Согласие на обработку персональных данных: образец 2026 для онлайн-школы
Согласие на обработку персональных данных образец 2026 нужно каждой онлайн-школе, которая собирает имя, телефон, почту или платёжные данные учеников: без него сбор данных нарушает 152-ФЗ. Юридически действительное согласие содержит семь обязательных пунктов (ст. 9 ФЗ № 152-ФЗ), может быть электронным (галочка + запись в базе), а на рекламную рассылку берётся отдельно. За обработку без согласия юрлицу грозит штраф по ст. 13.11 КоАП, а с 30 мая 2025 за утечки данных введены оборотные штрафы. Ниже — готовый шаблон, разбор каждого пункта и частые ошибки.
Онлайн-школа почти всегда оператор персональных данных, даже если это один эксперт с курсом в записи. Как только вы просите оставить телефон в форме или принимаете оплату, вы собираете и храните данные людей. А значит, обязаны играть по правилам 152-ФЗ (проверено: июль 2026).
Разберём по шагам, что должно быть в согласии, как оформить его на сайте и где школы теряют деньги на штрафах.
Кому из онлайн-школ нужно согласие
Согласие нужно, если вы собираете любые данные, по которым можно определить человека: ФИО, телефон, email, город, данные об оплате. Форма записи на бесплатный вебинар — уже сбор данных. Исключений для маленьких школ и самозанятых нет.
Закон называет оператором любого, кто определяет цели и способы обработки данных (ст. 3 ФЗ № 152-ФЗ). Онлайн-школа решает, зачем собирает телефоны и что с ними делает, — значит, она оператор со всеми обязанностями. Размер бизнеса тут ничего не меняет: ИП на курсе за 3 000 рублей и школа с оборотом в десятки миллионов отвечают по одному закону.
Согласие — не единственное основание обрабатывать данные. Часть 1 статьи 6 перечисляет несколько: например, исполнение договора с учеником. Но на практике согласие удобнее всего: оно покрывает и обучение, и напоминания о занятиях, и хранение контактов после курса. Поэтому в 9 случаях из 10 школе проще взять согласие, чем доказывать другое основание при проверке.
Отдельно от согласия у оператора есть ещё одна обязанность — подать уведомление в Роскомнадзор о том, что вы обрабатываете данные (ст. 22 ФЗ № 152-ФЗ, проверено: июль 2026). Это разные вещи: согласие берёте у ученика, уведомление подаёте регулятору. Нужны оба.
Что обязательно в согласии: 7 пунктов
Письменное согласие должно содержать данные ученика, данные оператора, цель обработки, конкретный перечень данных, перечень действий с ними, срок действия и порядок отзыва (ч. 4 ст. 9 ФЗ № 152-ФЗ). Пропуск хотя бы одного пункта делает согласие оспоримым.
Главная ошибка — размытые формулировки. Фраза «согласие на обработку любых данных любыми способами» не работает: закон требует конкретики. Если вы собираете телефон и email, так и пишите, а не «иные данные».
| Пункт | Что указать |
|---|---|
| Субъект | ФИО ученика, контакт для связи |
| Оператор | Название и адрес: ИП или ООО, кто именно собирает данные |
| Цель | Запись на курс, доступ к урокам, поддержка |
| Перечень данных | Конкретно: имя, телефон, email — без «иных данных» |
| Действия | Сбор, хранение, передача сервисам (CRM, рассыльщик) |
| Срок | Сколько храните данные |
| Отзыв | Как отозвать согласие |
Ещё в согласии стоит перечислить третьих лиц, которым уходят данные: сервис рассылок, платёжный агрегатор, CRM. Ученик имеет право знать, куда попадут его контакты. Если данные уходят в сервис за пределами России, это отдельная история с локализацией, и её лучше проговорить с юристом заранее.
Электронное согласие на сайте
Бумажная подпись не нужна. Часть 1 статьи 9 разрешает любую форму, которая подтверждает факт согласия. Для сайта это чекбокс у формы плюс запись в базе: кто, когда и на какой текст согласился.
Электронное согласие полностью законно, если вы можете доказать, что человек его дал. Поэтому важна не сама галочка, а лог: дата, время, версия текста согласия, идентификатор пользователя. Если дойдёт до спора, именно эта запись подтвердит, что ученик согласился осознанно.
Два требования, которые нарушают чаще всего. Галочка не должна стоять заранее — человек ставит её сам, иначе согласие считается не полученным. И рядом с формой обязательна ссылка на политику конфиденциальности, где подробно расписано, что вы делаете с данными.
