Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: август 2026 года. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Почему детские проекты в зоне повышенного риска
Онлайн-школа английского, курс подготовки к ЕГЭ, секция робототехники с записью на сайте — с точки зрения 152-ФЗ все они операторы персональных данных. Причём операторы, которые обрабатывают данные несовершеннолетних.
Формально закон не выделяет данные детей в отдельную категорию (в отличие от GDPR с его ст. 8). Но два обстоятельства делают такие проекты уязвимее остальных:
- Согласие ребёнка юридически ничтожно. Малолетний до 14 лет не может дать действительное согласие — его даёт законный представитель. Если у вас на сайте галочка «Я согласен на обработку», а форму заполнил двенадцатилетний ученик, согласия у вас нет вовсе.
- Жалуются родители, а не субъекты. Взрослый клиент чаще махнёт рукой. Родитель, обнаруживший фото своего ребёнка в рекламном ролике школы, идёт в Роскомнадзор — и это самый частый сценарий проверки в образовательной нише.
Кто подписывает согласие: разбор по возрасту
Ключевая норма — ч. 6 ст. 9 152-ФЗ: если субъект недееспособен, согласие даёт законный представитель. Дальше подключается ГК РФ.
| Возраст ученика | Кто даёт согласие | Что это значит на практике |
|---|---|---|
| До 14 лет (малолетние) | Только законный представитель — родитель, усыновитель, опекун | Форму заполняет и подтверждает родитель со своего email/телефона. Согласие от имени ребёнка недействительно |
| 14–18 лет | Спорная зона. Безопасная практика — согласие представителя, для сделок и оплаты — обязательно | Собирайте согласие родителя. Подросток может подтвердить своё дополнительно, но не вместо |
| 18+ | Сам субъект | Обычный порядок |
Что должно быть в согласии за ребёнка помимо стандартных реквизитов по ч. 4 ст. 9:
- ФИО, адрес и реквизиты документа законного представителя — не только ребёнка;
- основание представительства — родитель, опекун, попечитель;
- ФИО и данные самого несовершеннолетнего как субъекта ПДн.
Отдельная типовая ошибка: «единое согласие на всё». Обучение, рассылка акций и публикация фото в соцсетях — это три разные цели, и согласие на них должно быть раздельным. Подробнее о структуре — в гайде по содержанию согласия.
Что именно собирает онлайн-школа (и почему это больше, чем кажется)
Проведите инвентаризацию честно. Типичный набор образовательного проекта:
- ФИО ребёнка, возраст или дата рождения, класс, школа;
- контакты родителя: телефон, email, мессенджер;
- записи уроков — видео и голос ребёнка;
- домашние работы, результаты тестов, отзывы преподавателя об успеваемости;
- фото и видео с занятий для соцсетей и лендинга;
- иногда — справки о здоровье, ограничениях, особенностях развития.
Два пункта здесь особенно опасны.
Данные о здоровье (справка, диагноз, «ребёнок с СДВГ», логопедические заключения) — это специальная категория по ст. 10. Обрабатывать их можно только при письменном согласии и с усиленной защитой. Как это устроено — в материале о медицинских данных.
Запись уроков. Само по себе видео с занятия биометрией не является. Но как только вы используете изображение или голос для идентификации конкретного человека — например, автоматическая проверка «тот ли ученик на экране» в системах прокторинга — вы попадаете под ст. 11, где требуется отдельное письменное согласие. Если прокторинг у вас есть, это должно быть прописано явно, а не спрятано в оферте.
Публикация фото и отзывов: отдельное согласие по ст. 10.1
Самый частый повод для конфликта. Школа выкладывает в Telegram-канал фото группы, ролик «наши выпускники» или отзыв мамы с именем ребёнка.
Это распространение персональных данных, и с 2021 года для него нужно отдельное согласие по ст. 10.1 — не то же самое, что согласие на обработку по ст. 9. В нём указывают, какие именно данные распространяются, где и в каком объёме, и субъект вправе установить запреты на отдельные способы.
