РКН Аудит
Закон «О персональных данных» не содержит специальных правил о несовершеннолетних и не называет возраст, с которого человек сам решает вопрос о своих данных. Статья 9 152-ФЗ (часть 6) говорит лишь о недееспособности — а ребёнок недееспособным не является. Поэтому возраст выводится из Гражданского кодекса: за детей до 14 лет действуют родители, усыновители или опекуны (статья 28 ГК РФ), подростки от 14 до 18 лет действуют сами с письменного согласия законных представителей (статья 26 ГК РФ). Для оператора это означает: если сервис работает с детьми, согласие оформляется через законного представителя; если сервис общего назначения — нужны условие о возрасте и порядок действий на случай, когда выяснится, что пользователь ребёнок. Всё остальное — минимизация данных, письменная форма для данных о здоровье, отдельное согласие на публикацию фото — общие требования 152-ФЗ, которые применительно к детям проверяются строже.
Проверить сайт бесплатно: согласие в формах, политика, трекеры до согласия ←
Что 152-ФЗ говорит о детях — и о чём молчит?
Прямо о несовершеннолетних в законе — почти ничего. Нет возрастного порога, нет особого перечня данных, нет обязанности проверять возраст. Регулирование складывается из трёх источников.
Общие нормы 152-ФЗ. Основания обработки по статье 6 152-ФЗ, требования к согласию по статье 9 152-ФЗ, принципы минимизации и целевого характера по статье 5 152-ФЗ, письменная форма для специальных категорий по статье 10 152-ФЗ и для биометрии по статье 11 152-ФЗ, отдельное согласие на распространение по статье 10.1 152-ФЗ. К детям всё это применяется так же, как ко взрослым, — но с поправкой на то, кто вправе выразить волю.
Гражданский кодекс о дееспособности. Именно он отвечает на вопрос «кто подписывает». Малолетние до 14 лет — за них действуют законные представители, самостоятельно они вправе совершать лишь мелкие бытовые сделки и ещё несколько видов сделок из статьи 28 ГК РФ. Подростки 14–18 лет совершают сделки с письменного согласия родителей, усыновителей или попечителя, а самостоятельно — распоряжаются заработком и стипендией, осуществляют права автора, вносят вклады и совершают мелкие бытовые сделки (статья 26 ГК РФ).
Отраслевые нормы. Для школ и детских садов действуют законодательство об образовании и правила государственных информационных систем; для медицины — правила о врачебной тайне. Эти сегменты мы разбирали отдельно: «Согласие на обработку ПДн ребёнка: образец для детского сада и школы» и «152-ФЗ для онлайн-школы».
Честная оговорка: вопрос, является ли согласие на обработку персональных данных сделкой в смысле Гражданского кодекса, в законе не решён, а публикации на этот счёт расходятся. Распространённая практика операторов сложилась так: до 14 лет — согласие даёт законный представитель, с 14 до 18 — подросток сам, при письменном согласии представителя, кроме случаев, когда по кодексу он действует самостоятельно. Этой конструкции и стоит придерживаться, пока нет обязательного разъяснения.
Кто и как даёт согласие в зависимости от возраста?
| Возраст субъекта | Кто выражает согласие | Что фиксировать оператору | Норма |
|---|---|---|---|
| До 14 лет | Законный представитель — родитель, усыновитель, опекун | Данные представителя, подтверждение его статуса, согласие от его имени в интересах ребёнка | статья 28 ГК РФ, статья 9 152-ФЗ |
| 14–18 лет | Подросток сам, с письменного согласия законного представителя; самостоятельно — в случаях, перечисленных кодексом, и при полной дееспособности | Согласие подростка и согласие представителя; если обработка связана с его заработком или мелкой бытовой сделкой — можно без представителя; при эмансипации (статья 27 ГК РФ) и при вступлении в брак (статья 21 ГК РФ, пункт 2) представитель не нужен вовсе | статья 26 ГК РФ, статья 9 152-ФЗ |
| 18 лет и старше | Субъект сам | Обычное согласие или иное основание из статьи 6 152-ФЗ | статья 9 152-ФЗ |
Несколько практических следствий.
Согласие законного представителя — это его персональные данные тоже. Родитель, подписывая согласие за ребёнка, сообщает своё имя, контакты, иногда данные документа. Эта обработка нуждается в собственном основании — обычно это исполнение договора с родителем — статья 6 152-ФЗ (часть 1, пункт 5), договор, стороной которого является субъект, — или его отдельное согласие.
