ОДВ (общественное движение волонтёров) и ПДн

С 30.05.2025 ст. 13.11 КоАП содержит 18 частей. Общественные движения волонтёров, работающие с несовершеннолетними или партнёрствующие с образовательными организациями, попадают под двойную нормативную нагрузку: общие требования ФЗ-152 и специальные правила обработки данных детей. Настоящий материал разбирает, какие нормы применимы к ОДВ, где возникают типичные нарушения и как юристу снизить риск протокола по ст. 13.11.

Является ли ОДВ оператором ПДн по ФЗ-152?

Статья 3 ФЗ-152 определяет оператора как государственный орган, муниципальный орган, юридическое или физическое лицо, организующее или осуществляющее обработку ПДн. Общественное движение волонтёров, как правило, не имеет статуса юридического лица, однако это не освобождает его от требований закона. Физическое лицо — организатор движения — признаётся оператором при самостоятельном сборе контактных данных, сведений о здоровье и документов волонтёров.

На практике ОДВ обрабатывает несколько категорий ПДн одновременно:

• Контактные данные и паспортные сведения волонтёров — при регистрации и оформлении личных книжек.
• Данные несовершеннолетних участников — при проведении образовательных и социальных мероприятий.
• Медицинские документы и справки — при работе с уязвимыми группами населения (специальная категория по ст. 10 ФЗ-152).
• Данные жертвователей и партнёров — при фандрайзинге и отчётности.

Если движение зарегистрировано как юридическое лицо (НКО, АНО), обязанности оператора полные: уведомление РКН по ст. 22 ФЗ-152, назначение ответственного по ст. 22.1, ОРД, политика обработки. Незарегистрированное движение де-факто несёт ответственность через физических лиц-организаторов — штраф будет предъявлен им как должностным лицам.

Когда нужно согласие родителей и как его правильно оформить?

Статья 9 ФЗ-152 с 01.09.2025 (ФЗ-156 от 24.06.2025) требует, чтобы согласие на обработку ПДн оформлялось отдельным документом — не включалось в договор, анкету, заявление или оферту. Это правило прямо затрагивает ОДВ: большинство организаций собирают согласие в составе «Заявки на участие» или вовсе на странице сайта с галочкой.

Для несовершеннолетних (ПДн несовершеннолетних) действует специальное правило: согласие даёт законный представитель — родитель или опекун. Обязательные реквизиты согласия по ст. 9 ФЗ-152:

• ФИО субъекта (ребёнка) и законного представителя, их контактные данные.
• Наименование и адрес оператора (ОДВ или организации-партнёра).
• Цель обработки — конкретная, не «в целях деятельности организации».
• Перечень ПДн — исчерпывающий список, а не «иные необходимые данные».
• Перечень действий с ПДн — сбор, хранение, передача третьим лицам.
• Срок действия согласия и способ отзыва.

Практическая сложность возникает при партнёрстве ОДВ со школой или вузом. Образовательная организация — самостоятельный оператор. Если данные ребёнка из школьной базы (например, через Дневник.ру) передаются в ОДВ, это трансграничная или поручительная обработка по ст. 6 ФЗ-152 с отдельным документальным основанием. Согласие, данное школе, не распространяется на передачу в третье лицо.

Какие риски возникают при работе с образовательными платформами?

ОДВ активно использует внешние сервисы: Google Classroom, платформы дистанционного обучения, мессенджеры для координации, онлайн-регистрации на ЕГЭ-подготовительные мероприятия. Каждый из них создаёт отдельный правовой вопрос.

Google Classroom и зарубежные сервисы. Использование Google Classroom означает передачу ПДн российских субъектов за рубеж — трансграничная передача по ст. 12 ФЗ-152. США не входят в перечень стран с адекватной защитой ПДн (Приказ РКН). До начала передачи оператор обязан уведомить РКН. Нарушение требований локализации — ч. 8 ст. 13.11 КоАП, штраф 1–6 млн ₽ для юридического лица.

Прокторинг. Прокторинг с точки зрения 152-ФЗ — обработка биометрических данных (изображение лица, запись голоса) и специальных категорий, если система фиксирует поведенческие отклонения. По ст. 11 ФЗ-152 биометрия обрабатывается только с письменного согласия. Для несовершеннолетних — согласие родителей в письменной форме. Отсутствие надлежащего согласия при прокторинге — состав ч. 16 ст. 13.11 КоАП.

Мессенджеры и групповые чаты. Публикация списков участников, фотографий с мероприятий, данных о достижениях в открытых чатах — распространение ПДн по ст. 10.1 ФЗ-152. Распространение допустимо только при отдельном согласии субъекта (или его законного представителя). Дефолт по ст. 10.1: молчание = запрет на распространение.

