Персональные данные учеников - это не только ФИО в личном деле у секретаря. Фото с линейки 1 сентября в официальной группе школы, список класса на двери кабинета, результат олимпиады с фамилией на сайте, оценки в электронном дневнике - все это данные конкретного ребенка, и закон определяет, что с ними можно делать, а что нет. Проблема в том, что здравый смысл и буква закона здесь расходятся: то, что выглядит обычной информационной открытостью школы, формально может оказаться распространением персональных данных без согласия.
Эта статья разбирает не общие принципы 152-ФЗ, а конкретные ситуации из практики образовательных организаций: публикация фото учеников в официальной группе, списки классов на стендах у входа, данные ученика на сайте школы среди победителей конкурсов. Где нужно отдельное согласие на распространение, где хватает общего согласия родителя при зачислении, а где бумага вообще не требуется.
Что закон считает персональными данными ученика
Определение в законе широкое: персональные данные - любая информация, которая прямо или косвенно относится к конкретному человеку. Для ученика это не только фамилия, имя и дата рождения. Сюда попадают фотография, если по ней можно узнать человека, адрес и телефон (в том числе родителей, если они указаны рядом с именем ребенка), класс и параллель, оценки и посещаемость, результаты медосмотра, участие в олимпиадах и секциях, номер личного дела. Роскомнадзор в разъяснениях прямо относит фотографию к персональным данным, если на ней виден узнаваемый человек: групповой снимок с большого расстояния, где лица не различить, под это определение обычно не попадает, а портретный кадр или снимок крупным планом попадает почти всегда.
Отдельная тонкость - косвенная идентификация. Имя без фамилии в возрастной группе часто выглядит безобидно, но в сочетании с фото, классом и названием школы человека вычисляют за минуту: у любого родителя есть чат класса, и достаточно одной подписи вроде «Маша из 5А, наша школа», чтобы данные перестали быть анонимными. Закон исходит именно из такой совокупности признаков, а не из формального наличия фамилии в тексте.
Школа - оператор персональных данных учеников по умолчанию, это следует из самой природы образовательной деятельности: без учета ФИО, даты рождения и адреса личные дела не завести и журналы не заполнить. Но статус оператора дает право на обработку в рамках уставных задач - учет, обучение, отчетность, - а не автоматическое право на публикацию. Это два разных вопроса, и путать их - самая частая ошибка. Например, обычный договор на обучение или заявление о зачислении дает школе право вести личное дело и электронный журнал, но не дает права разместить те же данные на сайте среди новостей - для этого нужно отдельное основание. Общий обзор того, какие данные школа собирает и на каком основании, есть в отдельном материале про персональные данные в школе.
Согласие на распространение персональных данных - отдельный документ
В 152-ФЗ есть статья 10.1, которая описывает отдельный вид согласия - на распространение персональных данных, то есть на раскрытие их неограниченному кругу лиц. Это не то же самое, что обычное согласие на обработку, которое родители подписывают при зачислении ребенка в школу. Обработка - это учет, хранение, передача данных внутри рабочих процессов школы. Распространение - это публикация, после которой данные видно кому угодно: на сайте, в открытой группе в соцсети, на стенде в холле, доступном посторонним.
Закон требует, чтобы согласие на распространение содержало конкретный перечень данных, цель публикации и, по желанию субъекта, ограничения - например, запрет передавать данные третьим лицам или условие удалить их через определенный срок. С 1 сентября 2025 года требования стали жестче и для обычного согласия на обработку персональных данных: поправки 156-ФЗ от 24 июня 2025 года обязывают оформлять согласие отдельным документом, а не пунктом внутри другого договора или оферты. Общая фраза в договоре при зачислении вида «согласен на обработку персональных данных ребенка в порядке, установленном законодательством» по этой причине тоже перестала быть безопасным вариантом: она и про обработку, а не про распространение, и физически не оформлена отдельно, как теперь требует закон.
Публикация фото учеников с мероприятий: когда нужно согласие, а когда нет
Самая частая ситуация. Школьный фотограф снимает линейку, концерт, спортивный праздник, потом лучшие кадры выкладывают в официальную группу ВКонтакте или в Телеграм-канал школы. С точки зрения закона важно, кто на фото различим. Общий план зала, где полторы сотни человек и лица размыты расстоянием, - как правило, не персональные данные конкретного ребенка, такие кадры можно публиковать без отдельного согласия. Портрет, кадр крупным планом, фото с подписью «Петров Иван, 7Б, победитель конкурса чтецов» - это уже прямая идентификация, и на такую публикацию нужно согласие на распространение.
