Персональные данные учеников по 152-ФЗ: что обязана делать школа, учебный центр и репетитор
Школа и репетитор становятся операторами персональных данных в момент, когда записали имя и телефон родителя. Что из этого следует: уведомление Роскомнадзора, согласие, ответственность.
Оператор персональных данных — это любой, кто определяет, зачем и как обрабатывать чужие данные. Школа, учебный центр и репетитор становятся оператором в тот момент, когда записали имя ребёнка и телефон родителя. Из этого следуют три обязанности: уведомить Роскомнадзор до начала работы с данными, получить согласие и обеспечить их сохранность.
Дальше — что именно из этого действует сегодня, какой популярный совет устарел четыре года назад, и где проходит единственное исключение, на которое школа теоретически может рассчитывать.
Когда вы стали оператором
Раньше, чем кажется. Не в момент подписания договора, а в момент, когда у вас появились чужие данные и вы решили, что с ними делать. Достаточно:
- записать в таблицу имя ребёнка, возраст и телефон мамы;
- сохранить контакт родителя в телефоне;
- вести переписку в мессенджере, где видно имя и номер;
- собрать анкету на пробное занятие через форму на сайте.
Организационно-правовая форма роли не играет. Самозанятый репетитор — такой же оператор, как языковая школа в форме ООО. Разница будет только в размере ответственности.
Уведомление Роскомнадзора: нужно почти всем
Часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ сформулирована прямо:
«Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных» — статья 22, КонсультантПлюс
«До начала» — то есть до первой анкеты, а не после набора первой группы.
Устаревший совет, который до сих пор повторяют
В интернете легко найти ответ вида: «если вы не ведёте базу, не передаёте данные третьим лицам и используете их только для договора — уведомлять не нужно». Этот совет больше не действует.
Исключения такого рода были перечислены в пунктах 1–6 части 2 статьи 22. Все шесть утратили силу 1 сентября 2022 года — Федеральный закон от 14.07.2022 № 266-ФЗ. Материалы, написанные раньше этой даты, продолжают жить в выдаче и вводят в заблуждение.
Что осталось в исключениях
В части 2 статьи 22 сегодня три пункта, и школе подходит в лучшем случае один:
| Исключение | Про школу? |
|---|---|
| Государственные информационные системы для защиты безопасности государства | Нет |
| Обработка исключительно без использования средств автоматизации | Теоретически да |
| Обеспечение безопасности транспортного комплекса | Нет |
Второй пункт звучит заманчиво, но означает буквально бумагу. Электронная таблица — средство автоматизации. CRM — средство автоматизации. Контакт, сохранённый в телефоне, и переписка в мессенджере — тоже. Школа, которая ведёт учеников в Excel и общается с родителями в WhatsApp, под это исключение не подпадает.
Практический вывод: если вы не ведёте бумажный журнал и больше ничего — уведомление подавать нужно. Оно бесплатное и подаётся однократно, через сайт Роскомнадзора или на бумаге.
Согласие: с 1 сентября 2025 года — отдельный документ
Второе основание — согласие субъекта. Здесь тоже изменение, которое застало многих врасплох: согласие нельзя больше «зашить» в договор или оферту, оно оформляется отдельным документом. Галочка в конце договора перестала соответствовать закону.
Правило действует с 1 сентября 2025 года и относится к статье 9 закона. По данным ГАРАНТ, ответственность по статье 13.11 КоАП составляет от 300 до 700 тысяч рублей для организаций и ИП, от 100 до 300 тысяч для должностных лиц и от 10 до 15 тысяч для физических лиц.
Подробный разбор — в отдельной статье про согласие на обработку персональных данных. Там же — что должно быть в тексте и что делать со старыми согласиями.
Что это значит на практике
- Подайте уведомление до того, как соберёте первую анкету. Это разовое действие и оно бесплатное.
- Разделите договор и согласие. Это теперь два документа, а не один с галочкой в конце.
- Соберите согласие с каждого, чьи данные у вас есть, — и с родителя, и за ребёнка.
- Ограничьте круг тех, кто видит данные. Преподавателю для работы нужен состав группы и расписание, а не телефон мамы.
- Не собирайте лишнего. Данные, которые вы не собрали, невозможно потерять. Диагноз ребёнка, место работы родителя и его доход — почти всегда лишнее.
Где это пересекается с UniMe
Две вещи из списка выше UniMe закрывает штатно: согласие на обработку данных выдаётся родителю отдельным документом и подписывается кодом из SMS, а преподаватель по умолчанию не видит контактных данных учеников — ему доступны состав группы и расписание.
Чего продукт не делает и не может: подать за вас уведомление в Роскомнадзор и заменить юриста. Уведомление — разовое действие руками, и его придётся сделать самостоятельно.
Материал носит справочный характер и не заменяет консультацию юриста. Проверено по действующим редакциям 152-ФЗ и КоАП на сентябрь 2026 года.