Разбор. Дата публикации: 04.07.2026. Дата обновления: 10.07.2026. Статус: актуально на дату проверки; с 30.05.2025 действуют ужесточённые и оборотные штрафы (см. раздел «Что изменилось»). Автор: Команда проекта «Директор школы».

Школа — оператор персональных данных со всеми обязанностями по Федеральному закону от 27.07.2006 № 152-ФЗ. Разбор объясняет, где обработка законна без согласия, а где нужно согласие; чем обычное согласие отличается от отдельного согласия на распространение (фото на сайте); какие организационные обязанности несёт школа (политика, ответственный, меры защиты, уведомление Роскомнадзора) и как выросли штрафы с 30 мая 2025 года. После разбора администрация сможет проверить свой пакет документов и закрыть типовые нарушения.

Для кого материал

Директор (действует от имени школы — оператора персональных данных; организует исполнение обязанностей оператора и назначает ответственного), ответственный за организацию обработки персональных данных, заместитель по УВР и секретарь (согласия при приёме и в ходе обучения), заместитель по ВР (публикации, фото, мероприятия), кадровик (данные работников), ответственный за сайт и цифровые сервисы.

Коротко (что сделать)

  • Проверить, поданы ли и актуальны ли сведения в реестре операторов Роскомнадзора; при отсутствии — подать уведомление.
  • Развести два документа: согласие на обработку (ст. 9) и отдельное согласие на распространение (ст. 10.1); фото и списки детей на сайте — только по второму.
  • Опубликовать на сайте актуальную политику обработки персональных данных (ст. 18.1).
  • Приказом назначить ответственного за организацию обработки; сверить, что состав локальных актов актуален.
  • Убрать сбор избыточных данных «на всякий случай» и проверить механизм отзыва согласия и уничтожения данных.
  • Обработку данных работников привести в соответствие с главой 14 ТК РФ.

Что изменилось: ужесточённые и оборотные штрафы с 30 мая 2025 года

Федеральным законом от 30.11.2024 № 420-ФЗ переработана статья 13.11 КоАП РФ. Изменения вступили в силу 30 мая 2025 года и напрямую касаются школ.

  • Неуведомление Роскомнадзора о начале обработки (ч. 10 ст. 13.11 КоАП): штраф до 300 000 руб. — для юридических лиц, не являющихся НКО; для школы как НКО организация не штрафуется — отвечает должностное лицо: 30 000–50 000 руб. Это самое частое основание для санкций против образовательных организаций.
  • Нарушения обработки без причинения утечки (общий состав ч. 1): для организаций — 150 000–300 000 руб. (по данным правовых обзоров; суммы уточняйте по актуальной редакции КоАП).
  • Утечка персональных данных — штрафы дифференцированы по масштабу: при утечке данных 1 000–10 000 субъектов — 3–5 млн руб.; 10 000–100 000 — 5–10 млн руб.; свыше 100 000 субъектов (или свыше 1 млн идентификаторов) — 10–15 млн руб.
  • Неуведомление об утечке — для организаций и ИП 1–3 млн руб. Обратите внимание на сроки: об инциденте уведомляют Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Штраф грозит именно за пропуск этих сроков, а не за сам факт утечки.

Сроки ответов субъекту (ст. 20 152-ФЗ). На обращение или запрос родителя (субъекта ПДн) оператор отвечает при обращении либо в течение 10 рабочих дней со дня получения запроса; срок можно продлить не более чем на 5 рабочих дней, направив мотивированное уведомление. Мотивированный отказ — также не позднее 10 рабочих дней. На запрос Роскомнадзора — 10 рабочих дней с тем же продлением.

