Согласие на обработку персональных данных отдельным документом: почему нельзя «вшивать» его в оферту онлайн-школы
Онлайн-школы редко умышленно нарушают закон о персональных данных — чаще документ просто скопирован у конкурента три года назад и с тех пор не менялся. Тогда согласие на обработку персональных данных было одним из пунктов публичной оферты: ученик ставил галочку «принимаю условия оферты» — и автоматически считался давшим согласие на обработку ПДн. Работало это долго, пока Роскомнадзор не начал системно проверять именно эту связку при жалобах и профилактических визитах.
С 1 сентября 2025 года лазейка закрылась официально: ст. 9 ФЗ № 152-ФЗ прямо требует оформлять согласие отдельным документом, а не частью другого. Разбираем, что это значит для школы на практике и как перестроить документы за один заход, не переписывая оферту целиком.
Почему согласие внутри оферты не работает
Закон требует, чтобы согласие субъекта персональных данных было конкретным, предметным, информированным, сознательным и однозначным (ст. 9 ФЗ № 152-ФЗ, проверено: август 2026). Каждое из этих слов — не формальность, а отдельный юридический критерий, который проверяющий или суд разбирает по отдельности.
Когда согласие «заверстано» внутрь оферты — пункт 8.3 или сноска мелким шрифтом в конце документа — ученик физически не совершает отдельного действия для его дачи. Он ставит одну галочку «согласен с условиями оферты» и тем самым автоматически принимает десяток разных условий сразу: порядок оплаты, ответственность сторон, форс-мажор и заодно обработку своих персональных данных. С точки зрения ст. 9 152-ФЗ это имитация согласия: субъект не совершил осознанного и однозначного действия именно в отношении обработки данных, он просто акцептовал договор целиком.
Практика Роскомнадзора и судов по такому подходу устойчива: согласие, совмещённое с пользовательским соглашением или договором оферты, признаётся ненадлежащим. При проверке или жалобе ученика инспектор смотрит не на то, есть ли у школы текст с нужными формулировками где-то в документах, а на то, была ли у пользователя реальная возможность осознанно согласиться именно на обработку персональных данных — отдельно от согласия на всё остальное. Если такой возможности не было, согласие юридически не считается полученным.
Здесь же кроется вторая типичная ошибка — заранее проставленная галочка. Даже если школа вынесла текст согласия в отдельный блок формы, но чекбокс уже отмечен по умолчанию, а ученику нужно самому его снять, это тоже не работает: закон требует активного действия субъекта, а не молчаливого согласия по умолчанию. Оба нарушения — согласие в оферте и предустановленная галочка — приводят к одному и тому же выводу проверяющего: обработка ведётся без правовых оснований.
Что обязано содержать согласие по ст. 9 152-ФЗ
Если в тексте не указаны цели обработки, состав обрабатываемых персональных данных или способ отзыва согласия, документ при проверке будет признан ненадлежащим, даже когда он оформлен отдельным файлом (проверено: август 2026). Форма важна, но не менее важно и содержание.
| Обязательный элемент | Что писать | Типичная ошибка школы |
|---|---|---|
| Оператор ПДн | Полное наименование, ИНН, адрес школы или ИП | Указаны только бренд и сайт без реквизитов |
| Перечень данных | ФИО, телефон, email, паспортные данные при рассрочке и т.д. | Общая фраза «и иные персональные данные» без конкретики |
| Цель обработки | Заключение и исполнение договора, отправка учебных материалов, маркетинговые рассылки — раздельно по каждой цели | Одна цель «для оказания услуг» на всё сразу, включая рекламу |
| Перечень действий | Сбор, запись, хранение, передача (в т.ч. кому конкретно — платёжный агрегатор, CRM, email-сервис), уничтожение | Действия не расписаны или третьи лица не названы |
| Срок действия | Конкретный срок или условие его окончания (например, до отзыва) | Срок не указан вовсе |
| Порядок отзыва | Способ подать заявление на отзыв, адрес или email для обращения | Формулировка «отозвать можно в любой момент» без механизма |
Отдельная строка, о которой школы часто забывают — разные цели требуют разных согласий или как минимум раздельных пунктов внутри одного документа с возможностью выбрать каждый отдельно. Если ученик оформляет подписку на курс и одновременно подписывается на рекламную рассылку, это фактически два разных согласия с разными целями обработки, и объединять их в одну неразделимую галочку тоже рискованно: пользователь должен иметь возможность согласиться на одно и отказаться от другого.
Что изменилось с 1 сентября 2025 года
До 1 сентября 2025 года школы могли формально ссылаться на то, что закон прямо не запрещал включать согласие в текст оферты — требование раздельности выводилось из общих принципов ст. 9 152-ФЗ и практики Роскомнадзора, но не было отдельной нормой. С 1 сентября 2025 года такой аргумент больше не работает: закон прямо требует, чтобы согласие было самостоятельным документом (проверено: август 2026).
