Какие данные собирает сайт онлайн-школы и почему это важно
Сайт образовательной платформы — это точка первого контакта с учеником или родителем. Формы «Записаться на курс», «Получить пробный урок», регистрация в личном кабинете — всё это сбор персональных данных. К ним относятся имя, email, телефон, а если речь о детях — ещё и данные законных представителей.
Закон о персональных данных требует, чтобы оператор (в данном случае — онлайн-школа) получил согласие на обработку, опубликовал политику конфиденциальности и обеспечил защиту данных. Если на сайте установлены системы аналитики, чат-боты, пиксели рекламных сетей — это тоже обработка данных посетителей.
Проблема в том, что владелец школы часто не знает, что именно происходит на сайте «под капотом». Трекеры могут запускаться до того, как посетитель дал согласие, политика конфиденциальности — копироваться с чужого сайта и не соответствовать реальным процессам.
Трекеры и аналитика: когда они запускаются на самом деле
На сайте школы обычно установлены счётчики аналитики — Яндекс Метрика, Google Analytics, пиксели рекламных систем. Они помогают понять, откуда приходят ученики и какие страницы просматривают. Но если трекер запускается до того, как посетитель принял cookie-баннер, это может квалифицироваться как обработка без согласия.
Частая ситуация: на сайте есть баннер с текстом «Мы используем cookie», но скрипты аналитики уже загружены в код страницы и отправляют данные при первой загрузке. Посетитель ещё не нажал «Согласен», а его IP-адрес, браузер и действия уже фиксируются сторонним сервисом.
Автоматизированная проверка открывает сайт с чистой сессии — как новый посетитель, без cookie и истории. Фиксируется момент запуска каждого трекера: до баннера, после нажатия кнопки или вообще без возможности отказа. Это позволяет увидеть реальную картину, а не только текст баннера.
Формы сбора данных и политика конфиденциальности
Форма «Записаться на курс» или «Получить консультацию» — это точка сбора персональных данных. Закон требует, чтобы рядом с формой было согласие на обработку с указанием цели, состава данных и срока хранения. Политика конфиденциальности должна быть опубликована на сайте и содержать полную информацию об операторе, целях обработки и правах субъекта.
На практике политика часто копируется с шаблона и не учитывает специфику школы: какие данные собираются через CRM, используются ли рассылки, передаются ли данные преподавателям или партнёрам. Если в документе указано, что данные хранятся три года, а в CRM они лежат пять лет — это несоответствие.
Проверка извлекает текст политики и согласий со всех публичных страниц, фиксирует формы сбора данных и сопоставляет их с документами. В отчёте указано, соответствует ли политика фактическому составу данных и целям обработки.
Авторизация через соцсети и передача данных за рубеж
Кнопки «Войти через VK» или «Войти через Google» — удобный способ регистрации для учеников. Но если авторизация идёт через иностранный сервис, это может создавать риск трансграничной передачи персональных данных. Закон устанавливает требования к хранению данных граждан РФ и трансграничной передаче, которые зависят от конкретной ситуации и требуют юридической оценки.
Сетевые запросы к доменам Google, иностранных соцсетей или других зарубежных платформ фиксируются как технический сигнал. Это не означает автоматически нарушение — многое зависит от того, какие данные передаются и на каком этапе. Но отсутствие упоминания трансграничной передачи в политике конфиденциальности и согласии — это пробел, который создаёт риск.
Как проверить сайт онлайн-школы и что исправить
Проверка сайта начинается с публичных страниц: главной, страниц курсов, форм заявок. Фиксируются все трекеры, cookie, сетевые запросы и документы — политика, оферта, согласия. Сайт открывается с чистой сессии, как у нового посетителя, без входа в личный кабинет.
Результат проверки — заключение в PDF с резюме рисков, снимками экрана и правовой квалификацией. Каждый эпизод связан с конкретной нормой закона и рекомендацией: что исправить в коде, настройках или документах. Если эпизодов не найдено, это подтверждается в отчёте — на осмотренных страницах признаков нарушений нет.
План действий (доступен в расширенном тарифе) даёт пошаговые инструкции для разработчика и юриста: как настроить баннер, переписать политику, какие вопросы требуют консультации специалиста. Это позволяет исправить риски своими силами или передать задачу подрядчику с чёткими требованиями.
- Запуск трекеров до согласия посетителя
- Отсутствие или неполнота политики конфиденциальности
- Формы сбора данных без согласия или с нарушением требований к согласию
- Сетевые запросы к иностранным сервисам без упоминания в документах
- Отсутствие реквизитов оператора или противоречия в документах
Что проверить на сайте онлайн-школы прямо сейчас
- 01Cookie-баннер и трекеры. Откройте сайт в режиме инкогнито. Появляется ли баннер с возможностью отказаться от cookie? Можно ли настроить категории (аналитика, реклама) отдельно?
- 02Политика конфиденциальности. Найдите ссылку на политику в подвале сайта. Указаны ли в ней ИНН и ОГРН школы, цели обработки данных, сроки хранения, права субъекта?
- 03Формы заявок. Посмотрите на форму «Записаться на курс». Есть ли рядом галочка согласия на обработку данных? Ведёт ли ссылка на полный текст согласия?
- 04Авторизация через соцсети. Если на сайте есть кнопки «Войти через VK» или Google, проверьте политику: упомянута ли передача данных третьим лицам и трансграничная передача?
- 05Реквизиты оператора. Убедитесь, что на сайте указаны полное наименование юрлица или ИП, ИНН, ОГРН, юридический адрес — это требование закона для оператора данных.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Частые вопросы
Нужно ли онлайн-школе уведомлять Роскомнадзор о обработке персональных данных?
Закон устанавливает обязанность уведомлять Роскомнадзор в ряде случаев, связанных с обработкой персональных данных. Проверка покажет, есть ли на сайте признаки ситуаций, которые могут требовать уведомления — вопрос требует оценки юриста.
Можно ли использовать Google Analytics на сайте онлайн-школы?
Можно, но с условиями: получить согласие посетителя до запуска трекера, указать в политике конфиденциальности факт передачи данных Google. Вопрос трансграничной передачи и уведомления регулятора требует юридической оценки.
Что будет, если трекеры запускаются до того, как посетитель нажал «Согласен» на баннере?
Запуск трекеров до согласия создаёт риск — это может быть расценено как обработка без согласия. В отчёте такой эпизод указывается с признаками нарушения и рекомендацией исправить.
Нужно ли получать согласие родителей, если курсы для детей?
Проверка фиксирует, как оформлены формы и согласия на сайте. Конкретные требования к согласию законных представителей при обработке данных детей уточняются у юриста.
Как проверить, передаются ли данные с сайта за рубеж?
Автоматизированная проверка фиксирует все сетевые запросы браузера при открытии сайта. Если запросы уходят на домены иностранных сервисов, это указывается в отчёте как обстоятельство, требующее дополнительной проверки.
Что делать, если на сайте нашли нарушения по персональным данным?
Исправить риски по очерёдности из отчёта: настроить баннер и трекеры, переписать политику и согласия, обратиться к юристу по вопросам, требующим консультации. План действий (в расширенном тарифе) даёт пошаговые инструкции для каждого эпизода.
Сколько стоит проверка сайта онлайн-школы на соблюдение 152-ФЗ?
Тариф «Аудит сайта» — заключение в PDF с фактами и рисками. Тариф с планом действий включает пошаговые решения для разработчика и юриста. Точные условия — на странице проверки.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.