152-ФЗ для детского сада и школы: что должно быть на сайте

Коротко: Обязательно по закону: подать уведомление в Роскомнадзор и разместить на сайте политику обработки персональных данных и сведения о мерах защиты (ч. 2 ст. 18.1 152-ФЗ). Для публикации фото и видео детей нужно отдельное согласие родителя на распространение. Формы согласий для скачивания, контакты ответственного и cookie-баннер рекомендуем.

Детский сад, школа и любое другое образовательное учреждение обрабатывают данные детей, родителей и сотрудников, поэтому каждое из них – оператор персональных данных. Разберёмся, какие требования 152-ФЗ для детского сада и школы касаются сайта и что конкретно на нём должно быть.

Основание обработки и согласие

Любая обработка персональных данных (ПДн) должна иметь законное основание (ст. 6 152-ФЗ); согласие – лишь одно из них. Для зачисления и учебного процесса основание – закон об образовании, согласие не нужно (пп. 2, 4 ч. 1 ст. 6), у частного сада или школы – ещё и договор с родителями (п. 5 ч. 1 ст. 6); для трудовых отношений – Трудовой кодекс. Согласие (а для публикации – согласие на распространение) берут на то, что выходит за рамки обязанностей школы: публикацию фото, кружки сторонних организаций и т. п.

Кто и как даёт согласие за ребёнка

По общим нормам ГК РФ за ребёнка до 14 лет действуют родители или иные законные представители (ст. 28 ГК РФ), поэтому согласие даёт родитель или законный представитель; подростки 14–18 лет действуют с согласия родителей (ст. 26 ГК РФ). Для подростков 14–18 лет практика различается, надёжнее брать согласие и подростка, и родителя. 152-ФЗ прямо не фиксирует возрастной порог, поэтому образовательные учреждения берут согласие от родителей, если ребёнок младше 14 лет.

Что должно быть в согласии

Письменное согласие на обработку ПДн (ч. 4 ст. 9 152-ФЗ) должно содержать:

• ФИО, адрес субъекта, номер документа, удостоверяющего личность, дату его выдачи и выдавший орган
• Те же сведения о представителе и реквизиты доверенности или иного документа, подтверждающего его полномочия (если согласие даёт представитель)
• Наименование и адрес оператора
• Цель обработки (например, «для публикации достижений учеников на сайте»)
• Перечень данных, на обработку которых даётся согласие
• Наименование и адрес лица, которое обрабатывает данные по поручению оператора (если обработка будет поручена)
• Перечень действий с данными и общее описание способов обработки
• Срок действия согласия и способ его отзыва
• Подпись субъекта

Важно: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие должно перечислять конкретные цели (публикация фото на сайте, передача данных в кружки); согласие на публикацию (распространение) – всегда отдельным документом. С 1 сентября 2025 года согласие вообще оформляют отдельно от иных документов, которые подписывает человек (ч. 1 ст. 9 в ред. 156-ФЗ).

Согласие на распространение данных

С 1 марта 2021 года (статья 10.1 152-ФЗ, добавленная 519-ФЗ) действует отдельное согласие на распространение персональных данных. Если вы хотите публиковать на сайте фотографии детей с мероприятий, фамилии победителей олимпиад или другие данные, которые могут стать общедоступными, нужно оформить такое согласие отдельно от обычного согласия на обработку. В нём человек может указать условия и запреты – например, разрешить публикацию фото, но запретить указывать фамилию.

Политика обработки персональных данных

Это главный документ, который должен быть на сайте. Он объясняет, как именно ваше учреждение собирает, хранит, использует и защищает персональные данные. Политика должна быть доступна для ознакомления – обычно её размещают в подвале сайта или в отдельном разделе.

