Реестр операторов персональных данных: должна ли онлайн-школа туда попасть и как себя проверить

«У нас нет медицинских данных, не собираем паспорта, только имя и телефон для записи на пробное занятие — зачем нам вообще какой-то реестр Роскомнадзора?» Этот вопрос слышим на консультациях регулярно. Ответ обычно разочаровывает: реестр нужен почти всегда, и дело не в чувствительности данных, а в самом факте их сбора.

Путаница чаще всего возникает из-за устаревшей информации в интернете: до 2022 года закон действительно освобождал часть организаций от уведомления, и старые статьи и форумные обсуждения до сих пор всплывают в поиске. Ориентироваться на них нельзя — редакция закона с тех пор изменилась, и вместе с ней изменился круг обязанных лиц.

Разбираем, что такое реестр операторов, в каких случаях школа обязана туда попасть, какое единственное освобождение реально работает, и как самостоятельно проверить, числится ли организация в реестре.

Что такое реестр операторов и зачем он нужен

Реестр — не разрешительный документ и не лицензия. Роскомнадзор не выдает согласие на обработку данных, он лишь фиксирует факт: организация сообщила о себе как об операторе. Уведомление подается один раз, до начала обработки, и остается действующим, пока организация не подаст уведомление о прекращении деятельности.

Сведения в реестре включают наименование и адрес оператора, цель обработки, ФИО и контакты ответственного за обработку ПДн, дату начала обработки. Часть этих сведений видна любому желающему на портале Роскомнадзора — это оборотная сторона прозрачности: контакты ответственного лица школы становятся общедоступными.

Важно понимать разницу между реестром операторов и реестром лицензий на образовательную деятельность — это два разных списка, которые ведут разные ведомства по разным основаниям. Наличие лицензии не освобождает от обязанности уведомить о персональных данных, и наоборот: подача уведомления в реестр операторов не имеет отношения к лицензированию образовательной деятельности. Школа без лицензии, ведущая курсы как «информационно-консультационные услуги», все равно обязана попасть именно в реестр операторов ПДн, если собирает контакты клиентов.

Должна ли онлайн-школа попадать в реестр

До 1 сентября 2022 года часть 2 статьи 22 152-ФЗ содержала перечень освобождений от уведомления: обработка данных работников, обработка данных в рамках договора с самим субъектом, обработка общедоступных данных. Школы, знающие эту норму по старой памяти, до сих пор иногда считают: «мы обрабатываем только данные учеников по договору об образовании, значит уведомлять не обязаны». Это устаревшая позиция — закон 266-ФЗ отменил большинство этих освобождений, они прямо указаны в законе как утратившие силу.

С 2022 года работает другое правило: обязанность уведомить возникает у любого оператора, кроме тех, кто подпадает под узкий перечень исключений из действующей редакции части 2 статьи 22. Для образовательного проекта единственное практически применимое исключение — обработка исключительно без средств автоматизации, о нем ниже.

Категории субъектов, чьи данные обрабатывает типичная онлайн-школа, шире, чем кажется на первый взгляд: сами ученики, их родители или законные представители (если ученик несовершеннолетний), потенциальные клиенты, оставившие заявку, но не купившие курс, штатные и внештатные преподаватели, подрядчики по договорам оказания услуг. Для каждой категории субъектов и каждой цели обработки в уведомлении указывается отдельный набор сведений — смешивать их в одну строку нельзя.

Отдельный момент — для каждой цели обработки нужно отдельное описание в уведомлении. Часть 3.1 статьи 22 152-ФЗ требует указывать категории данных, категории субъектов, правовое основание и способы обработки для каждой цели по отдельности. Школа не может написать одну общую цель «оказание образовательных услуг» — минимум приходится разделять на заключение и исполнение договора, маркетинг и рассылки, кадровый учет, бухгалтерию. Подробный разбор общих требований 152-ФЗ к онлайн-школе — в статье 152-ФЗ о персональных данных в 2026.

Единственное реальное освобождение от уведомления

Формально освобождение существует и работает, например, для локального офлайн-кружка, который ведет учет учеников только в бумажном журнале и не имеет сайта с формой сбора контактов. Но у большинства онлайн-школ есть минимум сайт с формой заявки, чаще всего CRM, платежный сервис и рассылка — каждый из этих элементов означает автоматизированную обработку и снимает освобождение.

Другие исключения из части 2 статьи 22 — для государственных информационных систем безопасности и транспортной безопасности — к образовательным проектам отношения не имеют.

