Проверьте, что в школе есть базовый комплект документов, регулирующих обработку персональных данных обучающихся, родителей и сотрудников. Согласие — не единственное правовое основание обработки: сначала для каждой цели определяется основание по статье 6 Федерального закона № 152-ФЗ, и только если это основание — согласие, оформляется его форма.

Политика и локальные акты

  • Утверждён документ, определяющий политику школы как оператора в отношении обработки персональных данных (часть 1 статьи 18.1 Федерального закона № 152-ФЗ)
  • Для каждой цели обработки в локальном акте или отдельном разделе определены категории и перечень персональных данных, категории субъектов, правовые основания, способы обработки, сроки обработки и хранения, порядок уничтожения и процедуры предупреждения и выявления нарушений
  • Если школа собирает персональные данные через сайт, электронные формы или личный кабинет, на каждой такой странице доступна опубликованная политика оператора и сведения о реализуемых требованиях к защите персональных данных; ссылки открываются и ведут на актуальные документы (часть 2 статьи 18.1)

Ответственное лицо

  • Организационно-распорядительным документом (не обязательно приказом) назначено лицо, ответственное за организацию обработки персональных данных; оно получает указания непосредственно от исполнительного органа школы и подотчётно ему (статья 22.1)
  • В документе или должностных обязанностях ответственного закреплены внутренний контроль, информирование работников и организация приёма и обработки обращений субъектов персональных данных

Правовые основания и согласия

  • Для каждой цели обработки персональных данных обучающихся и их законных представителей определено и документально подтверждено правовое основание; согласие запрашивается только для тех целей, где школа опирается именно на согласие (статьи 5, 6, 9)
  • Для каждой цели обработки персональных данных работников определено правовое основание — по законодательству, трудовым отношениям, договору или согласию; универсальное согласие «на всё» не используется вместо предусмотренного законом основания
  • Каждая применяемая форма согласия оформлена отдельным документом, а не частью иных подписываемых бумаг или информации; сформулирована конкретно, предметно, информированно, сознательно и однозначно (статья 9 в редакции Федерального закона от 24.06.2025 № 156-ФЗ, действует с 1 сентября 2025 года)
  • Форма согласия содержит цель и перечень данных, действия с данными, срок действия, способ отзыва, сведения о лице, обрабатывающем данные по поручению; если согласие подписывает представитель — подтверждены его полномочия

Фото, видео, распространение и биометрия

  • Для обнародования и использования изображения обучающегося (фото и видео на сайте, в соцсетях, в оформлении кабинетов) получено согласие по статье 152.1 ГК РФ, если не применяется предусмотренное этой статьёй исключение
  • Если фото, видео или сопровождающие сведения распространяются среди неопределённого круга лиц, отдельно оформлено согласие на обработку персональных данных, разрешённых для распространения, с содержанием по приказу Роскомнадзора от 24.02.2021 № 18 (статья 10.1 Федерального закона № 152-ФЗ)
  • Если изображение используется системой школы для установления личности (распознавание лиц), подтверждено правовое основание обработки биометрических персональных данных и, если закон не устанавливает исключение, получено письменное согласие (статья 11)

Информационные системы и защита данных

  • Составлен актуальный перечень используемых информационных систем персональных данных; для каждой системы определены цели, категории данных и субъектов
  • Для каждой информационной системы определены актуальные угрозы и необходимый уровень защищённости; выбранные правовые, организационные и технические меры защиты реализованы и документально подтверждены (статья 19, постановление Правительства РФ от 01.11.2012 № 1119)
  • До ввода информационной системы в эксплуатацию и при существенных изменениях оценена эффективность мер защиты; выполнение требований контролируется не реже одного раза в три года

Хранение и уничтожение

  • Для каждой цели обработки установлены сроки хранения персональных данных на бумажных, электронных и иных носителях; сроки не превышают необходимого для заявленных целей периода, если иной срок не установлен законом
  • Определены способы прекращения обработки и уничтожения данных во всех используемых системах, хранилищах, резервных копиях и на бумажных носителях (учтено постановление Правительства РФ от 15.09.2008 № 687 для неавтоматизированной обработки)
  • Уничтожение подтверждается документами в составе и форме, установленными приказом Роскомнадзора от 28.10.2022 № 179; подтверждения фактического уничтожения сохранены

