Персональные данные для репетиторов
Персональные данные ученика: что репетитору действительно нужно знать и сделать
Содержание
Знакомая ситуация
Вечером вам пишет мама: «Здравствуйте! Сыну 12 лет, нужен английский дважды в неделю. Сколько стоит урок?» Через десять минут в переписке уже есть имя ребенка, номер телефона родителя, расписание и ссылка на видеовстречу. Через месяц - домашние задания, отметки о прогрессе и история оплат. Ничего необычного: так и устроена работа частного репетитора. Но именно с этих повседневных действий начинается обработка персональных данных.
И самое главное - даже если вы действуете как обычное физлицо или самозанятый, это не освобождает вас от соблюдения законодательства о персональных данных. Налоговый режим и правила обработки персональных данных существуют независимо друг от друга.
Часть 1. Немного теории
1.1 Какие сведения считаются персональными
Персональные данные - информация, относящаяся прямо или косвенно к определенному человеку, по которой этого человека можно идентифицировать. И это не только паспорт или домашний адрес.
Имя вместе с номером телефона, адрес электронной почты, аккаунт в мессенджере, расписание занятий, переписка, результаты проверочных работ, номер банковской карты, фотография или запись урока могут позволять определить конкретного ученика или родителя.
Отдельный номер телефона без контекста не всегда позволяет вам понять, чей он. Но запись «мама Саши, математика, вторник 18:00» уже связана с конкретной семьей.
1.2. Цель обработки персональных данных
Персональные данные нельзя собирать все подряд и «на всякий случай». Сначала нужно определить, зачем они нужны, и собирать только то, что необходимо для этой цели.
Например, для записи на пробный урок обычно достаточно имени, возраста или класса, контакта и удобного времени. Для регулярных занятий могут понадобиться расписание, домашние задания, результаты обучения и сведения об оплате. Паспорт ребенка или место работы родителей для этой цели точно не нужны.
Избыточные данные собирать не следует. Например, сведения о диагнозе ребенка могут относиться к специальной категории персональных данных. Если для занятий достаточно знать, что ребенку нужны короткие задания или дополнительные перерывы, лучше зафиксировать именно это, а не хранить диагноз или медицинскую справку.
Практическое правило: если вы не можете объяснить, зачем конкретные сведения нужны для занятий, скорее всего, собирать их не нужно.
1.3 Что такое обработка и кто является оператором персональных данных
Обработка персональных данных - это практически любое действие с ними: получить, записать, сохранить, изменить, использовать, передать другому лицу или сервису, опубликовать, удалить.
Поэтому репетитор обрабатывает персональные данные, когда, например:
- записывает контакты ученика или родителя и переписывается с ними в мессенджере;
- ведет расписание, оплаты и результаты в Excel, таблице или облаке;
- хранит домашние задания, оценки и комментарии о прогрессе;
- заносит данные ученика в электронный журнал, CRM, онлайн-доску или сервис домашних заданий;
- записывает и хранит видеозапись урока;
- передает или публикует данные ученика, а после окончания нужного срока удаляет их.
Оператором может быть не только школа или крупная платформа, но и физическое лицо. Если репетитор сам решает, какие данные учеников ему нужны, зачем и как их использовать, он является оператором персональных данных. Это относится и к самозанятым, и к ИП.
Если репетитор передает данные стороннему сервису, например электронному журналу или сервису домашних заданий, сам репетитор обычно остается оператором, а сервис может обрабатывать эти данные по его поручению.
1.4 Основные понятия
Ниже несколько вещей, которые будут встречаться дальше в статье.
Договор с учеником или родителемВ нем написано, кто с кем занимается, сколько стоят уроки и какие данные нужны для проведения занятий. Для данных, которые действительно необходимы для заключения и исполнения договора, сам договор может быть законным основанием обработки. Отдельное согласие на такую обычную обработку не требуется.
Политика обработки персональных данныхОтдельный документ, где описано, какие данные учеников вы храните, зачем, где храните, кому можете передавать и когда удаляете.
