Обучение сотрудников онлайн-школы работе с персональными данными: обязанность по ст. 18.1 152-ФЗ и как её оформить
Если в вашей онлайн-школе есть хотя бы один сотрудник, который открывает CRM с данными учеников, ведёт переписку с родителями или заносит оценки в таблицу — закон уже требует его обучить. Это не формальность для галочки, а одно из шести требований ст. 18.1 152-ФЗ, которые Роскомнадзор проверяет в первую очередь.
В статье разбираем, кого именно касается обязанность, что должно быть в программе обучения, как оформить это документально за один день и что грозит, если документов не окажется на момент проверки. Это один из шагов общей работы школы с персональными данными, наравне с согласиями, политикой и порядком уничтожения данных.
Что именно требует закон: обучение или ознакомление
На практике для онлайн-школы разумный минимум — ознакомление с политикой и локальными актами под подпись плюс короткий инструктаж 20-30 минут о том, что можно и нельзя делать с данными учеников. Полноценное обучение с тестом стоит проводить для тех, кто работает с данными чаще всего: менеджеров отдела продаж, кураторов потоков, преподавателей, которые ведут личные дела учеников.
Отдельно стоит п. 2 ч. 1 ст. 18.1: оператор обязан издать политику обработки персональных данных и локальные акты, которые определяют категории данных, цели, сроки хранения и порядок уничтожения для каждой цели обработки. Обучение без этих документов невозможно по смыслу нормы — сначала нужна политика, потом ознакомление с ней сотрудников.
| Вариант | Что входит | Кому подходит |
|---|---|---|
| Ознакомление | Подпись под политикой и локальными актами, короткий инструктаж | Бухгалтер, администратор, разовые подрядчики |
| Полноценное обучение | Программа, лекция или видео, тест на усвоение, протокол результатов | Менеджеры продаж, кураторы, преподаватели, работающие с личными делами |
Кого в школе касается обязанность
В типичной онлайн-школе под обязанность попадают: преподаватели и кураторы, которые ведут личные дела и журналы успеваемости учеников; менеджеры отдела продаж, вносящие заявки и контакты в CRM; администраторы поддержки, отвечающие на обращения в чатах и по почте; бухгалтер, который видит паспортные данные и реквизиты для договоров; HR-специалист, обрабатывающий данные сотрудников и подрядчиков.
Отдельный случай — подрядчики на ГПХ и самозанятые эксперты, которые временно получают доступ к базе учеников для вебинара или рассылки. Формально 152-ФЗ адресует обязанность оператору в отношении его работников, но при проверке логичнее распространить то же ознакомление и на внешних специалистов с доступом к данным — иначе образуется разрыв в цепочке ответственности, который сложно объяснить инспектору.
Не считаются обрабатывающими данные те, кто формально состоит в штате, но к персональным данным доступа не имеет: курьер, дизайнер без доступа к CRM, контент-менеджер, который работает только с публичными материалами курса. Их в программу обучения включать не обязательно, хотя подписать общее ознакомление с политикой конфиденциальности компании для них не повредит.
Что включить в программу обучения
Первый блок — не пересказ всего закона, а пять-семь практических правил: что такое персональные данные (паспорт, телефон, email, оценки, платежи — список шире, чем кажется на первый взгляд), зачем нужно согласие, почему нельзя пересылать базу учеников на личную почту или в личный чат, что делать с данными после отчисления ученика.
Второй блок строится на собственных документах школы — политике обработки персональных данных и локальных актах. Сотрудник должен понимать, какие именно данные и с какой целью собирает именно эта школа, а не абстрактный «оператор» из текста закона.
Третий блок — алгоритм действий при инциденте. По ч. 3.1 ст. 21 152-ФЗ оператор обязан уведомить Роскомнадзор об утечке в течение 24 часов с момента выявления, а не с момента расследования (проверено: сентябрь 2026). Это значит, что рядовой сотрудник, который первым заметил проблему — например, случайно отправленную не тому ученику таблицу с контактами всей группы — обязан немедленно сообщить ответственному за обработку данных, а не разбираться самостоятельно и тянуть время.