Как подать уведомление и что происходит после

Форма уведомления утверждена приказом Роскомнадзора № 180 и включает наименование и адрес оператора, цель обработки по каждому направлению отдельно, описание мер защиты, ФИО и контакты ответственного лица, дату начала обработки, сведения о трансграничной передаче данных, если она есть, и место нахождения базы данных с ПДн граждан РФ.

Частая ошибка при заполнении — указание самого закона № 152-ФЗ в качестве правового основания обработки. Роскомнадзор прямо разъясняет: закон о персональных данных сам по себе не является правовым основанием обработки, таким основанием служит согласие субъекта, договор или иная конкретная норма. Уведомление с такой ошибкой возвращают на доработку, что затягивает срок внесения в реестр.

Отдельно в уведомлении указывается ответственный за организацию обработки персональных данных — это может быть руководитель школы, отдельный сотрудник или привлеченный специалист, но не абстрактная должность «менеджер». Именно контакты этого человека становятся общедоступными в реестре, поэтому на практике многие школы назначают ответственным не собственника, а отдельного сотрудника с рабочим email, чтобы личные данные руководителя не оказались в открытом доступе.

После включения в реестр у школы возникает обязанность следить за актуальностью сведений. Об изменении данных — смена ответственного, домена, добавление новой цели обработки — нужно уведомить не позднее 15-го числа месяца, следующего за месяцем изменения. О прекращении обработки, например при закрытии ИП, — в течение 10 рабочих дней. Пошаговая инструкция по заполнению формы — в статье об уведомлении Роскомнадзора об обработке персональных данных.

Как проверить, стоит ли школа в реестре

Это стоит сделать не только новым школам перед запуском продаж, но и действующим — особенно если уведомление подавал предыдущий подрядчик, бывший сотрудник или маркетинговое агентство «заодно с сайтом», и точной уверенности, дошло ли оно до Роскомнадзора и было ли принято, нет.

Отдельная ситуация — школа сменила организационно-правовую форму (например, ИП стал ООО) или провела реорганизацию. Формально это новый субъект персональных данных, и старое уведомление на него не распространяется — требуется новое уведомление от имени нового юридического лица. Подробный алгоритм самопроверки, включая проверку по ИНН и типичные ошибки в данных реестра, разобран в статье как проверить уведомление Роскомнадзора по ИНН.

Если при проверке выяснилось, что данные в реестре устарели — например, школа сменила домен сайта или адрес электронной почты ответственного, а уведомление об изменении сведений так и не подавалось — это отдельное самостоятельное нарушение, даже при том что сам факт включения в реестр формально подтвержден. Расхождение между реальным положением дел и данными реестра проверяющие фиксируют так же охотно, как полное отсутствие уведомления.

Что грозит за отсутствие в реестре

На практике отсутствие в реестре редко становится единственной находкой проверки. Роскомнадзор, получив жалобу или начиная профилактический визит, в первую очередь сверяет: подано ли уведомление, соответствуют ли реальные цели обработки заявленным, актуальны ли контакты ответственного лица. Если уведомления нет вообще, это автоматически означает, что и остальные требования 152-ФЗ — согласия, политика конфиденциальности, меры защиты — скорее всего, тоже не выполнены, и проверка расширяется.

На практике типичный сценарий выглядит так: школа год работает без уведомления, растет, привлекает трафик через таргетированную рекламу и собирает базу в несколько тысяч контактов. Жалобу подает один разочарованный клиент, недовольный тем, что его данные передали партнеру без явного согласия. Проверка начинается с формального вопроса «покажите номер записи в реестре» — и если ответить нечем, к штрафу за сам факт отсутствия добавляется отдельное разбирательство по существу жалобы, уже с более пристальным вниманием к остальным документам компании.

Отдельный неприятный момент — штраф по части 10 статьи 13.11 КоАП не освобождает от обязанности подать уведомление задним числом. После выявления нарушения все равно придется пройти всю процедуру, только уже под контролем проверяющего органа и с уже наложенным штрафом. Дешевле и спокойнее закрыть этот вопрос до того, как школа привлечет внимание — самостоятельно, через юриста или в рамках комплексного аудита. Полную таблицу штрафов по 152-ФЗ, включая смежные составы, можно посмотреть в материале о штрафах за нарушение 152-ФЗ, а общий обзор рубрики — на хабе о персональных данных. Проще и дешевле пройти этот путь один раз добровольно, чем повторять его под давлением предписания.

Не уверены, стоит ли школа в реестре Роскомнадзора?

Проверим статус, подготовим и подадим уведомление, поможем привести обработку персональных данных в соответствие с 152-ФЗ.

Оставить заявку ->

Статья подготовлена на основе законодательства РФ на сентябрь 2026 года. Для консультации по вашему случаю обратитесь к специалисту.