Что должна сделать онлайн-школа по 152-ФЗ: сайт, CRM, вебинары и данные детей

Онлайн-школа обязана выполнить пять требований 152-ФЗ: подать уведомление в Роскомнадзор до начала обработки данных, опубликовать на сайте политику обработки персональных данных, собирать согласие отдельным документом, отдельно получать согласие законного представителя на данные учеников младше 18 лет и уведомить РКН о трансграничной передаче, если вебинары, рассылки или CRM работают на зарубежных сервисах. Статус оператора не зависит от лицензии: ИП-репетитор с формой заявки на лендинге — такой же оператор, как школа с сотней преподавателей. Ниже — что именно проверяют, где онлайн-школы ошибаются чаще всего и сколько стоит каждая ошибка по КоАП. Отдельно разберём то, что специфично именно для онлайн-образования и чего нет у обычного интернет-магазина: данные ученика отдельно от данных плательщика, записи вебинаров с камерой ребёнка, отзывы выпускников с именем и фотографией, а также договор поручения с платформой курсов, которая физически хранит вашу базу. Источники: 152-ФЗ, 149-ФЗ, глава 13.11 КоАП, приказы Роскомнадзора.

Проверьте сайт своей школы на соответствие 152-ФЗ — бесплатно ←

Почему онлайн-школа — оператор, даже если это один курс на Геткурсе

Оператор по статье 3 152-ФЗ — тот, кто организует и определяет цели обработки персональных данных. Форма «оставьте телефон, вышлем программу курса» — это уже сбор данных, а решение, зачем их собирать и кому передавать, принимаете вы, а не платформа. Конструктор сайтов, CRM и сервис вебинаров при этом становятся обработчиками по поручению (часть 3 статьи 6 152-ФЗ): вы поручаете им обработку договором, но ответственность перед учеником и перед Роскомнадзором остаётся на вас.

Отсюда следствие, которое часто становится неприятным открытием: если платформа курсов хранит данные за рубежом, это ваша трансграничная передача и ваш риск, а не платформы.

Требование 1. Уведомление в Роскомнадзор

Уведомление подаётся до начала обработки — по части 1 статьи 22 152-ФЗ. На практике это означает: до запуска лендинга с формой, а не после первой продажи.

Исключения из части 2 статьи 22 онлайн-школе почти никогда не подходят: они рассчитаны на обработку данных только своих работников или на разовый договор без хранения. Школа хранит данные учеников после окончания курса, ведёт рассылку, собирает результаты тестов — это выходит за рамки исключений.

Штраф за работу без уведомления — 100 000–300 000 ₽ для юридических лиц по части 10 статьи 13.11 КоАП.

Как заполнить форму по шагам — в инструкции «Уведомление в РКН: пошаговое заполнение». Если школа работает давно и не уведомляла, укажите реальную дату начала обработки: штраф назначается за сам факт отсутствия уведомления, а не за опоздание. Сроки разобраны отдельно: «За сколько дней до сбора данных нужно уведомить РКН».

Требование 2. Политика на сайте, а не в подвале договора

Политика обработки персональных данных должна быть опубликована и доступна — часть 2 статьи 18.1 152-ФЗ. Для сайта это означает работающую ссылку на отдельной странице, а не абзац внутри оферты и не PDF по запросу.

Штраф за отсутствие опубликованной политики — 30 000–60 000 ₽ для юридических лиц по части 3 статьи 13.11 КоАП. Сумма небольшая, но нарушение видно снаружи за секунды: это первое, что проверяет и человек, и автоматизированный мониторинг.

Три ошибки, которые встречаются в политиках онлайн-школ:

1. Скопированная политика чужой компании. В ней остаются чужие ИНН, адрес и цели обработки — документ перестаёт описывать вашу реальную обработку. Разбор последствий: «Можно ли скопировать политику с другого сайта».
2. Не перечислены платформы. Если данные уходят в CRM, сервис вебинаров, платёжный сервис и рассылку — это должно быть в политике.
3. Срок ответа «30 дней». В 152-ФЗ такого срока нет, правильный — 10 рабочих дней по статье 20.

Готовая структура — в шаблоне: «Политика обработки ПДн: образец».

Требование 3. Согласие — отдельным документом

С 1 сентября 2025 года по 156-ФЗ (изменения в часть 1 статьи 9 152-ФЗ) согласие на обработку персональных данных не может быть частью других условий. Один чекбокс «согласен с офертой и политикой» больше не годится: согласие оформляется отдельно и должно быть предметным.

Для онлайн-школы это обычно означает разные согласия на разные цели:

Обработка без согласия там, где оно требуется, — 300 000–700 000 ₽ по части 2 статьи 13.11 КоАП, при повторном нарушении по части 2.1 — 1 000 000–1 500 000 ₽.

Образец формулировок: «Согласие на обработку ПДн: образец». И отдельно — про предзаполненные галочки, которые стали незаконными: «Заранее проставленная галочка согласия».

Требование 4. Данные учеников младше 18 лет

Это то место, где онлайн-школа отличается от любого другого интернет-бизнеса, и то место, где чаще всего ошибаются.

Оплачивает курс родитель — значит, договор с родителем. Но учится ребёнок, и школа обрабатывает его данные: имя, возраст, класс, результаты заданий, а на вебинарах — изображение и голос. Это обработка данных другого субъекта, и согласие на неё даёт законный представитель.