Доступ к данным

  • Утверждены актуальные перечни конкретных лиц, которым доступ к персональным данным необходим для выполнения трудовых обязанностей, с указанием информационных систем, категорий данных или мест хранения и допустимого объёма доступа (не только перечень должностей)
  • При приёме, переводе, изменении обязанностей и увольнении доступ к персональным данным своевременно предоставляется, изменяется или прекращается; действия документально подтверждаются

Обращения субъектов персональных данных

  • Утверждён порядок приёма, идентификации, рассмотрения и исполнения запросов субъектов персональных данных и их представителей с учётом сроков статей 14, 20 и 21 Федерального закона № 152-ФЗ (10 рабочих дней на ответ, продление не более чем на 5 рабочих дней с мотивированным уведомлением)
  • Имеются доказательства регистрации и своевременного исполнения поступивших запросов; отдельный журнал — один из возможных способов учёта, но федерально обязательной формой не установлен

Инциденты с персональными данными

  • Утверждён и доведён до работников порядок выявления и внутренней эскалации инцидентов, обеспечивающий уведомление Роскомнадзора в течение 24 часов и направление результатов внутреннего расследования в течение 72 часов; определены ответственные лица и резервный порядок связи (часть 3.1 статьи 21)
  • В договорах и поручениях обработки с внешними организациями установлены срок и способ уведомления школы о каждом инциденте и обязанность содействовать расследованию; уведомление Роскомнадзора и ответственность перед субъектами остаются за школой как оператором

Уведомление Роскомнадзора

  • Школа включена в реестр операторов персональных данных либо документально подтверждено конкретное исключение из обязанности уведомления по части 2 статьи 22 Федерального закона № 152-ФЗ
  • Сведения в реестре соответствуют фактическим целям, категориям данных и субъектов, информационным системам, мерам защиты, ответственному лицу и наличию трансграничной передачи
  • Изменения сведений направляются не позднее 15-го числа месяца, следующего за месяцем изменения; при прекращении обработки уведомление направляется в течение 10 рабочих дней

Внутренний контроль, оценка вреда и обучение

  • Проведена оценка вреда, который может быть причинён субъектам при нарушении законодательства о персональных данных; оформлен акт оценки вреда с содержанием по приказу Роскомнадзора от 27.10.2022 № 178
  • Проведён внутренний контроль или аудит соблюдения требований к обработке и защите персональных данных; есть программа либо перечень проверенных вопросов, результаты, выявленные нарушения, сроки и подтверждение их устранения
  • Работники, непосредственно осуществляющие обработку персональных данных, ознакомлены под подпись или иным доказуемым способом с законодательством, политикой, локальными актами и требованиями к защите; при необходимости проведено обучение

Внешние организации, обрабатывающие данные по поручению

  • Для каждой внешней организации, которой школа передаёт персональные данные для обработки (облачные сервисы, электронный журнал, организация питания, медицинские и иные организации), заключён договор или оформлено поручение со всеми условиями частей 3–5 статьи 6 Федерального закона № 152-ФЗ
  • Школа получила и хранит документы, подтверждающие выполнение внешней организацией требований к конфиденциальности, локализации, безопасности и уведомлению об инцидентах

Локализация и трансграничная передача

  • Для всех сервисов, через которые собираются персональные данные граждан РФ, подтверждено размещение баз данных для первичной записи, систематизации, накопления, хранения, уточнения и извлечения на территории России либо подтверждено конкретное законное исключение (часть 5 статьи 18)
  • Проверено наличие или отсутствие трансграничной передачи данных во всех используемых сервисах; при её наличии до начала передачи получены сведения об иностранных получателях и направлено отдельное уведомление Роскомнадзору (статья 12)

Специальные категории данных

  • Определены все обрабатываемые специальные категории персональных данных, включая сведения о здоровье и об инвалидности; для каждой цели подтверждено основание по статье 10 — письменное согласие либо конкретное предусмотренное законом исключение

Правовая основа

  • Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», действует с 26.01.2007, с изменениями Федерального закона от 24.06.2025 № 156-ФЗ (изменение статьи 9 — с 1 сентября 2025 года).
  • Гражданский кодекс РФ, статья 152.1, введена Федеральным законом от 18.12.2006 № 231-ФЗ, действует с 01.01.2008.
  • Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
  • Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», действует до 01.09.2030.
  • Приказ Роскомнадзора от 27.10.2022 № 178 «Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных"» — официальный текст.
  • Приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных» — официальный текст.
  • Приказ Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных» — официальный текст.
  • Приказ Роскомнадзора от 24.02.2021 № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения» — официальный текст.

Расширенная версия — в составе Готовые ответы родителям

Дата актуализации: 2026-07-27