Персональные данные в школе: согласия и типичные нарушения

Краткий вывод для директора

Школа обрабатывает огромный объём персональных данных: ФИО, адреса, паспортные и медицинские сведения, данные о семье, оценки, фотографии. С точки зрения закона школа — оператор персональных данных, а значит несёт полный набор обязанностей по Федеральному закону № 152-ФЗ. И большинство «школьных» нарушений здесь не про хакеров, а про бумаги: нет нужного согласия, одно согласие «на всё», фото детей на сайте без отдельного согласия на распространение, необновлённая политика.

Ключевых развилок три. Первая — основание обработки: часть данных школа обрабатывает без согласия (это прямо разрешено законом для исполнения обязанностей, возложенных на школу), а часть — только с согласия субъекта. Вторая — вид согласия: обычное согласие на обработку и отдельное согласие на распространение (публикацию неограниченному кругу лиц, например фото на сайте) — это два разных документа, их нельзя объединять. Третья — организационные обязанности оператора: политика обработки, назначение ответственного, локальные меры защиты и, что часто упускают, уведомление Роскомнадзора.

Отдельно предупредим о распространённом заблуждении: с 1 сентября 2022 года уведомлять Роскомнадзор об обработке персданных обязаны почти все операторы, включая школы, — освобождений осталось совсем немного. «Мы же бюджетная организация, нам не нужно» — это устаревшая и опасная позиция.

Школа как оператор: два режима обработки

Статья 6 ФЗ-152 перечисляет условия (основания), при которых обработка персданных законна. Для школы это в первую очередь:

• обработка с согласия субъекта персональных данных;
• обработка без согласия — когда она необходима для исполнения полномочий и обязанностей, возложенных на школу законодательством (ведение личных дел, отчётность, зачисление, ГИА и т. п.), исполнения договора, стороной которого является субъект, и в других прямо названных законом случаях.

Практический вывод: школа не обязана брать согласие «на всё подряд». На то, что прямо требуется для выполнения её функций по закону об образовании, отдельного согласия не нужно. Согласие требуется там, где обработка выходит за эти рамки, — и особенно там, где данные публикуются или передаются третьим лицам.

Вся обработка при этом должна отвечать принципам статьи 5 ФЗ-152: обработка только для заранее определённых и законных целей; соответствие объёма данных целям (не собирать лишнего); достоверность и актуальность; хранение не дольше, чем нужно для целей обработки, с последующим уничтожением или обезличиванием.

Согласие на обработку: каким оно должно быть

Согласие на обработку персональных данных регулируется статьёй 9 ФЗ-152. Требования к нему:

• субъект даёт согласие свободно, своей волей и в своём интересе;
• согласие должно быть конкретным, предметным, информированным, сознательным и однозначным;
• согласие оформляется отдельно от иных документов, которые субъект подписывает;
• в письменном согласии по закону должен быть определённый набор реквизитов: сведения о субъекте и его представителе, о самом операторе, цель обработки, перечень персданных, перечень действий и способы обработки, срок действия и порядок отзыва согласия.

Для несовершеннолетних согласие даёт родитель (законный представитель). Важно: согласие можно отозвать, и школа обязана предусмотреть понятный механизм отзыва.

Требования к содержанию согласия периодически уточняются (в частности, изменения вступали в силу с 1 сентября 2025 года), поэтому форму согласия нужно держать в актуальном состоянии и сверять по действующей редакции.

Отдельное согласие на распространение — самая частая ошибка

Публикация данных ребёнка неограниченному кругу лиц — фото на сайте школы, в соцсетях, на стенде «Наши отличники», списки победителей олимпиад с ФИО — это распространение персональных данных. Оно регулируется отдельной статьёй 10.1 ФЗ-152 и требует отдельного согласия.

Ключевые правила:

• согласие на распространение оформляется отдельно от иных согласий субъекта на обработку — его нельзя «зашить» в общее согласие;
• молчание или бездействие субъекта ни при каких условиях не считается согласием на распространение;
• оператор обязан обеспечить субъекту возможность определить перечень персональных данных по каждой категории, которые он разрешает распространять, и установить запреты/условия;
• дополнительные требования к оформлению такого согласия действуют с 1 сентября 2025 года — их следует сверить в актуальной редакции.

Типичная картина нарушения: школа публикует фотографии с праздника, где узнаваемы дети, имея на руках только общее согласие «на обработку персональных данных». Этого недостаточно — нужно именно отдельное согласие на распространение, с возможностью для родителя отказаться от публикации конкретных данных.