дата вступления в силу требования об отдельном документе для согласия (ст. 9 ФЗ № 152-ФЗ)
Для школ, у которых оферта и согласие годами жили в одном PDF-файле, это означает конкретную задачу: переоформить механизм получения согласия в виде отдельного документа и отдельного действия пользователя на сайте — до профилактического визита или жалобы, а не после. Переходного периода на «доработать потом» закон не предусматривает: с даты вступления нормы в силу проверяющий оценивает документы школы по новым правилам независимо от того, когда они были составлены.
Как правильно развести документы школы
Схема на практике простая, хотя аккуратно внедрить её на сайте с наскока не получится. Первое — из текста оферты школы убирается любой пункт, формулирующий согласие на обработку данных как часть договора. Оферта регулирует отношения по оказанию образовательных услуг: предмет договора, оплату, права и обязанности сторон, ответственность. Персональные данные в ней могут упоминаться лишь постольку, поскольку стороны обязаны их обрабатывать при исполнении договора — подменять этим упоминанием полноценное согласие нельзя.
Второе — создаётся отдельная страница или документ «Согласие на обработку персональных данных» со всеми элементами из таблицы выше: оператор, перечень данных, цели, действия, срок, порядок отзыва. Такой документ можно оформить один раз как публичную политику обработки персональных данных, но сам факт согласия конкретного пользователя всё равно фиксируется отдельно — через его действие на форме.
Третье — на форме регистрации, оплаты или подписки размещается отдельный чекбокс со ссылкой на текст согласия, который пользователь отмечает сам, осознанно и до отправки формы. Рядом, если школа собирает данные для разных целей, — отдельные чекбоксы под каждую цель: обучение, рассылка, использование отзыва в маркетинге. Слияние всех этих согласий в одну общую галочку «согласен со всем» воспроизводит ту же ошибку, что и согласие внутри оферты, только на уровне формы, а не документа.
Чек-лист: как развести оферту и согласие правильно
- ✓ Из текста оферты убран пункт «согласие на обработку персональных данных»
- ✓ Создан отдельный документ или страница с текстом согласия по ст. 9 152-ФЗ
- ✓ В тексте согласия указаны оператор, данные, цели, действия, срок, порядок отзыва
- ✓ На форме есть отдельный чекбокс для согласия, не совмещённый с акцептом оферты
- ✓ Чекбокс не отмечен по умолчанию — пользователь ставит его сам
- ✓ Разные цели обработки (обучение, реклама) разведены по отдельным чекбоксам
- ✓ Факт согласия фиксируется технически (дата, время, версия документа)
Чекбокс и текст согласия: как оформить на сайте
На практике речь идёт о нескольких строчках интерфейса и одном сохранённом событии в базе. Рядом с чекбоксом на форме размещается формулировка вида: «Я даю согласие на обработку персональных данных отдельным документом на условиях, указанных здесь» со ссылкой на полный текст. Ссылка ведёт на отдельную страницу или всплывающее окно с полным текстом документа, а не на общую страницу оферты или раздел «документы» без прямого указания, что именно там находится согласие.
Разработчику формы стоит сделать отправку данных технически невозможной без отметки чекбокса. Тут дело не в удобстве интерфейса — это ещё и доказательная база на случай проверки: школа должна суметь подтвердить, что согласие получено от конкретного пользователя в конкретный момент. При отправке формы фиксируйте факт согласия, дату, время, IP-адрес и версию документа, на условиях которой пользователь согласился — тексты со временем меняются, и школе нужно знать, какая версия действовала для каждого конкретного ученика.
Отдельно стоит сказать про оплату курса в рассрочку или через сторонний сервис: если данные передаются платёжному агрегатору, банку-партнёру или бухгалтерской системе, эти получатели данных должны быть прямо названы в тексте согласия как третьи лица, которым осуществляется передача, — общая фраза «третьим лицам при необходимости» не отвечает требованию конкретности ст. 9 152-ФЗ.
Штрафы за ненадлежащее согласие
Для Роскомнадзора и суда нет разницы между школой, которая вообще не запрашивала согласие, и школой, у которой согласие было, но признано ненадлежащим по форме или содержанию — юридические последствия одинаковы. Формально в обоих случаях фиксируется обработка персональных данных без надлежащего правового основания.
штраф для юрлица по ч. 1 ст. 13.11 КоАП РФ за обработку ПДн без надлежащего согласия (первичное нарушение, проверено: август 2026)
При повторном нарушении в течение года штраф для юрлица возрастает до 300 000-500 000 рублей по той же статье (ст. 13.11 КоАП РФ, проверено: август 2026). Кроме штрафа, Роскомнадзор вправе вынести предписание об устранении нарушения с конкретным сроком — и если школа за этот срок не переоформит документы, наступает повторное привлечение к ответственности по более высокой ставке. Отдельный риск для онлайн-школ — гражданские иски от учеников, которые требуют компенсации морального вреда за незаконную обработку их данных: сумма по таким искам обычно небольшая, но сам факт судебного разбирательства бьёт по репутации школы сильнее штрафа.
