Нужно ли согласие родителя для ученика младше 18 лет?

Да, почти всегда. Если ученику меньше 14 лет, согласие подписывает только родитель или законный представитель. Если ученику от 14 до 17 лет — нужны два согласия: подростка и родителя одновременно, одной подписи недостаточно. Подробный разбор с образцами документов — в статье о согласии на обработку персональных данных несовершеннолетнего.

Можно ли записывать вебинары с участниками?

Можно, но только если участники заранее знают об этом и дали согласие. Голос и изображение человека на записи — персональные данные, а публикация записи ребёнка требует ещё и отдельного согласия по ст. 152.1 ГК РФ. Проще всего предупредить о записи в самом согласии на обучение и дать участникам возможность отключить камеру.

Как оформить прокторинг по 152-ФЗ?

Прокторинг обрабатывает видео, аудио, а иногда и биометрические параметры (сверка лица) — это отдельная, более чувствительная категория данных. Нужно отдельное согласие именно на прокторинг с описанием того, что именно фиксируется (видео, скриншоты экрана, звук), срока хранения записи экзамена и того, кто получает доступ к материалам — сама школа или подрядчик-сервис прокторинга.

Что грозит онлайн-школе за нарушение 152-ФЗ?

Обработка данных без надлежащего согласия — штраф для юрлиц до 700 000 ₽ по ч. 2 ст. 13.11 КоАП, при повторном нарушении — до 1 500 000 ₽. Отдельно действуют оборотные штрафы за утечки данных, введённые с 30 мая 2025 года, — они привязаны к выручке компании и рассчитываются отдельно от штрафа за отсутствие согласия.

152-ФЗ для онлайн-школ и образовательных проектов

Онлайн-школа записывает семилетнего ребёнка на пробный урок английского: имя, дата рождения, телефон и email родителя, галочка «согласен с обработкой персональных данных». Через неделю тот же ребёнок сдаёт тест с прокторингом, его данные уходят в CRM отдела продаж, а маме приходит рассылка с новым курсом. Три разных обработки, три разных основания — а согласие часто одно на всё.

152-ФЗ для образования устроен точнее, чем кажется большинству EdTech-проектов: несовершеннолетние ученики, вебинарные платформы, прокторинг и рассылки по базе — у каждого блока свои требования, и путать их дорого. Разберём по шагам, что именно обязана оформить онлайн-школа.

Почему у образовательных проектов данных больше, чем кажется

Обычный интернет-магазин работает с одним потоком данных — заказом. Онлайн-школа работает минимум с четырьмя параллельными потоками, и это создаёт основную путаницу:

данные для оформления обучения — ФИО, возраст, контакты, иногда паспортные данные для договора;
данные самого учебного процесса — записи вебинаров, домашние задания, результаты тестов, прокторинг;
данные для коммуникации — рассылки, push-уведомления, ретаргетинг по базе учеников;
данные для передачи третьим лицам — CRM, платформа для вебинаров, платёжный сервис, сервис прокторинга.

Каждый поток — самостоятельный случай обработки персональных данных со своим основанием и, чаще всего, отдельным согласием. Смешивать их в одну галочку «согласен с условиями» — типичная ошибка, за которую штрафуют по ст. 13.11 КоАП.

Согласие родителя: главный риск EdTech-проектов

Основная часть учеников онлайн-школ — несовершеннолетние, а закон не позволяет собирать их согласие так же, как согласие взрослого субъекта персональных данных.

Правило простое, но регулярно нарушается:

Возраст ученика	Кто подписывает согласие
До 14 лет	Только родитель, усыновитель или опекун
14–17 лет	Ученик и родитель или попечитель — оба, две подписи
С 18 лет	Сам ученик, как любой взрослый субъект

Частая ошибка платформ для подростков — принимать регистрацию 15–16-летнего пользователя вообще без формы для родителя. Формально такое согласие подписано с пороком дееспособности, и при проверке Роскомнадзор расценит это как обработку без надлежащего согласия. Полный разбор возрастных сценариев, обоснование по ст. 26 и 28 ГК РФ и готовые образцы для обоих случаев — в статье «Согласие на обработку персональных данных несовершеннолетнего».

Практический шаг: форма записи на курс должна сначала спрашивать возраст ребёнка и только потом показывать нужный набор согласий — универсальная форма «для всех» почти всегда сделана неправильно.

Вебинары и запись занятий: что нужно предупредить заранее

Голос и изображение человека на видеозаписи занятия — это персональные данные, а если запись публикуется (фрагмент открытого урока в соцсетях, промо-ролик) — добавляется ещё и защита изображения по ст. 152.1 ГК РФ, отдельная от 152-ФЗ.

Что нужно сделать школе, которая ведёт вебинары:

предупредить о записи до начала занятия — прямо в согласии на обучение или отдельным уведомлением на экране входа в вебинарную комнату;
дать возможность отключить камеру — участие в занятии не должно быть обусловлено обязательной трансляцией лица ребёнка;
получить отдельное согласие на публикацию, если фрагмент записи планируется выложить публично — общее согласие на обучение эту цель не покрывает;
зафиксировать срок хранения записей — бессрочное хранение видео с детьми без обоснованной цели повышает риск при проверке.

