Персональные данные в детском саду: что требуют и что избыточно

Персональные данные в детском саду: что и у кого это спрашивает закон

Персональные данные в детском саду - это не только медицинская карта и заявление о приеме, а весь массив сведений о ребенке и его семье, который сад собирает, хранит и передает дальше: от фамилии и адреса до фотографий с утренника и телефона мамы для группового чата. С точки зрения закона детский сад, будь то муниципальное ДОУ, частный сад или семейный клуб с сайтом-визиткой, - оператор персональных данных наравне с любой коммерческой компанией, и требования Федерального закона от 27 июля 2006 года N 152-ФЗ о персональных данных применяются к нему в полном объеме.

Разница между детским садом и, скажем, интернет-магазином в одном: здесь субъект данных - ребенок, который сам ничего не подписывает и ни на что не соглашается, а за него это делают родители или законные представители. Это добавляет отдельный слой требований: нужно не просто получить согласие, а получить его от правильного человека, в правильной форме и с правильным объемом сведений о том, зачем эти данные вообще нужны.

Нарушения встречаются не потому, что заведующие сознательно обходят закон, а потому что типовые бланки заявлений, договоров и согласий переходят из сада в сад годами без пересмотра, а сайт делает подрядчик, для которого 152-ФЗ - не профильная тема. В результате на сайтах детских садов регулярно повторяются одни и те же ошибки: фотографии детей без согласия на распространение, формы записи без чекбокса согласия, политика конфиденциальности, скопированная у другого учреждения вместе с его реквизитами.

Цена вопроса для сада не только штраф, хотя и он реален: к образовательным учреждениям применяются те же нормы и та же практика Роскомнадзора, что и к коммерческим сайтам. Не менее болезненна репутационная сторона: жалоба родителя на публикацию фото ребенка без согласия или на утечку списка с домашними адресами обычно долетает быстрее и громче, чем любая формальная проверка, именно потому, что речь о детях, и родители реагируют острее, чем клиенты обычного бизнеса.

Дальше по порядку: кто в детском саду отвечает за персональные данные, какие сведения можно собирать, а какие избыточны, как оформлять согласие родителей, что делать с фото и видео и почему медицинские сведения о ребенке требуют отдельного подхода.

Кто в детском саду отвечает за обработку персональных данных

Оператором персональных данных выступает юридическое лицо - сам детский сад, а не заведующая или воспитатель лично. Ответственность за организацию обработки, назначение ответственного сотрудника, ведение документов и реакцию на проверку Роскомнадзора лежит на учреждении в целом, а конкретные люди действуют от его имени.

Закон обязывает оператора назначить сотрудника, ответственного за организацию обработки персональных данных, и издать внутренний приказ об этом назначении. В небольшом детском саду эту роль обычно совмещает заведующая, делопроизводитель или заместитель по учебно-воспитательной работе - отдельная штатная единица не нужна, но приказ о назначении и краткая инструкция с перечнем обязанностей должны существовать в бумажном или электронном виде.

Если у сада есть сайт с формой записи, обратной связи, новостями и фотографиями - это уже автоматизированная обработка персональных данных, а не только бумажный документооборот. Отсюда обязанность встать на учет в реестре операторов персональных данных и подать уведомление в Роскомнадзор, если сад еще этого не сделал: эта обязанность закреплена статьей 22 закона 152-ФЗ. Отсутствие уведомления там, где оно требуется, - самостоятельное нарушение с отдельным штрафом, суммы и порядок разбираются в статье Штраф за отсутствие уведомления об обработке ПДн.

Какие документы должны быть в детском саду

Минимальный комплект внутренних документов у детского сада такой же, как у любого оператора персональных данных: политика обработки персональных данных, размещенная на сайте в открытом доступе, внутреннее положение об обработке персональных данных для сотрудников, приказ о назначении ответственного, согласия родителей на обработку данных ребенка и на распространение фото, а также перечень мест хранения персональных данных - бумажных папок, электронных таблиц, региональной информационной системы образования. Если сад ранее не занимался этим вопросом системно, разумно начать не с придумывания всего набора с нуля, а с ревизии того, что уже есть, и донастройки под реальные процессы сада, а не под шаблон, скачанный из интернета.