Штрафу предшествует, как правило, не выездная проверка, а профилактический визит или разбор жалобы конкретного ученика — именно на этом этапе инспектор впервые смотрит, где физически на сайте живёт согласие и совпадает ли оно текстуально с офертой. Школе выгоднее найти и исправить эту ошибку самой, чем ждать, пока её найдёт проверяющий.
Типичные ошибки онлайн-школ
Первая ошибка — согласие спрятано в пользовательском соглашении сайта, а не в оферте на образовательные услуги. Логика та же: если согласие не оформлено как самостоятельный документ и не требует отдельного осознанного действия, оно ненадлежащее вне зависимости от того, в каком именно другом документе оно растворено.
Вторая ошибка — школа один раз собрала общее согласие «на обработку в маркетинговых и иных целях» и больше к этому вопросу не возвращается, даже когда добавляет новые каналы сбора данных: чат-бота, квиз на сайте, форму подписки в Telegram. Каждый новый канал сбора данных теоретически требует либо охвата уже существующим согласием (если формулировка цели и состава данных это действительно покрывает), либо отдельного согласия под новый источник.
Третья ошибка — школа переписала текст согласия, но не сохранила связку «какой ученик согласился на какую версию текста». Если текст согласия меняется — а он должен меняться, когда меняются каналы обработки или подрядчики, — школе нужно либо хранить архив версий с привязкой к дате согласия каждого пользователя, либо переоформлять согласие заново при существенном изменении условий обработки.
Разбор смежной темы — какие данные вправе собирать школа и на каком основании в целом, независимо от формы согласия — в статье о требованиях 152-ФЗ для онлайн-школы. Готовый шаблон текста согласия с нужными формулировками из таблицы выше — в статье образец согласия на обработку персональных данных 2026.
Не хотите разбираться в 152-ФЗ сами?
Проверим документы и подготовим к проверке Роскомнадзора.
Другие разборы по защите персональных данных онлайн-школы — в рубрике персональные данные.
Статья подготовлена на основе законодательства РФ на август 2026 года. Для консультации по вашему случаю обратитесь к специалисту.
Частые вопросы
Можно ли оставить согласие на обработку персональных данных пунктом внутри публичной оферты школы?
Нет. С 1 сентября 2025 года ст. 9 ФЗ № 152-ФЗ прямо требует оформлять согласие отдельным документом, а не частью оферты или другого договора (проверено: август 2026). Если согласие остаётся пунктом оферты, при проверке оно будет признано ненадлежащим, а обработка данных — не имеющей законного основания.
Что грозит школе, если согласие признают ненадлежащим?
Обработка персональных данных без надлежащего согласия квалифицируется по ст. 13.11 КоАП РФ: штраф для юридического лица от 150 000 до 300 000 рублей за первичное нарушение и от 300 000 до 500 000 рублей при повторном (проверено: август 2026). Дополнительно Роскомнадзор вправе выдать предписание об устранении нарушения.
Какие сведения обязательно должны быть в тексте согласия по ст. 9 152-ФЗ?
Оператор персональных данных (наименование, ИНН, адрес), перечень обрабатываемых данных, цель обработки по каждому направлению отдельно, перечень действий с данными (включая передачу третьим лицам), срок действия согласия и порядок его отзыва. Отсутствие любого пункта — основание признать согласие ненадлежащим.
Достаточно ли одного чекбокса на форме сайта для получения согласия?
Да, если чекбокс не отмечен по умолчанию, ссылается на полный текст согласия на отдельной странице и пользователь ставит его сам, осознанно. Если школа собирает данные для разных целей — например, обучение и рекламная рассылка, — для каждой цели нужен отдельный чекбокс.
Нужно ли отдельное согласие для передачи данных платёжному агрегатору или CRM-системе?
Такие получатели должны быть прямо названы в тексте согласия как третьи лица, которым осуществляется передача данных. Общая формулировка «третьим лицам при необходимости» не отвечает требованию конкретности ст. 9 ФЗ № 152-ФЗ и может быть признана ненадлежащей при проверке.
Что делать, если оферта и согласие школы много лет были одним документом?
Разделить их: убрать из оферты пункт о согласии на обработку данных, оформить согласие отдельной страницей или файлом со всеми обязательными сведениями по ст. 9 152-ФЗ, добавить на форму отдельный чекбокс со ссылкой на новый документ и наладить фиксацию факта согласия каждого пользователя (дата, время, версия документа).
