Актуальность в 2026 году: к концу первого квартала 2026 г. количество пользователей онлайн-курсов в России превысило 24 млн, а ежеквартальный объём обрабатываемых платформами персональных данных достиг 1,3 ПБ. Microsoft 365 Copilot, активно внедряемый в университеты и корпоративные учебные центры, демонстрирует, насколько важно совмещать инновации и правовую безопасность.
Нормативно-правовая база онлайн-образования в России
Основные законы
- Федеральный закон от № 273-ФЗ «Об образовании в Российской Федерации» — устанавливает статус дистанционного обучения, формы контроля и требования к итоговой аттестации.
- Федеральный закон от № 152-ФЗ «О персональных данных» — регулирует сбор, хранение, обработку и трансграничную передачу персональных данных обучающихся.
- ГОСТ Р 56939-2016 «Информационные технологии в образовании. Системы дистанционного обучения» — описывает требования к функциональности, безопасности и надежности LMS.
Подзаконные акты и методические письма
- Приказ Минобрнауки РФ от № 1710 «Об утверждении Порядка организации дистанционного обучения».
- Письмо Роскомнадзора от № 10-06-08/11432 — разъяснения по применению 152-ФЗ к облачным образовательным сервисам.
- Методические рекомендации ФСТЭК от № 17-06-1104 «Категорирование объектов онлайн-образования по уровням защищённости».
Персональные данные в онлайн-образовании: что подлежит защите?
Категории персональных данных (ПД)
| Тип данных | Примеры | Особенности обработки |
|---|---|---|
| Общие | ФИО, дата рождения, e-mail | Согласие обучающегося или законного представителя |
| Биометрические | Фото, голосовые записи, отпечатки ладоней (прокторинг) | Требуется письменное согласие + оценка необходимости |
| Специальные (ст. 10 152-ФЗ) | Данные о здоровье (медотводы), инвалидность | Обязательно заключение о необходимости, согласие письменное |
| Метаданные | IP-адрес, cookies, логи посещений | Определение целей через политику конфиденциальности |
Место хранения и локализация
С Роскомнадзор требует, чтобы все операционные копии персональных данных граждан РФ размещались на территории России. Для облачных платформ это означает:
- Использование российских дата-центров или сертифицированных облаков (МойОфис, СберОблако, МТС Cloud).
- Кросс-пограничный обмен данными возможен только после оценки законодательства страны-получателя согласно Постановлению Правительства РФ от № 1957.
Права и обязанности сторон
Права обучающихся
- Право на информацию: чёткий перечень целей обработки ПД, сроков хранения, категорий получателей.
- Право на доступ: получение копии своих данных в электронном виде в течение 30 календарных дней.
- Право на ограничение обработки: временный запрет на использование ПД (например, при споре об их точности).
- Право на защиту от автоматизированного решения: отказ от алгоритмической оценки (AI-оценивание экзаменов) при наличии юридически значимых последствий.
Обязанности образовательной организации
- Назначить ответственного за организацию обработки ПД и внести сведения в реестр Роскомнадзора.
- Разработать и опубликовать политику конфиденциальности на русском языке, доступную из каждой страницы LMS.
- Проводить ежегодный аудит защищённости по методике ФСТЭК (аттестат соответствия).
- Поддерживать журнал учёта инцидентов и уведомлять Роскомнадзор в течение 24 часов о потенциальной утечке.
Практические шаги по соблюдению законодательства
Чек-лист запуска онлайн-курса
- ✅ Выбор LMS: убедиться в наличии актуального сертификата ФСТЭК/ФСБ и локализации центров обработки данных в РФ.
- ✅ Разработка документов: Политика конфиденциальности, согласие на обработку ПД, согласие на прокторинг, обработка cookies.
- ✅ Назначение ролей: операторы (вуз), совместные операторы (аутсорс ИТ), третьи лица (платёжные системы).
- ✅ Тестирование и пентест: провести внешний пентест + тестирование на уязвимости OWASP Top 10 2026.
- ✅ Обучение персонала: курсы повышения квалификации по 152-ФЗ и 187-ФЗ (с 2025 г. обязательны для ИТ-специалистов).
Шаблон согласия на обработку персональных данных
Я, [ФИО обучающегося], подтверждаю своё согласие [название образовательной организации] на обработку моих персональных данных: ФИО, адрес электронной почты, номер телефона, фото и видеозаписи, IP-адрес, результаты тестирования. Цель обработки: обеспечение дистанционного обучения, идентификация личности, защита от мошенничества, формирование статистики успеваемости. Срок хранения: до 3 лет после окончания курса. Передача третьим лицам: действует только в рамках договора-оферты и без трансграничной передачи;
Риски и последствия нарушений
Административная ответственность (КоАП РФ)
- Ст. 13.11 (КоАП) — нарушение порядка обработки ПД: штраф до 100 000 ₽ для должностных лиц.
- Ст. 13.14 — неисполнение обязанностей оператора ПД: штраф до 300 000 ₽ для юр. лица.
Уголовная ответственность
С в УК РФ введена ст. 274.2 «Нарушение правил защиты информации при дистанционном обучении»:
- Максимальное наказание — лишение свободы до 5 лет при массовой утечке (свыше 1 млн записей).
Репутационные издержки
В 2025 г. крупный онлайн-университет потерял 18 % студентов после публикации в СМИ о утечке 900 000 записей. Сумма компенсаций составила 210 млн ₽.
Алгоритм действий при инциденте утечки
- 0–1 час: локализация инцидента, отключение скомпрометированного узла.
- 1–3 часа: сбор фактов (логи, скриншоты, выгрузки).
- 3–24 часа: уведомление Роскомнадзора и пострадавших пользователей (письмо + SMS).
- 1–7 дней: подача «Уведомления об инциденте» через сервис rkn.gov.ru.
- до 30 дней: публичный отчёт, меры по предотвращению повторения, пересмотр политики безопасности.
Перспективы до конца 2026 года
- Федеральный закон № 522-ФЗ (в стадии обсуждения): обязательная маркировка контента AI, созданного на основе ПД обучающихся.
- Новый ГОСТ Р 57.3-2026: единый стандарт криптографической защиты потоков видео-лекций и чатов.
- Пилотный проект РСА: блокчейн-реестр выданных цифровых дипломов защищён алгоритмом ГОСТ Р 34.12-2025.
Контакт для консультаций: юридический отдел Центра цифровой трансформации образования «EduLaw» — legal@edulaw.ru.