РКН Аудит
Да, школа обязана соблюдать 152-ФЗ, и без исключений по форме собственности: муниципальное учреждение, частная гимназия и центр дополнительного образования одинаково являются операторами персональных данных, потому что обрабатывают данные учеников, их родителей и работников. Обязанности сводятся к пяти вещам: уведомить Роскомнадзор до начала обработки, опубликовать политику на сайте, собрать согласия там, где обработка выходит за рамки прямых требований закона, обеспечить защиту данных и отвечать на обращения субъектов за 10 рабочих дней. Ниже — что конкретно это означает в школьной практике, какие документы спрашивают при проверке, где школы ошибаются чаще всего и сколько стоит каждая ошибка. Отдельно разберём то, что отличает школу от обычной организации: обязательная обработка, для которой согласие не требуется вовсе, передача данных в государственные информационные системы, специальные категории данных о здоровье ребёнка и требования к структуре сайта по линии Рособрнадзора. Источники: 152-ФЗ, глава 13.11 КоАП, приказы Роскомнадзора и Рособрнадзора.
Проверить сайт школы на соответствие 152-ФЗ — бесплатно ←
Почему школа — оператор, даже если ничего не «собирает» специально
Оператор по статье 3 152-ФЗ — тот, кто организует и определяет цели обработки персональных данных. Школа делает это ежедневно, даже не думая в таких терминах:
- личные дела учеников и их родителей;
- электронный журнал и дневник;
- медицинские сведения — это специальная категория по статье 10 152-ФЗ, для неё нужны отдельные основания;
- кадровый учёт работников;
- фото и видео с мероприятий;
- передача данных в государственные информационные системы.
Отдельно стоит запомнить: обработка «на бумаге» — это тоже обработка. Порядок неавтоматизированной обработки установлен постановлением Правительства №687, и папки в шкафу подпадают под 152-ФЗ ровно так же, как база в электронном журнале.
Что школа обязана сделать: пять пунктов
1. Уведомить Роскомнадзор
По части 1 статьи 22 152-ФЗ уведомление подаётся до начала обработки. Школы, работающие десятилетиями, часто не уведомляли вовсе: обязанность появилась позже, чем учреждение. Это не повод не подавать: часть 10 статьи 13.11 КоАП наказывает и неуведомление, и несвоевременное уведомление, так что опоздание — уже нарушение, но подать всё равно нужно, и чем раньше, тем лучше.
Штраф по части 10 получает не школа, а директор или другое должностное лицо — 30 000–50 000 ₽. По примечаниям 2 и 3 к статье 13.11 КоАП в частях 10–18 юрлицо штрафуется, только если оно не госорган и не некоммерческая организация, а любая образовательная организация, в том числе частная, создаётся как некоммерческая (часть 1 статьи 22 273-ФЗ). Как юрлицо — 100 000–300 000 ₽ — отвечают только ИП и коммерческие компании, которые ведут обучение.
Пошаговое заполнение с формулировками целей и мер защиты для образовательного учреждения: «Уведомление в РКН для детского сада и школы».
2. Опубликовать политику на сайте
Часть 2 статьи 18.1 152-ФЗ требует опубликовать документ, определяющий политику обработки данных, и обеспечить к нему неограниченный доступ. Для сайта это отдельная страница с работающей ссылкой.
Штраф — 30 000–60 000 ₽ для юридических лиц по части 3 статьи 13.11 КоАП. Нарушение видно снаружи мгновенно, и именно с него обычно начинается разговор при проверке.
Если сайт школы на «Госвебе», у площадки свои особенности размещения политики: «Политика ПДн на Госвебе». Общий шаблон: «Политика обработки ПДн: образец».
3. Собрать согласия — но только там, где они нужны
Здесь школы ошибаются в обе стороны: одни не берут согласий вообще, другие подписывают одно «согласие на всё» и считают вопрос закрытым.
Правильная логика такая:
| Что делает школа | Нужно ли согласие |
|---|---|
| Зачисление, личное дело, отчётность | Нет — обработка во исполнение обязанностей, возложенных законом |
| Передача в обязательные государственные системы | Нет, но состав и цели должны быть отражены в документах |
| Публикация фото ученика на сайте и в соцсетях | Да, согласие законного представителя |
| Публикация имени и работ ученика для всех | Да, согласие на распространение (статья 10.1 152-ФЗ, приказ РКН №18) |
| Сведения о здоровье | Да, отдельное письменное согласие (статья 10 152-ФЗ) |
С 1 сентября 2025 года по 156-ФЗ согласие оформляется отдельным документом и не может быть частью других условий — «согласие внутри заявления о приёме» больше не подходит.
