Передача ПДн в Министерство образования

Образовательные организации передают сведения об учениках, студентах и педагогах в органы управления образованием ежегодно: ЕГЭ, ФГИС «Моя школа», ЕГИСЗ, реестры квалификаций, отчёты по контингенту. Каждый такой поток — это операция обработки персональных данных с конкретным правовым основанием, которое юрист обязан идентифицировать до передачи. Роскомнадзор рассматривает образовательные организации как самостоятельных операторов ПДн: ответственность за нарушение не снимается ссылкой на то, что передача производилась «по требованию министерства».

Какие правовые основания применимы при передаче ПДн в Минобр?

Передача персональных данных в Министерство образования допускается без согласия субъекта в случаях, когда она необходима для исполнения полномочий оператора-госоргана или соответствует иному основанию из ч. 1 ст. 6 ФЗ-152. Для образовательных организаций ключевые из них — обработка во исполнение обязанностей, возложенных законодательством об образовании (п. 2 ч. 1 ст. 6), и достижение целей, предусмотренных международным договором или законом (п. 2 ч. 2 ст. 6).

При этом специальные категории ПДн — сведения о состоянии здоровья учащихся, психологические характеристики, данные об инвалидности — обрабатываются только по основаниям ч. 2 ст. 10 ФЗ-152. Обработка без надлежащего основания влечёт ответственность по ч. 1 ст. 13.11 КоАП в редакции с 30.05.2025: штраф для юридического лица от 150 000 до 300 000 ₽.

Ст. 9 ч. 6 ФЗ-152 устанавливает: если оператор вправе обрабатывать ПДн без согласия, получение согласия не меняет правовое основание. Это важно при передаче данных о педагогах в систему аттестации — согласие сотрудника не требуется, но оператор обязан уведомить субъекта о факте передачи в соответствии со ст. 14 ФЗ-152.

Отдельно стоит вопрос ПДн несовершеннолетних. До 14 лет согласие даётся родителем или законным представителем. С 01.09.2025 по ФЗ-156 такое согласие оформляется как отдельный документ — его нельзя включить в договор об образовательных услугах или правила внутреннего распорядка. Передача данных ученика в системы типа «Дневник.ру» без самостоятельно оформленного согласия родителей нарушает ч. 2 ст. 13.11 КоАП: штраф от 300 000 до 700 000 ₽.

Какой состав данных передаётся в Минобр и как его ограничить?

Принцип минимизации по ст. 5 ФЗ-152 обязывает оператора передавать только те данные, которые необходимы для конкретной цели. На практике образовательные организации нередко включают в выгрузки для Минобра избыточные сведения: паспортные данные вместо СНИЛС, домашние адреса вместо населённого пункта, результаты психологических тестирований вместо итоговых характеристик.

Типичные категории, передаваемые в рамках государственных информационных систем:

• ФИО, дата рождения, СНИЛС обучающегося — для ГИС «Контингент» и ФГИС «Моя школа»;
• результаты ЕГЭ и ОГЭ — в информационные системы Рособрнадзора;
• сведения о состоянии здоровья (группа здоровья, ограничения по физкультуре) — специальная категория по ст. 10 ФЗ-152;
• ФИО и квалификационные сведения педагогов — в системы аттестации;
• данные об успеваемости — для аналитических отчётов учредителю.

Каждая категория требует отдельного правового основания в политике обработки ПДн. Объединение баз с разными целями нарушает ст. 5 ФЗ-152 — например, нельзя использовать данные, собранные для ЕГЭ, для формирования психологического профиля учащегося в рамках другой программы.

Передача данных через сервисы иностранных провайдеров — Google Classroom, Microsoft Teams Education, Zoom — квалифицируется как трансграничная передача по ст. 12 ФЗ-152. До начала такой передачи оператор обязан уведомить РКН и убедиться, что принимающая сторона обеспечивает надлежащий уровень защиты. Отсутствие уведомления — состав по ч. 10 ст. 13.11 КоАП: штраф от 100 000 до 300 000 ₽.

Как применяется прокторинг с точки зрения 152-ФЗ?

