Google Classroom и трансграничка: запрет

Google Classroom — это облачный сервис американской компании, то есть любое подключение учеников и педагогов российской школы или онлайн-курса создаёт трансграничный поток персональных данных. После ужесточения требований к локализации с 01.07.2025 и введения оборотных штрафов за повторные нарушения с 30.05.2025 вопрос перестал быть теоретическим: регулятор фиксирует использование зарубежных сервисов как самостоятельное основание для проверки. В этом материале — анализ нормативной базы, типовые сценарии нарушений и стратегия для юриста образовательной организации.

Почему Google Classroom попадает под ст. 12 ФЗ-152?

Трансграничная передача персональных данных — это любая передача ПДн на территорию иностранного государства или иностранному юридическому лицу. Google LLC зарегистрирована в США, а её серверы обрабатывают данные в дата-центрах за пределами России. При регистрации ученика в Google Classroom оператор (школа или онлайн-платформа) фактически передаёт имя, адрес электронной почты, данные об учебной активности — то есть осуществляет обработку ПДн на стороне иностранного обработчика.

Параллельно возникает нарушение ч. 5 ст. 18 ФЗ-152: первичный сбор ПДн российских граждан должен происходить в базе данных на территории РФ. Когда школа направляет ученика напрямую регистрироваться в Google Classroom — запись и систематизация данных происходят на американских серверах, что прямо запрещено с 01.07.2025. Штраф по ч. 8 ст. 13.11 КоАП — 1–6 млн ₽.

ПДн несовершеннолетних в этом контексте дополнительно защищены: по ст. 9 ч. 6 ФЗ-152 согласие на обработку ПДн лица до 18 лет даёт его законный представитель — родитель или опекун. Если школа подключает ребёнка к Google Classroom через общий классный аккаунт без отдельного письменного согласия родителей — возникает нарушение ч. 2 ст. 13.11 КоАП (обработка без надлежащего согласия), штраф 300–700 тыс. ₽.

Что требует закон: локализация, согласие родителей и уведомление РКН

Для юриста образовательной организации важно разделить три самостоятельных обязанности, каждая из которых нарушается при использовании Google Classroom без надлежащего оформления.

Локализация (ч. 5 ст. 18 ФЗ-152). Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ должны осуществляться с использованием баз данных, расположенных в России. Допускается последующая трансграничная передача, но первичная обработка — только в РФ. Если в школе нет собственной LMS или российского облачного сервиса, а ученики регистрируются напрямую в Google — обязанность по локализации не выполнена.

Уведомление РКН о трансграничной передаче (ст. 12 ФЗ-152). До начала передачи в страну без адекватной защиты оператор обязан уведомить Роскомнадзор через pd.rkn.gov.ru. В уведомлении указываются страна назначения, цель передачи, категории ПДн и сведения об иностранном получателе. Форма уведомления установлена Приказом РКН №180 от 28.10.2022.

Согласие родителей (ст. 9 ч. 6 ФЗ-152 и ФЗ-156 от 24.06.2025). С 01.09.2025 согласие оформляется отдельным документом — не может быть встроено в договор об оказании образовательных услуг или согласие с правилами сервиса. В согласии обязательно указываются: ФИО родителя и ребёнка, наименование оператора, цель обработки, перечень передаваемых ПДн, срок действия и способ отзыва. Использование согласий, оформленных до 01.09.2025 в составе договора, с этой даты создаёт риск по ч. 2 ст. 13.11.

Прокторинг и дополнительные риски для EdTech-платформ

Образовательные организации, использующие прокторинг при дистанционном проведении ЕГЭ, аттестаций или корпоративных экзаменов, сталкиваются с отдельным правовым слоем. Прокторинг как технология предполагает обработку изображения лица (биометрические ПДн по ст. 11 ФЗ-152), записи экрана, данных о поведении пользователя. Если прокторинговый сервис размещён за рубежом — возникает одновременно трансграничная передача биометрии и нарушение требований ст. 11.

Платформы типа Дневник.ру, работающие с персональными данными учеников в связке с зарубежными аналитическими сервисами (Google Analytics, Meta Pixel), также создают трансграничный поток. По позиции Роскомнадзора, cookies, позволяющие идентифицировать конкретного пользователя, относятся к персональным данным. Передача таких данных в Google или Meta без уведомления РКН — нарушение ст. 12 ФЗ-152.

