Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Соблюдение требований Федерального закона от № 152-ФЗ «О персональных данных» является обязательным условием деятельности любой образовательной организации — будь то школа‚ детский сад‚ колледж или вуз. В контексте «дня образования» (профессионального праздника или тематического мероприятия) особенно актуально напомнить о ключевых рисках и мерах по их минимизации.

Кто является оператором персональных данных в образовании?

Согласно ст. 3 закона‚ оператором признается организация‚ самостоятельно или совместно с другими лицами организующая и (или) осуществляющая обработку персональных данных‚ а также определяющая цели обработки‚ состав обрабатываемых данных и действия с ними.

В образовательной сфере операторами по умолчанию являются:

Учреждения общего образования (школы‚ лицеи‚ гимназии);
Дошкольные образовательные организации (детские сады);
Организации среднего профессионального образования (колледжи‚ техникумы);
Высшие учебные заведения (институты‚ университеты‚ академии);
Организации дополнительного образования (дома творчества‚ спортивные школы‚ центры IT-образования).

Руководитель организации (директор‚ ректор) несет персональную ответственность за организацию работы с персональными данными (ПДн).

Категории обрабатываемых персональных данных

Образовательные организации работают с широким спектром данных‚ что повышает риски утечки:

Данные обучающихся (детей): ФИО‚ дата и место рождения‚ СНИЛС‚ данные о здоровье (медицинские справки‚ группы здоровья)‚ биометрия (при проходном контроле/питании)‚ фото/видео с мероприятий.
Данные родителей (законных представителей): Паспортные данные‚ контакты‚ место работы‚ доходы (для льгот)‚ СНИЛС.
Данные сотрудников (педагоги‚ АУП): Полный кадровый пакет: паспорт‚ трудовая‚ ИНН‚ СНИЛС‚ военский учет‚ образование‚ квалификация‚ семейное положение‚ данные о наказаниях/поощрениях.
Особые категории (ч. 1 ст. 10): Расовые‚ национальные происхождения‚ политические взгляды‚ религиозные убеждения‚ состояние здоровья‚ интимная жизнь. Требуют письменного согласия субъекта (за исключением случаев ст. 10‚ 11 Закона).
Биометрические данные (ч. 2 ст. 11): Отпечатки пальцев‚ распознавание лица. Использование в школах для доступа/питания требует строгого соблюдения процедуры (согласие‚ локальное хранение‚ запрет передачи третьим лицам).

Основные риски несоответствия 152-ФЗ (Топ-7 для образования)

№	Риск	Последствия
1	Отсутствие/неактуальность локальных актов (Политика конфиденциальности‚ Положение о защите ПДн‚ Приказы о назначении ответственных).	Штрафы по ст. 13.11 КоАП РФ (до 75 000 руб. для юрлиц за повторное нарушение)‚ предписания Роскомнадзора.
2	Нарушение режима доступа (открытые списки классов на порталах‚ доступ учителей к чужим личным делам‚ слабые пароли).	Утечка данных‚ штрафы до 15 млн руб. (ст. 13.11 ч. 3 КоАП РФ за утечку)‚ репутационные потери.
3	Незаконная публикация фото/видео детей на сайте школы‚ в соцсетях‚ в СМИ без согласия родителей.	Жалобы родителей‚ проверки прокуратуры/Роскомнадзора‚ иски о защите чести/достоинства/образа (ГК РФ).
4	Использование «облачных» сервисов и мессенджеров (WhatsApp‚ Telegram‚ Google Диск) для передачи ПДн без договоров и мер защиты.	Трансграничная передача без гарантий защиты (ст. 12 152-ФЗ)‚ потеря контроля над данными.
5	Отсутствие уведомления Роскомнадзора (или неактуальные сведения в реестре) о обработке ПДн.	Штраф до 30 000 руб. (ч. 2 ст. 13.11 КоАП РФ)‚ блокировка сайта (в крайних случаях).
6	Несвоевременное уничтожение/анонимизация данных после истечения сроков хранения (личные дела выпускников‚ кадровые документы).	Нарушение принципов обработки (ст. 5)‚ риск утечки «мертвых» данных.
7	Игнорирование прав субъектов ПДн (отказ в доступе к своим данным‚ неисполнение требования об удалении/исправлении).	Судебные иски‚ штрафы‚ обязательство выполнить требование в судебном порядке.

