Какие данные на школьном сайте попадают под 152-ФЗ
Персональные данные — это любая информация, которая относится к конкретному человеку. На школьном сайте это фамилии и фотографии учеников в новостях, контакты родителей в формах обратной связи, cookies и IP-адреса посетителей, которые фиксирует аналитика.
Закон требует законное основание для обработки: согласие субъекта, договор, закон или защита жизненно важных интересов. Для публикации фото детей нужно письменное согласие родителей, для работы аналитики — согласие посетителя на обработку cookie. Если основания нет или оно оформлено неправильно — это риск штрафа.
Частая ситуация: на сайте стоит Яндекс.Метрика или Google Analytics, но посетитель не видит баннер с выбором, а трекеры запускаются сразу. Формально это обработка без согласия — признак нарушения, который фиксирует проверка.
Какие риски создаёт школьный сайт по 152-ФЗ
Закон требует, чтобы на сайте была опубликована политика обработки персональных данных и чтобы она соответствовала тому, что сайт делает на самом деле. Если в политике написано, что данные не передаются третьим лицам, а на сайте работает Google Analytics — это несоответствие может квалифицироваться как нарушение.
Риск создаёт ситуация, когда трекеры и cookie запускаются до того, как посетитель дал согласие. Если при открытии сайта браузер сразу отправляет запросы к аналитическим сервисам — это может расцениваться как обработка без законного основания.
Ещё один момент — передача данных за рубеж. Если сайт использует иностранные сервисы (Google Fonts, YouTube, карты), данные посетителей могут уходить на серверы за пределами России. Для школы это риск: может потребоваться уведомление Роскомнадзора и соблюдение условий трансграничной передачи.
Как устроена проверка сайта школы на практике
Проверка начинается с чистой сессии: сайт открывается так, как его видит новый посетитель — без истории, без cookie, до любого клика. Фиксируется, какие трекеры запустились сразу, какие запросы ушли к внешним сервисам, какие данные собирают формы.
Для каждого эпизода делается снимок экрана с временной меткой: когда именно стартовал трекер, что было в этот момент на экране, был ли баннер с выбором. Это технический след, который показывает реальное поведение сайта, а не только текст в документах.
Затем проверяются политика конфиденциальности, согласия на обработку данных и тексты на страницах. Если в политике указан только один оператор, а запросы уходят к десятку сторонних сервисов — это расхождение попадает в отчёт с правовой квалификацией.
Что делать, если на сайте школы есть риски по 152-ФЗ
Первый шаг — получить заключение, которое фиксирует факты: какие данные собираются, куда уходят, что запускается до согласия. В отчёте каждый эпизод связан с нормой закона и получает приоритет исправления — понятна очерёдность действий.
Если эпизодов с признаками нарушений нет — отчёт подтверждает, что на осмотренных публичных страницах рисков не обнаружено. Это не гарантия соответствия всем требованиям закона, но основание считать, что видимая часть сайта в порядке.
Когда риски найдены, нужен план: что изменить в настройках трекеров, как переписать политику под реальное поведение сайта, какие согласия добавить. Dobrolex даёт не только список проблем, но и пошаговое решение для каждого эпизода — для кода, настроек и документов.
- Настроить cookie-баннер с равнозначным отказом и запретить запуск трекеров до согласия
- Переписать политику обработки персональных данных под фактический список сервисов на сайте
- Подать уведомление Роскомнадзору, если данные передаются иностранным сервисам или обрабатываются на серверах за рубежом
- Собрать письменные согласия родителей на публикацию фотографий и достижений детей
- Убрать из открытого доступа персональные данные, для которых нет законного основания
Чек-лист: проверьте сайт школы на соответствие 152-ФЗ
- 01Политика обработки персональных данных. Откройте сайт и найдите ссылку на политику конфиденциальности (обычно внизу страницы). Проверьте, перечислены ли в ней все сервисы, которые используются на сайте: аналитика, карты, виджеты, формы. Если сервисов больше, чем указано в политике — это риск.
- 02Cookie-баннер и запуск трекеров. Откройте сайт в режиме инкогнито (без истории и cookie). Посмотрите, появляется ли баннер с выбором: согласиться или отказаться. Откройте инструменты разработчика (F12), вкладку «Сеть» — если до вашего клика ушли запросы к mc.yandex.ru, google-analytics.com или другим трекерам, они запустились без согласия.
- 03Формы обратной связи и согласия. Найдите на сайте формы: «Задать вопрос», «Записаться», «Оставить заявку». Проверьте, есть ли под формой галочка с согласием на обработку персональных данных и ссылка на политику. Если галочки нет или она уже стоит по умолчанию — это может квалифицироваться как нарушение.
- 04Публикация фотографий и данных детей. Просмотрите новости, галереи, страницы достижений. Если на фото видны лица детей или рядом указаны фамилии — проверьте, есть ли у школы письменные согласия родителей на публикацию. Отсутствие согласий создаёт риск претензий родителей и штрафа.
- 05Передача данных за рубеж. Откройте инструменты разработчика (F12), вкладку «Сеть», обновите страницу. Посмотрите список доменов, куда уходят запросы: google.com, gstatic.com, youtube.com, fonts.googleapis.com — это иностранные сервисы. Если такие запросы есть, требуется уведомление Роскомнадзора о трансграничной передаче.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Нужно ли школе уведомлять Роскомнадзор, если на сайте стоит Яндекс.Метрика?
Если школа обрабатывает персональные данные посетителей (IP-адреса, cookies), может потребоваться уведомление Роскомнадзора. Условия зависят от характера обработки и категории оператора. Проверка фиксирует, какие данные собираются и куда уходят, с правовой квалификацией каждого эпизода — для оценки процедурных требований нужна консультация юриста.
Можно ли публиковать фотографии детей на школьном сайте без согласия родителей?
Нет. Фотография ребёнка — это его персональные данные. Для публикации требуется письменное согласие родителей или законных представителей.
Что будет, если трекеры на сайте школы запускаются до согласия посетителя?
Это может квалифицироваться как обработка персональных данных без законного основания. Риск — штраф по КоАП от ста пятидесяти до семисот тысяч рублей в зависимости от состава. Исправление: настроить cookie-баннер так, чтобы трекеры стартовали только после согласия.
Обязательна ли политика обработки персональных данных на школьном сайте?
Если сайт обрабатывает персональные данные посетителей, политика должна быть опубликована на сайте. Она должна соответствовать тому, что сайт делает на самом деле: какие данные собирает, для чего, какие сервисы использует. Отсутствие политики создаёт риск штрафа.
Как проверить, уходят ли данные с сайта школы на иностранные сервисы?
Откройте сайт в браузере, нажмите F12 (инструменты разработчика), перейдите на вкладку «Сеть» и обновите страницу. Посмотрите список доменов в запросах: google.com, facebook.com, cloudflare.com и подобные — это иностранные сервисы. Каждый такой запрос может передавать данные за рубеж.
Что делать, если проверка Роскомнадзора уже началась, а на сайте есть нарушения?
Зафиксируйте текущее состояние сайта (скриншоты, копии документов) и обратитесь к юристу, который специализируется на персональных данных. Заключение Dobrolex не заменяет консультацию юриста, но поможет быстро понять, какие эпизоды есть на сайте и какие нормы могут быть затронуты.
Сколько стоит проверка школьного сайта на соответствие 152-ФЗ?
Dobrolex проверяет сайт и выдаёт заключение в PDF. Три тарифа: аудит сайта, аудит с планом действий, исправление под ключ с юристом. Цена зависит от того, нужен ли только отчёт или полное сопровождение исправлений.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.