Почему персональные данные онлайн-школы — зона повышенного внимания
У школы много точек сбора: формы записи на бесплатный урок, квизы, регистрация на вебинар, подписка на рассылку, кнопки «написать в мессенджер», оплата. Каждая такая точка — обработка персональных данных, а значит, нужны законное основание, понятная политика и корректное согласие.
Вторая особенность — стек сервисов. Лендинг на конструкторе, вебинарная комната, CRM, пиксели рекламных кабинетов, виджеты чатов. Часть из них может быть иностранной, и тогда данные посетителя уходят за рубеж ещё до того, как он что-то отправил. Это создаёт риск по требованиям о локализации и трансграничной передаче.
Третья — ученики-дети. Если школа работает с несовершеннолетними, вопрос о том, кто даёт согласие и как это отражено в форме и документах, стоит обсудить с юристом заранее.
Где у школ чаще всего расходятся документы и реальность
Типичная картина: политика скопирована из шаблона и не упоминает ни вебинарный сервис, ни рассылку, ни аналитику. Согласие спрятано в оферте или стоит заранее отмеченной галочкой. Реквизиты оператора не указаны или указаны чужие — например, конструктора сайта.
Отдельная история — cookie. Баннер «Мы используем cookie» с одной кнопкой «Понятно», а метрика и рекламные пиксели уже запустились при загрузке страницы. Формально баннер есть, по факту выбора у посетителя нет.
- Политика обработки не опубликована или не описывает реальные цели и сервисы
- Согласие встроено в оферту или отмечено по умолчанию
- Аналитика и пиксели стартуют до согласия
- В баннере нет равнозначного отказа и настройки категорий
- Вход или регистрация через иностранные сервисы
- Нет ИНН, ОГРН и контактов оператора
Как посмотреть на сайт глазами нового посетителя
Откройте лендинг в режиме инкогнито, ничего не нажимайте и откройте инструменты разработчика браузера на вкладке сети. Посмотрите, к каким доменам идут запросы до того, как вы ответили на баннер. Если среди них есть рекламные и аналитические сервисы, это повод разобраться, как настроен запуск трекеров.
Затем пройдите путь ученика: страница курса, форма заявки, ссылка на политику, текст согласия. Сравните, что написано в документах, с тем, какие поля просит форма и какие сервисы подгружаются. Важно: сетевой запрос сам по себе не доказывает нарушение, это технический сигнал, который нужно проверить по существу.
Что даёт проверка и чего она не делает
Dobrolex открывает сайт с чистой сессии, до любого согласия, фиксирует снимки экранов со временем и дословные цитаты из документов. Каждый факт связывается с нормой закона, у эпизода указывается серьёзность, а план даёт очерёдность исправлений. Сведения об операторе берутся из документов сайта, сетевые запросы к внешним сервисам выносятся в отдельный раздел для дополнительной проверки.
Пределы стоит знать заранее. Проверяются только публичные страницы: без входа в личный кабинет и платформу обучения, без отправки форм и ввода данных. Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор. Если эпизодов не найдено, это означает, что на осмотренных страницах признаков нарушений нет, но не гарантирует соответствие закону.
Что исправлять в первую очередь
Начните с того, что видно любому посетителю и проверяющему: опубликованная политика, отдельное согласие в каждой форме, реквизиты оператора. Затем настройте запуск аналитики и пикселей только после согласия и добавьте в баннер равнозначный отказ.
Дальше — инвентаризация сервисов: какие из них иностранные, какие данные получают, нужна ли трансграничная передача и уведомление регулятора. Здесь решения зависят от вашей модели работы, и сложные случаи лучше разбирать с юристом.
Что проверить на сайте школы прямо сейчас
- 01Политика доступна с каждой формы. Ссылка на политику обработки есть рядом с формой и ведёт на актуальный документ, где названы реальные цели и сервисы.
- 02Согласие отдельно и без галочки по умолчанию. Согласие на обработку не спрятано в оферте, а чекбокс не отмечен заранее.
- 03Трекеры молчат до согласия. В режиме инкогнито до ответа на баннер не идут запросы к рекламным и аналитическим сервисам.
- 04В баннере есть кнопка отказа. Отказ так же заметен, как «Принять», и можно выбрать категории cookie.
- 05Список внешних сервисов. Вы знаете, какие виджеты, вебинарные комнаты и формы подключены и какие из них иностранные.
- 06Реквизиты оператора. На сайте указаны наименование, ИНН, ОГРН и контакты школы, а не подрядчика или конструктора.
- 07Сценарий для учеников-детей. Понятно, кто даёт согласие за несовершеннолетнего и как это отражено в форме и документах.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли онлайн-школе заботиться о персональных данных, если она небольшая?
Да. 152-ФЗ распространяется на любого оператора, который собирает данные через формы, рассылки и мессенджеры, независимо от размера школы.
У нас есть политика и галочка в форме. Этого достаточно?
Не всегда. Важно, чтобы документы описывали реальные цели и сервисы, согласие было отдельным и не отмеченным заранее, а сайт вёл себя так, как написано в политике.
Как понять, уходят ли персональные данные учеников онлайн-школы за рубеж?
Первый сигнал — запросы к иностранным сервисам во вкладке сети браузера. Но это технический признак, а не вывод о нарушении: нужно разобраться, какие данные передаются и на каком основании.
Можно ли включать метрику сразу при загрузке страницы?
Запуск аналитики и cookie до согласия создаёт риск. Безопаснее загружать трекеры после выбора посетителя и дать в баннере равнозначный отказ.
Проверяется ли личный кабинет и платформа обучения?
Нет. Осматриваются только публичные страницы, без входа в аккаунт, отправки форм и ввода данных. Закрытые разделы и серверная часть остаются за пределами проверки.
Если в отчёте нет эпизодов, школа соответствует закону?
Это значит, что на осмотренных публичных страницах признаков нарушений не найдено. Гарантией соответствия это не является, и заключение не заменяет консультацию юриста.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.