Что включить в политику

• Цели обработки ПДн (зачисление, ведение учебного процесса, публикация достижений и т.д.)
• Категории обрабатываемых данных (ФИО, дата рождения, адрес, фото, данные о здоровье и т.п.)
• Правовые основания обработки (согласие, договор, закон)
• Сроки обработки и хранения
• Порядок уничтожения данных после отзыва согласия
• Меры по защите данных
• Контакты ответственного за обработку ПДн

Особенности для образовательных учреждений

Школы и детские сады часто обрабатывают специальные категории данных (статья 10 152-ФЗ) – например, информацию о здоровье ребёнка (группа здоровья, аллергии, хронические заболевания). Для сведений о здоровье ребёнка нужно письменное согласие родителя, если обработку прямо не предусматривает закон (ч. 2 ст. 10). Фото и видео с камер сами по себе биометрией не являются: биометрия – это сведения, которые оператор использует для установления личности (например, распознавание лиц), – для неё нужно письменное согласие, и отказать в услуге при отказе дать биометрию нельзя (статья 11 152-ФЗ).

Уведомление Роскомнадзора

Перед началом обработки ПДн оператор обязан уведомить Роскомнадзор. Исключений немного: уведомление не требуется, если данные обрабатываются без средств автоматизации, если обработка ведётся в государственных информационных системах для защиты безопасности государства и общественного порядка, а также если она осуществляется в целях транспортной безопасности. Во всех остальных случаях, в том числе для школы или детсада, где обрабатываются данные учеников и их родителей, уведомление подать необходимо.

Как подать

Уведомление подаётся через портал pd.rkn.gov.ru или через Госуслуги. Форма утверждена приказом РКН от 28.10.2022 № 180. Роскомнадзор в течение 30 дней с даты поступления уведомления вносит сведения в реестр (ч. 4 ст. 22). В уведомлении нужно указать:

• Наименование и адрес оператора
• Цели обработки
• Категории данных и субъектов
• Правовые основания
• Меры по обеспечению безопасности

Размещение информации на сайте

Обязательно по закону (ч. 2 ст. 18.1 152-ФЗ) разместить на сайте политику обработки ПДн и сведения о реализуемых требованиях к защите ПДн. Всё остальное ниже – наши рекомендации, закон этого не требует:

Формы согласий (рекомендуем)

Скачиваемые формы согласий на обработку ПДн (для родителей, для сотрудников) и отдельно – на распространение данных (для публикации фото и видео). Лучше сделать их в формате PDF или Word, чтобы можно было заполнить и распечатать.

Информация об операторе (рекомендуем)

• Полное наименование учреждения
• Юридический и фактический адрес
• Контакты ответственного за обработку ПДн (ФИО, телефон, email) – хорошая практика, а не требование закона
• Сведения о наличии трансграничной передачи данных (если используете зарубежные сервисы – например, Google Workspace для образования)

Сведения о мерах защиты (обязательно)

Краткое описание мер, которые принимаются для защиты ПДн: антивирусы, шифрование, ограничение доступа, журналы событий. Расписывать подробно не нужно, но общее указание должно быть (ч. 2 ст. 18.1).

Итог по сайту образовательного учреждения.

Хранение и уничтожение данных

Сроки хранения

• Согласие на обработку ПДн как документ хранится 3 года с момента истечения или отзыва (приказ Росархива № 236).
• Документы по личному составу (архив) – 50 лет, если оформлены после 1.01.2003, и 75 лет – если раньше (статья 22.1 125-ФЗ «Об архивном деле»).
• После отзыва согласия оператор обязан уничтожить данные в течение 30 дней (статья 21 152-ФЗ).

Как уничтожать

Уничтожение должно быть подтверждено документально – составляется акт об уничтожении. Если данные хранились в электронном виде, нужно обеспечить невозможность восстановления (например, многократная перезапись или физическое уничтожение носителя).

