Персональные данные учеников: что требует 152-ФЗ от онлайн-школы? Любая онлайн-школа, собирающая имена, e-mail, телефоны и другую информацию учеников, обязана соблюдать требования Федерального закона №152-ФЗ «О персональных данных». Нарушение закона грозит штрафами и блокировкой сайта, поэтому важно разобраться, что и как нужно делать на практике.
Что такое персональные данные учеников и когда онлайн-школа становится оператором
Под персональными данными в 152-ФЗ понимается любая информация, прямо или косвенно относящаяся к физическому лицу: ФИО, телефон, e-mail, адрес, дата рождения, фото, сведения об оплате, IP-адрес и даже история обучения. Как только вы собираете такие данные (например, при регистрации на курс, оформлении заказа или подписке на рассылку), ваша онлайн-школа становится оператором персональных данных и обязана выполнять требования закона.
Даже если вы — самозанятый репетитор или эксперт, который ведёт курсы самостоятельно, 152-ФЗ распространяется на вас, если вы собираете и храните данные учеников.
Примеры персональных данных в онлайн-образовании
- Имя и фамилия ученика
- Адрес электронной почты и/или номер телефона
- Сканы документов (например, для выдачи сертификата)
- Данные о платежах (реквизиты, история оплат)
- Фотографии, видео- и аудиозаписи с занятий
- IP-адрес, история посещения сайта, ответы на тесты
Основные требования 152-ФЗ к онлайн-школам
Закон предъявляет к операторам персональных данных ряд обязательных требований. Вот основные из них:
- Правовое основание обработки данных. Нужно получить согласие ученика на обработку его персональных данных или иметь другой законный повод (например, исполнение договора).
- Информирование пользователей. Перед сбором данных вы обязаны сообщить, кто вы, какие данные собираете, с какой целью и как их будете использовать.
- Обеспечение безопасности данных. Нужно защищать данные учеников от утечки, несанкционированного доступа, потери и уничтожения.
- Назначение ответственного. В компании или у ИП должен быть назначен ответственный за обработку персональных данных.
- Публикация политики обработки персональных данных. На сайте должна быть размещена политика (или положение) об обработке персональных данных.
- Регистрация в Роскомнадзоре. В ряде случаев оператор обязан уведомить Роскомнадзор о начале обработки персональных данных.
- Соблюдение прав субъектов данных. Ученики имеют право узнать, какие данные о них хранятся, потребовать их исправления или удаления.
Пошаговая инструкция: как онлайн-школе соответствовать 152-ФЗ
- Определите, какие данные вы собираете. Составьте список всех персональных данных, которые школа получает от учеников (например, при регистрации, оплате, в чатах, при выдаче сертификатов).
- Разработайте и разместите политику обработки персональных данных. Документ должен быть доступен на сайте, обычно — отдельной страницей. В политике опишите:
- какие данные собираются;
- цели и способы обработки;
- права учеников;
- меры по защите данных;
- контакты ответственного лица.
- Получайте согласие на обработку данных.
- Добавьте чекбокс согласия под формами регистрации, оплаты, обратной связи, подписки на рассылку.
- Храните отметки о согласии (например, в базе данных или CRM).
- Назначьте ответственного за обработку данных. Это может быть руководитель школы, сам преподаватель или отдельный сотрудник.
- Обеспечьте безопасность данных.
- Используйте защищённые пароли и двухфакторную аутентификацию для доступа к личным кабинетам и административным панелям.
- Передавайте данные по защищённому протоколу (https).
- Ограничьте доступ к данным только тем, кому он действительно нужен.
- Периодически проверяйте, кто и как получает доступ к данным.
- Проверьте необходимость уведомления Роскомнадзора. Если вы не обрабатываете специальные категории данных (например, о здоровье) и не передаёте данные за границу, для большинства онлайн-школ уведомление требуется. Но есть исключения — уточните на сайте Роскомнадзора или у юриста.
- Соблюдайте права учеников. Организуйте приём и обработку запросов на изменение или удаление данных — например, через e-mail или форму обратной связи.
Чек-лист соответствия 152-ФЗ для онлайн-школы
| Требование | Как выполнить | Где проверить |
|---|---|---|
| Политика обработки данных | Разместить на сайте отдельной страницей | Главное меню, футер сайта |
| Согласие на обработку | Добавить чекбокс под всеми формами | Страницы регистрации, оплаты, заявок |
| Ответственный за данные | Назначить и указать контакты в политике | Текст политики обработки |
| Безопасность хранения | Использовать HTTPS, защищённые пароли, ограничить доступ | Настройки сайта, платформы, CRM |
| Уведомление Роскомнадзора | Отправить уведомление при необходимости | Личный кабинет на сайте Роскомнадзора |
| Права учеников | Организовать канал для обращений | Контакты на сайте, e-mail поддержки |
Какие риски при нарушении 152-ФЗ
За несоблюдение закона предусмотрены административные штрафы (ориентировочно — от 6 000 до 75 000 рублей для ИП и юрлиц), а также возможна блокировка сайта по решению Роскомнадзора. Кроме того, утечка данных может привести к потере доверия учеников и репутационным потерям.
