Требования к сайту детского сада и школы по 152-ФЗ
В образовательной организации сходятся почти все сложные места 152-ФЗ. Здесь есть данные несовершеннолетних, за которых согласие дает представитель, сведения о здоровье из специальной категории и справки о судимости работников с отдельным режимом. А публикация фотографий с утренников по закону считается распространением и требует отдельного согласия.
Почему у образовательной организации требования жестче
Детский сад и школа обрабатывают персональные данные сразу нескольких категорий субъектов, и две из них относятся к самым чувствительным по 152-ФЗ.
| Субъекты | Что обрабатывается | Особенность |
|---|---|---|
| Воспитанники и ученики | ФИО, дата рождения, адрес, свидетельство о рождении, успеваемость | Несовершеннолетние, согласие дает законный представитель |
| Родители и представители | ФИО, паспорт, контакты, место работы, льготный статус | Данные о льготах могут раскрывать сведения о доходах и составе семьи |
| Работники | Кадровые документы, СНИЛС, медкнижки, справки об отсутствии судимости | Для сведений о судимости отдельный режим (ч. 3 ст. 10 152-ФЗ, ст. 351.1 ТК РФ) |
| Данные о здоровье детей | Медкарта, группа здоровья, аллергии, справки, особенности развития | Специальная категория с самым строгим режимом |
Сведения о здоровье детей относятся к специальной категории и поднимают уровень защищенности информационной системы. Справки о судимости работников на уровень по ПП 1119 не влияют. При угрозах третьего типа получается УЗ-3 вместо базового УЗ-4, даже если детей в саду мало. Как определяется уровень, описано в статье «Акт определения уровня защищенности ИСПДн».
Согласие за ребенка дает законный представитель
Этим школа и сад отличаются от обычного бизнеса. До 14 лет согласие на обработку данных ребенка дает родитель, усыновитель или опекун, а с 14 до 18 лет безопаснее получить подписи и подростка, и родителя. Как согласие родителя оформляет частный специалист, показано в разборе для логопеда. На практике из этого следует:
- В форме согласия две стороны, данные представителя и данные ребенка, с указанием оснований представительства.
- Согласие на обработку данных родителя и согласие на обработку данных ребенка оформляют отдельно, хотя подписывает их один человек.
- Когда ребенок достигает совершеннолетия, основание меняется, и согласие должен дать он сам.
С 1 сентября 2025 года действует ФЗ-156. Согласие на обработку персональных данных оформляют отдельно от иных информации и документов, его нельзя включать в договор об образовании, заявление о приеме или другой документ. Практика «подпишите заявление, там внизу про персональные данные» стала нарушением.
Для фотографий детей нужно отдельное согласие
С этим ошибаются чаще всего. Фотографии с утренника, списки победителей олимпиады, поздравления с днем рождения и видео с выпускного считаются распространением персональных данных, то есть раскрытием неопределенному кругу лиц.
По ст. 10.1 152-ФЗ для распространения нужно отдельное согласие, оформленное именно под эту цель. Обычное согласие на обработку персональных данных распространение не покрывает, это разные документы. Молчание субъекта согласием не считается.
В нем указывают цель, конкретный перечень данных, которые разрешено публиковать (фото, имя, класс), адреса страниц, где их опубликуют (раздел сайта, официальные сообщества в соцсетях), и срок действия. Состав согласия задает приказ Роскомнадзора от 24.02.2021 № 18. Родитель может в любой момент потребовать прекратить публикацию, и согласие перестает действовать с момента, когда требование получено (ч. 12 и 13 ст. 10.1).
Если на сайте сада или школы есть фотогалерея с узнаваемыми детьми, под каждую публикацию нужно согласие законного представителя именно на распространение. Без такого согласия родитель вправе потребовать удалить снимок из интернета (п. 3 ст. 152.1 ГК). Образец такого согласия с разбором по пунктам есть в статье «Согласие на фото и видеосъемку ребенка».
Что должно быть на сайте
Минимальный набор, который проверяется снаружи за пару минут:
- Политика конфиденциальности по постоянному адресу со ссылкой в подвале каждой страницы. В ней перечислены все четыре категории субъектов из таблицы выше, а не только «посетители сайта».
- Строка со ссылкой на политику у каждой формы, будь то обратная связь, запись на прием или электронная приемная. Отдельная галочка согласия для них не нужна, потому что человек сам отправляет обращение, и данные нужны, чтобы на него ответить. Галочка нужна там, где другого основания нет, например для подписки на новости, и ее не совмещают с принятием пользовательского соглашения.
