Требования к сайту детского сада и школы по 152-ФЗ
Образовательная организация — редкий случай, когда почти все сложные места 152-ФЗ собираются в одном месте: данные несовершеннолетних, за которых согласие даёт представитель, сведения о здоровье как специальная категория, справки о судимости работников и фотографии с утренников, публикация которых по закону является распространением и требует отдельного согласия. Разбираю по порядку, что должно быть на сайте и что чаще всего становится поводом для претензии.
Почему у образовательной организации требования жёстче
Детский сад и школа обрабатывают персональные данные одновременно нескольких категорий субъектов, и две из них — самые чувствительные по 152-ФЗ.
| Субъекты | Что обрабатывается | Особенность |
|---|---|---|
| Воспитанники и ученики | ФИО, дата рождения, адрес, свидетельство о рождении, успеваемость | Несовершеннолетние — согласие даёт законный представитель |
| Родители и представители | ФИО, паспорт, контакты, место работы, льготный статус | Данные о льготах могут раскрывать сведения о доходах и составе семьи |
| Работники | Кадровые документы, СНИЛС, медкнижки, справки об отсутствии судимости | Справка о судимости — специальная категория |
| Данные о здоровье детей | Медкарта, группа здоровья, аллергии, справки, особенности развития | Специальная категория — самый строгий режим |
Наличие специальных категорий — здоровье детей и справки о судимости работников — поднимает уровень защищённости информационной системы. При угрозах третьего типа получается УЗ-3, а не базовый УЗ-4, и это не зависит от того, насколько мало детей в саду. Как уровень определяется — в разборе «Акт определения уровня защищённости ИСПДн».
Согласие за ребёнка даёт законный представитель
Ключевое отличие от обычного бизнеса. Несовершеннолетний не может самостоятельно дать согласие на обработку своих персональных данных — его даёт родитель, усыновитель или опекун. На практике это означает три вещи:
- в форме согласия должны быть две стороны: данные представителя и данные ребёнка, с указанием оснований представительства;
- согласие на обработку данных родителя и согласие на обработку данных ребёнка — это разные согласия, хотя подписывает их один человек;
- при достижении ребёнком совершеннолетия основание меняется — согласие должен дать он сам.
ФЗ-156 действует с 1 сентября 2025 года: согласие на обработку персональных данных — отдельный документ, его нельзя включать в договор об образовании, заявление о приёме или другой документ. Практика «подпишите заявление, там внизу про персональные данные» стала нарушением.
Фотографии детей на сайте: отдельное согласие, а не то же самое
Самый частый и самый недооценённый сюжет. Фотографии с утренника, списки победителей олимпиады, поздравления с днём рождения, видео с выпускного — всё это распространение персональных данных, то есть раскрытие неопределённому кругу лиц.
По ст. 10.1 152-ФЗ для распространения требуется отдельное согласие, оформленное специально под эту цель. Обычное согласие на обработку персональных данных распространение не покрывает — это разные документы, и молчание субъекта согласием не считается.
Конкретный перечень данных, которые разрешено публиковать (фото, имя, класс), где именно публикуются — сайт, официальные сообщества в соцсетях, — и условия, при которых публикация прекращается. Требование субъекта о прекращении распространения оператор обязан исполнить, причём в согласии должен быть описан порядок такого обращения.
Практический вывод: если на сайте сада или школы есть фотогалерея с узнаваемыми детьми, под каждую публикацию должно существовать согласие законного представителя именно на распространение. Отсутствие такого согласия — самая частая претензия в этой нише, и приходит она обычно не от проверки, а от родителя.
Что должно быть на сайте
Минимальный набор, который проверяется снаружи за пару минут:
- Политика конфиденциальности по постоянному адресу, со ссылкой в подвале каждой страницы. В ней перечислены все четыре категории субъектов из таблицы выше, а не только «посетители сайта».
- Отдельный чекбокс согласия у каждой формы — обратной связи, записи на приём, электронной приёмной. Не совмещённый с принятием пользовательского соглашения.