Персональные данные ребенка в детском саду: что нужно, а что избыточно

Закон требует, чтобы объем собираемых данных соответствовал заявленным целям обработки и не был избыточным по отношению к ним - это один из общих принципов обработки персональных данных. На практике это значит: если данные не используются ни для одной конкретной цели - зачисления, безопасности, начисления льготы, медицинского сопровождения, - их сбор нельзя обосновать и стоит прекратить.

Проблема в том, что типовые бланки заявлений о приеме в детский сад часто копируют друг у друга поля, добавленные когда-то под конкретную локальную задачу, и никто их потом не убирает. В результате родителей просят указать данные, которые саду для образовательного процесса не нужны: полные паспортные данные обоих родителей вместо ФИО и контактов, сведения о разводе без реальной необходимости, доходы семьи без заявления на льготу.

Строки про здоровье и доходы - каждая подпадает под особый режим, о них подробнее ниже. Пока главный вывод простой: если напротив графы в заявлении нельзя коротко ответить, зачем детскому саду именно эта информация, поле стоит убрать, а не оставлять на всякий случай.

Согласие на обработку персональных данных ребенка в ДОУ: кто и как его дает

Ребенок дошкольного возраста не обладает полной гражданской дееспособностью и не может сам дать юридически значимое согласие ни на что, поэтому за него это делают родители или законные представители - это прямо следует из части 1 статьи 9 закона 152-ФЗ, где говорится о согласии субъекта персональных данных или его законного представителя. Опекуны и попечители подтверждают свои полномочия документом об установлении опеки.

Строго говоря, само по себе согласие - не единственное основание для обработки. Если данные нужны исключительно для исполнения функций, возложенных на образовательную организацию законодательством об образовании, обработка отдельных сведений о зачислении может вестись и без согласия. Но на практике для детского сада проще и безопаснее оформить письменное согласие сразу при зачислении, чем каждый раз доказывать, что конкретная ситуация подпадает под исключение из общего правила.

Согласие на обработку персональных данных в ДОУ обычно оформляется при зачислении ребенка - отдельным документом или разделом договора об оказании образовательных услуг. Чтобы согласие имело силу, в нем должны быть: полное наименование и адрес оператора, ФИО и адрес законного представителя, данные ребенка, цель обработки, конкретный перечень данных, перечень действий с ними - сбор, хранение, передача и так далее, срок действия согласия и порядок его отзыва. Общая фраза о согласии на обработку персональных данных ребенка без остальных пунктов юридической силы не имеет.

Отдельная тонкость - согласие должно быть предметным для каждой цели, если целей несколько. Одно дело - обработка для образовательного процесса и ведения личного дела, другое - публикация фото на сайте, третье - передача данных в региональную информационную систему или страховую компанию для полиса. Смешивать все это в одну строку неправильно: родитель должен иметь возможность согласиться на одно и отказаться от другого, не теряя место в саду. Похожая логика подробно разобрана применительно к другим детским сервисам в статье Образовательные платформы и онлайн-школы: согласия от несовершеннолетних - принципы там те же, хотя формат обучения другой.

Если сад собирает согласие через сайт, например электронную запись в очередь через региональный портал, к форме применяются те же требования, что и к любой веб-форме: чекбокс не должен быть предустановлен, рядом должен быть текст согласия и работающая ссылка на политику обработки персональных данных, а согласие должно фактически проверяться на сервере, а не только оформляться визуально.

Фото и видео детей на сайте детского сада и в родительских чатах

Фотографии детей с утренников, прогулок и занятий - самая частая точка нарушения на сайтах детских садов. Родители и сами сады чаще всего ищут именно фото детей на сайте детского сада, а суть вопроса одна: что тут вообще законно. Само по себе фото - персональные данные, но не биометрические, пока оно не используется, чтобы установить личность ребенка, например для системы распознавания лиц на входе. Обычная фотография с занятия под это определение не подпадает.