Образцы: «Согласие на обработку ПДн ребёнка» и «Согласие на фото ребёнка».
4. Разобраться с государственными системами
Школа передаёт данные в несколько государственных систем, и у каждой своя правовая рамка. Их часто путают между собой, а согласия оформляют «оптом»:
- ГИС «Моя школа» (постановление Правительства №1241) — про общее образование. Детскому саду она не подходит: у дошкольных организаций свои региональные системы учёта. Разбор подключения.
- ФИС ФРДО (постановление Правительства №729) — сведения о документах об образовании. Как подключиться.
- ЕГИССО (постановление Правительства №181) — данные для мер социальной поддержки. Что передаёт сад и школа.
- Электронный журнал и региональный сегмент — например, «Сетевой город». Что с ПДн.
5. Держать сайт в порядке по составу сведений
У образовательной организации есть отдельная обязанность, не связанная напрямую с 152-ФЗ, но проверяемая на том же сайте: структура подраздела «Сведения об образовательной организации» по приказу Рособрнадзора №1493. Ответственность за нарушение наступает по статье 19.30 КоАП. Подробно: «Приказ №1493: структура сайта школы».
Где школы ошибаются чаще всего
Одно согласие на всё. Если обязательная обработка и публикация фото объединены в один документ, отзыв согласия родителем формально бьёт по всему сразу. Разделяйте.
Иностранные счётчики и сервисы на сайте. Аналитика, шрифты, видеохостинг, форма обратной связи на зарубежном сервисе — это обработка и, возможно, трансграничная передача по статье 12 152-ФЗ. Проверьте, что стоит на странице: «Cookie-баннер и 152-ФЗ».
Фотографии с мероприятий «для отчёта». Групповое фото с подписью класса — это данные конкретных детей. Согласие нужно до публикации, а не после жалобы.
Ответ родителю «в течение 30 дней». В 152-ФЗ такого срока нет: статья 20 даёт 10 рабочих дней, продление — не более чем на 5 рабочих дней с мотивированным уведомлением.
Уверенность, что «нас не проверяют». Образование входит в число сфер, к которым Роскомнадзор применяет риск-ориентированный подход, а нарушения на сайте видны дистанционно, без выезда.
Что видно проверяющему, не заходя в школу
Часть нарушений обнаруживается дистанционно — по сайту, без выезда и без запроса документов. Это самая обидная категория: устраняется за час, а стоит как полноценное нарушение.
Смотрят обычно так:
- Есть ли страница политики и открывается ли она. Битая ссылка равна отсутствию публикации.
- Совпадает ли политика с реальностью. Если в документе указан другой оператор — значит, он скопирован; такой документ не описывает вашу обработку. Разбор: «Можно ли скопировать политику».
- Какие сторонние скрипты грузит страница. Счётчики, шрифты, карты, видео и виджеты обратной связи — это передача данных посетителя третьим лицам, а иногда и за рубеж.
- Есть ли форма сбора данных без согласия. Форма обратной связи или запись на день открытых дверей — это сбор персональных данных, и рядом должно быть согласие, а не только ссылка на политику. Когда политика нужна даже без форм — отдельный разбор.
- Как оформлены фотографии и списки. Фамилии победителей олимпиад, списки классов, фото с праздников — самые частые публикации, на которые приходят жалобы родителей.
- Есть ли школа в реестре операторов. Проверяется по ИНН за несколько секунд: «Реестр операторов РКН».
Отдельно про давний миф: автоматизированный мониторинг Роскомнадзора существует, но он риск-ориентированный — работает по жалобам и по отдельным сферам, а не обходит подряд все сайты. Что это означает на практике, разобрано здесь: «Как РКН находит нарушения на сайтах».
С чего начать, если ничего не сделано
- Проверьте, есть ли учреждение в реестре операторов, и подайте уведомление, если его нет.
- Опубликуйте политику отдельной страницей и поставьте ссылку в подвал сайта.
- Издайте приказ о назначении ответственного за организацию обработки данных.
- Разделите согласия: обязательная обработка — отдельно, публикация фото и работ — отдельно.
- Пройдите по сайту и уберите иностранные сервисы там, где без них можно обойтись.
- Назначьте порядок ответа на обращения родителей и работников — 10 рабочих дней.
Что грозит за бездействие и какие суммы актуальны в этом году — в сводке «Штрафы РКН в 2026». Если предписание уже пришло: «Что делать с предписанием РКН».
Запустить бесплатную проверку сайта школы — покажет политику, cookie, трекеры и зарубежные сервисы за минуту.