Чек-лист готовности к проверке (День образования — повод для аудита)

Документальное оформление

Уведомление Роскомнадзора подано актуальное (через личный кабинет на ndp.rkn.gov.ru). Номер уведомления: *.
Утверждена Политика в отношении обработки ПДн (опубликована на сайте организации).
Разработано и утверждено Положение о защите ПДн (внутренний документ).
Издан приказ «О назначении ответственного за организацию обработки ПДн» (ФИО ответственного: *).
Составлены Перечни категорий субъектов ПДн‚ категорий ПДн‚ целей обработки‚ мер защиты (приложения к Положению).
Заключены договоры с операторами связи/почты/ЭДО/Сайтом/1С/Диарий.ру/Сетевой город с условиями ст. 28 152-ФЗ (обязательства по защите‚ конфиденциальности‚ возврату/уничтожению).

Организационно-технические меры (ч. 1 ст. 19‚ ст. 19.1)

Проведена модель угроз (типовая для госсектора или индивидуальная).
Определен уровень защищенности (1–4) для каждой ИСПДн (Информационной системы ПДн).
Внедрены средства защиты: СКЗИ (Средства криптографической защиты информации) для 1-2 уровней‚ антивирусы‚ МЭС‚ контроль целостности‚ учет доступа (логирование).
Обеспечена физическая защита серверных‚ архивов‚ кабинетов кадров/бухгалтерии (замки‚ СКУД‚ журнал учета посещений).
Проводится регулярное обучение сотрудников по защите ПДн (протоколы инструктажей‚ тестирование).

Работа с согласиями

Формы согласий (родители‚ сотрудники‚ абитуриенты) соответствуют требованиям ст. 9 (цели‚ состав‚ срок‚ права субъекта‚ подпись/ЭП).
Согласия хранятся в привязке к личным делам/карточкам сотрудника.
Есть процедура отзыва согласия (форма заявления‚ срок исполнения, 30 дней‚ если иное не установлен законом).

Специфика «Дня образования» и мероприятий: фото/видео/СМИ

В дни открытых дверей‚ линейках‚ выпусках‚ спортивных праздниках риск нарушения ст. 152-ФЗ максимален.

⚠ Важные правила для мероприятий:

Фото/видео съемка: Является обработкой ПДн (образ гражданина). Требуется согласие родителей (для несовершеннолетних) или самого субъекта (совершеннолетние).
Размещение на сайте/ВК/Телеграм: Только с согласия. Лицо ребенка желательно размывать‚ если согласия нет или оно не получено от всех родителей класса/группы.
СМИ/Журналисты: Допуск только с аккредитацией. Обязательно заключение соглашения о нераспространении ПДн (если журналисты получают списки участников/победителей).
Дипломы/Грамоты/Списки победителей: Публикация ФИО детей в открытом доступе — обработка ПДн. Требуется согласие или обоснование ст. 6 (исполнение закона/договора — слабое обоснование для публичного интернета‚ лучше согласие).

Ответственность за нарушения (Актуальные суммы штрафов 2024–2026 гг.)

Ст. 13.11 КоАП РФ (ред. от и позднее):

Ч. 1: Нарушение порядка сбора/использования/распространения ПДн без согласия, 3 000–5 000 руб. (должностные лица)‚ 15 000–75 000 руб. (юрлица).
Ч. 2: Неисполнение требований Роскомнадзора / отсутствие уведомления, 10 000–20 000 руб. (должностные лица)‚ 50 000–100 000 руб. (юрлица).
Ч. 3: Нарушение прав субъектов ПДн (отказ в доступе‚ исправлении‚ удалении) — 10 000–20 000 руб. (должностные лица)‚ 50 000–100 000 руб. (юрлица).
Ч. 3.1: Нарушение требований к защите ПДн (утечка) — 30 000–50 000 руб. (должностные лица)‚ 1 000 000–3 000 000 руб. (юрлица). При повторном, до 15 млн руб.
Ч. 3.2: Нарушение требований к локализации БД (ст. 18 152-ФЗ) — 1 000 000–6 000 000 руб. (юрлица).

Уголовная ответственность (ст. 137 УК РФ): Незаконные сбор/распространение сведений о частной жизни — штраф до 200 тыс. руб.‚ обязательные работы‚ исправительные работы‚ принудительные работы‚ арест до 4 мес.