Проблема начинается не со съемки, а с показа. Пока фотографии хранятся во внутреннем архиве сада, это обработка в рамках обычной деятельности. Как только фото публикуется на сайте, в новостной группе в соцсети или рассылается по общему родительскому чату, где его видят родители других детей, - это уже распространение персональных данных, и для него статья 10.1 закона 152-ФЗ требует отдельное согласие, отличное от общего согласия на обработку. Типовую форму такого согласия утвердил Роскомнадзор приказом N 18. Молчание родителя или отсутствие возражений таким согласием не считается.

На практике это означает: перед публикацией фото с мероприятия сад должен получить письменное или электронное согласие каждого родителя именно на показ изображения ребенка третьим лицам, а не только на обработку данных как таковую. Родитель вправе в любой момент это согласие отозвать и потребовать прекратить показ, и на такое обращение стоит закрепить внутренним регламентом сада небольшой срок реакции - несколько рабочих дней.

Отдельно стоит предусмотреть в регламенте, что происходит с фотографиями и видео при отчислении ребенка из сада или переходе в другую группу: если родитель хочет, чтобы материалы с участием ребенка убрали с сайта и из открытых альбомов, заявление должно приниматься и исполняться, а не оставаться без ответа только потому, что ребенок уже не ходит в сад. Формально согласие на распространение можно отозвать в любой момент, независимо от того, продолжается ли обучение.

С родительскими чатами ситуация мягче юридически, потому что такие группы обычно создают и администрируют сами родители, а не сад как организация, и формально сад не выступает оператором чужой переписки. Но если фото туда выкладывает воспитатель или администрация сада - именно сад становится источником распространения, и требование о согласии применяется точно так же, как и к сайту. Самый безопасный вариант для сада - собирать согласие на публикацию сразу при зачислении, вести список тех, кто отказался, и следить, чтобы дети из этого списка не попадали в кадр на публичных фото и видео.

Медицинские сведения о ребенке как специальная категория персональных данных

Сведения о состоянии здоровья ребенка - прививки, хронические заболевания, аллергии, группа здоровья, рекомендации врача по питанию или физической нагрузке - относятся к специальной категории персональных данных, которую регулирует статья 10 закона 152-ФЗ, наравне с данными о расе, религии и политических взглядах. Закон в целом запрещает обработку такой информации и разрешает ее только в перечисленных исключениях, самое частое из которых для детского сада - письменное согласие субъекта, точнее его законного представителя.

Письменное согласие на обработку специальных категорий должно содержать те же обязательные реквизиты, что и обычное согласие на обработку персональных данных, но с уточнением: в нем прямо должно быть написано, что согласие дается именно на обработку сведений о состоянии здоровья, а не на данные вообще. Общий пункт в договоре о приеме такую обязанность не закрывает - нужен отдельный пункт или отдельный документ. Подробный разбор требований к такому согласию и того, что менялось в последние годы, - в статье Согласие на обработку специальных категорий ПДн: что изменилось.

Дальше вопрос хранения: медицинскую карту и справки нельзя держать в общем доступе, например в открытой папке на компьютере воспитателя или в таблице, которую видят все сотрудники сада. Доступ к сведениям о здоровье должен быть у ограниченного круга - медицинского работника сада, заведующей, ответственного за организацию обработки данных. То же касается электронных систем: если данные вносятся в региональную информационную систему образования, стоит убедиться, что медицинский раздел карты не выведен в общий интерфейс, который видят все педагоги.

Отдельная практическая точка - питание. Сведения об аллергиях и непереносимости продуктов нужны не только медицинскому работнику, но и повару или ответственному за меню, и здесь важно соблюдать баланс: передавать без диагноза сам факт ограничения, например список продуктов, которые нельзя ребенку, а не полную медицинскую карту с формулировками врача. Это снижает объем чувствительных данных, которые видят сотрудники, не связанные напрямую с медицинским сопровождением.

