Обязана ли школа соблюдать 152-ФЗ и что конкретно от неё требуется

Да, школа обязана соблюдать 152-ФЗ, и без исключений по форме собственности: муниципальное учреждение, частная гимназия и центр дополнительного образования одинаково являются операторами персональных данных, потому что обрабатывают данные учеников, их родителей и работников. Обязанности сводятся к пяти вещам: уведомить Роскомнадзор до начала обработки, опубликовать политику на сайте, собрать согласия там, где обработка выходит за рамки прямых требований закона, обеспечить защиту данных и отвечать на обращения субъектов за 10 рабочих дней. Ниже — что конкретно это означает в школьной практике, какие документы спрашивают при проверке, где школы ошибаются чаще всего и сколько стоит каждая ошибка. Отдельно разберём то, что отличает школу от обычной организации: обязательная обработка, для которой согласие не требуется вовсе, передача данных в государственные информационные системы, специальные категории данных о здоровье ребёнка и требования к структуре сайта по линии Рособрнадзора. Источники: 152-ФЗ, глава 13.11 КоАП, приказы Роскомнадзора и Рособрнадзора.

Проверить сайт школы на соответствие 152-ФЗ — бесплатно ←

Почему школа — оператор, даже если ничего не «собирает» специально

Оператор по статье 3 152-ФЗ — тот, кто организует и определяет цели обработки персональных данных. Школа делает это ежедневно, даже не думая в таких терминах:

• личные дела учеников и их родителей;
• электронный журнал и дневник;
• медицинские сведения — это специальная категория по статье 10 152-ФЗ, для неё нужны отдельные основания;
• кадровый учёт работников;
• фото и видео с мероприятий;
• передача данных в государственные информационные системы.

Отдельно стоит запомнить: обработка «на бумаге» — это тоже обработка. Порядок неавтоматизированной обработки установлен постановлением Правительства №687, и папки в шкафу подпадают под 152-ФЗ ровно так же, как база в электронном журнале.

Что школа обязана сделать: пять пунктов

1. Уведомить Роскомнадзор

По части 1 статьи 22 152-ФЗ уведомление подаётся до начала обработки. Школы, работающие десятилетиями, часто не уведомляли вовсе: обязанность появилась позже, чем учреждение. Это не повод не подавать — штраф назначается за факт отсутствия уведомления, а не за просрочку, поэтому чем раньше, тем лучше.

Штраф для юридического лица — 100 000–300 000 ₽ по части 10 статьи 13.11 КоАП.

Пошаговое заполнение с формулировками целей и мер защиты для образовательного учреждения: «Уведомление в РКН для детского сада и школы».

2. Опубликовать политику на сайте

Часть 2 статьи 18.1 152-ФЗ требует опубликовать документ, определяющий политику обработки данных, и обеспечить к нему неограниченный доступ. Для сайта это отдельная страница с работающей ссылкой.

Штраф — 30 000–60 000 ₽ для юридических лиц по части 3 статьи 13.11 КоАП. Нарушение видно снаружи мгновенно, и именно с него обычно начинается разговор при проверке.

Если сайт школы на «Госвебе», у площадки свои особенности размещения политики: «Политика ПДн на Госвебе». Общий шаблон: «Политика обработки ПДн: образец».

3. Собрать согласия — но только там, где они нужны

Здесь школы ошибаются в обе стороны: одни не берут согласий вообще, другие подписывают одно «согласие на всё» и считают вопрос закрытым.

Правильная логика такая:

С 1 сентября 2025 года по 156-ФЗ согласие оформляется отдельным документом и не может быть частью других условий — «согласие внутри заявления о приёме» больше не подходит.

Образцы: «Согласие на обработку ПДн ребёнка» и «Согласие на фото ребёнка».

4. Разобраться с государственными системами

Школа передаёт данные в несколько государственных систем, и у каждой своя правовая рамка. Их часто путают между собой, а согласия оформляют «оптом»:

• ГИС «Моя школа» (постановление Правительства №1241) — про общее образование. Детскому саду она не подходит: у дошкольных организаций свои региональные системы учёта. Разбор подключения.
• ФИС ФРДО (постановление Правительства №729) — сведения о документах об образовании. Как подключиться.
• ЕГИССО (постановление Правительства №181) — данные для мер социальной поддержки. Что передаёт сад и школа.
• Электронный журнал и региональный сегмент — например, «Сетевой город». Что с ПДн.