- Cookie-баннер с возможностью отказа, если на сайте есть аналитика. Требования разобраны в статье «Cookie-баннер с возможностью отказа».
- Контакт ответственного за организацию обработки персональных данных — адрес, по которому родитель может направить обращение или отзыв согласия.
Счётчики и сервисы, передающие данные за рубеж, требуют самостоятельного уведомления в РКН о трансграничной передаче. С 26 июля 2026 года (ФЗ-265) адекватность страны определяется только перечнем Роскомнадзора; США в него не входят. Для государственного или муниципального учреждения это особенно неуместная история — проще не использовать такие сервисы вовсе.
Штрафы: учреждение отвечает как организация
Детский сад и школа — юридические лица, поэтому применяется организационная колонка ст. 13.11 КоАП в редакции ФЗ-420 (действует с 30 мая 2025 года).
| Нарушение | Для организации |
|---|---|
| Политика не опубликована (ч. 3) | 30 000–60 000 ₽ |
| Не уведомили РКН о начале обработки (ч. 10) | 100 000–300 000 ₽ |
| Обработка без надлежащего согласия (ч. 2) | 300 000–700 000 ₽ |
| Повторно то же (ч. 2.1) | 1 000 000–1 500 000 ₽ |
Публикация фотографий без согласия на распространение квалифицируется по части 2 — обработка без надлежащего согласия. Полный разбор оснований — в статье «Штрафы за нарушение 152-ФЗ».
С чего начать, если ничего не сделано
- Подать уведомление в Роскомнадзор, если оно не подавалось, — порядок в статье «Как подать уведомление в РКН».
- Опубликовать политику, охватывающую все категории субъектов, включая работников и данные о здоровье детей.
- Переоформить согласия отдельными документами: на обработку данных представителя, на обработку данных ребёнка, на распространение фото — по ФЗ-156 их нельзя объединять.
- Проверить фотогалерею и соцсети: под каждую узнаваемую публикацию должно быть согласие на распространение.
- Оформить внутренний контур: приказ о назначении ответственного, положение о защите ПДн, акт уровня защищённости с учётом специальных категорий.
Проверьте сайт учреждения бесплатно
Аудит смотрит на сайт снаружи: есть ли политика по постоянному адресу, отдельные чекбоксы у форм, cookie-баннер с отказом, зарубежные счётчики. Отчёт приходит на email.
Проверить сайт бесплатноЧасто задаваемые вопросы
Законный представитель — родитель, усыновитель или опекун. В форме согласия указываются данные представителя, данные ребёнка и основание представительства. Согласие на обработку данных родителя и согласие на обработку данных ребёнка — разные документы, хотя подписывает их один человек.
Только при наличии отдельного согласия законного представителя на распространение персональных данных по ст. 10.1 152-ФЗ. Обычное согласие на обработку распространение не покрывает. В согласии указывается конкретный перечень публикуемых данных, площадки публикации и порядок прекращения по требованию субъекта.
Нет. С 1 сентября 2025 года по ФЗ-156 согласие на обработку персональных данных — отдельный документ, его нельзя включать в состав договора, заявления или иного документа. Практика «подпишите заявление, там внизу про персональные данные» стала нарушением.
Медицинские сведения о детях и справки об отсутствии судимости у работников относятся к специальным категориям персональных данных. При угрозах 3-го типа это даёт УЗ-3, а не базовый УЗ-4, причём независимо от количества детей — УЗ-2 возникает только при более чем 100 000 субъектов.
Учреждение — юридическое лицо, поэтому применяются суммы для организаций по ст. 13.11 КоАП: политика не опубликована — 30 000–60 000 ₽, не уведомили РКН — 100 000–300 000 ₽, обработка без надлежащего согласия (включая публикацию фото без согласия на распространение) — 300 000–700 000 ₽, повторно — 1 000 000–1 500 000 ₽.