Отдельно — уголовная ответственность, о которой часто не знают. Федеральный закон от 30.11.2024 № 421-ФЗ ввёл в Уголовный кодекс статью 272.1 (действует с 11 декабря 2024 года): незаконные использование, передача, сбор и хранение компьютерной информации, содержащей персональные данные. Для школы это не абстракция: закон выделяет квалифицированный состав, когда речь идёт о персональных данных несовершеннолетних, специальных категориях или биометрии, — важная оговорка: состав ст. 272.1 возникает только в отношении информации, полученной путём неправомерного доступа либо иным незаконным путём (ч. 1), — законная повседневная обработка школьных данных под статью не подпадает. Данные несовершеннолетних и сведения о здоровье — квалифицирующий признак ч. 2, который работает только при всех признаках основного состава ч. 1 (умышленные незаконные действия конкретного лица с незаконно полученной информацией); утечка как инцидент сама по себе состав не образует, но повышает цену ошибки школы. Санкция по этому составу доходит до 700 тысяч рублей штрафа. Это отдельный контур ответственности, он не заменяет и не отменяет административный по статье 13.11 КоАП.

  • Оборотный штраф — при повторном нарушении отдельных составов ст. 13.11 КоАП (ч. 15 — повторное нарушение чч. 12–14 при прежней наказанности, от 20 млн ₽; ч. 18 — повторная утечка специальных категорий или биометрии, от 25 млн ₽; не «любая повторная утечка»): 1–3% совокупной годовой выручки, но не менее установленного порога (по обзорам — 20–25 млн руб.) и не более 500 млн руб.

Вывод для школы: цена «бумажных» нарушений выросла, а неподача уведомления в Роскомнадзор стала самостоятельным дорогостоящим риском. Важная оговорка о размере санкций. Школа — некоммерческая организация (пункт 18 статьи 2, часть 1 статьи 22 ФЗ-273). В частях 10–18 статьи 13.11 КоАП РФ «юридическое лицо» означает оператора, не являющегося некоммерческой организацией, а «должностное лицо» — в том числе должностное лицо НКО. Поэтому приведённые крупные санкции для юридических лиц (до 300 тыс. рублей, 3–15 млн за утечку, оборотный штраф) к школе как НКО напрямую не применяются — к ней применяются санкции графы «должностное лицо», а оборотный штраф на НКО не распространяется. Конкретные суммы и составы перед применением сверьте по действующей редакции КоАП.

Кого касается обработка

Данные обучающихся и их родителей (законных представителей), данные работников школы, данные посетителей и контрагентов. Субъект даёт согласие сам; за несовершеннолетнего — родитель (законный представитель). Часть данных школа обрабатывает без согласия — как оператор, исполняющий обязанности по закону об образовании (ведение личных дел, отчётность, зачисление, ГИА); часть — только с согласия и особенно при публикации.

Школа как оператор: два режима обработки

Оператор персональных данных — это сама школа как юридическое лицо (пункт 2 статьи 3 ФЗ-152): именно она определяет цели и состав обработки. Директор действует от имени школы, а не становится самостоятельным оператором. Поэтому в согласиях, политике, уведомлении Роскомнадзора и договорах с обработчиками оператором указывается школа, а не физическое лицо — директор.

Статья 6 ФЗ-152 перечисляет основания законной обработки. Для школы это прежде всего:

  • обработка с согласия субъекта персональных данных;
  • обработка без согласия — когда она необходима для исполнения полномочий и обязанностей, возложенных на школу законодательством (личные дела, отчётность, зачисление, ГИА и т. п.), исполнения договора со стороной-субъектом и в других прямо названных законом случаях.

Практический вывод: согласие «на всё подряд» не требуется. Но для каждой цели обработки нужно определить конкретное основание по пунктам части 1 статьи 6 ФЗ-152: сам ФЗ-152 не является самостоятельным содержательным основанием сбора данных — он лишь задаёт условия, при которых применяется основание из другого закона. Обработка без согласия опирается на пункт 2 части 1 статьи 6 (исполнение возложенных законом функций); статьи 29 и 97 ФЗ-273 (информационная открытость, мониторинг системы образования) — это примеры таких функций, а не универсальное основание для всего массива данных. Согласие требуется там, где обработка выходит за рамки законных функций, и особенно там, где данные публикуются или передаются третьим лицам.

