Данные учеников в цифровых сервисах: что можно, а что нарушает 152-ФЗ

Что считается персональными данными ученика

Безопасность данных в школе начинается не с антивируса, а с вопроса, какие данные вы вообще куда-то заводите. Закон не даёт списка полей, которые надо охранять. 152-ФЗ определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определённому либо определяемому физическому лицу. Ключ здесь не в наличии фамилии, а в возможности соотнести запись с конкретным человеком.

На практике в школьный контур попадают фамилия и имя, класс и школа, дата рождения, фотография, голосовая запись, адрес, телефон родителя, отметки и результаты контрольных, сведения из справок. Отдельно стоит связка данных: «Никита К., 7 „Б“» формально не фамилия, но в школе на семьсот человек этого достаточно, чтобы понять, о ком речь.

Отсюда вывод, который часто пропускают: никнейм в сервисе тоже может быть персональными данными. «Игрок 12» — не может. «Маша П. 5А» — может. Это же касается фотографий с подписями, экранов с рейтингом класса и скриншотов результатов, которые учителя пересылают друг другу в мессенджерах.

Согласие: с 1 сентября 2025 года — отдельным документом

За несовершеннолетнего согласие на обработку персональных данных даёт законный представитель — это прямо написано в ч. 1 ст. 9 152-ФЗ. Сам ученик до восемнадцати лет такое согласие дать не может, и галочка, которую он поставит в форме регистрации, юридической силы не имеет.

Главное изменение последних лет: поправками ФЗ от 08.08.2024 № 233-ФЗ установлено, что с 1 сентября 2025 года согласие оформляется отдельным документом. Его больше нельзя прятать внутри договора об оказании услуг, внутри оферты или сводить к общей галочке «согласен со всеми условиями». Форма согласия должна быть отделена от прочих условий и читаться самостоятельно.

Второе, что стоит знать, чтобы не поднимать лишнюю панику: согласия, полученные до 1 сентября 2025 года, переоформлять не нужно — обратной силы у нормы нет. Если школа собрала пакет весной 2025-го, он продолжает действовать в рамках тех целей, для которых собирался. Новые требования касаются согласий, которые оформляются после этой даты.

Для учителя это переводится в один вопрос перед любым новым сервисом: под какую цель собиралось согласие родителей и попадает ли туда то, что я собираюсь сделать. Если честный ответ — «не уверен», это вопрос не к себе и не к интернету, а к ответственному за организацию обработки персональных данных в школе. Такой человек есть в каждой образовательной организации, и разговор с ним занимает пять минут.

Минимизация: самый безопасный сервис — тот, который данных не просит

Ст. 5 152-ФЗ содержит принцип, который в школьной практике снимает больше половины проблем: содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям обработки, избыточность не допускается.

Приложим этот принцип к обычному уроку. Цель — провести квиз, увидеть, кто как понял тему, и разобрать ошибки. Какие персональные данные нужны для этой цели? Ни одного. Команды называются «Ряд 1» и «Ряд 2», счёт идёт на экране, отметки вы ставите в журнал сами, глядя на класс. Задача решена целиком, и решена без единой фамилии в чужой базе. Как собирается такой школьный квиз от вопросов до подсчёта очков, я разбирал отдельно.

Поэтому первый вопрос к любой платформе для урока — не «как она защищает данные», а «зачем ей вообще список класса». Формат, где дети не регистрируются и не заводят аккаунты, а просто смотрят на общий экран, снимает юридический слой полностью. Так устроен и PLACETEACHER: ученики не регистрируются, персональные данные не собираются, учитель ведёт с телефона. Как это выглядит в ходе урока, разобрано в тексте про квиз на уроке.

Есть задачи, где без данных не обойтись: журнал, личное дело, индивидуальная траектория с историей результатов по каждому ученику. Там данные нужны по существу, и разговор идёт не о том, как их избежать, а о том, как обрабатывать корректно и по документам школы. Но урочный интерактив к таким задачам не относится, и смешивать эти два случая не стоит.

Где лежат серверы: локализация по ч. 5 ст. 18

Ч. 5 ст. 18 152-ФЗ требует, чтобы запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России велись с использованием баз данных, находящихся на территории Российской Федерации. Норма действует независимо от того, где зарегистрирован сам сервис.

Для учителя это превращается в конкретный вопрос к зарубежной платформе, куда предлагается завести список класса. Не «можно ли ей пользоваться вообще», а «где будут храниться фамилии моих учеников». Если ответа нет ни в политике обработки, ни в пользовательском соглашении, это уже признак риска. И решение по такому сервису принимает школа, а не учитель в одиночку. Конкретные сервисы я намеренно не называю нарушителями: правовая оценка — дело Роскомнадзора и суда, а не методиста. Но набор признаков риска считается прямо: непонятно, где серверы; регистрация учеников обязательна и обойти её нельзя; в политике обработки нет ни целей, ни сроков хранения; юрлица сервиса нет в реестре операторов. Чем больше признаков совпало, тем больше оснований согласовать использование со школой до, а не после.