Четвёртый блок особенно важен для онлайн-школ: большинство реальных рисков связано не с хакерскими атаками, а с обычной рутиной в CRM, Telegram-ботах и email-рассылках. Сотрудник должен знать, что нельзя создавать неофициальные экспортные таблицы с базой учеников «для удобства», пересылать контакты в личные чаты и использовать личные облачные хранилища для рабочих файлов с данными.
Чек-лист: что должно быть в программе обучения
- ✓ Базовые понятия 152-ФЗ и что относится к персональным данным в вашей школе
- ✓ Содержание политики и локальных актов именно вашей организации
- ✓ Алгоритм действий при подозрении на утечку, со сроком уведомления ответственного
- ✓ Правила работы с CRM, мессенджерами, таблицами и рассылками
- ✓ Что нельзя делать: личные копии базы, пересылка данных в сторонние сервисы без согласования
Как оформить обучение: приказ, программа, журнал
Обязанность по обучению тесно связана с назначением ответственного за обработку персональных данных: именно этот человек обычно и проводит инструктаж или собирает подписи в журнале (см. образец приказа о назначении ответственного за обработку персональных данных). Приказ издаёт руководитель организации. В нём фиксируются: кто проводит обучение (сам руководитель, ответственный за обработку персональных данных или приглашённый специалист), какие категории сотрудников обязаны пройти обучение, срок проведения и срок, в который новые сотрудники должны пройти его после трудоустройства.
Программа обучения — отдельный документ, даже если он занимает одну-две страницы. В нём перечисляются темы (см. чек-лист выше), формат (очно, видео, тест) и продолжительность. Программу утверждает тот же приказ или отдельный документ, на который приказ ссылается.
Журнал или протокол — самый важный документ для проверки, потому что именно он подтверждает факт обучения конкретного человека в конкретную дату. Формат свободный: таблица с колонками ФИО, должность, дата, подпись, либо протокол тестирования с результатами. Если обучение проходит онлайн через форму с тестом, подойдёт выгрузка результатов с фиксацией времени прохождения и ФИО — её нужно распечатать или сохранить в архиве документов школы.
По ч. 4 ст. 18.1 152-ФЗ оператор обязан представить документы и локальные акты либо иным образом подтвердить принятие мер по запросу Роскомнадзора (проверено: сентябрь 2026). Комплект из трёх документов должен физически существовать к моменту проверки — подготовить его задним числом после получения запроса от РКН не получится без риска, что инспектор заметит несоответствие дат.
Как часто повторять обучение
Для новых сотрудников логично закрепить срок прохождения обучения в самом приказе — например, в течение первых трёх рабочих дней после выхода на работу. Это особенно важно для сезонного набора менеджеров продаж, который у многих онлайн-школ происходит несколько раз в год перед запуском новых потоков.
Ежегодное повторение для всей команды нужно не столько по букве закона, сколько потому, что политика обработки данных и локальные акты школы со временем меняются: добавляются новые сервисы (например, ИИ-боты для проверки домашних заданий), меняются каналы коммуникации с учениками, появляются новые виды данных (биометрия при прокторинге экзаменов). Каждое такое изменение — повод обновить программу и провести внеплановое ознакомление.
Что грозит, если сотрудники не обучены
Штраф по ч. 1 ст. 13.11 КоАП для граждан составляет 10-15 тыс. руб., для должностных лиц 50-100 тыс. руб., для юридических лиц 150-300 тыс. руб. (проверено: сентябрь 2026). Повторное нарушение по ч. 1.1 карается жёстче: для юрлиц уже 300-500 тыс. руб., при этом индивидуальный предприниматель отвечает как юридическое лицо.