Практика, которая закрывает большинство ситуаций: включить согласие на публикацию фото и видео в пакет документов при зачислении, оформив его отдельным листом, а не абзацем в общем договоре, и явно указать каналы - сайт школы, официальная группа в соцсети, стенды в здании. Родитель должен понимать, где именно появится фото ребенка, а не подписывать общую формулировку «в соответствии с уставными целями». Раз в год, лучше в начале учебного года, стоит уточнять список тех, кто согласие не дал или отозвал, и передавать его каждому, кто снимает мероприятия: штатному фотографу, классному руководителю со смартфоном, приглашенному оператору на выпускной.
Если школа собирает такие согласия не только на бумаге, но и через форму на сайте - например, вместе с заявлением на кружок или запись в первый класс, - стоит свериться с общими правилами оформления подобных форм: чекбокс согласия, ссылка на политику обработки, отдельное поле именно про распространение. Технические нюансы разобраны в материале про форму обратной связи и согласие - они универсальны для любого сайта, не только школьного.
Видео - отдельный случай
Запись линейки или концерта, выложенная целиком в открытый доступ, содержит десятки узнаваемых лиц одновременно. Требовать согласия от каждого родителя перед публикацией любого школьного видео на практике нереально, но риск это не снимает: если конкретный родитель напишет, что не давал согласия на публикацию видео с его ребенком, формально он прав. Компромисс, к которому приходят многие школы, - публиковать видео с мероприятий в закрытых группах, доступных только родителям класса, а в открытый доступ выкладывать лишь общие планы и монтажные нарезки без крупных лиц.
Отдельная категория риска - приглашенный фотограф, который снимает праздник не для сайта школы, а для продажи распечаток родителям через свой сайт или мессенджер-бота. Это уже не публикация школой, а самостоятельная обработка данных сторонним лицом, и согласие на нее должен получать сам фотограф, а не считаться подразумеваемым только потому, что его пустили на мероприятие. В договоре со сторонним фотографом стоит явно прописать, что именно он вправе делать с отснятым материалом.
Списки классов и данные учеников на стендах у входа
Список класса с фамилиями на двери кабинета - привычная вещь, но с точки зрения закона это тоже персональные данные, размещенные на всеобщем обозрении. Ключевой вопрос - насколько широк круг тех, кто может это увидеть. Если стенд находится внутри школы, куда посторонние не заходят без пропуска, аргумент «это внутренний информационный стенд, а не публичное распространение» работает. Если список висит в холле у входа, где бывают курьеры, ремонтники и случайные посетители, аргумент слабее, и лучше не рисковать.
Практический ориентир для списков классов на общедоступных стендах: чем ближе стенд к входной группе и чем шире круг посетителей школы, тем меньше данных на нем должно быть. Фамилия и первая буква имени вместо полного ФИО, номер класса без указания домашнего кабинета учителя, без даты рождения и без адреса - этого достаточно для навигации по зданию и не создает лишнего риска. Полный список с ФИО, датами рождения и контактами родителей должен оставаться внутри: в классном журнале, в личном кабинете электронного дневника, в документах у классного руководителя, но не на стене, доступной случайному человеку с улицы.
То же касается расписания с фамилиями педагогов и учеников-докладчиков на конференциях, если оно вывешено в открытом доступе. Правило простое: чем шире и случайнее аудитория, тем меньше персональных данных должно быть на виду.
Результаты олимпиад, доска почета и портфолио на сайте школы
Публикация вида «Иванова Мария, 9А, победитель муниципального этапа олимпиады по химии» на сайте школы технически распространяет персональные данные ученика: имя, класс и факт участия в конкретном мероприятии. У школы нет отдельного законного основания публиковать это без согласия просто потому, что новость хорошая, а достижение общественно значимое - для персональных данных ребенка такого исключения закон не делает, в отличие, например, от данных публичных должностных лиц.
На практике организаторы крупных олимпиад нередко собирают согласие на распространение результатов уже на этапе регистрации участника. Но такое согласие покрывает публикацию именно организатором - на сайте олимпиады, в итоговых протоколах, - а не автоматически разрешает школе повторно опубликовать те же данные у себя. Это разные операторы и разные публикации, даже если данные совпадают.