Вся обработка должна отвечать принципам статьи 5 ФЗ-152: только заранее определённые и законные цели; соответствие объёма данных целям (не собирать лишнего); достоверность и актуальность; хранение не дольше, чем нужно, с последующим уничтожением или обезличиванием.

Особый режим — специальные категории данных. Школа регулярно обрабатывает сведения о состоянии здоровья, медицинских противопоказаниях, инвалидности, заключениях ПМПК, специальных образовательных потребностях. Это специальные категории персональных данных: по части 2 статьи 6 и статье 10 ФЗ-152 для них недостаточно обычного основания из статьи 6 — обработка должна подпадать под одно из оснований статьи 10 (письменное согласие субъекта либо конкретное прямо предусмотренное законом основание, например защита жизни и здоровья или обработка медицинским работником).

Согласие на обработку: каким оно должно быть

Согласие на обработку регулируется статьёй 9 ФЗ-152:

  • субъект даёт согласие свободно, своей волей и в своём интересе;
  • согласие должно быть конкретным, предметным, информированным, сознательным и однозначным;
  • согласие оформляется отдельно от иных подписываемых документов;
  • в письменном согласии по закону должен быть набор реквизитов: сведения о субъекте и представителе, об операторе, цель обработки, перечень персданных, перечень действий и способы обработки, срок действия и порядок отзыва.

Для несовершеннолетних согласие даёт родитель (законный представитель). Согласие можно отозвать, и школа обязана предусмотреть понятный механизм отзыва. Требования уточнены Федеральным законом от 24.06.2025 № 156-ФЗ: с 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных сведений и документов, которые субъект подтверждает или подписывает. Практически это значит, что «галочка» внутри заявления о приёме, договора об оказании услуг или согласия на фото больше не годится — нужен самостоятельный документ. Проверьте свои формы: у многих школ согласие до сих пор вшито в заявление. Форму держите в актуальном состоянии и сверяйте по действующей редакции.

Отдельное согласие на распространение — самая частая ошибка

Публикация данных ребёнка неограниченному кругу лиц — фото на сайте и в соцсетях, стенд «Наши отличники», списки победителей олимпиад с ФИО — это распространение персональных данных. Оно регулируется отдельной статьёй 10.1 ФЗ-152 и требует отдельного согласия:

  • согласие на распространение оформляется отдельно от согласия на обработку — его нельзя «зашить» в общее согласие;
  • молчание или бездействие субъекта ни при каких условиях не считается согласием на распространение;
  • оператор обязан обеспечить субъекту возможность определить перечень распространяемых данных по каждой категории и установить запреты/условия;
  • дополнительные требования к оформлению действуют с 01.09.2025 — сверьте в актуальной редакции.

Типичное нарушение: школа публикует фотографии с праздника, где узнаваемы дети, имея только общее согласие «на обработку персональных данных». Этого недостаточно — нужно именно отдельное согласие на распространение, с возможностью для родителя отказаться от публикации конкретных данных.

Важно учесть два правовых основания. Помимо согласия на распространение по статье 10.1 ФЗ-152, обнародование и использование изображения гражданина регулирует статья 152.1 ГК РФ (по общему правилу нужно согласие на использование изображения, кроме прямо названных исключений). При этом сама статья 10.1 содержит отдельные исключения для обработки в целях выполнения установленных законом публичных функций. Поэтому формула «фото и списки — только по согласию ст. 10.1» неполна: по каждой публикации определяйте оба основания (152-ФЗ и статья 152.1 ГК РФ) и наличие применимого исключения.

