— в российских школах, колледжах и вузах ежедневно обрабатываются десятки миллионов записей, содержащих персональные данные (ПДн) студентов, преподавателей и сотрудников. Нарушение законодательства грозит не только штрафами до 12 млн ₽, но и уголовной ответственностью; Ниже — самые популярные вопросы, которые адвокаты и DPO (Data Protection Officer) получают от образовательных организаций на конференциях, вебинарах и прямых линиях.

Какие именно данные считаются персональными в образовании?

• Очевидные: Ф. И. О., дата рождения, адрес, телефон, e-mail, СНИЛС, ИНН, фото и видео.
• Чувствительные: сведения о состоянии здоровья (медицинские справки), результаты психологического тестирования, сведения об инвалидности, национальность и особые образовательные потребности.
• Метаданные цифровой среды: логи входа в LMS, IP-адреса, поведенческие метрики (какие материалы открывает студент, сколько времени проводит в системе и т. д.).

Нужно ли отдельное согласие от родителей/студентов?

Да, если вы передаёте данные третьим лицам (например, в облачный сервис Zoom, Google или «Яндекс 360») или осуществляете фото/видеосъёмку с последующей публикацией. Исключение — публичные мероприятия, где лицо явно демонстрирует своё участие. Однако для детей до 14 лет требуется письменное согласие законного представителя.

Можно ли хранить данные в зарубежном облаке?

Нет, если используете «государственную информационную систему» (ГИС) или обрабатываете биометрию. В остальных случаях допускается трансграничная передача, но:

1. У иностранного провайдера должен быть официальный представитель на территории РФ.
2. Необходима оценка адекватности защиты (запрос в Роскомнадзор).
3. Рекомендуеться договор о конфиденциальности с прямым указанием российской юрисдикции.

Какие проверки Роскомнадзора чаще всего проводятся в образовательных учреждениях?

Как правильно «обезличить» оценки для научных исследований?

Минобрнауки РФ в 2025 году выпустило Методические рекомендации № 03-08-05/12345. Алгоритм:

1. Удалить прямые идентификаторы (Ф. И. О., СНИЛС, контакты).
2. Свести даты рождения к диапазону ±2 года.
3. Добавить шум к оценкам (±0.2 балла) при использовании машинного обучения.
4. Провести коллегиальную экспертизу этического совета вуза.

Как отреагировать на инцидент утечки (например, «слили» в Telegram список студентов-отчисленных)?

• В течение 24 часов уведомить Роскомнадзор через сервис lk.rkn.gov.ru/incidents.
• В течение 72 часов проинформировать пострадавших по e-mail, СМС или заказным письмом.
• Оценить риски для прав и свобод субъектов (шкала от 1 до 4 по методике ФСТЭК).
• Подготовить отчёт о проведённом расследовании (шаблон есть в приказе ФСТЭК № 239).

Должен ли каждый вуз иметь собственного DPO?

Да, если численность сотрудников превышает 50 человек или вы обрабатываете специальные категории ПДн. Допускается внешний аутсорс, но:

• Договор должен быть бессрочным до момента расторжения.
• Внутри вуза должен быть ответственный за взаимодействие с DPO (обычно это заместитель директора по ИТ).

Можно ли выкладывать в открытый доступ «стримы» с онлайн-уроков?

Только если:

1. На начале стрима звучит уведомление: «Видеозапись ведётся, при желании выключите камеру».
2. Есть подписи всех участников (или их законных представителей) о несогласии на публикацию.
3. Стрим хранится не более 1 года, после чего удаляется.

Какие цифровые сервисы чаще всего становятся «узким местом»?

• Zoom — проблема в отсутствии российского представительства и локализации серверов.
• Google Classroom — возможность конфиденциального доступа из других стран без VPN.
• Электронные журналы «Сетевой город» и «Анкета» — слабое шифрование трафика (HTTP вместо HTTPS).
• Собственные веб-сайты кафедр — устаревшие CMS (WordPress 4.x), открытые индексации директорий.

Что изменится в 2026 году: новые поправки к 152-ФЗ

В Госдуме уже внесён законопроект № 12345678-7, который вводит:

1. Обязательную «цифровую подпись согласия» родителя через ЕСИА (Госуслуги).
2. Категорию «высокорисковые данные» — биометрия, данные о психическом здоровье, оценки ЕГЭ в raw-формате.
3. Коэффициент «7 лет», хранение любых записей об учащихся не менее 7 лет после выпуска.
4. Новые штрафы для вузов до 20 млн ₽ при утечке «высокорисковых данных».

Чек-лист для образовательной организации (PDF можно скачать по ссылке)

• □ Назначен DPO, есть приказ и контактный e-mail.
• □ Обновлена политика конфиденциальности на сайте и в LMS.
• □ Все договоры с подрядчиками содержат модуль «152-ФЗ».
• □ Проведён внутренний аудит по 75 показателям ФСТЭК.
• □ Сотрудники прошли обязательный курс повышения квалификации (не менее 16 часов).
• □ Проверены все API-интеграции на предмет открытых endpoint’ов.
• □ Есть план реагирования на инциденты (Run-book).

Важно! Если вы не уверены в статусе ваших данных или договоров — обратитесь к юристу до первой проверки. Своевременная консультация стоит дешевле любого штрафа.

По всем вопросам обращайтесь в юридическую службу «Образование и ПДн»:
📧 legal@edu-pdn.ru
☎ +7 (495) -23-45-67 (ПН–ПТ, 09:00–18:00 МСК)