Персональные данные учеников: что репетитор обязан сделать по 152-ФЗ
Почему репетитор — оператор персональных данных
Закон 152-ФЗ считает оператором любого, кто организует и осуществляет обработку персональных данных — самостоятельно или совместно с другими. Организационно-правовая форма роли не играет: под определение попадают и ООО, и ИП, и самозанятый, и физлицо, которое ведёт практику без всякого оформления.
Есть исключение: закон не применяется, когда человек обрабатывает данные исключительно для личных и семейных нужд. Список учеников, из которого вы извлекаете доход, к личным нуждам не относится — это профессиональная деятельность.
Второе исключение реальнее: если вы ведёте записи исключительно без средств автоматизации, то есть на бумаге, уведомлять Роскомнадзор не нужно (п. 8 ч. 2 ст. 22 152-ФЗ). Но как только появляется Excel-таблица, заметки в телефоне, CRM или бот — обработка становится автоматизированной, и обязанность возвращается в полном объёме. Пункты 1–6 старого перечня исключений, включая удобный пункт про данные по договору с клиентом, утратили силу ещё 1 сентября 2022 года.
Какие данные учеников считаются персональными
Персональные данные — это любая информация, относящаяся к определённому или определяемому человеку. В практике репетитора это ФИО ученика, класс и школа, дата рождения, телефон и мессенджер родителя, электронная почта, адрес занятий, ссылки на соцсети, фото и видео с урока, скриншоты работ, а также ваши личные заметки вроде «сложный развод у родителей» или «денег в семье нет».
Отдельно опасны две категории. Первая — данные о здоровье: если вы фиксируете диагноз, СДВГ, дислексию или справку об ОВЗ, это специальная категория, для которой требования строже. Вторая — биометрия: фото и видеозаписи ученика, если вы используете их для идентификации. Штрафы за нарушения с биометрией измеряются миллионами, так что просто не заводите такие поля без реальной необходимости.
Практическое правило: чем меньше вы собираете, тем меньше рискуете. Закон прямо требует, чтобы объём данных соответствовал целям обработки. Паспорт родителя для проведения уроков математики вам не нужен — не просите его.
| Где вы храните базу учеников | Уведомление РКН | Локализация в РФ | Риск утечки |
|---|---|---|---|
| Бумажный журнал | Не требуется (п. 8 ч. 2 ст. 22) | Не применимо | Потеря тетради, восстановить нечего |
| Excel или Google-таблица на зарубежном сервисе | Требуется | Не выполняется | Расшаренная по ссылке таблица — классический слив |
| Переписка в мессенджерах | Требуется | Зависит от сервиса | Угон аккаунта = вся база у злоумышленника |
| Российская CRM для репетиторов | Требуется (подаёте вы как оператор) | Выполняется | Разграничение доступа и резервные копии на стороне сервиса |
Понадобятся ФИО, ИНН, адрес, контакты, цель обработки («оказание образовательных услуг»), перечень категорий данных, срок обработки и описание мер защиты. На заполнение уходит около получаса, если всё под рукой.
Раздел уведомлений оператора персональных данных, подпись — вашей учётной записью. Госпошлины нет. После проверки вас включают в реестр операторов, запись становится публичной — это нормально и даже добавляет доверия клиентам.
Если поменялись сведения из уведомления — новый адрес, новые категории данных, новый сервис хранения — сообщить нужно не позднее 15-го числа месяца, следующего за месяцем изменений. О прекращении обработки — в течение десяти рабочих дней.
Замена штрафа предупреждением по ст. 4.1.1 КоАП возможна, но это право органа при совокупности условий, а не автоматическая поблажка. Планировать бюджет исходя из «в первый раз простят» — плохая стратегия.
Согласие родителя: почему без него занятия — уже нарушение
Если ученику нет 18 лет, согласие на обработку его данных даёт законный представитель — обычно родитель. Это отдельное требование ст. 9 152-ФЗ, и подпись самого подростка его не заменяет. Для репетитора это удобно: согласие логично включить в тот же документ, где вы фиксируете стоимость занятий и правила отмены.
Согласие должно быть конкретным, информированным и сознательным. На практике это означает: перечислены цели (ведение учёта занятий, расчёты, коммуникация по домашним заданиям), названы категории данных, указан срок и порядок отзыва. Формулировка «согласен на обработку моих данных» без деталей проверку не пройдёт.