Как применяется ст. 13.11 КоАП к ОДВ: типичные сценарии

Сценарий 1. ОДВ собирает данные без уведомления РКН. Движение работает три года, ведёт базу волонтёров в Google Таблицах, уведомления в реестре нет. При плановой проверке РКН фиксирует нарушение ст. 22 ФЗ-152. Если движение зарегистрировано как НКО — протокол по ч. 10 ст. 13.11 КоАП, штраф 100–300 тыс. ₽. Если организаторы — физические лица, ответственность переходит на них как должностных лиц. Стратегия: подать уведомление до проверки, представить доказательства оперативного устранения нарушения — это смягчающее обстоятельство по ст. 4.1 КоАП.

Сценарий 2. Согласие несовершеннолетних — в составе заявки. Образовательная организация-партнёр передаёт ОДВ анкеты учеников с согласием, включённым в текст заявления на участие. После 01.09.2025 такое согласие не соответствует требованиям ст. 9 ФЗ-152 (ФЗ-156). РКН при жалобе родителя вправе возбудить дело по ч. 2 ст. 13.11 КоАП — штраф 300–700 тыс. ₽ для юрлица. Доказательства: письменные согласия должны быть отдельными документами с полным набором реквизитов. Стратегия: переоформить согласия, провести инструктаж сотрудников, внести изменения в форму заявки.

Сценарий 3. Фотографии детей в социальных сетях без отдельного согласия. ОДВ публикует фотоотчёты с мероприятий, включая изображения несовершеннолетних участников, в открытом доступе. Согласие на распространение ПДн отдельным документом не оформлялось. Состав — ст. 10.1 ФЗ-152, ч. 2 ст. 13.11 КоАП при отсутствии надлежащего согласия на распространение. Вероятный исход: при жалобе субъекта (родителя) — протокол. Стратегия: немедленно удалить материалы, оформить ретроспективные согласия там, где это возможно, внедрить процедуру согласования публикаций.

Кто оператор в онлайн-школе с волонтёрской программой?

Вопрос о том, кто является оператором в онлайн-школе — один из ключевых при структурировании комплаенса. Если образовательная организация использует внешнюю платформу (EdTech-сервис) и волонтёрское движение как партнёра по доставке контента, возникают потенциально три оператора:

• Образовательная организация — оператор, определяющий цели обработки ПДн учеников.
• EdTech-платформа — лицо, осуществляющее обработку по поручению (ст. 6 ч. 3 ФЗ-152), если действует строго в рамках договора-поручения.
• ОДВ — самостоятельный оператор, если определяет собственные цели обработки данных участников; или обработчик по поручению, если действует исключительно в интересах школы.

На практике граница размывается: ОДВ ведёт собственную CRM с историей участников, публикует данные об их достижениях, передаёт сведения спонсорам. В этом случае движение — самостоятельный оператор с полным набором обязанностей. Попытка отнести себя к «обработчику» без оформленного договора-поручения — основание для протокола по ч. 1 ст. 13.11 КоАП (150–300 тыс. ₽).

Что грозит школе или ОДВ за утечку данных участников?

С 30.05.2025 ответственность за утечку напрямую зависит от количества затронутых субъектов. Для ОДВ районного масштаба (сотни участников) наиболее вероятный состав — ч. 12 ст. 13.11 КоАП (утечка от 1 000 до 10 000 субъектов), штраф 3–5 млн ₽. При утечке данных несовершеннолетних, медицинских сведений или биометрии штраф возрастает кратно.

Параллельно с административной ответственностью с 11.12.2024 действует ст. 272.1 УК РФ (ФЗ-421 от 30.11.2024): незаконное использование, передача, сбор или хранение компьютерной информации с ПДн. Для организаторов движения как физических лиц — реальная уголовная перспектива при умысле или грубой халатности.

Обязанность уведомить РКН об утечке — 24 часа с момента обнаружения (ч. 3.1 ст. 21 ФЗ-152, Приказ РКН №187 от 14.11.2022). Через 72 часа — отчёт о результатах внутреннего расследования. Просрочка уведомления — отдельный состав по ч. 11 ст. 13.11 КоАП, штраф 1–3 млн ₽.

Как это выглядит на практике

Кейс 1. Региональное АНО (Приволжский ФО, осень 2025), реализующее волонтёрскую программу в школах, прошло плановую проверку РКН. Инспекторы установили: уведомление в реестре операторов есть, но согласия участников оформлены в составе договора с родителями — нарушение ч. 1 ст. 9 ФЗ-152 в ред. ФЗ-156. По результатам — протокол по ч. 2 ст. 13.11 КоАП. Штраф составил сумму в несколько сотен тысяч рублей. Организация устранила нарушение, переоформила согласия отдельными документами — это учли как смягчающее при рассмотрении дела. ⚠️ Конкретный номер дела и точная сумма — менеджер уточняет при публикации.