Типичные нарушения на сайтах и в документах детских садов

На практике набор нарушений в детских садах повторяется от учреждения к учреждению почти без вариаций, и почти всегда это не единичная ошибка, а системная: если один из пунктов ниже нарушен, велика вероятность, что нарушены и остальные, потому что все они растут из одной и той же невнимательности к документам и формам сайта. Вот список, с которым чаще всего сталкиваются при проверке:

• фотографии детей на сайте и в соцсетях сада без отдельного согласия на распространение - есть только общее согласие на обработку данных при зачислении;
• форма записи в очередь или обратной связи на сайте без чекбокса согласия либо с чекбоксом, отмеченным по умолчанию;
• политика обработки персональных данных на сайте скопирована у другого учреждения вместе с чужим названием, адресом и реквизитами;
• заявление о приеме требует полные паспортные данные обоих родителей и сведения о доходах без реальной цели их использования;
• медицинские сведения о ребенке хранятся в общей папке или таблице, доступной всем сотрудникам, а не только ответственным лицам;
• сайт собирает данные через форму, но учреждение не подавало уведомление в реестр операторов персональных данных;
• согласие на обработку данных не содержит срока действия и порядка отзыва, хотя это обязательные реквизиты письменного согласия;
• список детей с полными ФИО и датами рождения вывешен на стенде, сфотографирован и попал в фотогалерею на сайте.
• согласие оформлено при поступлении единым текстом на все случаи сразу, без разделения на обработку, распространение фото и специальные категории данных;
• ответственный за обработку персональных данных в саду не назначен приказом, хотя фактически кто-то эти вопросы уже ведет.

Как навести порядок с персональными данными в детском саду

Начать стоит с ревизии: собрать все формы, где сад просит персональные данные - бумажное заявление о приеме, договор, анкету для питания, форму на сайте, - и сверить каждое поле с реальной целью. Все поля, для которых нельзя коротко объяснить, зачем нужна эта информация и кому она передается, стоит убрать из форм или вынести в отдельное согласие только для тех случаев, где оно действительно требуется. Полезно держать этот список закрепленным в одном документе - реестре или журнале обрабатываемых данных, чтобы не проходить всю ревизию заново при следующей проверке или смене заведующей.

Дальше - привести в порядок согласия: разделить общее согласие на обработку персональных данных, согласие на обработку сведений о здоровье и согласие на распространение фото и видео, добавить в каждое обязательные реквизиты и понятный порядок отзыва. Проверить, что политика конфиденциальности на сайте сада существует, актуальна и написана именно для этого учреждения, а не скопирована у соседнего сада вместе с его названием - ориентир по структуре такого документа есть в статье Политика конфиденциальности 2026: 12 обязательных пунктов после поправок.

Проверить регистрацию сада как оператора персональных данных в реестре Роскомнадзора и, если сад еще не подавал уведомление, а сайт уже собирает данные через формы, - подать его как можно быстрее, не дожидаясь проверки. Отдельно стоит посмотреть на сам сайт целиком, а не только на форму записи: нарушения по 152-ФЗ у образовательных организаций часто находятся именно там, где их не искали изначально - в футере, в блоке новостей, в фотогалерее. Общий порядок такой проверки описан в статье Аудит сайта на соответствие ФЗ-152: 30-пунктовый чек-лист своими руками, и его вполне можно пройти своими силами как первый шаг.

Персональные данные в детском саду - тема, где ошибка редко бывает злым умыслом, чаще это унаследованные формы и невнимание к деталям на фоне текущей учебной нагрузки. Привести документы и сайт в порядок один раз - не такая большая работа, как кажется на старте, а результат снимает риск и для учреждения, и для семей, которые доверяют саду данные своих детей. Если внутри сада на такую ревизию не хватает времени или юридической экспертизы, разумно разово привлечь тех, кто занимается такими проверками регулярно - это быстрее, чем разбираться в законе с нуля между текущими задачами.