Актуальность: только за первое полугодие 2024 года в открытый доступ утёк 1 миллиард строк персональных данных. Школы и образовательные организации являются одними из самых «вкусных» целей для киберпреступников, поскольку хранят детали о несовершеннолетних. Ниже, систематизированный юридический алгоритм, который поможет образовательному учреждению не нарушить закон и не получить штраф до 500 000 ₽ по ст. 13.11 КоАП РФ.
Правовая основа: что считается «персональными данными учащихся»
В российском праве используется Федеральный закон № 152-ФЗ «О персональных данных» (далее — 152-ФЗ). Под персональными данными учащихся понимаються:
- Ф. И. О., дата и место рождения;
- Адрес проживания, контактные телефоны родителей/законных представителей;
- Оценки, сведения о здоровье, особые образовательные потребности;
- Фото/видео с мероприятий, IP-адреса при использовании ИТ-сервисов.
Особый режим: сведения о здоровье и биометрия относятся к специальным категориям (ст. 10 152-ФЗ) и требуют письменного согласия родителей.
Кто в школе является «оператором персональных данных»
Согласно п. 2 ст. 3 152-ФЗ, оператором признается любой субъект, который самостоятельно или совместно организует обработку данных. В учебном процессе операторами могут выступать:
- Учредитель школы (муниципалитет, министерство образования);
- Школа как юрлицо (директор действует от имени школы);
- Внешние сервисы «Яндекс.Класс», «МЭШ», «1С:Школа», если договор заключён непосредственно с ними.
Каждый оператор несёт солидарную ответственность за утечку.
Минимальный набор юридических документов
| Документ | Куда внести | Контрольный срок |
|---|---|---|
| Политика обработки ПДн | Раздел сайта школы, бумажный экземпляр в канцелярии | Обновлять при любом изменении процессов обработки |
| Согласие родителя (законного представителя) | Личное дело учащегося | Хранить 75 лет после выпуска (Приказ Минкультуры № 536/2019) |
| Договор с ИТ-сервисом/обработчиком | Юр. отдел или ответственный секретарь | Подпись до начала обработки, акт приёма-передачи данных |
| Журнал учёта доступа к информационным системам (АУ-12) | Кабинет ИТ-специалиста | Заполнять ежедневно, хранить 5 лет |
Пошаговая инструкция: как законно ввести новый цифровой сервис
Шаг 1. Проведите Data Mapping
Что делать: составьте таблицу «Какие данные → Откуда берём → Кто обрабатывает → Куда передаём». Скачайте шаблон в Excel-формате (ссылка на шаблон Роскомнадзора 2024).
Шаг 2. Проверка сервиса на соответствие ФЗ-152
- Паспорт ИБ (СТО 0047-2019);
- Сертификат ФСТЭК/ФСБ (для ГИС/АС класса К1-К3);
- Отсутствие cross-border передачи без решения Роскомнадзора.
Шаг 3. Согласие родителей
Форма:
Я, __________ (Ф. И. О. родителя), даю согласие на обработку персональных данных своего ребёнка в целях использования сервиса «________» в соответствии с Политикой №___ от «___» ______ 20__ г. Подпись / дата.
Шаг 4. Приказ директора
В приказе укажите:
- цели обработки;
- перечень обрабатываемых ПДн;
- ответственное лицо за ИБ (например, заместитель директора по ИТ);
- срок действия приказа (обычно 1 год).
Шаг 5. Регистрация в Роскомнадзоре
Если данные обрабатываются с применением биометрии или ведётся массовая видеосъёмка, подайте уведомление о начале обработки через личный кабинет pd.rkn.gov.ru не позднее 10 рабочих дней до начала.
Типичные ошибки и санкции
| Ошибка | Санкция по КоАП РФ | Как исправить |
|---|---|---|
| Отсутствие согласия родителя | 5 000 ₽ — должностное лицо | Разослать форму согласия и собрать в течение 10 дней |
| Утечка из-за «слабого» пароля | от 50 000 до 100 000 ₽ на организацию | Внедрить двухфакторную аутентификацию по ГОСТ Р 56938-2016 |
| Хранение файлов на бесплатном облаке Google без договора | 300 000 ₽ (ст. 13.11 ч. 5) | Подключить сервер в РФ или подписать договор с аккредитованным оператором |
Чек-лист для внутреннего аудита
- Есть ли актуальная Политика обработки ПДн на сайте школы?
- Все ли согласия родителей подписаны и хранятся в бумажном виде 75 лет?
- Проведён ли аудит паролей сотрудников за последние 90 дней?
- Ограничен ли доступ к 1С:Континент по IP-адресу школы?
- Обучены ли учителя правилам инцидент-менеджмента ПДн (2 часа в год)?
- Сколько дней до истечения лицензии у антивируса «Защитник Windows»? (Должно быть ≥ 30)
Куда бежать за помощью
- Горячая линия Роскомнадзора: ###-###-#### (бесплатно по РФ);
- Методичка Минпросвещения РФ: «Рекомендации по защите ПДн в ОО», скачать edu.gov.ru;
- Шаблоны документов: pd.rkn.gov.ru/docs;
- Бесплатный аудит ИБ: региональные центры «Цифровое образование» (список на сайте ФПРО).
Авторский дисклеймер: статья подготовлена по состоянию на 22 апреля 2026 г. и не является официальной консультацией. Перед внедрением любых изменений рекомендуем получить юридическое заключение.