Фотографии в школьном альбоме: согласие

Школьный фотоальбом кажется безобидной традицией. Для Роскомнадзора это повод проверить, получено ли отдельное письменное согласие каждого родителя на публикацию изображения ребёнка. С 2025 года практика изменилась: проверки образовательных организаций участились, а штрафная вилка выросла. Юрист, сопровождающий школу, должен понимать: какие нормы применяются, как правильно составить согласие, в каких случаях оно не нужно, и что делать, если фотографии уже опубликованы.

Почему фотография ученика — это персональные данные?

Персональные данные по ст. 3 ФЗ-152 — любая информация, прямо или косвенно относящаяся к определённому физическому лицу. Фотография лица однозначно идентифицирует человека и позволяет установить его личность без дополнительных сведений. Роскомнадзор последовательно квалифицирует изображения людей как персональные данные в пояснениях к своим проверочным листам.

Отдельный вопрос — является ли школьная фотография биометрическими ПДн по ст. 11 ФЗ-152. Биометрия — это физиологические или биологические характеристики, используемые для установления личности. Если школа использует фото только для публикации в альбоме и не применяет системы распознавания лиц (СКУД с биометрией), изображение квалифицируется как общие ПДн. При наличии СКУД с функцией распознавания — статус меняется: обработка переходит в режим ст. 11, требуется письменное согласие и более высокий уровень защищённости.

Для образовательных организаций это разграничение принципиально: разный правовой режим — разный состав согласия, разный уровень защищённости информационной системы. Большинство школ работает с общими ПДн при публикации альбомов, но некоторые используют турникеты с распознаванием лиц — и это другая история с точки зрения комплаенса.

Какое согласие нужно на публикацию фотографий учеников?

Правовым основанием для обработки ПДн несовершеннолетнего служит согласие его законного представителя — родителя или опекуна. Это следует из ч. 6 ст. 9 ФЗ-152: согласие на обработку ПДн несовершеннолетнего до 14 лет даёт законный представитель; с 14 лет субъект вправе дать согласие самостоятельно, хотя практика РКН допускает одновременное получение согласия родителя.

Публикация фотографии в альбоме — это распространение ПДн. Ст. 10.1 ФЗ-152 требует отдельного согласия на распространение: нельзя объединять его с общим согласием на обработку ПДн в рамках образовательного процесса. Это означает минимум два самостоятельных документа: согласие на обработку ПДн при поступлении и отдельное согласие на распространение (публикацию в альбоме, на сайте, в социальных сетях).

С 01.09.2025, согласно ФЗ-156 от 24.06.2025, изменившему ч. 1 ст. 9 ФЗ-152, согласие оформляется отдельным документом и не может быть частью иного соглашения — ни договора об оказании образовательных услуг, ни согласия на медицинскую помощь, ни правил пользования библиотекой. Школы, которые встроили согласие на фотографирование в пункты типового договора с родителями, нарушают требования закона, начиная с 01.09.2025.

Что должно быть в согласии: обязательные реквизиты

Согласие по ст. 9 ФЗ-152 должно содержать ряд обязательных сведений. Отсутствие хотя бы одного реквизита превращает документ в юридически ничтожный — РКН вправе квалифицировать такую обработку как обработку без согласия.

Отдельно должны быть прописаны каналы распространения. Публикация в печатном альбоме, размещение на сайте школы, отправка в мессенджер родительского чата, публикация в социальных сетях образовательной организации — каждый из этих способов требует явного упоминания в согласии. Согласие на «выпускной альбом» не покрывает публикацию в Instagram или ВКонтакте.

Когда согласие не нужно: исключения для образовательных организаций

ФЗ-152 предусматривает ряд оснований для обработки ПДн без согласия субъекта. Образовательные организации могут ссылаться на исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6), — но только в части обработки, прямо предписанной нормативными актами об образовании. Формирование выпускного фотоальбома к таким обязанностям не относится.

Практика РКН и судов показывает, что школы не вправе ссылаться на «публичный интерес» или «общеизвестность» для съёмки на школьных мероприятиях и последующей публикации. Единственное легальное основание для школьного альбома — отдельное согласие законного представителя, а с 14 лет — самого ученика.

Исключение существует для съёмки открытых мероприятий, проводимых в публичном пространстве: если мероприятие анонсировано как публичное (открытый выпускной во дворе, городской парад с участием школы), то фотографирование допустимо без согласия каждого участника. Однако последующая систематическая публикация конкретных детей в фирменных материалах школы снова требует согласия.

Типовые ситуации: как юрист оценивает риски

Ситуация 1. Согласие в договоре — стандартная практика до 2025 года. Школа использует типовой договор с родителями, в котором пункт 5.3 гласит: «Родитель даёт согласие на фотографирование ребёнка в учебных и воспитательных целях». После 01.09.2025 такая формулировка нарушает ч. 1 ст. 9 ФЗ-152 в редакции ФЗ-156: согласие не оформлено отдельным документом, цель размыта, каналы распространения не перечислены. Риск: штраф по ч. 2 ст. 13.11 КоАП — от 300 000 до 700 000 ₽. Стратегия: разработать отдельный бланк согласия, собрать подписи до начала съёмки выпускного альбома, обновить шаблон договора убрав пункт о согласии на фото.