Организационные обязанности оператора

Статья 18.1 ФЗ-152 обязывает оператора принимать меры, необходимые и достаточные для выполнения закона, и уметь подтвердить их принятие. Минимальный набор для школы:

• назначить ответственного за организацию обработки персональных данных;
• принять локальные акты: политику в отношении обработки персданных, положение о защите персданных, перечни обрабатываемых данных и др.;
• опубликовать политику обработки персданных в открытом доступе (на сайте) — это прямая обязанность, вытекающая из статьи 18.1;
• применять правовые, организационные и технические меры защиты (статья 19 ФЗ-152): определить угрозы, применять средства защиты, учитывать носители, контролировать доступ, обнаруживать факты несанкционированного доступа и восстанавливать данные;
• организовать разграничение доступа сотрудников к данным по принципу необходимости.

Отдельный блок — персональные данные работников школы. Их обработка дополнительно регулируется главой 14 Трудового кодекса РФ (статьи 85–90 в действующей структуре ТК; нумерацию сверяйте по актуальной редакции). ТК устанавливает общие требования к обработке данных работника, порядок их хранения и использования, передачи третьим лицам и гарантии защиты. Отказ работника от предоставления данных, не обязательных по закону, не может влечь дискриминацию.

Уведомление Роскомнадзора

Статья 22 ФЗ-152 обязывает оператора до начала обработки уведомить уполномоченный орган (Роскомнадзор) о намерении осуществлять обработку персональных данных. С 1 сентября 2022 года (изменения, внесённые Федеральным законом № 266-ФЗ) круг тех, кто освобождён от уведомления, резко сузился — уведомлять обязаны практически все операторы, и школы в их числе.

Что важно:

• освобождений осталось немного (узкие случаи, прямо названные в законе), и «обработка только на бумаге, без автоматизации» — один из них; но реальная школа почти всегда ведёт данные в информационных системах, а значит подпадает под обязанность;
• при изменении сведений оператор уведомляет об этом не позднее 15-го числа месяца, следующего за месяцем изменений;
• при прекращении обработки — уведомление в течение 10 рабочих дней.

Практический совет: проверьте, есть ли школа в реестре операторов Роскомнадзора, и актуальны ли поданные сведения. Отсутствие уведомления — самостоятельное нарушение, за которое предусмотрена административная ответственность.

Типичные нарушения в школе (чек-лист)

• Одно «универсальное» согласие на все цели вместо конкретных, предметных согласий.
• Фото и данные детей на сайте/в соцсетях без отдельного согласия на распространение (ст. 10.1).
• Нет актуальной политики обработки персданных в открытом доступе.
• Не назначен ответственный за организацию обработки.
• Не подано (или не обновлено) уведомление в Роскомнадзор.
• Сбор избыточных данных «на всякий случай» — нарушение принципа соответствия объёма целям (ст. 5).
• Нет механизма отзыва согласия и уничтожения данных по достижении целей.
• Данные работников обрабатываются без учёта требований главы 14 ТК РФ.

Правовое основание

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 5 — принципы обработки (законность и определённость целей, соответствие объёма целям, ограничение срока хранения).
• ФЗ-152, статья 6 — условия (основания) обработки, в том числе обработка с согласия и без согласия для исполнения возложенных на оператора обязанностей.
• ФЗ-152, статья 9 — требования к согласию: свободное, конкретное, информированное, однозначное; оформляется отдельно; реквизиты письменного согласия; право отзыва.
• ФЗ-152, статья 10.1 — особенности обработки данных, разрешённых субъектом для распространения: отдельное согласие, недопустимость трактовки молчания как согласия, право определить перечень распространяемых данных (введена ФЗ от 30.12.2020 № 519-ФЗ; дополнительные требования — с 01.09.2025).
• ФЗ-152, статья 18.1 — меры оператора по обеспечению выполнения обязанностей, включая публикацию политики обработки и назначение ответственного.
• ФЗ-152, статья 19 — правовые, организационные и технические меры защиты персональных данных.
• ФЗ-152, статья 22 — уведомление уполномоченного органа (Роскомнадзора) о намерении обрабатывать персданные; расширение обязанности с 01.09.2022 (ФЗ от 14.07.2022 № 266-ФЗ).
• Трудовой кодекс РФ, глава 14 «Защита персональных данных работника» — обработка, хранение, передача и защита персданных работников школы.

Статус на дату проверки 04.07.2026: статьи 5, 6, 9, 10.1, 18.1, 19, 22 ФЗ-152 действуют; приведённые положения соответствуют тексту закона на дату проверки. Требования к содержанию согласий и к согласию на распространение уточнялись (изменения от 01.09.2025) — форму согласий и политику обработки необходимо сверить с актуальной редакцией. Номера статей главы 14 ТК РФ сверяйте в действующей редакции. Материал носит справочно-методический характер, не является юридической консультацией и требует адаптации под локальные акты конкретной школы (КонсультантПлюс / Гарант / publication.pravo.gov.ru; реестр операторов — pd.rkn.gov.ru).