Если вебинарная платформа — сторонний сервис (Zoom, Webinar.ru, собственная разработка), она обрабатывает данные учеников по поручению школы — на это нужен договор поручения обработки, а не просто договор на подписку сервиса.

Прокторинг: повышенный риск, а не формальность

Прокторинг — автоматизированный или ручной контроль сдачи экзамена через камеру — обрабатывает больше данных, чем обычное занятие: видео, звук, скриншоты экрана, а иногда и сверку лица с фото из личного кабинета. Сверка лица — это уже элемент биометрических персональных данных, которые закон относит к чувствительной категории, требующей повышенного внимания к основаниям обработки.

Что обязательно проверить, если школа использует прокторинг:

Отдельное согласие именно на прокторинг — не пункт внутри общего согласия на обучение, а самостоятельный документ или чётко выделенный блок с описанием, что именно фиксируется.
Указание срока хранения записи экзамена — обычно это период оспаривания результата плюс запас на апелляцию, а не бессрочное хранение.
Разграничение доступа — кто смотрит запись: только сама школа или ещё и подрядчик-сервис прокторинга, и на каком основании подрядчик получает доступ (договор поручения обработки).
Отдельная позиция для несовершеннолетних — если прокторинг проходят ученики 14–17 лет, требование о двух согласиях (подросток и родитель) действует и здесь.

CRM, платёжные сервисы и передача данных внутри воронки

Данные ученика после записи на курс обычно идут дальше: в CRM отдела продаж, в платёжный сервис для оплаты, иногда — партнёру по сертификации. Каждая такая передача — это либо поручение обработки (если сервис действует по заданию школы), либо самостоятельная обработка (если сервис становится отдельным оператором для своих целей, как это происходит, например, у маркетплейсов при передаче данных курьеру).

Правило то же, что и для e-commerce: сервису, которому школа передаёт данные, нужен договор с зафиксированной целью обработки, перечнем данных и обязанностью соблюдать конфиденциальность — устной договорённости или обычного договора на подписку CRM недостаточно. Подробный разбор передачи данных подрядчикам на примере другой отрасли — в статье «152-ФЗ для интернет-магазина».

Рассылки и ретаргетинг по базе учеников

Маркетинговая рассылка — отдельная цель обработки, не покрытая согласием на обучение. Это касается и школы, которая шлёт письма о новых курсах, и ретаргетинга по базе для показа рекламы в соцсетях.

Что нужно оформить отдельно:

согласие на email/SMS/push-рассылку — отдельная галочка, не встроенная в форму записи на курс;
согласие на передачу данных рекламным платформам для настройки ретаргетинга — отдельная цель, если она не указана в общем согласии;
адресата рассылки — если ученику меньше 18 лет, рассылка чаще всего идёт на контакты родителя, и согласие на неё оформляет тоже родитель.

Готовый шаблон согласия именно на рекламную коммуникацию — в статье «Согласие на рекламную рассылку: образец».

Договор-оферта и отдельное согласие: не путать

С 1 сентября 2025 года согласие на обработку персональных данных не может быть частью договора или оферты — это отдельный документ или отдельно выделенная форма. Онлайн-школы особенно часто нарушают это правило, потому что запись на курс обычно оформляется как принятие публичной оферты одним кликом.

Правильная последовательность на странице записи:

пользователь видит текст оферты (условия обучения, оплата, отмена);
отдельно — согласие на обработку персональных данных с конкретной целью «организация учебного процесса»;
отдельно — согласие на рассылку, если школа планирует её вести;
отдельно — согласие на запись/прокторинг, если это применимо к конкретному курсу.

Каждый пункт — самостоятельный чекбокс или отдельная форма, а не одна строка «согласен со всем».

Штрафы: во сколько обходится ошибка

Нарушение	Штраф для юрлиц
Обработка ПДн без согласия (ч. 2 ст. 13.11 КоАП)	до 700 000 ₽
Повторное нарушение	до 1 500 000 ₽
Отсутствие публичной политики обработки ПДн	до 60 000 ₽

Отдельно от этих сумм действуют оборотные штрафы за утечки персональных данных, введённые с 30 мая 2025 года, — они считаются от выручки компании и не связаны с наличием или отсутствием согласия.

Чек-лист для онлайн-школы

Форма записи спрашивает возраст ребёнка и показывает нужный набор согласий (родитель / родитель + подросток / сам совершеннолетний).
Согласие на обработку ПДн — отдельный документ, не часть оферты.
Есть отдельное согласие на запись вебинаров и, если применимо, на публикацию фрагментов.
Прокторинг сопровождается отдельным согласием с описанием фиксируемых данных и срока хранения.
С CRM, вебинарной платформой и сервисом прокторинга заключён договор поручения обработки.
Рассылка и ретаргетинг оформлены отдельным согласием, не встроенным в форму записи на курс.

Каждый из этих пунктов легко упустить, когда сайт растёт и добавляются новые формы и сервисы. Быстрее один раз прогнать сайт школы через автоматическую проверку и увидеть, какие согласия и формы не соответствуют требованиям, чем находить пробелы во время проверки Роскомнадзора.