Что из этого следует практически:

• в форме оплаты нужно отдельное поле для данных ученика и отдельное согласие представителя;
• формулировка «соглашаюсь за себя и за ребёнка» одним чекбоксом не работает после 156-ФЗ;
• сведения о здоровье (справка для освобождения, особенности развития) — специальная категория по статье 10 152-ФЗ, для неё нужно отдельное письменное согласие;
• фотографии учеников для соцсетей школы — не «иллюстрации», а данные конкретных детей.

Готовый образец с полями для законного представителя: «Согласие на обработку ПДн ребёнка». Про фото и видео отдельно: «Согласие на фото ребёнка».

Требование 5. Зарубежные сервисы: вебинары, рассылки, аналитика

У онлайн-школы зарубежных сервисов обычно больше, чем у любого другого сайта: платформа вебинаров, сервис рассылок, конструктор лендингов, аналитика, иногда платёжный шлюз.

Здесь важно не путать два разных требования.

Трансграничная передача — статья 12 152-ФЗ. Порядок уведомительный: до начала передачи подаётся отдельное уведомление в Роскомнадзор. Запрета на передачу в конкретные страны нет. Подробно: «Трансграничная передача ПДн».

Локализация — часть 5 статьи 18 152-ФЗ. Первичная запись данных россиян должна происходить в базе на территории России. Именно за нарушение локализации предусмотрены самые крупные штрафы, не связанные с утечками: части 8 и 9 статьи 13.11 КоАП — 1 000 000–6 000 000 ₽ и 6 000 000–18 000 000 ₽ при повторном нарушении.

Отдельная история — авторизация. Кнопка «Войти через Google» на российском сайте противоречит статье 10.6 149-ФЗ: входить можно по номеру телефона РФ, через ЕСИА, ЕБС или системы российских компаний. Ответственность — статья 13.55 КоАП, для юридических лиц 500 000–700 000 ₽, повторно до 1 400 000 ₽. Разбор: «Штраф за кнопку "Войти через Google"».

Аналитика и cookie — тоже обработка: «Cookie-баннер по 152-ФЗ» и «Яндекс.Метрика и согласие».

Платформа курсов хранит базу — а отвечаете вы

Геткурс, конструктор лендингов, CRM, сервис рассылок и платформа вебинаров обрабатывают данные ваших учеников. По части 3 статьи 6 152-ФЗ оператор вправе поручить обработку другому лицу, но только на основании договора и с согласия субъекта, а ответственность перед учеником при этом остаётся на операторе, то есть на школе.

Что должно быть в договоре поручения — прямо перечислено в той же норме:

• перечень действий с данными, которые поручаются;
• цели обработки;
• обязанность обработчика соблюдать конфиденциальность;
• обязанность обеспечивать безопасность данных при обработке;
• требования к защите обрабатываемых данных.

На практике у большинства платформ это оформлено приложением к оферте — его достаточно, но его нужно найти, прочитать и сохранить: при проверке предъявляете вы, а не платформа. Если приложения нет вовсе, вы обрабатываете данные через подрядчика без правового основания.

Здесь же решается вопрос, который многие школы откладывают: где физически лежит база. Если платформа российская и серверы в России — вопрос локализации закрыт. Если платформа зарубежная, вам нужна первичная запись данных в российской базе, а выгрузка в зарубежный сервис возможна уже после неё и с уведомлением о трансграничной передаче.

И последнее: при расставании с платформой данные нужно уметь забрать и удалить. Обращение ученика об удалении данных вы обязаны исполнить за 10 рабочих дней, включая копии в CRM и рассылке, — а не только в основной системе.

Чек-лист перед запуском курса

1. Уведомление в РКН подано до публикации формы заявки.
2. На сайте есть страница с политикой, ссылка видна с любой страницы.
3. Согласие — отдельным документом, не внутри оферты.
4. Для учеников младше 18 лет — согласие законного представителя, отдельным полем.
5. Согласие на рассылку отделено от согласия на обработку.
6. Отзывы с именем и фото — только с согласием на распространение.
7. Зарубежные сервисы посчитаны: уведомление о трансграничной передаче подано, первичная база в России.
8. Авторизация — российскими способами.
9. Назначен человек, который отвечает на обращения об удалении данных за 10 рабочих дней.
10. Есть план на случай утечки: уведомление в РКН, части 12–18 статьи 13.11 КоАП — самые дорогие санкции главы.

Что будет, если пришло предписание

Предписание Роскомнадзора — не штраф, а требование устранить нарушение к сроку. Игнорирование превращает мелкое нарушение в дорогое: ответственность наступает уже за невыполнение предписания. Порядок действий разобран отдельно: «Пришло предписание РКН: что делать». Актуальные размеры санкций — в сводке «Штрафы РКН в 2026 году».

Что проверить прямо сейчас. Откройте свой лендинг и посмотрите три вещи: есть ли работающая ссылка на политику, отделено ли согласие от оферты, есть ли поле для данных ученика отдельно от данных плательщика. Это три самых частых нарушения у онлайн-школ и три самых заметных снаружи.

Запустить бесплатную проверку сайта — покажет политику, cookie, трекеры и зарубежные сервисы за минуту.