И главное: согласие должно быть отзывным. Если родитель написал «удалите наши данные» — вы обязаны прекратить обработку и удалить всё, кроме того, что закон требует хранить (например, документы по расчётам для налоговой). Заранее решите, как вы будете это делать технически, чтобы не выковыривать данные из семи мессенджеров вручную.
Что делать, если данные всё-таки утекли
Сценарии реальны: угнали аккаунт в мессенджере, украли ноутбук, таблица оказалась в открытом доступе. Закон даёт два срока. В течение 24 часов с момента выявления инцидента нужно уведомить Роскомнадзор о факте утечки, а в течение 72 часов — сообщить результаты внутреннего расследования и сведения о виновных лицах, если они установлены.
Молчание обходится дороже самой утечки: неуведомление об инциденте по ч. 11 ст. 13.11 КоАП стоит физлицу от 50 до 100 тысяч рублей, а ИП и организациям — от 1 до 3 миллионов. Сама утечка при масштабе от тысячи субъектов тянет на миллионы, а для повторных нарушений компаний предусмотрены оборотные штрафы.
Параллельно предупредите родителей: что именно утекло, чем это грозит (чаще всего — звонки мошенников со ссылкой на «репетитора вашего ребёнка») и что вы сделали. Честное письмо на десять строк спасает репутацию лучше, чем попытка сделать вид, что ничего не было.
Сколько это стоит по времени
Если делать спокойно: вечер на уведомление и политику, ещё пара часов на шаблон согласия и обновление договора, полдня на перенос базы из разрозненных таблиц в один сервис. Дальше это не требует внимания — только следить за изменениями и не заводить лишние поля.
Ключевой шаг, который закрывает половину пунктов сразу, — перестать хранить учеников в семи местах. Когда база лежит в одной системе на российских серверах, у вас есть внятный ответ на вопрос «где вы храните данные», работает разграничение доступа, а удаление по требованию родителя занимает одно нажатие вместо археологии по чатам.
Оговорка: материал носит справочный характер. Суммы штрафов приведены по редакции КоАП, действующей с 30 мая 2025 года; перед подачей документов сверьтесь с актуальной редакцией или проконсультируйтесь с юристом.
Смотрите также: Репетитор-самозанятый в 2026: налоги, чеки, учёт, Договор с учеником или родителем: нужен ли репетитору, Оформление репетиторства: ИП, самозанятость или нелегально, Как репетитору собирать отзывы учеников.
Итог
Соответствие 152-ФЗ для репетитора — это не толстая папка документов, а четыре действия: уведомление в Роскомнадзор, политика, согласия родителей и одна нормальная система хранения вместо десятка таблиц и чатов. Repetitor.tech держит базу учеников, расписание, оплаты и переписку в одном месте на российских серверах, с разграничением доступа и удалением данных по требованию — так что на вопрос «а где вы храните данные моего ребёнка» у вас будет спокойный ответ.
Попробовать Repetitor.tech →Часто задаваемые вопросы
Нужно ли самозанятому репетитору подавать уведомление в Роскомнадзор?+
Да, если вы ведёте учёт учеников в любом электронном виде — таблице, заметках, CRM или боте. Обязанность зависит не от статуса, а от факта автоматизированной обработки. Освобождены только те, кто ведёт записи исключительно на бумаге.
Какой штраф грозит репетитору за неуведомление?+
По ч. 10 ст. 13.11 КоАП физическому лицу — от 5 до 10 тысяч рублей, должностному — от 30 до 50 тысяч, ИП и организациям — от 100 до 300 тысяч. Отдельно наказывается обработка без согласия и нарушение требования хранить данные россиян в РФ.
Можно ли вести учеников в Google-таблице?+
Технически можно, юридически рискованно: данные граждан России должны первично собираться и храниться в базах на территории РФ, а зарубежный сервис это требование не выполняет. Плюс открытая по ссылке таблица — самый частый сценарий утечки.
Кто подписывает согласие, если ученику 15 лет?+
Родитель или иной законный представитель. Согласие самого подростка юридически не заменяет родительское, пока ему нет 18 лет. Удобнее всего включить согласие отдельным блоком в договор, который вы и так подписываете перед началом занятий.