Что проверить в школе

Что проверить Где смотреть Кто отвечает Риск
Подано ли уведомление в Роскомнадзор о начале обработки и актуальны ли сведения Реестр операторов pd.rkn.gov.ru, копия уведомления Директор, ответственный за обработку Штраф должностного лица школы (НКО) 30 000–50 000 руб. (ч. 10 ст. 13.11 КоАП; юрлицу-НКО не назначается)
Опубликована ли на сайте политика обработки персданных Раздел сайта, ст. 18.1 ФЗ-152 Ответственный за обработку, ответственный за сайт Нарушение обязанности оператора, предписание
Назначен ли приказом ответственный за организацию обработки Приказ, ст. 18.1 ФЗ-152 Директор Невыполнение обязанности оператора
Разведены ли согласие на обработку (ст. 9) и отдельное согласие на распространение (ст. 10.1) Формы согласий, личные дела Секретарь, зам. по УВР/ВР Незаконная публикация данных детей
Есть ли отдельное согласие на фото/списки на сайте и в соцсетях Согласия на распространение, контент сайта Зам. по ВР, ответственный за сайт Публикация без основания, жалобы, санкции
Соответствует ли объём собираемых данных целям (нет ли лишнего) Перечни обрабатываемых данных, анкеты Ответственный за обработку Нарушение принципа соответствия (ст. 5)
Есть ли механизм отзыва согласия и уничтожения данных по достижении целей ЛНА о защите ПДн, журналы Ответственный за обработку Хранение сверх срока, отказ в отзыве
Приняты ли меры защиты (доступ, носители, реагирование на инциденты) ЛНА, модель угроз, ст. 19 ФЗ-152 Ответственный за обработку, ИТ Утечка → для должностного лица школы (НКО) 200 000–600 000 руб. (ч. 12–14), спец. категории до 1,3 млн (ч. 16), биометрия 1,3–1,5 млн (ч. 17); «юрлицо» 3–15 млн и оборотный штраф к НКО не применяются
Учтена ли глава 14 ТК РФ для данных работников Кадровые ЛНА, личные дела Кадровик Нарушение при обработке данных работников

Какие документы обновить

  • Уведомление в Роскомнадзор (подать или актуализировать сведения).
  • Политика в отношении обработки персональных данных (публикуется на сайте).
  • Положение о защите персональных данных, перечни обрабатываемых данных и целей.
  • Формы согласий: отдельно — на обработку (ст. 9) и отдельно — на распространение (ст. 10.1), для обучающихся/родителей и для работников.
  • Приказ о назначении ответственного за организацию обработки персональных данных.
  • Модель угроз и организационно-технические меры защиты (ст. 19).

Что сделать директору

  • Проверить наличие и актуальность уведомления в реестре операторов Роскомнадзора.
  • Назначить приказом ответственного за организацию обработки персональных данных.
  • Утвердить и опубликовать на сайте актуальную политику обработки; проверить состав ЛНА.
  • Организовать разведение согласий на обработку и на распространение, сбор отдельных согласий на публикацию фото и списков.
  • Проконтролировать соответствие объёма собираемых данных целям и работу механизма отзыва и уничтожения.
  • Зафиксировать меры защиты и разграничение доступа сотрудников по принципу необходимости.

Организационные обязанности оператора

Статья 18.1 ФЗ-152 обязывает оператора принимать меры, необходимые и достаточные для выполнения закона и уметь подтвердить их принятие. Минимум для школы: назначить ответственного за организацию обработки; принять документ, определяющий политику обработки персональных данных, и локальный акт (или систему локальных актов) с содержанием, предусмотренным ст. 18.1 ФЗ-152 (конкретные названия документов — положение о защите, перечни и т. п. — школа определяет сама); опубликовать политику в открытом доступе; определить актуальные угрозы безопасности и документировать применяемые меры защиты в форме, соответствующей информационным системам школы (ст. 19 — определить угрозы, применять средства защиты, учитывать носители, контролировать доступ, обнаруживать несанкционированный доступ и восстанавливать данные); организовать разграничение доступа сотрудников по принципу необходимости.

Отдельный блок — персональные данные работников. Их обработка дополнительно регулируется главой 14 Трудового кодекса РФ, в том числе статьями 86–90 (статья 85 утратила силу). ТК устанавливает общие требования к обработке данных работника, порядок хранения, использования и передачи третьим лицам, гарантии защиты. Отказ работника предоставить данные, не обязательные по закону, не может влечь дискриминацию.