Доска почета и страницы с портфолио учеников на сайте школы устроены так же, только публикация не разовая, а постоянная. Здесь имеет смысл закладывать в согласие срок действия или условие пересмотра: например, отдельно уточнять у родителей выпускников, остается ли фото и достижение ребенка на сайте после окончания школы или его нужно убрать вместе с очередным обновлением архива.
Проще всего закрыть эту тему один раз в начале учебного года: собрать со всех родителей согласие, которое явно перечисляет и фото с мероприятий, и результаты олимпиад, и материалы для доски почета, с указанием конкретных сайтов и групп. Тогда не придется оформлять отдельную бумагу каждый раз, когда ребенок выигрывает очередной конкурс.
Есть пограничная ситуация, о которой часто забывают. Если новость на сайте касается не просто участия, а, например, победы в соревнованиях для детей с ограниченными возможностями здоровья, публикация помимо обычных данных раскрывает и сведения о здоровье - а это уже специальная категория персональных данных со своими, более строгими правилами получения согласия. В таких материалах разумно ограничиться формулировками без диагнозов и медицинских групп, оставив только факт достижения.
Электронный дневник - другая история, не публикация
Оценки, посещаемость и комментарии учителя в электронном дневнике - тоже персональные данные ученика, но распространением в смысле статьи 10.1 они не являются, потому что доступ к ним не открыт неограниченному кругу лиц. Родитель, ученик и учитель видят данные через личный кабинет с паролем, посторонний человек зайти туда не может. Это обычная обработка данных в рамках образовательного процесса, и здесь работает общее согласие, а не отдельное согласие на распространение.
Другой вопрос - на каком основании данные попадают к разработчику сервиса, будь то региональная платформа, «Сетевой город» или собственная разработка школы. Разработчик обрабатывает персональные данные учеников по поручению школы, а значит между школой и им должен быть заключен договор поручения на обработку персональных данных, а не просто акт передачи логинов и паролей. Если такого договора нет, за утечку данных из стороннего сервиса формально отвечает и школа как оператор - именно она собирала согласие родителей и передала данные подрядчику без должного оформления. Проверка стоит недорого по времени: письмо разработчику с просьбой прислать текст договора, а если его нет - типовой шаблон и подписание за одну-две недели. Когда такой договор обязателен и что в нем должно быть, разобрано в материале про договор поручения на обработку персональных данных.
Кто дает согласие - родитель или ребенок сам
Возраст решает многое. За детей младше 14 лет согласие на обработку и на распространение персональных данных дает исключительно законный представитель - родитель или опекун, сам ребенок подписать ничего не может. С 14 до 18 лет подросток формально частично дееспособен и вправе самостоятельно распоряжаться некоторыми своими правами, но на практике почти все школы для единообразия продолжают собирать согласие через родителя вплоть до совершеннолетия ученика - это снимает споры о том, кто именно должен был подписать документ, и упрощает работу секретаря и классного руководителя. Подробный разбор того, в какой форме и с какого момента оформляется согласие родителей на обработку данных ребенка, полезен, если в школе действует разная практика для младших и старших классов.
Отдельно стоит проговорить ситуацию неполной семьи или спора между родителями. Если один родитель против публикации фото ребенка, а другой не возражает, разумнее исходить из более осторожной позиции: без согласия обоих законных представителей публикацию лучше не делать, особенно если школе известно о разногласиях в семье.
Согласие, оформленное в первом классе, продолжает действовать и в одиннадцатом, если в нем не указан срок и данные, на которые оно распространяется, не изменились. Проблема возникает не с возрастом ребенка, а со сменой обстоятельств: новый классный руководитель завел отдельный чат и страницу в соцсети, о которых в согласии ни слова, - формально его придется получать заново именно под эти каналы.
Если родитель требует убрать фото - право на отзыв согласия
Согласие на распространение персональных данных можно отозвать в любой момент, закон это прямо предусматривает. Это один из пунктов в общем перечне прав субъекта персональных данных, и школе стоит знать весь список, а не только пункт про фото. После отзыва школа обязана прекратить дальнейшее распространение и удалить данные из тех источников, которыми управляет сама, - со своего сайта, из своей группы в соцсети, со стенда. Точного срока на удаление именно после отзыва согласия закон не называет, поэтому разумно ориентироваться на общий принцип: без неоправданной задержки, в течение нескольких рабочих дней, а не месяцев.