Согласие на обработку персональных данныхНужно не всегда. Если данные необходимы для проведения занятий по договору, отдельное согласие обычно не требуется. Для других целей, например рекламных рассылок, использования фотографий или публикации узнаваемых отзывов, необходимо отдельно определить правовое основание. Если требуется согласие, его оформляют отдельно от договора.
Сторонний сервис и поручение обработки персональных данныхЭлектронный журнал, CRM, онлайн-доска или сервис домашних заданий может обрабатывать загруженные вами данные ученика по вашему поручению. Вы при этом остаетесь оператором. Для такого поручения требуется согласие, а условия сервиса должны содержать необходимые правила обработки и защиты данных.
Уведомление Роскомнадзора (РКН)Это сообщение государству о том, что вы работаете с персональными данными. Если вы храните данные учеников в телефоне, компьютере, электронных таблицах или других цифровых сервисах, оно обычно требуется.
Карта обработки данныхПростой список для себя: какие данные вы собираете, зачем, где храните, кому передаете и когда удаляете.
Локализация персональных данныхПри сборе данных граждан России их первичная запись, систематизация, накопление, хранение, уточнение и извлечение должны осуществляться с использованием баз данных в России, кроме прямо предусмотренных законом исключений.
Трансграничная передача персональных данныхЭто передача персональных данных за пределы России иностранному получателю. Для нее действует отдельная процедура уведомления Роскомнадзора. Согласие ученика или родителя само по себе эту процедуру не заменяет.
1.5 Кто подписывает
Возраст ученика влияет отдельно на договор и отдельно на согласия на обработку персональных данных.
| Ситуация | Что оформить | Нужно ли согласие на персональные данные? |
|---|---|---|
| Ученику меньше 14 лет | Как правило, договор заключает родитель или другой законный представитель от имени ребёнка либо родитель выступает заказчиком занятий для ребёнка. | Для данных, необходимых для занятий по договору, - обычно НЕТ. Для дополнительных целей (например, публикация фото, отзывов, рекламные сообщения) - ДА, когда требуется по закону; оформляется отдельно с участием законного представителя. |
| Ученику 14–17 лет, договор заключает родитель | Договор с родителем как заказчиком; ученик указан получателем занятий; определить, кто ведёт учебную переписку. | Для организации занятий по договору с родителем - обычно НЕТ. Для размещения фото, имени и результатов ребёнка в соцсетях, рекламы и других дополнительных целей - отдельное согласие, когда оно требуется. |
| Ученику 14–17 лет, сам договаривается и платит | Проверить, может ли он заключить именно этот договор самостоятельно. Если нет - получить письменное согласие законного представителя на сделку (образец ниже). | Для данных, необходимых для заключения и исполнения законно заключённого договора, - обычно НЕТ. Для дополнительных целей (фото, отзывы, реклама) - отдельное согласие в необходимой форме; кто вправе его дать, проверяют с учётом возраста и конкретной цели. |
| Родитель оплачивает, ребёнок общается с репетитором | Договор с родителем; контакты и взаимодействие с ребёнком описать в договоре и политике. | Для переписки по урокам и расписания в рамках договора - обычно НЕТ. Для публикации переписки, отзывов, фото и рекламных рассылок - ДА, если необходимо согласие для соответствующей цели. |
| Планируется публикация фото, имени, результата, узнаваемого отзыва | До публикации отдельно оформить разрешения на использование изображения и согласие по правилам ст. 10.1 Закона № 152-ФЗ, если обрабатываются данные для распространения. | Для публичного размещения узнаваемых данных - как правило, ДА: отдельное согласие на распространение по ст. 10.1 Закона № 152-ФЗ; для фото также проверить разрешение на использование изображения. Участие родителя зависит от возраста и правового основания. |
Для большинства репетиторов проще использовать одну схему до совершеннолетия: родитель - заказчик по договору, ребенок - ученик и получатель услуг. Тогда не нужно каждый раз разбираться, может ли подросток 14-17 лет самостоятельно заключить именно этот договор.