Уведомление Роскомнадзора

Статья 22 ФЗ-152 обязывает оператора до начала обработки уведомить Роскомнадзор. С 1 сентября 2022 года (ФЗ от 14.07.2022 № 266-ФЗ) круг освобождённых резко сузился — уведомлять обязаны практически все операторы, включая школы.

  • освобождений осталось немного (узкие случаи из закона); «обработка только на бумаге, без автоматизации» — один из них, но реальная школа почти всегда ведёт данные в информационных системах и подпадает под обязанность;
  • при изменении сведений оператор уведомляет не позднее 15-го числа месяца, следующего за месяцем изменений;
  • при прекращении обработки — уведомление в течение 10 рабочих дней.

Отсутствие уведомления — самостоятельное нарушение (ч. 10 ст. 13.11 КоАП). Для школы как НКО организация не штрафуется — отвечает должностное лицо (30 000–50 000 руб.). Проверьте, есть ли школа в реестре операторов и актуальны ли поданные сведения.

Основные риски

  • Публикация фото и данных детей без отдельного согласия на распространение — жалобы родителей, предписание, санкции.
  • Отсутствие или неактуальность уведомления в Роскомнадзор — для должностного лица школы (НКО) 30 000–50 000 руб. (ч. 10 ст. 13.11 КоАП; юрлицу-НКО не назначается).
  • Утечка данных (потеря носителя, открытый доступ, взлом сервиса) — для должностного лица школы (НКО) штрафы по ст. 13.11 (например, неуведомление об утечке 400 000–800 000 руб.; утечка 1 000–10 000 субъектов 200 000–400 000 руб.). Крупные «юрлицо»-штрафы (3–15 млн руб.) и оборотный штраф к школе как НКО не применяются.
  • Сбор избыточных данных и хранение сверх срока — нарушение принципов ст. 5.
  • Игнорирование главы 14 ТК РФ при обработке данных работников.

Частые ошибки

  • Одно «универсальное» согласие на все цели вместо конкретных, предметных согласий.
  • Фото и данные детей на сайте/в соцсетях без отдельного согласия на распространение (ст. 10.1).
  • Нет актуальной политики обработки персданных в открытом доступе.
  • Не назначен ответственный за организацию обработки.
  • Не подано (или не обновлено) уведомление в Роскомнадзор.
  • Сбор избыточных данных «на всякий случай» — нарушение принципа соответствия объёма целям (ст. 5).
  • Нет механизма отзыва согласия и уничтожения данных по достижении целей.
  • Данные работников обрабатываются без учёта главы 14 ТК РФ.

Проверьте себя

  • Школа значится в реестре операторов Роскомнадзора, сведения актуальны.
  • На сайте опубликована действующая политика обработки персональных данных.
  • Приказом назначен ответственный за организацию обработки.
  • Согласие на обработку и согласие на распространение — два разных документа; на фото/списки детей есть отдельное согласие.
  • Объём собираемых данных соответствует целям; действует механизм отзыва и уничтожения.
  • Данные работников обрабатываются с учётом главы 14 ТК РФ.

FAQ

Нужно ли школе уведомлять Роскомнадзор, если она бюджетная организация? Да. С 01.09.2022 освобождений почти не осталось; школа, ведущая данные в информационных системах, обязана уведомить. Неуведомление — для должностного лица школы как НКО 30 000–50 000 руб. (ч. 10 ст. 13.11 КоАП; сама организация-НКО по этим составам не штрафуется).

Можно ли публиковать фото детей на сайте по общему согласию на обработку? Нет. Публикация неограниченному кругу лиц — это распространение (ст. 10.1), нужно отдельное согласие с возможностью отказаться от публикации конкретных данных.

На какие данные согласие не требуется? На обработку, прямо необходимую для исполнения обязанностей школы по закону (личные дела, отчётность, зачисление, ГИА, мониторинг по ст. 97 ФЗ-273). Согласие нужно за пределами этих функций и при публикации.