Прокторинг — дистанционный контроль при сдаче экзаменов — предполагает сбор биометрических данных: изображение лица, голос, запись экрана. По ст. 11 ФЗ-152 биометрические персональные данные обрабатываются только при наличии письменного согласия субъекта. Для несовершеннолетних такое согласие даёт родитель или законный представитель.

Образовательные организации, использующие сторонние прокторинговые сервисы, выступают операторами, передающими обработку по поручению (п. 3 ст. 6 ФЗ-152). Договор поручения обработки должен содержать перечень обрабатываемых данных, цели, перечень действий и обязанность обработчика соблюдать конфиденциальность. Отсутствие такого договора или его несоответствие требованиям ФЗ-152 создаёт риски по ч. 1 ст. 13.11 КоАП.

Передача видеозаписей экзаменов с изображением лиц учащихся в Минобр или Рособрнадзор — это передача биометрических ПДн. Если такая передача не предусмотрена договором поручения и отдельным согласием субъекта, она незаконна. Ответственность по ч. 16 ст. 13.11 КоАП за обработку биометрии без надлежащего согласия — точный диапазон верифицировать перед публикацией; по ч. 17 за утечку биометрических данных штраф составляет от 15 000 000 до 20 000 000 ₽.

Типовые ситуации: что происходит при нарушениях

Ситуации, с которыми сталкиваются юристы образовательных организаций, делятся на три сценария в зависимости от стадии и характера нарушения.

Сценарий 1. Согласия в договоре об образовательных услугах. Организация включила согласие на обработку ПДн в стандартный договор с родителями до 01.09.2025. После вступления в силу ФЗ-156 согласие в составе иного документа не отвечает требованиям ч. 1 ст. 9 ФЗ-152. Передача данных учеников в ГИС «Контингент» на таком основании — обработка без надлежащего согласия. Доказательства: реестр договоров, форма согласия, дата подписания. Вероятный исход при проверке РКН — протокол по ч. 2 ст. 13.11 КоАП, штраф от 300 000 до 700 000 ₽. Стратегия: переоформить согласия отдельными документами для всех обучающихся, у кого согласие требуется по ФЗ-152; зафиксировать дату переоформления.

Сценарий 2. Использование Google Classroom без уведомления РКН. Государственная школа или частная образовательная организация использует Google Classroom для ведения уроков. Данные учеников (ФИО, email, активность) обрабатываются на серверах Google за рубежом. Отсутствие уведомления РКН о трансграничной передаче — нарушение ст. 12 ФЗ-152. Доказательства: договор с Google, политика конфиденциальности платформы, данные о серверной инфраструктуре. Вероятный исход — предписание РКН устранить нарушение, протокол по ч. 10 ст. 13.11 КоАП: штраф от 100 000 до 300 000 ₽. Стратегия: уведомить РКН о трансграничной передаче или перейти на российский аналог.

Сценарий 3. Утечка базы данных учеников с медицинскими сведениями. В информационной системе образовательной организации произошёл инцидент: база данных с медицинскими справками учащихся (спецкатегория по ст. 10 ФЗ-152) стала доступна третьим лицам. Число субъектов — более 10 000. Организация не уведомила РКН в течение 24 часов согласно ч. 3.1 ст. 21 ФЗ-152. Вероятный исход: протокол по ч. 11 ст. 13.11 КоАП за неуведомление (штраф от 1 000 000 до 3 000 000 ₽) и по ч. 13 ст. 13.11 за утечку от 10 000 до 100 000 субъектов (штраф от 5 000 000 до 10 000 000 ₽). Стратегия: немедленно уведомить РКН, запустить расследование, через 72 часа направить отчёт по Приказу РКН №187 от 14.11.2022.

Как это выглядит на практике

Кейс 1. Образовательная организация Сибирского федерального округа (осень 2025) использовала прокторинговый сервис без договора поручения обработки биометрических данных. По итогам проверки РКН был составлен протокол по ч. 1 ст. 13.11 КоАП. Организация признала нарушение, представила доказательства заключения договора поручения и переоформления согласий, что позволило снизить штраф до нижней границы диапазона. Суд принял во внимание устранение нарушения до вынесения постановления.