Ситуация 2. Фотографии уже опубликованы на сайте школы без отдельного согласия. Роскомнадзор провёл плановую проверку и обнаружил галерею с фотографиями учеников. Согласие не выделено в отдельный документ — объединено с договором. Доказательства нарушения налицо. Вероятный исход: протокол по ч. 2 ст. 13.11 КоАП, штраф 300 000–700 000 ₽, предписание удалить фотографии и переоформить согласия. Стратегия: до проверки — удалить или скрыть галерею, задокументировать удаление, собрать новые согласия по обновлённой форме, подготовить реестр согласий.

Ситуация 3. Родитель потребовал уничтожить фотографии ребёнка. Отозвал согласие на распространение. По ч. 2 ст. 21 ФЗ-152 оператор обязан прекратить обработку (распространение) и уничтожить опубликованные изображения в течение 7 рабочих дней. Фотографии на сайте подлежат удалению, тираж печатных альбомов — ситуация спорная, но практика РКН требует исключить конкретного ребёнка из электронной версии альбома. Стратегия: зафиксировать дату обращения, уложиться в 7 рабочих дней, направить родителю подтверждение об удалении.

Дневник.ру, электронный журнал и обработка ПДн через внешние сервисы

Многие школы передают данные учеников в электронные журналы: Дневник.ру, МЭШ, Сетевой город. С точки зрения ФЗ-152, оператором ПДн остаётся школа — именно она определяет цели и состав обработки. Внешний сервис действует как лицо, осуществляющее обработку по поручению, на основании договора-поручения по п. 3 ч. 1 ст. 6 ФЗ-152. Без такого договора передача данных нарушает закон.

Если школа загружает фотографии учеников в систему электронного журнала, которая в свою очередь публикует их в личных кабинетах — это распространение. Согласие на распространение через такой сервис должно быть явно упомянуто в документе. Согласие «на Дневник.ру» и согласие «на выпускной альбом» — два разных документа с разными целями и перечнями действий.

Google Classroom, Microsoft Teams и аналогичные зарубежные платформы создают дополнительный вопрос: обработка данных российских школьников на зарубежных серверах. По ч. 5 ст. 18 ФЗ-152 первичная запись, систематизация, накопление, хранение и извлечение ПДн граждан РФ должны осуществляться на серверах в России. Школа, загружающая фотографии учеников в Google Drive или Classroom, нарушает требование локализации. Штраф по ч. 8 ст. 13.11 КоАП — от 1 000 000 до 6 000 000 ₽.

Что грозит школе за утечку или нарушение при обработке фотографий?

Образовательные организации входят в число операторов, которых РКН проверяет по индикаторам риска, разработанным для работы с ПДн несовершеннолетних. Это означает повышенное внимание при плановых и внеплановых проверках.

Основные составы нарушений и санкции для школ:

• Обработка без отдельного согласия (ч. 2 ст. 13.11 КоАП) — штраф от 300 000 до 700 000 ₽; повторно — от 1 000 000 до 1 500 000 ₽
• Нарушение требований к составу согласия (ч. 2 ст. 13.11 КоАП) — та же санкция: отсутствие цели, перечня данных или каналов распространения приравнивается к отсутствию согласия
• Невыполнение требования об уничтожении данных по отзыву согласия (ч. 5 ст. 13.11 КоАП) — штраф от 50 000 до 90 000 ₽
• Нарушение требований локализации при использовании зарубежных платформ (ч. 8 ст. 13.11 КоАП) — от 1 000 000 до 6 000 000 ₽
• Отсутствие или ненадлежащее содержание политики обработки ПДн (ч. 3 ст. 13.11 КоАП) — от 30 000 до 60 000 ₽

При утечке базы с фотографиями учеников (в сочетании с ФИО и датами рождения) применяются ч. 12–14 ст. 13.11 КоАП в зависимости от объёма: от 3 000 000 ₽ при утечке от 1 000 до 10 000 субъектов. Для государственных школ уголовная ответственность сотрудников по ст. 272.1 УК (введена ФЗ-421 от 30.11.2024) также применима при наличии умысла.

Кейс 1. В Приволжском федеральном округе в осенью 2025 года муниципальная школа прошла внеплановую проверку РКН после жалобы родителя. Инспекторы установили, что согласие на публикацию фотографий детей было включено в типовой договор с родителями и не выделено в отдельный документ. Протокол — ч. 2 ст. 13.11 КоАП. Школа оспорила размер штрафа в арбитражном суде, предоставив доказательства оперативного устранения нарушения и переоформления согласий. Суд снизил штраф до минимального значения диапазона с учётом смягчающих обстоятельств. ⚠️ Конкретный номер дела и точная дата — менеджер уточняет при публикации.