Насколько выросли штрафы? С 30.05.2025 (ФЗ № 420-ФЗ) суммы выросли, но для школы как НКО по частям 10–18 ст. 13.11 отвечает должностное лицо, а не сама организация: неуведомление — 30 000–50 000 руб.; неуведомление об утечке — 400 000–800 000 руб.; утечка 1 000–10 000 субъектов — 200 000–400 000 руб. Крупные штрафы для юрлиц (3–15 млн) и оборотный штраф к НКО не применяются. Суммы сверяйте по актуальной редакции КоАП.

Нормативная и методическая основа

  • Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 5 — принципы обработки (законность и определённость целей, соответствие объёма целям, ограничение срока хранения).
  • ФЗ-152, пункт 2 статьи 3 — оператор персональных данных (юридическое лицо, организующее обработку); для школы оператор — сама образовательная организация.
  • ФЗ-152, статья 6 — условия (основания) обработки, в том числе с согласия и без согласия для исполнения возложенных обязанностей (для каждой цели — своё основание из части 1).
  • ФЗ-152, часть 2 статьи 6 и статья 10 — специальные категории персональных данных (здоровье, в т. ч. сведения ОВЗ/инвалидности): обработка только по основаниям статьи 10.
  • Гражданский кодекс РФ, статья 152.1 — охрана изображения гражданина (согласие на использование изображения, кроме прямо предусмотренных исключений).
  • ФЗ-152, статья 9 — требования к согласию: свободное, конкретное, информированное, однозначное; оформляется отдельно; реквизиты письменного согласия; право отзыва.
  • ФЗ-152, статья 10.1 — особенности обработки данных, разрешённых субъектом для распространения: отдельное согласие, недопустимость трактовки молчания как согласия, право определить перечень (введена ФЗ от 30.12.2020 № 519-ФЗ; дополнительные требования — с 01.09.2025).
  • ФЗ-152, статья 18.1 — меры оператора, включая публикацию политики и назначение ответственного.
  • ФЗ-152, статья 19 — правовые, организационные и технические меры защиты.
  • ФЗ-152, статья 22 — уведомление Роскомнадзора о намерении обрабатывать персданные; расширение обязанности с 01.09.2022 (ФЗ от 14.07.2022 № 266-ФЗ).
  • КоАП РФ, статья 13.11 (в ред. Федерального закона от 30.11.2024 № 420-ФЗ, действует с 30.05.2025) — ужесточённые и оборотные штрафы за нарушения работы с персональными данными и за утечки. Конкретные суммы и составы сверяйте по актуальной редакции.
  • Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации», статьи 29 и 97 — информационная открытость образовательной организации и мониторинг системы образования (основания части обработки данных обучающихся без отдельного согласия).
  • Трудовой кодекс РФ, глава 14 «Защита персональных данных работника» — обработка, хранение, передача и защита персданных работников школы.

Статус на дату проверки 25.07.2026: статьи 5, 6, 9, 10.1, 18.1, 19, 22 ФЗ-152, статьи 29 и 97 ФЗ-273 действуют; статья 13.11 КоАП РФ применяется в редакции ФЗ от 30.11.2024 № 420-ФЗ (в силе с 30.05.2025). Приведённые суммы штрафов основаны на официальных обзорах (КонсультантПлюс, Гарант) и подлежат сверке по действующей редакции КоАП. Требования к содержанию согласий и к согласию на распространение уточнялись (изменения от 01.09.2025) — форму согласий и политику обработки необходимо сверить с актуальной редакцией. Номера статей главы 14 ТК РФ сверяйте в действующей редакции. Материал носит справочно-методический характер, не является юридической консультацией и требует адаптации под локальные акты конкретной школы (КонсультантПлюс / Гарант / publication.pravo.gov.ru; реестр операторов — pd.rkn.gov.ru).

Итог

После проверки у школы должно быть: поданное и актуальное уведомление в реестре операторов Роскомнадзора; опубликованная политика обработки; приказ о назначении ответственного; разведённые формы согласий (на обработку и отдельно на распространение) с отдельным согласием на фото и списки детей; ограниченный целями объём данных с работающим механизмом отзыва и уничтожения; меры защиты и обработка данных работников по главе 14 ТК РФ.