Ответственность за нарушения

Штрафы по КоАП

Статья 13.11 КоАП РФ содержит несколько частей с разными составами нарушений. Для школ и садов, как правило, применимы две: неопубликованная политика (ч. 3) – 30–60 тыс. ₽ для организации, 6–12 тыс. ₽ для должностного лица; отсутствие уведомления в РКН (ч. 10) – 100–300 тыс. ₽ для ООО и ИП и 30–50 тыс. ₽ для должностного лица некоммерческой организации. Государственные и муниципальные сады и школы, частные учреждения (ЧОУ) и АНО – некоммерческие организации: по ч. 10–18 ст. 13.11 штрафуют их должностных лиц, а не само учреждение (примечания 2 и 3 к ст. 13.11). Штраф могут заменить предупреждением, если нарушение совершено впервые, выявлено при государственном контроле (надзоре), не причинило вреда, не создало угрозы вреда и нет имущественного ущерба (ч. 1 ст. 4.1.1, ч. 2 ст. 3.4 КоАП).

Штрафы за утечку данных

С 30 мая 2025 года (420-ФЗ от 30.11.2024) действуют повышенные штрафы:

• Для государственных, муниципальных и других некоммерческих школ и садов (в том числе ЧОУ и АНО) за утечку штрафуют должностное лицо (руководителя, ответственного): по ч. 12–14, если утекли данные от 1 000 человек или от 10 000 идентификаторов, – от 200 до 600 тыс. ₽, за специальные категории (здоровье детей) – 1–1,3 млн ₽ (ч. 16); оборотный штраф к таким учреждениям не применяется (примечания 2 и 3 к ст. 13.11)
• Для частного сада или школы в форме ООО, а также для ИП – суммы для юридических лиц: от 3 до 15 млн ₽ по числу людей, если утекли данные от 1 000 человек или от 10 000 идентификаторов (ч. 12–14), специальные категории – 10–15 млн ₽ (ч. 16); при повторной утечке – 1–3% годовой выручки, но не менее 20 млн и не более 500 млн ₽ (ч. 15)
• За неуведомление РКН об утечке – отдельный штраф (ч. 11)

Уголовная ответственность

С 11 декабря 2024 года действует новая статья 272.1 УК РФ – незаконное использование, передача, сбор или хранение компьютерной информации с ПДн, полученной незаконным путём. Статья касается тех, кто незаконно получил данные, а не учреждения, у которого их украли. Если речь о данных несовершеннолетних, применяется ч. 2: штраф до 700 000 ₽, принудительные работы или лишение свободы до 5 лет.

Cookie и аналитика на сайте

Cookie и идентификаторы могут быть персональными данными, если их можно связать с человеком (ст. 3 152-ФЗ). За обработку данных без законного основания организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. Прямой нормы, запрещающей запускать счётчики и cookie до согласия, в законе нет; это позиция Роскомнадзора (ч. 1 ст. 6 и ст. 9 152-ФЗ). Надёжнее не запускать их до согласия посетителя. Единой прямой нормы про формат cookie-баннера в 152-ФЗ тоже нет – практика ещё формируется. Для сайта школы или детсада, где используются cookie (например, от Яндекс Метрики), рекомендуем:

• Разместить баннер с предупреждением об использовании cookie
• Дать возможность отказаться от необязательных cookie
• Запускать счётчики аналитики и рекламы только после активного согласия (кнопка «Принять» или галочка), а не молчаливого

Фото и видео детей

Школы и детские сады часто делают фото и видео детей на мероприятиях. Фото детей с праздников – не биометрия, если вы не используете их для распознавания (ч. 1 ст. 11 152-ФЗ). Для публикации на сайте нужно отдельное согласие родителя на распространение (ст. 10.1) и согласие на использование изображения (ст. 152.1 ГК РФ). Отказ родителя от публикации не может влиять на зачисление ребёнка. Если же вы используете снимки или записи с камер для установления личности (например, распознавание лиц), это биометрия: нужно письменное согласие (ст. 11), а отказать в услуге при отказе дать биометрию нельзя.

Что делать, если данные уже утекли

Порядок действий при утечке персональных данных:

• Первичное уведомление РКН – в течение 24 часов
• Детальное уведомление – в течение 72 часов (с результатами внутреннего расследования)

Порядок уведомления утверждён приказом РКН от 14.11.2022 № 187. Неуведомление РКН об утечке – отдельное нарушение (ч. 11 ст. 13.11 КоАП): 400–800 тыс. ₽ для должностного лица учреждения, 1–3 млн ₽ для ООО и ИП.