Есть техническое ограничение, о котором стоит честно предупреждать родителей. Если фото уже разошлось - его переопубликовали в местных пабликах, скопировали на сторонние сайты, - школа не может заставить убрать его оттуда, это уже не ее ресурс. Она отвечает за свои каналы: сайт, официальные страницы в соцсетях, файлы на сервере. Дополнительно можно отправить запрос на исключение конкретной страницы из индекса поисковика, если фото продолжает всплывать в поиске уже после удаления с сайта.
Однозначной практики по школьным стендам и спискам классов у Роскомнадзора не сложилось: где-то проверяющие считают внутренний стенд закрытым пространством, где-то нет. Пока разъяснения нет, безопаснее исходить из более осторожного варианта и не выносить на общедоступные стенды больше данных, чем нужно для навигации по зданию.
Таблица: когда публикация персональных данных учеников требует согласия
Ниже - типичные школьные ситуации сведены в одну таблицу, чтобы не листать текст в поисках ответа по конкретному случаю.
| Что публикуется | Нужно ли согласие на распространение | Почему |
|---|---|---|
| Общий план линейки или концерта, лица не различить | Как правило нет | Конкретного человека нельзя опознать на фото |
| Портретное фото ребенка на сайте или в группе школы | Да | Лицо узнаваемо, данные раскрыты неограниченному кругу |
| Список класса на двери кабинета внутри здания | Спорно, лучше ограничить | Доступ не полностью открыт, но зависит от посетителей школы |
| Полный список класса с ФИО в открытом доступе на сайте | Да | Доступно любому пользователю интернета |
| Результат олимпиады с ФИО на сайте школы | Да | Раскрывает достижение конкретного ребенка |
| Доска почета с фото и фамилией | Да, и на постоянной основе | Публикация не разовая, а длительная |
| Оценки и посещаемость в электронном дневнике | Нет | Доступ ограничен паролем, круг лиц не безграничен |
| Домашний адрес и телефон родителей на общем стенде | Публиковать нельзя вообще | Избыточные данные для целей, ради которых собирались |
| Архивные фото выпускников прошлых лет на сайте | Да, если человек узнаваем | Срок давности не отменяет обязанность иметь согласие |
Что делать школе: порядок действий
Если в школе сейчас одно общее согласие на все случаи жизни, привести документы в порядок можно по шагам. На практике поводом для жалобы в РКН становится не столько сама публикация, сколько реакция школы на просьбу родителя убрать данные: если обращение игнорируют неделями, родитель идет дальше, и тогда проверяющий смотрит уже не одну фотографию, а весь набор документов школы, включая списки на стендах и архив выпускных страниц.
- Разделить согласие на обработку персональных данных при зачислении и отдельное согласие на распространение - для фото, видео и любых публикаций. Это два разных документа, а не два пункта одного.
- В согласии на распространение указать конкретные данные (фото, ФИО, класс, факт участия в мероприятиях) и конкретные каналы - сайт школы, название группы в соцсети, стенды в здании, а не общую фразу «в уставных целях».
- Перед каждым мероприятием обновлять список детей, чьи родители отказались от публикации, и передавать его тому, кто снимает: штатному фотографу, классному руководителю, приглашенному оператору на выпускной.
- На стендах в местах, доступных посторонним, сократить данные до фамилии и класса - убрать полные имена, даты рождения, домашние адреса и телефоны.
- Проверить, заключен ли договор поручения с разработчиком электронного дневника или другого сервиса, который обрабатывает данные учеников, - без него школа отвечает за утечку у подрядчика как за собственную.
- Назначить, кто в школе принимает обращения родителей об удалении фото или данных, и вести учет таких обращений с датами исполнения.
- Раз в учебный год пересматривать согласия у выпускников и у тех, кто перевелся в другую школу: согласие, оформленное три года назад под другой сайт и другую группу в соцсети, формально уже не соответствует тому, что публикуется сейчас.
Нарушение этих правил квалифицируется по статье 13.11 КоАП как нарушение законодательства о персональных данных, и жалобу может подать любой родитель, который увидел фото или данные ребенка там, где не давал на это согласия. Часто выясняется, что документы писались давно под другой набор соцсетей и другую версию сайта, и обновить их быстрее, чем кажется. Развести согласия на обработку и на распространение, прописать точные формулировки для сайта и соцсетей, проверить договоры с подрядчиками - обычная часть приведения школьного сайта и документов в порядок по 152-ФЗ. Этим занимается 152fzpro.ru: от текста согласий до технической части на сайте.