Реестр операторов: проверка занимает минуту

Ст. 22 152-ФЗ обязывает оператора уведомить Роскомнадзор о намерении обрабатывать персональные данные. Уведомившие попадают в открытый реестр операторов, поиск в нём идёт по названию организации или по ИНН, регистрация для просмотра не нужна.

Порядок проверки простой. Находите в разделе «Контакты» или в пользовательском соглашении сервиса юридическое лицо и ИНН, вбиваете в реестр. Если сервис прямо заявляет, что обрабатывает данные учеников, а в реестре его нет, это повод задать вопрос — но не повод самому делать вывод о нарушении. Из карточки в реестре видно и другое: какие категории данных и какие цели заявлены. Иногда там обнаруживается больше, чем написано на витрине сайта.

Ответственность: суммы выросли с 30 мая 2025 года

Ст. 13.11 КоАП действует в редакции ФЗ от 30.11.2024 № 420-ФЗ с 30 мая 2025 года. Изменилось две вещи: выросли базовые суммы и появился отдельный блок частей, посвящённый утечкам.

Ч. 1 ст. 13.11 — это обработка персональных данных без согласия в письменной форме, когда такое согласие требуется, либо обработка, несовместимая с заявленными целями. Штраф для граждан 10–15 тысяч рублей, для должностных лиц и индивидуальных предпринимателей 50–100 тысяч, для организаций 150–300 тысяч. Введённые части 12–15 посвящены утечкам, и там для юридических лиц и ИП при повторной утечке предусмотрен оборотный штраф — от 1 до 3% выручки за предыдущий календарный год.

Важное уточнение про роли, иначе цифры читаются неправильно. Оператором в школьной ситуации выступает школа как организация, а не учитель лично. Должностное лицо — это руководитель или назначенный ответственный. Учитель при этом остаётся тем, кто физически заводит фамилии в сервис, и делает он это от имени школы, а не от своего. Отсюда практическое правило, которое я бы повесил в учительской: решение о новом сервисе, который просит данные учеников, — это решение школы, оформленное её внутренними документами, а не личная инициатива педагога. Инициатива при этом ваша, и это нормально. Ненормально, когда инициатива есть, а согласования нет.

Чек-лист к сервису, куда просят завести класс

Восемь вопросов. Ответы на большую часть находятся в пользовательском соглашении и в политике обработки персональных данных — обычно за пять-семь минут чтения по диагонали.

1. Какие данные сервис требует обязательно, а какие можно не заполнять? Обязательная фамилия и обязательная дата рождения — разный уровень вопросов.
2. Можно ли работать без регистрации учеников, только с учительским аккаунтом? Если да, половина списка отпадает сразу.
3. Где расположены серверы и что написано про хранение данных граждан России?
4. Есть ли юрлицо сервиса в реестре операторов Роскомнадзора и какие цели обработки там заявлены?
5. Кто получает доступ к результатам, кроме вас: администрация школы, родители, сам сервис, третьи стороны?
6. Что происходит с данными при удалении аккаунта и есть ли вообще возможность их удалить?
7. Указаны ли сроки хранения данных и порядок их уничтожения по достижении цели?
8. Кто по документам школы принимает решение об использовании сервиса и получено ли это решение?

Безопасность данных в школе: что делать учителю практически

• Не заводить список класса в новый сервис по личной инициативе. Сначала согласование, потом регистрация — этот порядок меняется местами чаще всего.
• Узнать, кто в школе отвечает за организацию обработки персональных данных, и держать этот контакт под рукой. Ст. 18.1 152-ФЗ прямо относит назначение такого лица к мерам оператора.
• Предпочитать анонимные форматы там, где они закрывают задачу. Для урочного интерактива они её закрывают целиком.
• Не публиковать фотографии и видео с детьми без отдельного согласия именно на публикацию: это самостоятельная цель обработки, а не приложение к личному делу.
• Не пересылать списки классов, ведомости и сканы документов в мессенджерах и на личную почту — так утечки и происходят чаще всего.
• Не переиспользовать данные, собранные под одну цель, для другой. Список для журнала не превращается автоматически в список для внешней платформы.

Отдельно про выбор инструментов. Модель «бесплатно в обмен на данные» встречается в учительском софте регулярно, и она напрямую конфликтует с принципом минимизации: сервису данные нужны не для вашей задачи, а для своей. Как устроены такие модели и что у них написано мелким шрифтом, я разбираю в статье про бесплатные и платные сервисы, а критерии выбора в целом — в обзоре сервисов для учителей.

Ни один пункт из перечисленного не требует юридического образования. Требуется одна привычка: перед тем как ввести фамилии детей в чужую форму, остановиться на тридцать секунд и спросить, зачем этой форме фамилии. В большинстве школьных сценариев честный ответ — незачем.