152-ФЗ для онлайн-школы и курсов: база учеников, оплата, рассылки
Онлайн-школа за пару месяцев накапливает базу из сотен или тысяч учеников. В ней почта и телефон с регистрации, данные оплаты, иногда сертификаты с ФИО и результатами обучения. Чем больше база, тем заметнее риск. Жалоба одного недовольного ученика, который не получил ответа на запрос об удалении данных, может стать поводом для проверки РКН.
Какие данные собирает онлайн-школа
- При регистрации ФИО, email, телефон Их собирают на лендинге курса или в форме записи на бесплатный вебинар. Даже бесплатная регистрация считается обработкой персональных данных, и у формы нужна ссылка на политику.
- При оплате Платежные данные через эквайринг Их передают платежному агрегатору (ЮКасса, Т-Банк и аналоги). Это передача данных третьему лицу, и ее отражают в политике.
- В процессе обучения Результаты, сертификаты, переписка с куратором Сертификат с ФИО ученика содержит персональные данные. Если сертификат проверяют по номеру на отдельной странице, она не должна раскрывать данные других учеников.
Учебные письма и рекламные рассылки
Как и в других нишах с большими базами клиентов (см. пример салона красоты и фитнес-клуба), здесь легко спутать два основания обработки. Договор на обучение покрывает доступ к материалам, уведомления о дедлайнах и технические письма, согласие для них не нужно. На рекламные рассылки о новых продуктах школы нужно отдельное согласие. Ученик, отписавшийся от рекламных писем, должен продолжать получать учебные уведомления, если курс не завершен.
Одна галочка «согласен с обработкой персональных данных и получением рассылок» объединяет два разных основания. Для обучения согласие не нужно, обучение идет по договору. А на рассылку нужна отдельная галочка, потому что согласие должно быть конкретным (ч. 1 ст. 9 152-ФЗ), и ученик должен иметь возможность купить курс, не подписываясь на рекламу.
Курсы для детей и подростков
Если школа работает с несовершеннолетними учениками, например ведет детские курсы программирования, подготовку к экзаменам или кружки, согласие на обработку данных ребенка до 14 лет дает родитель. Он же становится стороной договора. Подробнее о данных несовершеннолетних в статье «152-ФЗ для репетитора», принципы там те же.
Чеклист для онлайн-школы
- Политика конфиденциальности с указанием платежного агрегатора как третьего лица.
- У формы записи строка со ссылкой на политику, для рекламных рассылок отдельная галочка согласия, не отмеченная заранее.
- Cookie-баннер на лендинге курса (трекеры, ретаргетинг для рекламы курса).
- Процедура удаления данных ученика по запросу, отдельная от закрытия доступа к материалам курса.
- Для курсов с несовершеннолетними договор заключает родитель, и согласия на рассылку или публикацию работ ребенка тоже дает он.
Проверьте сайт школы бесплатно
Аудит смотрит формы записи, согласия на рассылку и cookie, в том числе с учетом несовершеннолетних учеников. Первые находки видны сразу.
Проверить сайт бесплатноЧасто задаваемые вопросы
Для самой регистрации отдельное согласие не нужно. Человек сам записывается на вебинар, и данные нужны, чтобы его провести (п. 5 ч. 1 ст. 6 152-ФЗ). Но это обработка персональных данных, даже если вебинар бесплатный, поэтому у формы нужна строка со ссылкой на политику. Если после вебинара вы хотите присылать рекламу курсов, нужна отдельная галочка согласия на рассылку.
Только если ученик дал отдельное согласие на рекламные рассылки. Обучение идет по договору, и это основание рекламу не покрывает. Для нее нужна отдельная галочка, не отмеченная заранее.
Если ученику меньше 14 лет, согласие дает родитель, он же становится стороной договора. Для подростков 14-18 лет безопаснее получать согласие от обоих.