Кейс 2. В Центральном федеральном округе в начале 2026 года частная образовательная организация использовала зарубежную платформу для хранения фотоматериалов учебного процесса, включая портреты учеников. РКН зафиксировал нарушение ч. 5 ст. 18 ФЗ-152 (локализация). Параллельно согласия на фотографирование отсутствовали в отдельных документах. Совокупность нарушений — протоколы по ч. 2 и ч. 8 ст. 13.11 КоАП. Школа заключила договор с юридическим сопровождением, перенесла хранение в российское облако и оформила пакет ОРД. ⚠️ Конкретный номер дела — менеджер уточняет при публикации.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка согласий, ОРД и информационных систем образовательной организации
• Комплект ОРД под ключ — разработка отдельных согласий на фотографирование, политики, реестра согласий
• DPO-аутсорсинг — ведение функции ответственного по ст. 22.1 ФЗ-152 на абонентском обслуживании

Частые вопросы

1. Когда нужно согласие родителей на фотографирование ребёнка в школе?

Согласие требуется в любой ситуации, когда школа планирует обработку фотографии ученика: публикацию в альбоме, размещение на сайте, отправку в электронный журнал, использование в рекламных материалах. До 14 лет — согласие даёт законный представитель по ч. 6 ст. 9 ФЗ-152. После 14 лет — сам ученик, хотя практика РКН рекомендует получать согласие родителя дополнительно. Фотографирование на сугубо внутренние нужды (педагогический архив без публикации) допустимо без согласия в рамках образовательных функций, но граница применяется узко.

2. Можно ли использовать Google Classroom для работы с фотоматериалами учеников?

Нет, если речь идёт о хранении и систематизации персональных данных российских школьников. Ч. 5 ст. 18 ФЗ-152 обязывает осуществлять первичную запись, хранение и обработку ПДн граждан РФ на серверах в России. Google Classroom хранит данные на зарубежных серверах, что нарушает требование локализации. Штраф по ч. 8 ст. 13.11 КоАП — от 1 000 000 до 6 000 000 ₽. Альтернатива — российские платформы: МЭШ, Дневник.ру с заключённым договором-поручением.

3. Что такое прокторинг с точки зрения 152-ФЗ?

Прокторинг — дистанционный контроль за ходом экзамена с использованием веб-камеры, микрофона и записи экрана. С точки зрения ФЗ-152, это обработка биометрических ПДн: изображение лица используется для идентификации личности (ст. 11 ФЗ-152). Требуется письменное согласие субъекта (для несовершеннолетних — законного представителя), а информационная система должна соответствовать уровню защищённости УЗ-3 или выше по ПП РФ №1119. Для ЕГЭ регулирование осуществляется через отраслевые нормы Рособрнадзора, но 152-ФЗ не отменяется.

4. Кто считается оператором ПДн в онлайн-школе?

Оператором является юридическое лицо или ИП, которое определяет цели и способы обработки ПДн. В онлайн-школе — это сама организация, вне зависимости от того, использует ли она стороннюю LMS или CRM. Если школа передаёт данные учеников в Дневник.ру, Google Classroom или другой сервис — такой сервис действует как обработчик по поручению оператора (п. 3 ч. 1 ст. 6 ФЗ-152). Договор-поручение на обработку ПДн обязателен. Без него ответственность перед РКН несёт оператор (школа), а не платформа.

5. Что грозит школе за утечку персональных данных учеников?

Санкция зависит от объёма утечки. При утечке от 1 000 до 10 000 субъектов — штраф 3 000 000–5 000 000 ₽ по ч. 12 ст. 13.11 КоАП (в ред. ФЗ-420, действует с 30.05.2025). При повторной утечке подобного масштаба — оборотный штраф по ч. 15 ст. 13.11: 1–3% годовой выручки, не менее 20 000 000 ₽, не более 500 000 000 ₽. Дополнительно — обязанность уведомить РКН в течение 24 часов (ч. 3.1 ст. 21 ФЗ-152). Неуведомление — штраф 1 000 000–3 000 000 ₽ по ч. 11 ст. 13.11 КоАП.

Итог

Фотографии в школьном альбоме — точка пересечения нескольких требований ФЗ-152: общие ПДн несовершеннолетних, согласие законного представителя, отдельный документ на распространение, ограничения по каналам публикации и локализация при использовании внешних платформ. С 01.09.2025 вся ранее сложившаяся практика включения согласий в договоры с родителями перестала быть законной.

Юристы DATUM сопровождают образовательные организации в части 152-ФЗ: разрабатывают отдельные согласия под конкретные цели, формируют пакет ОРД, готовят к проверкам РКН и представляют интересы при обжаловании протоколов по ст. 13.11 КоАП.

14 февраля 2027 года