Какие данные онлайн-школы попадают под 152-ФЗ
Закон о персональных данных распространяется на любую информацию, которая прямо или косвенно относится к конкретному человеку. Для онлайн-школы это не только имя, email и телефон из формы записи на курс, но и IP-адрес посетителя, cookie-файлы аналитики, история действий в личном кабинете.
Ошибка — считать, что обезличенные данные можно обрабатывать свободно. Если cookie-файл или идентификатор сессии позволяет связать действия с конкретным пользователем (например, через email при авторизации), это персональные данные. Аналитические системы, CRM, email-рассылки и платёжные шлюзы получают доступ к таким данным — и каждый сервис создаёт обязанности для владельца сайта.
Проверка начинается с фиксации того, что сайт собирает на самом деле: какие поля в формах, какие трекеры стартуют, какие сервисы получают данные посетителя ещё до того, как он нажал «Записаться на курс». Без этой картины невозможно оценить риски.
Почему cookie-баннер не защищает от претензий
Многие онлайн-школы устанавливают cookie-баннер с кнопкой «Принять» и считают вопрос закрытым. Проблема в том, что закон требует не просто уведомить посетителя, а получить согласие до начала обработки — и дать равнозначную возможность отказаться.
На практике Яндекс Метрика, Google Analytics или пиксель VK часто стартуют сразу при открытии страницы, до клика по баннеру. Проверка фиксирует момент старта трекеров со снимком экрана и временем: если запрос к аналитическому сервису ушёл раньше согласия — это риск. Отсутствие кнопки «Отклонить» или скрытая настройка категорий cookie тоже создают риск претензий.
Правильный баннер блокирует загрузку трекеров до явного согласия, предлагает равноценный отказ и даёт настроить категории (аналитика, реклама, функциональные). Проверка показывает, как баннер работает на самом деле — не по тексту на странице, а по сетевым запросам браузера.
Данные учеников уходят за рубеж: что это значит для школы
Если онлайн-школа использует Google Analytics, Zoom, платёжную систему Stripe или любой другой иностранный сервис — данные учеников могут передаваться за пределы России. Закон разрешает такую передачу, но при соблюдении условий: страна должна обеспечивать адекватную защиту прав субъектов данных, или нужно получить согласие и уведомить Роскомнадзор.
Проблема в том, что владелец сайта часто не знает, куда именно уходят данные. Трекер загружается со стороннего домена, запрос проходит через CDN, итоговая локация хранения зависит от настроек сервиса. Проверка фиксирует сетевые запросы и домены, которые получили данные посетителя, — это технический сигнал для дополнительной проверки.
Решение: выяснить у сервиса, где хранятся данные, проверить условия договора и настройки (например, Google Analytics позволяет включить региональную обработку). Если данные уходят в страну без адекватной защиты — нужно согласие субъекта и уведомление регулятора. Альтернатива — перейти на отечественные аналоги или self-hosted решения.
Политика конфиденциальности: когда шаблон не работает
Политика конфиденциальности — не формальность для галочки, а юридический документ, который должен соответствовать тому, что сайт делает на практике. Если в политике написано «мы не передаём данные третьим лицам», а на сайте стоят трекеры Facebook и Amplitude — это расхождение создаёт риск.
Проверка сравнивает текст политики с реальным поведением сайта: какие данные собираются через формы, какие сервисы получают доступ, какие цели обработки заявлены. Отчёт цитирует дословно фрагменты документа и указывает, где формулировки не покрывают фактическую обработку или противоречат ей.
Ещё одна ошибка — не указать в политике сведения об операторе (ИНН, ОГРН, адрес) или скопировать чужие реквизиты. Проверка извлекает эти данные из всех документов сайта и фиксирует несоответствия. Политика должна быть доступна до заполнения формы и описывать именно те операции, которые происходят на сайте.
Как проверить сайт онлайн-школы на соответствие закону
Самостоятельная проверка — это открыть сайт в режиме инкогнито, посмотреть вкладку Network в DevTools и попытаться понять, какие запросы ушли и куда. Для владельца без технических навыков это сложно: домены замаскированы, запросы идут через посредников, а связь с нормами закона неочевидна.
Автоматическая проверка открывает сайт с чистой сессии — глазами нового посетителя, до любого согласия — и фиксирует все сетевые запросы, cookie, формы и документы. Каждый факт связывается с нормой закона: если трекер стартовал до согласия — указана статья, которая это регулирует, и рекомендация, что исправить.