5. Держать сайт в порядке по составу сведений

У образовательной организации есть отдельная обязанность, не связанная напрямую с 152-ФЗ, но проверяемая на том же сайте: структура подраздела «Сведения об образовательной организации» по приказу Рособрнадзора №1493. Ответственность за нарушение наступает по статье 19.30 КоАП. Подробно: «Приказ №1493: структура сайта школы».

Где школы ошибаются чаще всего

Одно согласие на всё. Если обязательная обработка и публикация фото объединены в один документ, отзыв согласия родителем формально бьёт по всему сразу. Разделяйте.

Иностранные счётчики и сервисы на сайте. Аналитика, шрифты, видеохостинг, форма обратной связи на зарубежном сервисе — это обработка и, возможно, трансграничная передача по статье 12 152-ФЗ. Проверьте, что стоит на странице: «Cookie-баннер и 152-ФЗ».

Фотографии с мероприятий «для отчёта». Групповое фото с подписью класса — это данные конкретных детей. Согласие нужно до публикации, а не после жалобы.

Ответ родителю «в течение 30 дней». В 152-ФЗ такого срока нет: статья 20 даёт 10 рабочих дней, продление — не более чем на 5 рабочих дней с мотивированным уведомлением.

Уверенность, что «нас не проверяют». Образование входит в число сфер, к которым Роскомнадзор применяет риск-ориентированный подход, а нарушения на сайте видны дистанционно, без выезда.

Что видно проверяющему, не заходя в школу

Часть нарушений обнаруживается дистанционно — по сайту, без выезда и без запроса документов. Это самая обидная категория: устраняется за час, а стоит как полноценное нарушение.

Смотрят обычно так:

1. Есть ли страница политики и открывается ли она. Битая ссылка равна отсутствию публикации.
2. Совпадает ли политика с реальностью. Если в документе указан другой оператор — значит, он скопирован; такой документ не описывает вашу обработку. Разбор: «Можно ли скопировать политику».
3. Какие сторонние скрипты грузит страница. Счётчики, шрифты, карты, видео и виджеты обратной связи — это передача данных посетителя третьим лицам, а иногда и за рубеж.
4. Есть ли форма сбора данных без согласия. Форма обратной связи или запись на день открытых дверей — это сбор персональных данных, и рядом должно быть согласие, а не только ссылка на политику. Когда политика нужна даже без форм — отдельный разбор.
5. Как оформлены фотографии и списки. Фамилии победителей олимпиад, списки классов, фото с праздников — самые частые публикации, на которые приходят жалобы родителей.
6. Есть ли школа в реестре операторов. Проверяется по ИНН за несколько секунд: «Реестр операторов РКН».

Отдельно про давний миф: автоматизированный мониторинг Роскомнадзора существует, но он риск-ориентированный — работает по жалобам и по отдельным сферам, а не обходит подряд все сайты. Что это означает на практике, разобрано здесь: «Как РКН находит нарушения на сайтах».

С чего начать, если ничего не сделано

1. Проверьте, есть ли учреждение в реестре операторов, и подайте уведомление, если его нет.
2. Опубликуйте политику отдельной страницей и поставьте ссылку в подвал сайта.
3. Издайте приказ о назначении ответственного за организацию обработки данных.
4. Разделите согласия: обязательная обработка — отдельно, публикация фото и работ — отдельно.
5. Пройдите по сайту и уберите иностранные сервисы там, где без них можно обойтись.
6. Назначьте порядок ответа на обращения родителей и работников — 10 рабочих дней.

Что грозит за бездействие и какие суммы актуальны в этом году — в сводке «Штрафы РКН в 2026». Если предписание уже пришло: «Что делать с предписанием РКН».

Запустить бесплатную проверку сайта школы — покажет политику, cookie, трекеры и зарубежные сервисы за минуту.