Два субъекта — два набора данных. Онлайн-школа заключает договор с родителем, а учит ребёнка. Данные плательщика и данные ученика — разные субъекты, разные цели, разные основания. Формулировка «нажимая кнопку, вы соглашаетесь за себя и ребёнка» внутри оплаты не работает: с 1 сентября 2025 года согласие оформляется отдельным документом и не может быть спрятано в оферте.
Договор с подростком тоже требует родителя. Если сервис хочет обойтись без согласия и опереться на договор с самим подростком 14–18 лет, стоит помнить, что и договор он заключает с письменного согласия представителя. Основание «исполнение договора» без родителя работает только в случаях самостоятельной дееспособности из статьи 26 ГК РФ. Отдельно стоят несовершеннолетние, которые приобрели дееспособность в полном объёме до 18 лет: эмансипированные по статье 27 ГК РФ и вступившие в брак (статья 21 ГК РФ, пункт 2). Они действуют сами, и требовать у них подпись родителя — значит собирать данные представителя без основания.
Обязан ли сайт проверять возраст?
Нет — по крайней мере, 152-ФЗ такой обязанности не устанавливает. Это важно понимать, потому что попытка «перестраховаться» приводит к другому нарушению. Требовать паспорт или дату рождения от каждого посетителя сайта-визитки или интернет-магазина — избыточная обработка, запрещённая статьёй 5 152-ФЗ (часть 5): содержание и объём данных должны соответствовать заявленным целям. Отдельно оговоримся: возрастные ограничения для отдельных товаров и видов информации — продажа алкоголя и табака, информационная продукция 18+ — установлены отраслевыми законами, и речь здесь не о них.
Но незнание не всегда защищает. Разграничить ситуации помогает вопрос: кому адресован сервис и что оператор реально знает о пользователе?
- Сервис адресован детям — школьная платформа, детская игра, кружок, репетиторский сервис для школьников. Оператор знает, что субъекты несовершеннолетние, и обязан выстроить сбор согласий через законных представителей с самого начала.
- Сервис общего назначения, но данные выдают возраст — в анкете есть класс, школа, дата рождения. Оператор знает, что перед ним ребёнок, и продолжать обработку «как со взрослым» нельзя.
- Сервис общего назначения, возраст неизвестен. Разумный стандарт: условие о минимальном возрасте в правилах, заявление пользователя при регистрации и порядок действий, если возраст вскроется, — ограничение обработки, запрос согласия представителя или удаление аккаунта.
Заявление «мне есть 18» — не проверка, а заверение. Оно показывает добросовестность оператора, но не легализует обработку данных ребёнка задним числом. Вопрос о том, как реагировать, когда родитель пишет «моему сыну 12, удалите аккаунт», должен быть решён до того, как такое письмо придёт. Порядок действий по требованию об удалении — в статье «Право на удаление персональных данных».
Какие данные о ребёнке требуют письменной формы согласия?
Статья 9 152-ФЗ (часть 4) требует согласия в письменной форме в случаях, предусмотренных федеральным законом. Для детских сервисов такие случаи возникают чаще, чем кажется.
Сведения о здоровье. Аллергии в анкете лагеря, ограничения по физкультуре в спортивной секции, медицинская справка для соревнований — это специальные категории по статье 10 152-ФЗ, их обработка допускается при письменном согласии, за ребёнка его даёт законный представитель. Электронный документ, подписанный электронной подписью, признаётся равнозначным бумажному.
Биометрия. Распознавание лица на входе в школу, голос в обучающем приложении, если он используется для установления личности, — статья 11 152-ФЗ, письменное согласие. Фотография становится биометрией только тогда, когда используется для идентификации; фото в галерее кружка — нет. Разбор — в статье «Биометрия несовершеннолетних: 152-ФЗ, согласие родителей».
Распространение. Публикация имени, фото, результатов ребёнка на сайте, в соцсетях, в списке победителей — распространение персональных данных неограниченному кругу лиц. По статье 10.1 152-ФЗ на это оформляется отдельное согласие по форме, требования к которой установил приказ Роскомнадзора №18. Дополнительно — статья 152.1 ГК РФ об изображении гражданина. Образец и типичные ошибки — в статье «Согласие на фото ребёнка».
Отсутствие письменного согласия там, где закон его требует, наказывается строже, чем обычная обработка без согласия: часть 2 статьи 13.11 КоАП вместо части 1.
Что должно быть на сайте сервиса, который работает с детьми?