Проверка сайта на соответствие 152-ФЗ

Чтобы убедиться, что сайт вашего детского сада или школы соответствует требованиям 152-ФЗ, проверьте:

Чек-лист для сайта образовательного учреждения

• Размещена Политика обработки персональных данных
• Размещены сведения о реализуемых требованиях к защите ПДн
• Нет авторизации через иностранные сервисы (Google, Apple, Facebook) – это запрещено с 1 декабря 2023 года, штраф – с 7 июля 2026 года (статья 13.55 КоАП)
• Уведомление РКН подано
• Данные детей и родителей собираются не через Google Forms и другие зарубежные базы (ч. 5 ст. 18)

Рекомендуем дополнительно:

• Доступны формы согласий на обработку ПДн (для родителей, сотрудников)
• Доступна форма согласия на распространение данных (для фото и видео)
• Указаны контакты ответственного за обработку ПДн
• Размещена информация об операторе (название, адрес, ИНН/ОГРН)
• Cookie-баннер с возможностью отказа

И ещё:

• Определён уровень защищённости ПДн (УЗ) по Постановлению Правительства № 1119

Уровни защищённости

Уровни защищённости ПДн (УЗ) устанавливаются Постановлением Правительства РФ № 1119. Если школа или детсад хранит сведения о здоровье детей (это специальная категория), при угрозах 3-го типа и числе детей меньше 100 000 нужен УЗ-3 (подп. «в» п. 11 ПП № 1119). Меры защиты для уровня задаёт приказ ФСТЭК № 21.

Частые ошибки на сайтах школ и детских садов

Публикация фото без согласия

Самая распространённая ошибка – выкладывать фотографии с утренников, экскурсий, спортивных соревнований без отдельного согласия на распространение. Даже если есть общее согласие на обработку, для публикации фото нужно отдельное разрешение.

Использование иностранных сервисов

Многие школы используют Google Forms для сбора данных, Google Workspace для документов, зарубежные облачные хранилища. Не собирайте данные детей и родителей через Google Forms и зарубежные облака: при сборе данные граждан РФ нельзя записывать и хранить в зарубежных базах (ч. 5 ст. 18 152-ФЗ; штраф по ч. 8 ст. 13.11 КоАП – 1–6 млн ₽ для учреждения, ООО или ИП, в том числе для государственной и муниципальной школы, и 100–200 тыс. ₽ для должностного лица), и уведомление о трансграничной передаче эту проблему не решает. Если передача за рубеж всё же нужна, до её начала подайте уведомление в Роскомнадзор – о передаче в любую страну, а не только вне перечня (ч. 3 ст. 12). Перечень стран с адекватной защитой – приказ РКН от 16.09.2026 № 253 (США в нём нет). В страны вне перечня передавать данные можно не раньше чем через 10 рабочих дней после уведомления: за это время Роскомнадзор может запретить передачу (ч. 9, 11 ст. 12). Отдельного согласия субъекта на трансграничную передачу закон не требует.

Отсутствие уведомления РКН

Уведомление РКН обязательно для любой школы и сада, которые ведут данные учеников или сотрудников на компьютере. Многие частные детские сады и школы об этом забывают.

Сбор лишних данных

Нельзя собирать данные, которые не нужны для образовательного процесса. Например, не требуется указывать национальность, вероисповедание, политические взгляды – это специальные категории, и их обработка без законного основания запрещена.

Главное

Сайт детского сада или школы должен соответствовать требованиям 152-ФЗ. Главное – разместить политику обработки ПДн и сведения о мерах защиты и уведомить Роскомнадзор; для публикации фото и видео детей получите отдельное согласие родителей на распространение. Формы согласий для скачивания, контакты ответственного и cookie-баннер рекомендуем. Если сомневаетесь в правильности документов – лучше проконсультироваться с юристом, специализирующимся на персональных данных.

Частые вопросы

На что опираемся

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.