Типичные ошибки онлайн-школ
- Нет отдельной политики обработки персональных данных на сайте
- Согласие на обработку не оформляется или не хранится
- Доступ к данным есть у всех администраторов без ограничений
- Используются незащищённые каналы передачи данных (нет HTTPS)
- Нет назначенного ответственного за обработку данных
- Не организован приём запросов на удаление/изменение данных
Как выбрать платформу для онлайн-курсов с учётом требований 152-ФЗ
Соблюдать 152-ФЗ проще, если вы используете российскую платформу для онлайн-обучения, где уже реализованы основные меры защиты и юридические документы. При выборе платформы обратите внимание на:
- Наличие политики обработки персональных данных и возможности её адаптации под вашу школу
- Сбор и хранение согласий учеников
- Безопасность хранения и передачи данных (HTTPS, защита от несанкционированного доступа)
- Ограничение доступа к данным сотрудников и преподавателей
- Возможность выгрузки и удаления данных по запросу ученика
Платформы бывают разными: конструкторы курсов, LMS, сервисы для вебинаров, маркетплейсы. Уточняйте, как реализована работа с персональными данными, на сайте выбранного сервиса.
Реализация требований 152-ФЗ на платформе StudyTool
StudyTool — российская платформа для онлайн-обучения, где авторы курсов и онлайн-школы могут продавать обучение без абонентской платы (подробнее о возможностях для преподавателей). Платформа хранит данные учеников на российских серверах, защищает доступ к личным кабинетам и реализует сбор согласий при регистрации и оплате. В настройках сайта и курсов автор может указать свои контактные данные для обратной связи и разместить ссылку на свою политику обработки персональных данных.
StudyTool не предоставляет данные учеников третьим лицам без согласия и реализует удаление данных по запросу. Для авторов, работающих с организациями, предусмотрены отдельные инструменты для учёта групп, отчётов и выгрузки данных (корпоративное обучение).
Если вы только начинаете создавать курсы, на платформе есть конструктор онлайн-курсов без необходимости программирования и отдельного хостинга. Все данные учеников защищены и доступны только автору и назначенным администраторам курса.
Как организовать учёт согласий и работу с запросами учеников
- Добавьте чекбокс согласия на обработку персональных данных во все формы регистрации, заказа, обратной связи, подписки на рассылку.
- Храните отметки о согласии в базе данных или CRM — это важно при проверках.
- Назначьте e-mail или форму для обращений учеников по вопросам персональных данных (например, для удаления или изменения данных).
- Периодически проверяйте, что ваши сотрудники или помощники имеют доступ только к тем данным, которые им действительно нужны.
- Обновляйте политику обработки персональных данных при изменении способов сбора или передачи данных.
Пример текста согласия для онлайн-школы
Я даю согласие на обработку моих персональных данных в соответствии с Политикой обработки персональных данных, размещённой на сайте.
Ссылка на политику должна быть кликабельной и вести на отдельную страницу с полным текстом документа.
Особенности работы с детскими данными и корпоративными клиентами
Если вы обучаете несовершеннолетних (например, школьников), согласие на обработку данных должны давать их законные представители (родители или опекуны). В этом случае добавьте отдельное поле для подтверждения согласия родителя.
Для корпоративных клиентов (обучение сотрудников компаний) важно согласовать обработку данных в договоре с организацией. На StudyTool есть отдельные инструменты для учёта групп, отчётов и выгрузки данных (подробнее).
Что делать, если ученик просит удалить или изменить свои данные
- Проверьте личность обратившегося (например, по e-mail, с которого зарегистрирован аккаунт).
- В течение 30 дней выполните удаление или изменение данных, если это не противоречит другим законам (например, по бухгалтерии).
- Сообщите ученику о выполнении запроса.
В некоторых случаях (например, если ученик оплачивал курс) вы обязаны хранить часть данных для отчётности — уточните сроки хранения у бухгалтера или юриста.
Краткие ответы на частые вопросы
- Нужно ли регистрироваться в Роскомнадзоре? — В большинстве случаев да, если вы не попадаете под исключения. Уточните на сайте Роскомнадзора.
- Можно ли использовать зарубежные платформы? — Формально закон требует хранения данных россиян на территории РФ. Если вы используете зарубежные сервисы, риски есть.
- Достаточно ли просто добавить политику на сайт? — Нет, важно ещё получать согласие и реально обеспечивать защиту данных.
- Что делать при утечке данных? — Сообщить Роскомнадзору и пострадавшим, принять меры по устранению последствий.
Вывод
Соблюдение 152-ФЗ — не формальность, а необходимое условие для легальной работы онлайн-школы. Проверьте свои процессы по чек-листу, обновите политику обработки данных и настройте сбор согласий. Если вы ищете платформу, где вопросы безопасности и обработки персональных данных уже решены, ознакомьтесь с возможностями StudyTool на странице О компании.