Актуальность темы в 2026 г.: в текущем году регуляторы усилили контроль за обращением с персональными данными, значительно повысили штрафы, а проверки Роскомнадзора и Роспотребнадзора стали регулярными и более технически сложными. Цифровая школа обрабатывает особую категорию данных — биометрию, медицинские сведения, оценки, поведенческие метаданные, что делает её объектом повышенного риска.

Правовая база: что действует в 2026 году

• ФЗ-152 «О персональных данных» (в редакции 2025 г. с учётом изменений по локализации и обязательной оценке вреда).
• ФЗ-149 «Об информации» (обновлённые требования к операторам связи при передаче данных в облако).
• ГОСТ 34.10-2025 — новый стандарт криптографической защиты данных учащихся.
• Методические рекомендации Минпросвещения и ФСТЭК от — обязательны к применению при создании цифровых образовательных сред (ЦОС).

Категории персональных данных, которых касаются требования

1. Базовые: ФИО, дата рождения, класс, контакты родителей.
2. Специальные категории:
   • биометрические данные (распознавание лиц для прохода в класс);
   • медицинские сведения (аллергии, инвалидность);
   • психометрические тесты и поведенческие профили.
3. Метаданные: IP-адреса, время входа в платформу, клик-стрим.

7 ключевых юридических шагов для цифровой школы в 2026 году

Проведение DPIA, оценки вреда до запуска любого нового сервиса

Школа должна до утвердить процедуру Data Protection Impact Assessment. Форма утверждена ФСТЭК в приказе № 78. Включает 24 риск-показателя, включая «риск реидентификации» при объединении учебных журналов и видеонаблюдения.

Политика минимизации данных (Data Minimization)

Рекомендация юриста: отказаться от сбора MAC-адресов устройств, если цель — только подсчет присутствующих. Достаточно использовать хэшированную карту RFID без передачи уникального идентификатора.

Локализация и кросс-пограничная передача

Данные обязаны храниться на серверах в РФ. При необходимости использовать зарубежный SaaS (например, аналитика Moodle) — оформляется трансграничная передача через механизм стандартных договорных clauses (SCC 2026), утверждённые Роскомнадзором .

Практика «псевдонимизации + шифрование»

• Хранение оценок в отдельной зашифрованной БД, отключённой от личных данных.
• Ключи шифрования — только у Директора по информационной безопасности (DPO), под контролем ФСТЭК.

Согласия и возрастные особенности

Для учащихся 14-18 лет — двойное согласие: родителя + учащегося (ст. 9.1 152-ФЗ).
Для детей до 14 лет — только родитель; согласие выдаётся в письменной форме с указанием перечня обрабатываемых данных и сроков действия.

Автоматизированные решения и право на объяснение

Если ИИ-система выставляет итоговую оценку, родитель имеет право требовать «электронное объяснение» в течение 3 рабочих дней (п. 5 ст. 10 152-ФЗ). Школа обязана предоставить JSON-досье с весами признаков и ключевыми факторами.

Резервное копирование и инцидент-менеджмент

Практический чек-лист на 2026-2027 учебный год

1. Произвести аудит всех внешних интеграций (Zoom, Google Classroom, если есть) на предмет отсутствия трансграничной течи.
2. Обновить локальные акты: Политика обработки ПДн, Регламент Доступа, Процедура DPIA.
3. Провести тренинг для педагогов по работе с электронными журналами с учетом требований к минимизации.
4. Разместить на главной странице сайта школы краткую инфографику о правах субъектов ПДн (QR-код ведёт на страницу жалоб).
5. Настроить двухфакторную аутентификацию для всех учетных записей учителей и администраторов.

Ответственность и штрафы в 2026 году

КоАП РФ ст. 13.11-2026:
— до 300 000 ₽ за первичное нарушение (ранее 100 000 ₽);
, до 1 млн ₽ за повторное в течение года;
— дисквалификация ИТ-директора на срок до 2 лет при утечке > 10 000 записей.
При угрозе жизни/здоровью ребенка возможен перевод дела в частную жалобу по ст. 137 УК РФ (максимум — 4 года лишения свободы).

Шаблон документа для родителя (вставляется в личный кабинет)

СОГЛАСИЕ
на обработку персональных данных ребёнка в цифровой школе
Я, ____________, как законный представитель несовершеннолетнего ____________,
даю согласие на обработку следующих ПДн: 
- ФИО, дата рождения;
- фото/видео в рамках онлайн-уроков;
- медицинские данные (ограничения по физкультуре).
Цель: обеспечение обучения в ЦОС «Образовательный портал 2026».
Срок: до .
Подпись: ____________ Дата: ____________

Как подготовиться к проверке Роскомнадзора в 2026 г.

• До 15 июня загрузить в реестр операторов обновлённый перечень обрабатываемых ПДн (новая форма XML 3.2).
• До 01 июля пройти онлайн-экспресс-тест от АНО «Цифровая грамота» (бесплатно, сертификат — 30 дней).
• На момент проверки иметь доступ к журналу инцидентов за последние 12 месяцев.

Автор: Юридическая группа «ЭдЛаб-Консалтинг», апрель 2026 г. (подготовлено к онлайн-конференции «Защита персональных данных: проверки регуляторов и тенденции 2026»)