Политика для образовательной организации

Любая образовательная организация — школа, колледж, вуз, частный учебный центр, организация дополнительного образования — является оператором ПДн в соответствии со ст. 3 ФЗ-152. Это означает, что на неё распространяется весь комплекс обязанностей: уведомление РКН, политика, назначение ответственного, ведение журналов.

До начала обработки персональных данных организация обязана направить уведомление в Роскомнадзор по форме, установленной Приказом РКН №180 от 28.10.2022. Без записи в реестре операторов ПДн на pd.rkn.gov.ru любая обработка формально нарушает ст. 22 ФЗ-152. Проверьте наличие актуальной записи на портале РКН — это стартовая точка.

Если организация ведёт дистанционное обучение с зарубежными слушателями или передаёт данные в иностранные облачные системы — дополнительно проверьте соответствие требованиям трансграничной передачи по ст. 12 ФЗ-152.

Прежде чем писать текст политики, зафиксируйте, какие именно персональные данные обрабатывает организация и на каком основании. Это основа для раздела о целях и правовых основаниях. Для образовательной организации типичные категории выглядят так:

• Общие ПДн обучающихся и их законных представителей: ФИО, дата рождения, адрес, контактные данные, СНИЛС.
• Специальные категории по ст. 10 ФЗ-152: сведения о состоянии здоровья — при наличии медицинских справок, ограниченных возможностях здоровья (ОВЗ), психолого-педагогическом сопровождении.
• ПДн работников: в рамках трудовых отношений по ст. 86–88 ТК РФ.
• Биометрические данные: если используется СКУД с распознаванием лица или голоса — обработка требует письменного согласия по ст. 11 ФЗ-152.
• ПДн несовершеннолетних: согласие дают родители или законные представители; это отдельная категория по контексту.

Специальные категории ПДн (здоровье, ОВЗ) обрабатываются только при наличии исключений из п. 2 ст. 10 ФЗ-152 — например, для медицинских, профилактических целей или в рамках трудового договора. Без явного основания их включать в обработку нельзя.

Политика обработки персональных данных — не произвольный текст. Часть 2 ст. 18.1 ФЗ-152 устанавливает обязательные разделы. В документе должны быть отражены: наименование и контактные данные оператора; цели обработки с привязкой к правовым основаниям; перечень обрабатываемых категорий ПДн; категории субъектов; порядок и условия обработки; срок хранения с обоснованием; права субъектов и порядок их реализации; сведения о мерах защиты; сведения о трансграничной передаче (если применимо); порядок обновления документа.

Для образовательной организации особое внимание — раздел о правовых основаниях. Обработка ПДн обучающихся ведётся на основании ст. 6 ФЗ-152: согласие субъекта (п. 1), исполнение договора об оказании образовательных услуг (п. 5), исполнение обязанностей оператора по федеральному закону (п. 2 — передача в ГИС, ФИС). По каждой цели — своё основание. Смешивать основания в одном пункте нельзя: это нарушает принцип конкретности целей по ст. 5 ФЗ-152.

Раздел о сроках хранения должен быть конкретным: «личное дело обучающегося — в соответствии с номенклатурой дел, не менее 5 лет после окончания обучения», «данные сотрудников — 75 лет в составе личного дела». Формулировка «до достижения целей обработки» без конкретного срока — признак нарушения, который РКН фиксирует при проверке.

ФЗ-156 от 24.06.2025 внёс изменения в ч. 1 ст. 9 ФЗ-152: с 01.09.2025 согласие субъекта на обработку ПДн оформляется отдельным документом. Оно не может быть частью договора об образовательных услугах, заявления о приёме или любого другого документа. Обратной силы норма не имеет: согласия, полученные до 01.09.2025, переоформлять не требуется — но все новые согласия с этой даты должны соответствовать новым требованиям.

Обязательные реквизиты согласия по ст. 9 ФЗ-152: ФИО субъекта (или его законного представителя для несовершеннолетних), контактные данные, наименование и адрес оператора, цель обработки, перечень ПДн, перечень действий с ПДн, срок действия согласия или условие его прекращения, способ отзыва. Если хотя бы один реквизит отсутствует — согласие недействительно, обработка на его основании нарушает ч. 2 ст. 13.11 КоАП (штраф 300 000–700 000 ₽ для юридического лица).

В политике обработки ПДн следует отдельно зафиксировать: для каких целей используется согласие как правовое основание и что именно является отдельным документом-согласием. Это снимает вопросы инспектора РКН на проверке.

Каждый оператор-юридическое лицо обязан назначить лицо, ответственное за организацию обработки ПДн, по ст. 22.1 ФЗ-152. Для образовательной организации это, как правило, юрист, заместитель директора по правовым вопросам или отдельный специалист. Назначение оформляется приказом. Должность в трудовом договоре и в приказе о назначении должны совпадать.

В политике должны быть указаны контактные данные ответственного или способ связи для субъектов: это требование ч. 2 ст. 18.1. Отдельный email вида pd@school.ru или телефон приёмной — допустимые форматы. Важно, чтобы ответственный реально получал и обрабатывал запросы субъектов.

Если функцию ответственного некому возложить внутри организации — возможна передача этих полномочий по договору DPO-аутсорсинга. Это законная модель при соблюдении требований ст. 6 (поручение обработки) и ст. 22.1 ФЗ-152.

Политика должна быть опубликована на официальном сайте организации в открытом доступе. Для государственных и муниципальных образовательных учреждений — как правило, в разделе «Документы» или «Сведения об образовательной организации» по требованиям ФЗ-273 «Об образовании». Требование публикации — не рекомендация, а обязанность по ч. 2 ст. 18.1 ФЗ-152. Отсутствие политики на сайте или её устаревший вариант — штраф по ч. 3 ст. 13.11 КоАП.

Политика — не единственный документ. К ней прилагается пакет организационно-распорядительной документации (ОРД), без которого политика существует «в вакууме» и не защищает при проверке. Минимальный пакет для образовательной организации:

Помимо перечисленного, для организаций с ИСПДн (информационными системами, обрабатывающими ПДн) потребуется определение уровня защищённости по ПП РФ №1119 и реализация мер по Приказу ФСТЭК №21. Для большинства школ и колледжей — уровень УЗ-4 или УЗ-3 в зависимости от числа субъектов и наличия специальных категорий ПДн.