Отчёт содержит снимки экрана, дословные цитаты из политики, список сервисов и доменов, уровень серьёзности эпизодов и очерёдность исправлений. Это готовая инструкция: что сломано, почему это риск и как закрыть проблему — в коде, настройках или документах.
- Сайт открывается с чистой сессии, без предварительных действий
- Фиксируются сетевые запросы, cookie, формы и тексты документов
- Каждый эпизод связан с нормой закона и получает оценку серьёзности
- Снимки экрана и цитаты подтверждают каждый факт
- Рекомендации выстроены по очерёдности: что исправлять в первую очередь
Чек-лист: проверьте сайт онлайн-школы на базовые риски по 152-ФЗ
- 01Cookie-баннер появляется до загрузки аналитики. Откройте сайт в режиме инкогнито и посмотрите Network в DevTools: запросы к Яндекс Метрике, Google Analytics и другим трекерам должны стартовать только после клика «Принять».
- 02Есть кнопка «Отклонить» или настройка категорий cookie. Баннер должен давать равнозначную возможность отказаться от необязательных cookie, а не только кнопку «Принять всё».
- 03Политика конфиденциальности доступна до заполнения формы. Ссылка на политику должна быть видна рядом с формой записи, а не спрятана в футере мелким шрифтом. Посетитель должен прочитать условия до отправки данных.
- 04В политике указаны реквизиты вашей организации. ИНН, ОГРН, юридический адрес и контакты оператора должны совпадать с реальными данными школы. Шаблонные реквизиты из интернета — риск.
- 05Политика описывает все сервисы, которые получают данные. Если на сайте стоят Google Analytics, CRM, email-рассылки, платёжные системы — все они должны быть упомянуты в политике с указанием целей передачи.
- 06Формы содержат чекбокс согласия на обработку данных. Перед отправкой формы записи посетитель должен явно согласиться на обработку, а не просто нажать «Отправить».
- 07Если используются иностранные сервисы — проверьте, где хранятся данные. Уточните в настройках или у поддержки сервиса (Google, Zoom, Stripe), в какой стране физически хранятся данные пользователей из России. От этого зависит, нужно ли уведомление в Роскомнадзор.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Нужно ли онлайн-школе подавать уведомление в Роскомнадзор?
Условия обязательности уведомления зависят от характера обработки и оснований. Отчёт извлекает из политики сайта сведения об операторе и квалифицирует эпизоды по нормам закона со ссылками на статьи.
Можно ли использовать Google Analytics на сайте онлайн-школы?
Можно, но с условиями. Нужно убедиться, что трекер стартует только после согласия посетителя, данные хранятся в стране с адекватной защитой или получено согласие на трансграничную передачу. Требование уведомления регулятора зависит от обстоятельств передачи.
Что будет, если на сайте онлайн-школы нет политики конфиденциальности?
Отсутствие опубликованной политики создаёт риск по КоАП. Кроме того, без политики невозможно доказать, что посетитель был уведомлён о целях и условиях обработки его данных.
Нужно ли хранить данные учеников онлайн-школы в России?
Закон устанавливает требование размещать базы данных с персональными данными граждан России на территории РФ. Нарушение создаёт риск штрафа. Проверка фиксирует сетевые запросы к иностранным сервисам — это сигнал уточнить локацию хранения у сервиса.
Как понять, что cookie-баннер на сайте настроен правильно?
Откройте сайт в режиме инкогнито и посмотрите вкладку Network в браузере: трекеры не должны загружаться до клика «Принять». Баннер должен предлагать равнозначную кнопку отказа и позволять настроить категории cookie. Если это не так — баннер создаёт риск.
Что делать, если проверка нашла нарушения 152-ФЗ на сайте школы?
Отчёт содержит рекомендации по каждому эпизоду: что исправить в коде, настройках сервисов или документах. Тариф с планом действий даёт пошаговое решение, тариф с юристом включает подготовку документов и сопровождение правок до итоговой проверки.
Защитит ли проверка сайта от штрафа Роскомнадзора?
Проверка показывает риски на публичных страницах и даёт рекомендации по исправлению. Это не гарантия соответствия закону (серверная часть и закрытые разделы не проверяются). Заключение не заменяет консультацию юриста.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.