Внешняя проверка сайта — то, с чего начинает Роскомнадзор, — для детского сервиса ничем не отличается от проверки любого другого. Но каждое из требований здесь имеет детскую специфику.
- Политика обработки (статья 18.1 152-ФЗ, часть 2) — описывает обе категории субъектов: несовершеннолетних и их законных представителей, с целями и основаниями для каждой. Политика, в которой ребёнок не упомянут, не совпадает с реальной обработкой.
- Формы — согласие в форме записи в кружок или на курс собирается у родителя, а не «у пользователя». Поле для данных представителя и отдельный чекбокс с текстом, из которого ясно, кто и за кого даёт согласие. Как строится текст согласия — в статье «Согласие на обработку ПДн: образец и пять элементов».
- Счётчики и пиксели — аналитика и ретаргетинг на страницах для детей собирают идентификаторы посетителя до всякого согласия; для детской аудитории это особенно уязвимо. Загрузка после согласия — общее правило, для детских сервисов ещё и разумная политика.
- Уведомление в Роскомнадзор по статье 22 152-ФЗ — с указанием несовершеннолетних как категории субъектов и законных представителей как отдельной категории.
- Рассылки — реклама детям по собранным контактам требует согласия по статье 15 152-ФЗ, а согласие на продвижение за ребёнка даёт тот же представитель. Рекламная рассылка «ученику» на почту, которую указал родитель, — обработка для продвижения без согласия.
Как хранить и когда удалять данные ребёнка?
Общие правила статьи 5 152-ФЗ (часть 7) и статьи 21 152-ФЗ: данные хранятся не дольше, чем требуют цели, а при достижении цели или отзыве согласия уничтожаются — по общему правилу в срок не более тридцати дней. Для детских сервисов две особенности.
Цели заканчиваются быстрее. Ребёнок закончил курс, выпустился из кружка, перестал играть — цель достигнута. Хранить анкету «на случай возвращения» годами нельзя; если сервис хочет сохранить контакт для будущих предложений, это отдельная цель и отдельное согласие представителя.
Достижение 18 лет не обнуляет согласие, но меняет субъекта. Согласие, данное родителем, продолжает действовать, пока не отозвано и пока не достигнута цель. Но с совершеннолетия отозвать его, потребовать удаления или дать новое вправе сам бывший ребёнок — и оператору нужно быть готовым к обращению уже от него.
Что проверить прямо сейчас?
Нарушения у сервисов для детей — те же, что у всех, но обращение родителя для них весомее: жалоба субъекта или его представителя — один из поводов для реагирования регулятора, а автоматизированный мониторинг работает по риск-ориентированному принципу и обращает внимание в том числе на сферу образования.
- Политика открывается и описывает детей и представителей как отдельные категории субъектов.
- В формах записи согласие собирается у законного представителя, чекбокс отдельный и не предустановлен.
- Данные о здоровье и фото собираются только с письменным и отдельным согласием соответственно.
- Счётчики и пиксели не запускаются до согласия.
- Есть порядок действий на случай, если пользователь окажется несовершеннолетним: до 14 лет — только через законного представителя, с 14 до 18 — согласие подростка плюс письменное согласие представителя.
Снаружи видна только часть этого списка. Бесплатный скан на rkn-ok.ru показывает сайт так, как его видит внешняя проверка: открывается ли политика, есть ли в формах отдельный незаполненный заранее чекбокс согласия, какие скрипты срабатывают до согласия. Кто именно даёт согласие, как оформлены согласия на данные о здоровье и на фото и что происходит, когда возраст пользователя вскрылся, — вопрос внутренних документов: снаружи это не проверяется.
→ Проверить сайт на нарушения 152-ФЗ (бесплатно, 30 секунд)
Что читать дальше
- Согласие на обработку ПДн ребёнка: образец для детского сада и школы — образовательный сегмент
- 152-ФЗ для онлайн-школы — данные ученика отдельно от данных плательщика
- Согласие на фото ребёнка — распространение по статье 10.1 152-ФЗ
- Биометрия несовершеннолетних — где фото становится биометрией
Источники: Федеральный закон №152-ФЗ «О персональных данных» — статьи 5, 6, 9, 10, 10.1, 11, 15, 18.1, 21, 22; Гражданский кодекс РФ — статьи 21 (пункт 2), 26, 27, 28 ГК РФ (тексты сверены по zakonrf.info), статья 152.1 ГК РФ; приказ Роскомнадзора от 24.02.2021 №18 — требования к содержанию согласия на распространение; статья 13.11 КоАП РФ.