штраф для юрлица по ч. 1 ст. 13.11 КоАП за первое нарушение правил обработки персональных данных
На практике отсутствие обучения редко становится самостоятельным основанием для штрафа — инспектор фиксирует более очевидные вещи: отсутствие опубликованной политики (ч. 3 ст. 13.11 КоАП, 30-60 тыс. руб. для юрлица), нарушение правил согласия (ч. 2 ст. 13.11 КоАП) или неисполнение требования об уничтожении данных в срок. Но именно отсутствие документов об обучении Роскомнадзор использует как дополнительное доказательство того, что внутренние процессы в компании не выстроены — это утяжеляет позицию школы при рассмотрении дела и снижает шансы отделаться предупреждением вместо штрафа. Подробнее о том, как проходит сама проверка и что смотрит инспектор, — в статье «Проверка Роскомнадзора онлайн-школы».
Отдельный и более серьёзный риск — личная уголовная ответственность конкретного сотрудника по ст. 272.1 УК РФ за незаконные использование, передачу, сбор или хранение персональных данных, если доступ был получен неправомерным путём (проверено: сентябрь 2026). Обученный сотрудник, который знает границы допустимого, значительно реже создаёт такие ситуации случайно — и именно это, а не формальная галочка в чек-листе Роскомнадзора, настоящая цель обучения.
Чек-лист готовности к проверке
Соберите документы в одну папку — бумажную или электронную с резервной копией — и проверьте по следующему списку. Полезно свериться и с общим чек-листом самопроверки сайта онлайн-школы на 152-ФЗ: обучение персонала — лишь один из пунктов общей готовности к визиту Роскомнадзора.
Чек-лист: документы к проверке по обучению персонала
- ✓ Политика обработки персональных данных опубликована на сайте
- ✓ Приказ о проведении обучения подписан руководителем
- ✓ Программа обучения утверждена и соответствует реальным процессам школы
- ✓ Журнал или протокол содержит подписи всех сотрудников с доступом к данным
- ✓ Новые сотрудники проходят обучение в срок, указанный в приказе
- ✓ Список сотрудников с доступом к данным актуален и совпадает с реальным штатом
Не хотите разбираться в 152-ФЗ сами?
Проверим документы и подготовим к проверке Роскомнадзора.
Статья подготовлена на основе законодательства РФ на сентябрь 2026 года. Для консультации по вашему случаю обратитесь к специалисту.
Частые вопросы
Нужно ли обучать персональным данным ИП без сотрудников?
Нет, обязанность по п. 6 ч. 1 ст. 18.1 152-ФЗ касается работников, которые обрабатывают данные. Если ИП работает один и не нанимает сотрудников с доступом к данным учеников, обучать некого — но политику обработки данных опубликовать всё равно нужно по ч. 2 ст. 18.1.
Можно ли провести обучение онлайн, без очной встречи?
Да, закон не требует очного формата. Подойдёт видео с последующим тестом, рассылка материалов с подтверждением прочтения или форма с вопросами — главное, чтобы остался документ, подтверждающий факт прохождения каждым сотрудником.
Что делать, если сотрудник отказывается проходить обучение?
Зафиксируйте отказ актом и ограничьте доступ такого сотрудника к персональным данным до прохождения обучения — продолжать допускать его к CRM и личным делам учеников после документально оформленного отказа означает принимать на себя риск штрафа по ст. 13.11 КоАП.
Нужно ли обучать самозанятых подрядчиков, которые работают с базой учеников?
Формально 152-ФЗ адресует обязанность оператору в отношении его работников, но если подрядчик получает доступ к персональным данным учеников, логичнее включить его в тот же процесс ознакомления и прописать обязанности по защите данных в договоре с ним.
Как часто нужно обновлять программу обучения?
Жёсткой периодичности в законе нет. Обновляйте программу при изменении политики обработки данных, подключении новых сервисов (CRM, нейросетей для проверки домашних заданий) или появлении новых видов данных, например биометрии при прокторинге.