- Cookie-баннер с возможностью отказа, если на сайте есть аналитика. Требования описаны в статье «Cookie-баннер с возможностью отказа».
- Контакт ответственного за организацию обработки персональных данных. По этому адресу родитель направляет обращение или отзыв согласия.
Для счетчиков и сервисов, которые передают данные за рубеж, нужно отдельное уведомление в РКН о трансграничной передаче. С 26 июля 2026 года (ФЗ-265) адекватность страны определяет только перечень Роскомнадзора, и США в него не входят. Государственному или муниципальному учреждению проще совсем не использовать такие сервисы.
Учреждение платит штрафы как организация
Детский сад и школа считаются юридическими лицами, поэтому к ним применяют суммы для организаций по ст. 13.11 КоАП в редакции ФЗ-420, которая действует с 30 мая 2025 года.
| Нарушение | Для организации |
|---|---|
| Политика не опубликована (ч. 3) | 30 000-60 000 ₽ |
| Не уведомили РКН о начале обработки (ч. 10) | 100 000-300 000 ₽ |
| Обработка без законного основания, в т. ч. фото детей без согласия на распространение (ч. 1) | 150 000-300 000 ₽ |
| Повторно то же (ч. 1.1) | 300 000-500 000 ₽ |
| Нет согласия в письменной форме там, где оно обязательно, например на сведения о здоровье (ч. 2) | 300 000-700 000 ₽ |
| Повторно то же (ч. 2.1) | 1 000 000-1 500 000 ₽ |
Публикация фотографий без согласия на распространение считается обработкой без законного основания по ч. 1. Часть 2 применяют, когда закон требует согласия в письменной форме, а его нет, например для сведений о здоровье детей. Полный разбор оснований есть в статье «Штрафы за нарушение 152-ФЗ».
С чего начать, если ничего не сделано
- Подать уведомление в Роскомнадзор, если его не подавали. Порядок описан в статье «Как подать уведомление в РКН».
- Опубликовать политику, охватывающую все категории субъектов, включая работников и данные о здоровье детей.
- Переоформить согласия отдельно от договора и заявления (ФЗ-156), а согласие на распространение фото отдельно от иных согласий (ч. 1 ст. 10.1 152-ФЗ).
- Проверить фотогалерею и соцсети. Под каждую узнаваемую публикацию нужно согласие на распространение.
- Оформить внутренние документы, например приказ о назначении ответственного, положение о защите ПДн и акт уровня защищенности с учетом специальных категорий.
Проверьте сайт учреждения бесплатно
Аудит смотрит на сайт снаружи. Он проверяет, есть ли политика по постоянному адресу, ссылки на нее и галочки согласия у форм, cookie-баннер с отказом и зарубежные счетчики. Первые находки видны сразу.
Проверить сайт бесплатноЧасто задаваемые вопросы
До 14 лет его дает законный представитель, то есть родитель, усыновитель или опекун. С 14 до 18 лет безопаснее получить подписи и подростка, и родителя. В форме согласия указываются данные представителя, данные ребенка и основание представительства. Согласие на обработку данных родителя и согласие на обработку данных ребенка оформляют разными документами, хотя подписывает их один человек.
Только при наличии отдельного согласия законного представителя на распространение персональных данных по ст. 10.1 152-ФЗ. Обычное согласие на обработку распространение не покрывает. В согласии указывают цель, перечень публикуемых данных, адреса страниц, где их опубликуют, и срок действия (приказ Роскомнадзора № 18).
Нет. С 1 сентября 2025 года по ФЗ-156 согласие на обработку персональных данных оформляют отдельно от иных информации и документов, его нельзя включать в договор, заявление или иной документ. Практика «подпишите заявление, там внизу про персональные данные» стала нарушением.
Медицинские сведения о детях относятся к специальным категориям персональных данных. При угрозах 3-го типа это дает УЗ-3 вместо базового УЗ-4 при любом количестве детей до 100 000. УЗ-2 будет, только если субъектов, не являющихся работниками, больше 100 000. Справки об отсутствии судимости у работников регулируются отдельно (ч. 3 ст. 10 152-ФЗ) и на уровень защищенности по ПП 1119 не влияют.
Учреждение считается юридическим лицом, поэтому применяют суммы для организаций по ст. 13.11 КоАП. За неопубликованную политику 30 000-60 000 ₽, за неподанное уведомление в РКН 100 000-300 000 ₽. Обработка без законного основания, включая публикацию фото без согласия на распространение, стоит 150 000-300 000 ₽, повторно 300 000-500 000 ₽. Сведения о здоровье без согласия в письменной форме там, где оно обязательно, обойдутся в 300 000-700 000 ₽.