Для онлайн-школ и EdTech-платформ, которые работают с совершеннолетними слушателями, риски несколько иные: ПДн не относятся к категории «несовершеннолетние», но требования локализации и трансграничного уведомления действуют в полном объёме. При этом вопрос о том, кто является оператором ПДн, принципиален: если платформа лишь предоставляет технологию, а курс ведёт преподаватель-ИП, возникает спор о разграничении ролей оператора и обработчика по ст. 3 и ст. 6 ФЗ-152.

Типовые сценарии нарушений и правовые последствия

Сценарий 1. Школа подключила Google Classroom без уведомления РКН. Ситуация: муниципальная общеобразовательная школа использует Google Classroom для дистанционных уроков с 2020 года. В реестре операторов ПДн уведомление не подавалось либо подавалось без указания трансграничной передачи. Регулятор фиксирует использование сервиса через реестр доменов или по жалобе родителя. Доказательства: скриншоты с указанием домена classroom.google.com, данные DNS. Вероятный исход: административное производство по ч. 10 ст. 13.11 (100–300 тыс. ₽) плюс предписание об устранении нарушения локализации (ч. 8). Стратегия: немедленное уведомление РКН о трансграничной передаче и переход на российскую платформу либо организация хранения первичных данных в российском облаке снижают риск повторного нарушения и исключают применение ч. 9 ст. 13.11.

Сценарий 2. Онлайн-школа обрабатывает ПДн несовершеннолетних без отдельного согласия родителей. Ситуация: EdTech-компания собирает данные детей 10–17 лет для индивидуальных образовательных треков. Согласие включено в пользовательское соглашение, которое акцептует сам ребёнок. После 01.09.2025 такая конструкция не соответствует ст. 9 ч. 6 ФЗ-152 и требованиям ФЗ-156 об отдельном документе. Доказательства: текст пользовательского соглашения, возраст субъектов в базе данных. Вероятный исход: штраф по ч. 2 ст. 13.11 — 300–700 тыс. ₽; при повторности по ч. 2.1 — 1–1,5 млн ₽. Стратегия: переработка форм согласия в отдельный документ с обязательными реквизитами, верификация возраста при регистрации, архив согласий с датой подписания.

Сценарий 3. Прокторинговый сервис передаёт биометрию за рубеж. Ситуация: университет заключил договор с иностранным прокторинговым сервисом для онлайн-экзаменов. Система фиксирует изображение лица и движения мышью в реальном времени. Данные хранятся на серверах за рубежом. Письменных согласий с описанием биометрической обработки и трансграничной передачи у вуза нет. Вероятный исход: нарушения по ч. 2 (согласие), ч. 8 (локализация) и ч. 16 (биометрия) ст. 13.11 — совокупный риск от 1,3 до 6,7 млн ₽. Стратегия: переход на российский прокторинговый сервис или получение письменных согласий с полным описанием обработки биометрии и уведомление РКН о трансграничной передаче.

Как это применяется на практике

Кейс 1. Частная онлайн-школа (Центральный ФО, начало 2026) использовала Google Classroom и Zoom для ведения занятий с детьми 8–16 лет. Уведомление о трансграничной передаче в РКН не подавалось, согласия родителей были встроены в договор об оказании услуг. После жалобы одного из родителей РКН провёл внеплановую проверку и возбудил административное производство по ч. 8 и ч. 10 ст. 13.11 КоАП. Юрист организации самостоятельно подал уведомление о трансграничной передаче в ходе проверки и представил новые формы согласий. Суд учёл оперативное устранение нарушений как смягчающее обстоятельство по ст. 4.1 КоАП и назначил штраф в нижней части диапазона — в сотни тысяч рублей вместо максимальных 6 млн ₽.

Кейс 2. Региональный университет (Приволжский ФО, осень 2025) применял иностранный прокторинговый сервис для итоговых экзаменов. Технический директор считал, что данные обезличены. При проверке РКН установил, что изображение лица без привязки к идентификатору всё равно квалифицируется как биометрические ПДн по ст. 11 ФЗ-152, поскольку позволяет установить личность. Возбуждено дело по ч. 2 и ч. 16 ст. 13.11. Организация перешла на российский прокторинговый сервис до вынесения постановления и представила доказательства прекращения обработки — что также учтено судом как смягчающее обстоятельство.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка обработки ПДн в образовательной организации по 38 пунктам
• Комплект ОРД под ключ — согласия родителей, политика, приказы, уведомление РКН о трансгранике
• Сопровождение проверок РКН — представление интересов при внеплановой проверке по жалобе

Частые вопросы

1. Когда нужно согласие родителей?

