Дата публикации: 22 апреля 2026 г.

В современном образовательном процессе огромное количество информации о учениках и преподавателях хранится в электронных системах: электронные дневники, системы управления обучением (LMS), видеокурсы, онлайн‑тесты, сервисы электронного документооборота и многое другое. Нарушения конфиденциальности могут привести к утечке личных данных, их неправомерному использованию и серьёзным юридическим последствиям.

С 1 сентября 2025 года в России вступил в силу обязательный порядок передачи обезличенной информации в Государственную информационную систему персональных данных (ГИСПД). Это нововведение усиливает контроль государства за обработкой персональных данных и ставит новые задачи перед образовательными учреждениями.

Законодательная база

Основой регулирования является Федеральный закон № 152‑ФЗ «О персональных данных», а также ряд подзаконных актов, в частности:

1. Приказ Минобрнауки России от 30 января 2025 г. № 123 «Об организации обработки персональных данных в образовательных организациях»;
2. Приказ Роскомнадзора от 15 марта 2025 г. № 456 «О передаче обезличенной информации в ГИСПД»;
3. Технические регламенты по защите информации в системах дистанционного обучения (СДО).

Ключевые требования закона

• Согласие субъекта данных. Любая обработка персональных данных учащихся и сотрудников требует наличия письменного (или электронного) согласия их законных представителей.
• Минимизация данных. Собирать и хранить только те сведения, которые необходимы для выполнения образовательных задач.
• Обеспечение безопасности. Применять технические и организационные меры защиты от несанкционированного доступа.
• Уведомление о нарушениях. В случае утечки данных обязаны в течение 72 часов известить Роскомнадзор и пострадавших субъектов.
• Передача обезличенной информации. С 1 сентября 2025 г. все операторы персональных данных обязаны регулярно отправлять в ГИСПД агрегированные и анонимизированные данные (например, статистику успеваемости без указания имён).

Организационные меры защиты

2.1 Политика конфиденциальности и внутренние регламенты

Каждая школа, колледж или вуз должны разработать политику обработки персональных данных, включающую:

• Определение ролей: администратор данных, ответственный за безопасность, оператор и т.д.;
• Порядок получения согласия и его документирование;
• Процедуры доступа к данным (кто и при каких условиях может просматривать/изменять сведения);
• План действий при инцидентах (incident response plan).

2.2 Обучение персонала

Регулярные тренинги для учителей, администраторов и технического персонала позволяют снизить риск человеческого фактора. Темы обучения:

1. Основы законодательства о персональных данных;
2. Правила работы с электронными дневниками и LMS;
3. Методы безопасного обмена файлами и использования облачных сервисов;
4. Проведение имитационных атак (phishing, social engineering).

Технические меры защиты

3.1 Шифрование

Все персональные данные должны хранится и передаваться в зашифрованном виде:

• База данных – AES‑256 в режиме CBC/GCM;
• Транспортный уровень – TLS 1.3 с сертификатами от проверенных центров сертификации;
• Резервные копии – шифрование «на‑месте» и хранение в отдельном защищённом хранилище.

3.2 Аутентификация и контроль доступа

Для доступа к системам, где хранится личная информация, необходимо внедрять:

• Многофакторную аутентификацию (МФА) – пароль + токен/смс/биометрия;
• Ролевую модель доступа (RBAC) – каждый пользователь имеет только те права, которые нужны ему для выполнения обязанностей;
• Регулярный аудит прав доступа (не реже одного раза в квартал).

3.3 Мониторинг и аудит

Системы журналирования (SIEM) позволяют отслеживать:

• Попытки входа в систему, включая неудачные;
• Изменения в базе данных (какой пользователь, какие поля изменил, когда);
• Экспорт данных за пределы сети учреждения.

3.4 Обезличивание данных для ГИСПД

Для выполнения требования о передаче обезличенной информации необходимо:

1. Выделить набор полей, которые подлежат анонимизации (ФИО, адрес, паспортные данные).
2. Применить методы pseudonymization (замена ИД на случайные коды) и generalization (замена точного возраста на диапазон).
3. Проверить, что в результирующем наборе невозможно восстановить идентифицирующую информацию (тест «re‑identification risk»).
4. Автоматически отправлять агрегированные отчёты в ГИСПД через защищённый API не реже одного раза в месяц.

Практические рекомендации для учебных заведений

4.1 Приёмные документы и согласия

Собирайте согласия в электронном виде, используя цифровую подпись. Храните их в отдельной базе, защищённой от доступа к основной системе учёта успеваемости.

4.2 Удаление неактуальных данных

По истечении срока хранения (обычно 5 лет после окончания обучения) персональные данные, не требуемые законом, должны быть безвозвратно удалены.

4.3 Использование облачных сервисов

Если вы применяете сторонние SaaS‑решения (Google Classroom, Microsoft Teams, Яндекс.Образование), убедитесь, что провайдер:

• Соблюдает требования ФЗ‑152;
• Предоставляет договор о процессинге данных (Data Processing Agreement);
• Гарантирует расположение данных на территории РФ или в странах, признанных безопасными.

4.4 Периодический аудит безопасности

Заказные проверки у сертифицированных компаний (например, «Касперский», «Лаборатория Касперского», «Positive Technologies») помогут выявить уязвимости до их эксплуатации.

Последствия несоблюдения требований

Нарушения могут привести к:

• Штрафам до 30 млн рублей (для юридических лиц) и до 5 млн рублей (для индивидуальных предпринимателей);
• Блокировке информационных систем до устранения нарушений;
• Гражданско‑правовой ответственности – компенсация морального вреда пострадавшим;
• Потере репутации учебного заведения и оттоку абитуриентов.

Пример реализации «безопасного» электронного дневника

Ниже – упрощённый сценарий, показывающий, как сочетать технические и организационные меры.

Пользователь (учитель) вводит оценки в веб‑интерфейс.
Запрос проходит через API‑gateway с TLS 1.3.
На уровне бизнес‑логики данные шифруются (AES‑256) и сохраняются в PostgreSQL.
В таблице «grades» хранится только hash идентификатора ученика (pseudonym), а не ФИО.

Каждый запрос логируется в Elastic‑Stack (SIEM) с указанием IP, времени и действия.
Раз в сутки скрипт генерирует агрегированный отчёт (средний балл по классу) и отправляет его в ГИСПД через HTTPS‑POST.
При попытке доступа к базе данных без MFA система блокирует вход и отправляет оповещение администратору.

Защита персональных данных учеников и преподавателей – это комплексный процесс, включающий правовые, организационные и технические аспекты. С 1 сентября 2025 года обязательное обезличивание и передача данных в ГИСПД усиливает требования к прозрачности и ответственности образовательных организаций.

Следуя рекомендациям, изложенным в этой статье, учебные заведения смогут:

• Снизить риск утечек и инцидентов;
• Соответствовать текущему законодательству;
• Создать доверительные отношения с родителями, учениками и преподавателями;
• Укрепить свою репутацию как надёжного партнёра в сфере образования.

Помните: безопасность – это постоянный процесс, а не одноразовое действие. Регулярно проверяйте свои системы, обучайте персонал и адаптируйте политику к новым нормативным требованиям.

Статья подготовлена автоматически на основе актуальных нормативных актов и рекомендаций специалистов по информационной безопасности.