Надёжный приём для рассылок — подтверждение через письмо (double opt-in): человек оставляет email, вы шлёте ссылку, он подтверждает подписку. Так у вас остаётся сразу два доказательства согласия — галочка на сайте и клик по ссылке в почте. Для обучения это не обязательно, но для рекламных писем такая связка заметно снижает риск претензий.
Чек-лист: форма записи по 152-ФЗ
- ✓ Чекбокс согласия не проставлен заранее
- ✓ Рядом ссылка на политику конфиденциальности
- ✓ Текст согласия хранится с датой и версией
- ✓ Отдельная галочка на рекламную рассылку
- ✓ Перечислены сервисы, куда уходят данные
Согласие за ребёнка
За детей младше 14 лет согласие дают родители или другие законные представители (ст. 28 ГК РФ). Согласие, где «подписался» сам семилетний ученик, юридически пустое. В форме нужно поле для данных представителя.
Детские курсы, подготовка к школе, кружки — здесь данные ученика собирают не у него, а у взрослого. Закон это учитывает: до 14 лет ребёнок недееспособен в этой части, и решения за него принимают законные представители. Поэтому в форме записи на детский курс должно быть видно, что согласие даёт именно родитель, и указаны его данные.
Для подростков 14-18 лет правила мягче, но осторожность не помешает: по чувствительным данным всё равно надёжнее получить согласие представителя. Если ваша школа работает с детьми, вынесите это в отдельную форму, а не пытайтесь уместить всё в один универсальный чекбокс для взрослых и детей сразу.
Отдельное согласие на рассылку
Согласие на обработку данных и согласие на рекламную рассылку — это разные вещи. Письма с акциями подпадают под ст. 18 ФЗ «О рекламе» (проверено: июль 2026), и для них нужно отдельное согласие. Один чекбокс «соглашаюсь на всё» проверку не проходит.
Логика простая: у обработки данных и у рекламы разные цели, поэтому и согласия раздельные. Ученик может хотеть учиться, но не хотеть получать письма о новых курсах. Закон даёт ему это право, а вам — обязанность спросить отдельно.
На практике это две галочки под формой: одна обязательная (обработка данных, без неё запись невозможна), вторая добровольная (рассылка). Нельзя блокировать запись на курс из-за того, что человек не согласился на рекламу. Если хотите разобраться с маркетинговыми рисками глубже, посмотрите нашу услугу по безопасности маркетинга: там и про рассылки, и про маркировку рекламы.
Политика конфиденциальности
Политика конфиденциальности — обязательный публичный документ оператора (ст. 18.1 ФЗ № 152-ФЗ, проверено: июль 2026). Она должна быть доступна на сайте, а форма записи — ссылаться на неё. Без политики согласие выглядит неполным.
Согласие и политика работают в паре. В согласии человек соглашается на обработку, а в политике вы подробно раскрываете, как именно обрабатываете данные: какие собираете, зачем, сколько храните, кому передаёте и как защищаете. Закон прямо требует опубликовать этот документ и обеспечить к нему свободный доступ.
Для онлайн-школы политика — не формальность на пять строк. В ней стоит честно перечислить все сервисы: платёжный агрегатор, CRM, сервис рассылок, аналитику, вебинарную платформу. Каждый из них получает данные учеников, и ученик имеет право об этом знать. Проверяющий из Роскомнадзора первым делом смотрит, есть ли политика и совпадает ли она с тем, что происходит на сайте на самом деле.
Частая ошибка — скачать чужую политику и повесить как есть. Если в тексте указаны сервисы, которыми вы не пользуетесь, или пропущены ваши реальные инструменты, документ не защищает, а создаёт лишние вопросы. Политику пишут под конкретную школу и обновляют каждый раз, когда меняется набор сервисов или появляются новые цели обработки.
Хранение и локализация данных
Персональные данные россиян нужно хранить в базах на территории России (ч. 5 ст. 18 ФЗ № 152-ФЗ, проверено: июль 2026). Бессрочно держать данные нельзя: как только цель достигнута, их удаляют или обезличивают.
Требование о локализации застаёт врасплох школы, привыкшие к зарубежным сервисам. Если вы собираете данные учеников через иностранную CRM или храните базу на сервере за границей, это прямой риск. Первичный сбор и хранение данных россиян должны идти в российской инфраструктуре. Зарубежные сервисы допустимы, но с оговорками, и такую схему лучше выстраивать вместе с юристом, а не наугад.
Второе правило — срок. Данные хранят ровно столько, сколько нужно для заявленной цели. Ученик прошёл курс, гарантийный период закончился, обязательств хранить его телефон больше нет — значит, данные пора удалить или обезличить. Держать базу «на всякий случай» бесконечно закон не разрешает, и это тоже смотрят на проверке.