Согласие законного представителя требуется при любой обработке ПДн несовершеннолетнего по ст. 9 ч. 6 ФЗ-152. С 01.09.2025 оно оформляется отдельным документом — не может быть частью договора об образовательных услугах или правил пользования сервисом. Реквизиты: ФИО родителя и ребёнка, наименование оператора, цели, перечень ПДн, срок и способ отзыва. Согласия, встроенные в договор до 01.09.2025, создают риск нарушения ч. 2 ст. 13.11 КоАП (300–700 тыс. ₽).

2. Можно ли использовать Google Classroom?

Формально — да, при выполнении ряда условий: уведомление РКН о трансграничной передаче по ст. 12 ФЗ-152 через pd.rkn.gov.ru, обеспечение первичной локализации ПДн в российской базе данных по ч. 5 ст. 18 (то есть первичный сбор — в России, последующая передача — в Google), отдельные письменные согласия родителей. На практике выполнить требование локализации при прямой регистрации в Google Classroom технически затруднено. Большинство образовательных организаций, сохраняющих этот сервис, подвергают себя риску по ч. 8 ст. 13.11 (1–6 млн ₽).

3. Что такое прокторинг с точки зрения 152-ФЗ?

Прокторинг, использующий видеозапись или идентификацию по изображению лица, обрабатывает биометрические ПДн по ст. 11 ФЗ-152. Для такой обработки требуется письменное согласие субъекта (для несовершеннолетних — родителя). Если прокторинговая система размещена за рубежом — дополнительно возникает обязанность уведомить РКН о трансграничной передаче биометрии. Нарушение требований к обработке биометрии — ч. 16 ст. 13.11 КоАП. Утечка биометрических ПДн — ч. 17 ст. 13.11, штраф 15–20 млн ₽.

4. Кто оператор в онлайн-школе?

Оператором по ст. 3 ФЗ-152 является юридическое или физическое лицо, самостоятельно или совместно с другими определяющее цели и содержание обработки ПДн. В онлайн-школе оператором, как правило, выступает сама платформа, а не преподаватель-ИП. Если платформа поручает часть обработки Google LLC — Google действует как лицо, осуществляющее обработку по поручению (п. 3 ст. 6 ФЗ-152). При этом ответственность перед субъектом и РКН сохраняется у оператора-платформы: суды исходят из того, что утечка через подрядчика не снимает ответственности с оператора.

5. Что грозит школе за утечку ПДн учеников?

Ответственность зависит от числа затронутых субъектов. При утечке от 1 000 до 10 000 субъектов — ч. 12 ст. 13.11 КоАП, штраф 3–5 млн ₽. От 10 000 до 100 000 — ч. 13, 5–10 млн ₽. Более 100 000 субъектов — ч. 14, 10–15 млн ₽. При повторной утечке применяется оборотный штраф по ч. 15: 1–3% годовой выручки, не менее 20 млн ₽. Дополнительно — обязанность уведомить РКН в течение 24 часов (ч. 3.1 ст. 21 ФЗ-152); неуведомление — ещё 1–3 млн ₽ по ч. 11 ст. 13.11.

Итог

Google Classroom создаёт одновременно три правовых риска для образовательной организации: нарушение локализации (ч. 8 ст. 13.11, до 6 млн ₽), неуведомление о трансграничной передаче (ч. 10, до 300 тыс. ₽) и обработка ПДн несовершеннолетних без надлежащего согласия родителей (ч. 2, до 700 тыс. ₽). После 01.09.2025 старые формы согласий в составе договоров недействительны. Прокторинг с иностранными сервисами добавляет риск по ч. 16 и ч. 17 ст. 13.11.

Юристы DATUM сопровождают образовательные организации в подготовке к проверкам РКН, формировании комплекта ОРД для работы с ПДн несовершеннолетних и оформлении уведомлений о трансграничной передаче. Практика «Ветров и партнёры» по 152-ФЗ ведётся с 2014 года.

14 октября 2028 года