
| Локальный акт «О конфиденциальности» | Обязательства педагогов и сотрудников | Трудовой кодекс РФ, ст. 57 |
Требования к защите ПДн в 2026 году
Технические меры
- Криптографическая защита каналов связи (ГОСТ 28147-89, ГОСТ Р 34.10-2018).
- Разграничение доступа по ролям (RBAC).
- Резервное копирование и восстановление данных (ISO/IEC 27001).
- Антивирусные средства и системы обнаружения вторжений (IDS/IPS).
Организационные меры
- Обучение персонала: ежегодный курс «Требования 152-ФЗ» (не менее 4 часов).
- Аудит внутренних процессов: проверка раз в 2 года.
- Уведомление Роскомнадзора: не позднее трёх рабочих дней до начала обработки в новой ИС (ст. 22 152-ФЗ).
- Уничтожение бумажных носителей: шредер (класс защиты 4 по DIN 66399) или специализированная фирма.
Передача ПДн третьим лицам
Образовательная организация может передавать данные:
- Госорганам, на основании запроса (МВД, ПФР, ФНС).
- Онлайн-сервисам (например, электронные журналы, видеоконференции) только при наличии:
- согласия субъекта;
- договора об обработке ПДн (DPA).
- Контрагентам — в рамках договора подряда, включающего приложение «Регламент обеспечения безопасности ПДн».
Как правильно дать отказ от обработки
Родитель может отозвать согласие, однако это не освобождает школу от обработки данных, необходимой по закону (например, ведение классного журнала). Процедура:
- Подать заявление в произвольной форме.
- Указать конкретные цели, от которых отказывается (например, «публикация фото на сайте»).
- Школа в течение 10 рабочих дней прекращает обработку в указанной части и уведомляет письменно.
Практические советы для 2026 года
- 01 июля 2026 г., дедлайн для подключения к единой системе «Госуслуги.Школа» с подтверждением соответствия 152-ФЗ.
- Каждый кабинет информатики должен быть оформлен как зона безопасного доступа (видеонаблюдение, электронный пропуск).
- Автоматизируйте: используйте шаблоны согласий в электронной подписи (КЭП) через Госуслуги.
- Разместите «Политику конфиденциальности» на главной странице сайта школы в формате PDF и в виде веб-страницы.
- Создайте горячую линию по вопросам ПДн: e-mail pd@school.ru, телефон с кодом добровольного согласия звонка (IVR).
Ответственность за нарушения
| Нарушение | КоАП РФ, статья | Штраф для юрлица, ₽ |
|---|---|---|
| Отсутствие политики обработки ПДн | 13.11 ч. 9 | до 150 000 |
| Обработка без правового основания | 13.11 ч. 7 | до 300 000 |
| Передача данных без согласия/договора | 13.11 ч. 11 | до 200 000 |
Чек-лист для директора школы на весну-лето 2026 г.
- Обновить Политику обработки ПДн с учётом новых методических рекомендаций Роскомнадзора от .
- Провести инвентаризацию информационных систем (включая «облачные» сервисы Zoom, Google Classroom).
- Подготовить и подписать договоры DPA с каждым IT-подрядчиком.
- Обучить 100 % сотрудников по теме ПДн (в т. ч. кухонный персонал, имеющий доступ к спискам питания).
- Внедрить двухфакторную аутентификацию для всех учётных записей.
- Провести внешний аудит (по ISO 27001 или 27701).
- Разместить отчёт об открытости данных на сайте (форма 1-ПДн-образование).
Соблюдение правовых аспектов использования персональных данных учащихся — это не формальность, а условие допуска образовательной организации к государственным сервисам и финансированию. Правильно выстроенная система защиты ПДн повышает доверие родителей и снижает репутационные риски. Начните с простого: обновите документы, обучите персонал, проверьте контракты — и вы будете в безопасности уже в 2026 году.