Практичный подход: пропишите сроки хранения прямо в политике и в согласии, а раз в год чистите базу от данных, которые больше не нужны. Это снижает сразу два риска — юридический и репутационный: чем меньше данных вы храните, тем меньше потеряете при возможной утечке.
Ошибки и штрафы 2026
Главные ошибки: заранее проставленная галочка, одно согласие на обучение и рекламу, отсутствие способа отзыва и политики конфиденциальности. За обработку без согласия штрафует Роскомнадзор по ст. 13.11 КоАП, а с 30 мая 2025 за утечки данных введены оборотные штрафы.
Цена ошибки в 2025-2026 годах заметно выросла. Раньше штрафы за нарушения в области персональных данных были скорее символическими для крупного бизнеса. Поправки в КоАП изменили расклад: за утечку данных теперь можно получить штраф, привязанный к обороту компании, а не фиксированную сумму.
Для онлайн-школы это значит одно: экономить на согласиях и защите данных стало опасно. Даже небольшая утечка базы учеников — слитый в сеть список телефонов — может обернуться штрафом, несопоставимым со стоимостью нормальной юридической подготовки. Точные суммы по вашему случаю лучше сверить с актуальной редакцией кодекса: штрафы менялись несколько раз.
Проверка Роскомнадзора бывает плановой и внеплановой. Внеплановую часто запускает жалоба — например, недовольный ученик пишет, что ему не дали отозвать согласие или продолжают слать письма после отписки. Регулятор смотрит стандартный набор: подано ли уведомление об обработке, есть ли политика конфиденциальности, как оформлены согласия, куда уходят данные. Если документы в порядке и совпадают с реальностью, проверка проходит спокойно. Проблемы начинаются там, где на сайте одно, а в папке юриста другое.
Как отозвать согласие
Ученик вправе отозвать согласие в любой момент (ч. 2 ст. 9 ФЗ № 152-ФЗ). После отзыва оператор прекращает обработку в срок не более 10 рабочих дней (ст. 21 ФЗ № 152-ФЗ, проверено: июль 2026), если нет другого законного основания хранить данные.
Право на отзыв — обязательная часть согласия, а не жест доброй воли школы. Поэтому в тексте согласия и в политике конфиденциальности нужно указать понятный способ: например, письмо на конкретный email. Игнорировать такие обращения нельзя.
Есть нюанс: отзыв согласия не всегда стирает данные полностью. Если вы обязаны хранить документы по другому закону — например, бухгалтерские данные об оплате, — часть сведений остаётся на законном основании. Но обрабатывать данные в прежних целях (слать письма, использовать в маркетинге) после отзыва вы уже не вправе.
Не хотите разбираться в 152-ФЗ сами?
Соберём для вашей школы комплект документов, настроим формы согласий и подготовим к проверке Роскомнадзора. Разберёмся с рассылками, локализацией и уведомлением регулятора.
Смежные разборы — в рубрике «Персональные данные и 152-ФЗ», а базовый пакет документов для старта школы — в услуге «Документы для старта».
Статья подготовлена на основе законодательства РФ на июль 2026 года. Для консультации по вашему случаю обратитесь к специалисту.
Частые вопросы
Можно ли получить согласие онлайн, без бумажной подписи?
Да. Часть 1 статьи 9 закона 152-ФЗ разрешает любую форму, подтверждающую факт согласия. Для сайта подойдёт непроставленная галочка у формы плюс запись даты, версии текста и обстоятельств согласия в базе.
Нужно ли отдельное согласие на рассылку?
Да. Рассылка писем с акциями — это реклама, для неё нужно отдельное согласие по статье 18 закона «О рекламе». Объединять его с согласием на обработку данных в одном чекбоксе нельзя: цели разные.
Как оформить согласие, если ученик — ребёнок?
За детей младше 14 лет согласие дают родители или другие законные представители (ст. 28 ГК РФ). В форме нужно поле для данных представителя и отметка, что он действует за несовершеннолетнего.
Что грозит за сбор данных без согласия?
Штраф по статье 13.11 КоАП, который налагает Роскомнадзор. С 30 мая 2025 за утечки персональных данных введены оборотные штрафы, привязанные к выручке. Точную сумму по вашему случаю стоит сверить с актуальной редакцией кодекса.
Сколько хранить подтверждение согласия?
Всё время обработки данных и разумный срок после её прекращения, чтобы подтвердить законность при проверке. Само подтверждение удобно хранить в базе вместе с датой и версией текста согласия.