Кейс 2. Частная онлайн-школа (Центральный ФО, начало 2026) передавала результаты ЕГЭ и данные об успеваемости учеников через платформу на иностранных серверах без уведомления РКН о трансграничной передаче. По обращению субъекта РКН провёл внеплановую проверку. Юрист организации обратился за помощью после получения запроса о предоставлении документов. Был подготовлен комплект документов — уведомление о трансграничной передаче, обновлённая политика обработки ПДн, договор поручения с платформой. Дело было прекращено без штрафа на основании устранения нарушений в ходе проверки.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка ОРД образовательной организации по 38 пунктам
• Комплект ОРД под ключ — согласия родителей, договоры поручения, политика обработки ПДн
• DPO-аутсорсинг — ответственный за обработку ПДн на абонементе по ст. 22.1 ФЗ-152

Частые вопросы

1. Когда нужно согласие родителей на передачу ПДн ребёнка в Минобр?

Согласие родителей требуется, если передача не подпадает под основания ч. 1 ст. 6 ФЗ-152 — то есть не является исполнением обязанности, прямо предусмотренной законодательством об образовании. Например, передача данных для ЕГЭ производится без согласия как обязательное действие по закону. А передача данных в добровольные программы, дополнительное образование, маркетинговые базы учредителя — требует отдельного согласия родителя. С 01.09.2025 по ФЗ-156 такое согласие оформляется отдельным документом, не включённым в договор об образовательных услугах.

2. Можно ли использовать Google Classroom при обработке ПДн учеников?

Использование возможно при соблюдении требований трансграничной передачи по ст. 12 ФЗ-152. До начала передачи данных учеников через Google Classroom оператор обязан уведомить РКН, убедиться в наличии адекватной защиты в принимающей стране или заключить соответствующее соглашение. Также необходимы договор поручения обработки с Google и согласия родителей, охватывающие трансграничную передачу. Без этого — состав по ч. 10 ст. 13.11 КоАП, штраф от 100 000 до 300 000 ₽.

3. Что такое прокторинг с точки зрения 152-ФЗ?

Прокторинг — обработка биометрических персональных данных (изображение лица, голос) по ст. 11 ФЗ-152. Для её осуществления требуется письменное согласие субъекта или его законного представителя. Прокторинговый сервис выступает обработчиком по поручению: с ним необходимо заключить договор по п. 3 ст. 6 ФЗ-152, содержащий цели, перечень данных и обязательства по конфиденциальности. Передача видеозаписей с лицами учеников в Минобр без отдельного правового основания — нарушение ст. 11 ФЗ-152.

4. Кто является оператором ПДн в онлайн-школе?

Оператором признаётся лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки ПДн (ст. 3 ФЗ-152). В онлайн-школе оператором является юридическое лицо или ИП, оказывающие образовательные услуги. Платформа (LMS, мессенджер, прокторинговый сервис) выступает обработчиком по поручению. Если платформа самостоятельно определяет цели — она становится самостоятельным оператором. Разграничение ролей фиксируется в договоре поручения обработки.

5. Что грозит школе за утечку ПДн учеников?

Ответственность зависит от числа субъектов. Утечка от 1 000 до 10 000 учеников — штраф от 3 000 000 до 5 000 000 ₽ по ч. 12 ст. 13.11 КоАП. Если данные включают медицинские сведения — это спецкатегория по ст. 10 ФЗ-152, что отягощает нарушение. Дополнительно — штраф за неуведомление РКН в 24 часа по ч. 11 ст. 13.11 КоАП: от 1 000 000 до 3 000 000 ₽. При повторной утечке применяется оборотный штраф по ч. 15: 1–3% годовой выручки, но не менее 20 000 000 ₽.

Итог

Передача персональных данных в Министерство образования — это не административная формальность, а юридически значимая операция обработки ПДн, требующая корректного правового основания, актуальных согласий родителей в формате ФЗ-156 и соответствия принципам ст. 5 ФЗ-152. Специальные категории данных учащихся, биометрия при прокторинге и трансграничные передачи через иностранные платформы создают множественные риски по ст. 13.11 КоАП с суммарными штрафами от нескольких сотен тысяч до десятков миллионов рублей.

DATUM сопровождает образовательные организации — от школ до университетов и онлайн-школ — в построении системы обработки ПДн, соответствующей ФЗ-152 в редакции 2025 года, включая передачу данных в органы управления образованием, прокторинг и работу с ПДн несовершеннолетних.