Практический алгоритм действий руководителя (Дорожная карта)

Инвентаризация: Составить реестр всех ИСПДн (сайт‚ 1С‚ ЭлЖур‚ Диарий.ру‚ почта‚ локальная сеть‚ бумажные архивы‚ видеонаблюдение‚ СКУД‚ биометрия).
Аудит документов: Проверить актуальность Политики‚ Положения‚ Приказов‚ Уведомления РКН.
Оценка рисков / Модель угроз: Определить уровни защищенности (1–4) для каждой системы.
Закупка/Настройка СЗИ: Антивирусы (реестр Минцифры)‚ МЭС‚ СКЗИ (для 1-2 уrovней)‚ средства резервного копирования‚ DLP-системы (по необходимости).
Договорная работа: Привести договоры с подрядчиками (ИТ-аутсорс‚ ЭДО‚ хостинг‚ СЭД) в соответствие со ст. 28 152-ФЗ.
Обучение кадров: Провести инструктажи для ВСЕХ сотрудников‚ имеющих доступ к ПДн (педагоги‚ администраторы‚ бухгалтерия‚ кладовщики‚ охрана). Составить протоколы.
Работа с субъектами: Наладить процесс получения/хранения/учет согласий‚ процедуру обращения субъектов (форма на сайте‚ журнал входящих).
Контроль и ревизия: Ежеквартально/раз в полгода внутренняя проверка соблюдения Положения (акт проверки).
Инцидент-менеджмент: Утвердить план действий при утечке/инциденте (уведомление РКН за 24 часа‚ уведомление субъектов‚ расследование‚ ликвидация последствий).

Частые ошибки (Мифы) в образовательных организациях

Миф / Ошибка	Реальность (Закон / Пояснение)
«Мы госучреждение‚ 152-ФЗ на нас не распространяется / мы не коммерция».	Неверно. Ст. 2 152-ФЗ: закон действует в отношении ВСЕХ операторов‚ включая госорганы‚ муниципальные и бюджетные учреждения.
«У нас есть уведомление РКН — значит мы в полной безопасности».	Неверно. Уведомление, только формальность (учет в реестре). Основная работа — реальные меры защиты (ст. 19) и локальные акты.
«Согласие родителя на фото действует бессрочно и на все случаи жизни».	Неверно. Согласие должно быть конкретным (цели‚ состав данных‚ срок). Общее «соглашаюсь на всё» может быть признано недействительным судом/РКН.
«Мы не храним биометрию‚ у нас просто фото в проходной/столовой».	Риск. Если фото используется для автоматического распознавания лица (сравнение с эталоном) — это биометрия (ст. 11). Требуется строгая процедура.
«Передаем данные в «Сетевой город» / «Диарий.ру» — это их проблема».	Неверно. Школа — оператор‚ определяет цели. Подрядчик, уполномоченное лицо (ст. 28). Школа отвечает за выбор подрядчика и контроль договора.
«Удалили файл — значит уничтожили ПДн».	Неверно. Уничтожение, необратимый процесс (перезапись секторов‚ физическое уничтожение носителей). Акт уничтожения обязателен.

Полезные ресурсы и нормативная база

Официальный сайт Роскомнадзора: rkn.gov.ru (раздел «Персональные данные» — методические рекомендации‚ типовые документы).
Реестр уведомлений: ndp.rkn.gov.ru.
Постановление Правительства РФ № 1119 «Об утверждении требований к защите ПДн при их обработке в ИСПДн» (уровни защищенности‚ меры).
Приказ ФСТЭК РФ от № 21 «Об утверждении состава и параметров мер организационно-технических мер…» (для криптозащиты).
Методические рекомендации Роскомнадзора для образовательных организаций (поиск по ключевым словам на сайте РКН).

Соблюдение 152-ФЗ в образовательной организации — это не разовая акция к «Дню образования»‚ а непрерывный процесс управления рисками. Ключевые столпы успеха: актуальные локальные акты‚ инвентаризация ИСПДн‚ модель угроз‚ внедренные СЗИ‚ обучение персонала и работа с согласиями родителей/сотрудников.

Игнорирование требований несет не только финансовые риски (штрафы до миллионов рублей)‚ но и репутационные‚ и‚ что самое главное‚ угрозу безопасности детей и сотрудников. Регулярный внутренний аудит и консультации с профильными юристами/ИБ-специалистами позволят поддерживать соответствие законодательству на должном уровне.

Данная статья носит информационно-разъяснительный характер и не является правовым консультированием.

Для получения развернутых разъяснений по применению законодательства о персональных данных в конкретной организации рекомендуется обратиться в территориальный орган Роскомнадзора или к квалифицированному юристу/специалисту по защите информации.

Контакты для справок (пример): Тел. горячей линии Роскомнадзора: 8-800-*—; Сайт: rkn.gov.ru.