Практическое правило: если фото или имя ребёнка выходит за пределы вашей CRM — нужен второй документ, подписанный родителем.
Технический контур: где школы попадаются
Помимо документов бот Роскомнадзора смотрит на инфраструктуру. В образовательной нише регулярно всплывают три проблемы.
Google Analytics и зарубежные сервисы. Первичный сбор данных россиян должен идти в базы на территории РФ (ч. 5 ст. 18). Нарушение локализации — 1–6 млн ₽ по ч. 8 ст. 13.11, повторно 6–18 млн. Льгота для малого бизнеса на этот состав не распространяется.
Zoom, Google Meet, зарубежные LMS. Если платформа уроков хранит записи с детьми на иностранных серверах — это трансграничная передача, требующая отдельного уведомления в РКН до начала передачи.
Мессенджеры для домашки. Родительский чат в WhatsApp, куда преподаватель скидывает результаты тестов, — незащищённый канал. Он должен быть описан в политике с указанием рисков, а не существовать явочным порядком.
Не забудьте и про базовое: уведомление о начале обработки в Роскомнадзор — за его отсутствие 100 000 – 300 000 ₽ по ч. 10 ст. 13.11. Пошагово — в инструкции по уведомлению.
Сроки, которые нужно знать заранее
Родители в образовательной нише пишут запросы чаще среднего — «удалите данные ребёнка после окончания курса». Здесь два разных срока, и их постоянно путают:
- 30 дней (ч. 3 ст. 20) — на предоставление информации об обработке: какие данные есть, откуда, кому передавались.
- 7 рабочих дней (ч. 1 ст. 21) — на уточнение, блокирование или уничтожение данных, если они неполные, неточные или получены незаконно.
И отдельно — инциденты. При утечке нужно уведомить Роскомнадзор в течение 24 часов с момента обнаружения, а результаты внутреннего расследования направить в течение 72 часов. Пропуск срока — 1–3 млн ₽ по ч. 11 ст. 13.11, повторно оборотный штраф. Порядок действий — в гайде по утечкам.
Сами утечки в образовании оцениваются по объёму базы: 1 000–10 000 субъектов — 3–5 млн ₽, 10 000–100 000 — 5–10 млн, свыше 100 000 — 10–15 млн. База учеников школы среднего размера легко перешагивает первый порог.
Чек-лист для образовательного проекта
- Форма записи собирает данные родителя как заявителя, а не ребёнка.
- Отдельные чекбоксы: обучение / маркетинговая рассылка / публикация фото и отзывов.
- Согласие на распространение по ст. 10.1 — отдельный документ для соцсетей и лендинга.
- Политика конфиденциальности описывает работу с данными несовершеннолетних явным разделом.
- Записи уроков: указан срок хранения и кто имеет доступ. Прокторинг — отдельное согласие по ст. 11.
- Справки о здоровье — хранятся отдельно, доступ ограничен, письменное согласие получено.
- Уведомление в РКН подано, все процессы в нём отражены.
- Аналитика и платформа уроков не отправляют первичные данные за рубеж.
- Назначен ответственный за организацию обработки ПДн.
- Установлены сроки хранения после окончания курса — данные не лежат «навсегда».
Что делать прямо сейчас
Проверьте свой сайт глазами Роскомнадзора: какие формы собирают данные детей, какие сторонние сервисы их получают, соответствует ли политика реальности.
Запустите бесплатный аудит сайта на соответствие 152-ФЗ → — за 30 секунд покажем оценку, риск штрафа и три самых опасных нарушения. Полный пакет документов под образовательный проект, включая согласие законного представителя и согласие на распространение, — от 4 990 ₽.
Нормативные акты: 152-ФЗ «О персональных данных» (ст. 9 ч. 4 и ч. 6, ст. 10, ст. 10.1, ст. 11, ст. 18 ч. 5, ст. 20 ч. 3, ст. 21 ч. 1, ст. 21.1, ст. 22), ГК РФ ст. 26 и 28, КоАП РФ ст. 13.11 в редакции ФЗ № 420-ФЗ от 30.11.2024.