Кейс 2. Онлайн-платформа EdTech (Центральный ФО, начало 2026), использовавшая волонтёров-наставников через партнёрское ОДВ, получила запрос РКН по жалобе родителя о публикации фотографий ребёнка без согласия на распространение. Юрист организации оперативно направил ответ с приложением ретроспективного согласия и уведомлением об удалении материалов. Дело прекращено на стадии административного расследования — проверка не переросла в протокол. Ключевым аргументом стало отсутствие умысла и немедленное устранение. ⚠️ Конкретный номер дела — менеджер уточняет при публикации.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка полноты ОРД, согласий и уведомления РКН для НКО и ОДВ.
• Комплект ОРД под ключ — 38 документов для оператора, включая согласия для несовершеннолетних.
• DPO-аутсорсинг — функция ответственного по ст. 22.1 ФЗ-152 на абонентском обслуживании.

Частые вопросы

1. Когда нужно согласие родителей?

Согласие законного представителя (родителя или опекуна) требуется при любой обработке ПДн несовершеннолетнего, если ребёнок не эмансипирован. По ст. 9 ч. 6 ФЗ-152 несовершеннолетний не вправе самостоятельно давать согласие. С 01.09.2025 (ФЗ-156) это согласие оформляется отдельным документом — не включается в анкету, заявку или договор. Реквизиты: ФИО ребёнка, ФИО законного представителя, наименование оператора, цель, перечень ПДн, перечень действий, срок и способ отзыва.

2. Можно ли использовать Google Classroom?

Использование Google Classroom влечёт трансграничную передачу ПДн на серверы Google (США). По ст. 12 ФЗ-152 до начала такой передачи оператор обязан уведомить РКН. США не входят в перечень стран с адекватной защитой ПДн, поэтому требуется дополнительное обоснование (исполнение обязательств, согласие субъекта и др.). Без уведомления и обоснования — нарушение ч. 8 ст. 13.11 КоАП с штрафом 1–6 млн ₽ для юрлица. Альтернатива — отечественные платформы, данные которых хранятся в России.

3. Что такое прокторинг с точки зрения 152-ФЗ?

Прокторинг предполагает видеозапись и идентификацию участника по изображению лица — это обработка биометрических ПДн по ст. 11 ФЗ-152. Биометрия обрабатывается только с письменного согласия. Для несовершеннолетних — письменное согласие родителя. Если прокторинг дополнительно фиксирует поведение и физиологические реакции — возможна обработка специальных категорий ПДн по ст. 10 ФЗ-152. Отсутствие надлежащего согласия при прокторинге с несовершеннолетними — состав ч. 16 ст. 13.11 КоАП.

4. Кто оператор в онлайн-школе с волонтёрским партнёром?

Оператором является лицо, которое определяет цели обработки ПДн. Если онлайн-школа определяет цели, а ОДВ действует строго по её заданию — ОДВ является обработчиком по поручению (ст. 6 ч. 3 ФЗ-152), и отношения оформляются договором-поручением. Если ОДВ самостоятельно ведёт базу участников, использует данные для собственной отчётности или фандрайзинга — ОДВ становится самостоятельным оператором с полным набором обязанностей по ФЗ-152.

5. Что грозит школе за утечку данных учеников?

С 30.05.2025 ответственность привязана к числу субъектов. При утечке от 1 000 до 10 000 учеников — ч. 12 ст. 13.11 КоАП, штраф 3–5 млн ₽. При утечке данных более 100 000 субъектов — ч. 14 ст. 13.11, штраф 10–15 млн ₽. Повторная утечка — оборотный штраф по ч. 15 ст. 13.11: 1–3% годовой выручки, не менее 20 млн ₽. Дополнительно: неуведомление РКН в 24 часа — ч. 11 ст. 13.11, штраф 1–3 млн ₽. С 11.12.2024 для физических лиц — уголовная ответственность по ст. 272.1 УК РФ.

Итог

ОДВ — оператор ПДн вне зависимости от организационно-правовой формы. Работа с несовершеннолетними, образовательными платформами, прокторингом и иностранными сервисами создаёт многоуровневые обязанности: отдельные согласия родителей по ст. 9 ФЗ-152 (с 01.09.2025), уведомления РКН о трансграничной передаче, договоры-поручения с партнёрами, отдельные согласия на распространение по ст. 10.1 ФЗ-152.

DATUM сопровождает НКО, АНО и образовательные организации с волонтёрскими программами: от первичного аудита и сборки ОРД до представления интересов при проверках РКН.