ШАГ №0 – Карта обработки данных
Сначала составьте карту обработки данных: что собираете, зачем, где храните, кому передаете и когда удаляете. По ней будет понятно, какие документы и согласия вам нужны.
| Чьи данные | Какие данные | Зачем нужны | Где хранятся | Кому передаются | Когда удалить |
|---|---|---|---|---|---|
| Ученик | Имя, телефон, переписка | Связь, расписание | Телефон; MAX | MAX | После окончания занятий, если больше не нужны |
| Задания, результаты | Уроки, проверка работ | Онлайн-доска / учебный сервис | Владельцу сервиса, если он обрабатывает данные по поручению | После окончания работы с материалами | |
| Даты занятий, оплаты | Учет занятий и оплат | Excel на компьютере, без облака | Никому | По окончании нужного срока хранения | |
| Изображение, голос, запись урока | Повторный просмотр урока | Компьютер / сервис записи | Ученику; сервису хранения, если используется, родителям | В заранее установленный срок | |
| Родитель | Имя, телефон, переписка | Связь, согласование занятий | Телефон; MAX | MAX | После окончания занятий, если больше не нужны |
| Имя, сведения об оплате | Расчеты и подтверждение оплаты | Excel на компьютере, без облака | Никому | По окончании нужного срока хранения |
ШАГ №1 - Договор и основание обработки
Если данные действительно необходимы для заключения и исполнения договора - например, имя и контакты ученика и родителя, расписание, домашние задания, результаты обучения и сведения об оплате - сам договор может быть законным основанием их обработки. Отдельное согласие именно на эту обычную обработку не требуется.
Использование стороннего сервиса не отменяет договор как основание основной обработки. Но если вы дополнительно поручаете сервису обработку данных ученика, для такого поручения появляется отдельное требование к согласию и к условиям самого сервиса.
В договор разумно включить информационный пункт:
«Для заключения и исполнения настоящего Договора Исполнитель обрабатывает персональные данные Заказчика и Ученика, необходимые для организации и проведения занятий, взаимодействия сторон и осуществления расчетов, включая имя, контактные данные, сведения о расписании занятий, выполненных заданиях, результатах обучения и оплате. Обработка осуществляется в соответствии с Политикой обработки персональных данных Исполнителя, размещенной по адресу: <ссылка на политику>».
ВАЖНО! Это не согласие. Это информирование о том, какие данные обрабатываются для исполнения договора.
С 1 сентября 2025 года согласие на обработку персональных данных, когда оно действительно требуется, оформляется отдельно от договора и других подписываемых документов. Поэтому не вставляйте в договор универсальную фразу «Даю согласие на обработку персональных данных».
ШАГ №2 - Определите, нужно ли отдельное согласие
Если репетитор обрабатывает только данные, необходимые для проведения занятий по договору, отдельное согласие обычно не требуется.
Отдельное согласие может понадобиться, если вы:
- поручаете обработку данных стороннему сервису;
- используете данные для рекламы или рекламных рассылок;
- публикуете идентифицируемый отзыв, фотографию, видео или результат ученика;
- обрабатываете сведения о здоровье или другие специальные категории персональных данных - для них действуют отдельные, более строгие правила;
- передаете данные другим людям или организациям, если такая передача не нужна для исполнения договора и для нее нет другого законного основания.
Если согласие требуется, его оформляют отдельно от договора. В нем должны быть указаны цель, данные и действия с ними. Для публикации персональных данных в открытом доступе нужно отдельное согласие на распространение, которое должно охватывать соответствующие данные и условия публикации.
Если вы используете сторонний сервис
Например, вы заносите имя ученика, оценки и домашние задания в электронный журнал или сервис проверки ДЗ. Если сервис обрабатывает эти данные для ваших целей по вашему поручению, вы остаетесь оператором.
В этом случае:
- получите отдельное согласие на поручение обработки этому сервису;
- проверьте, что условия сервиса содержат поручение обработки персональных данных по ст. 6 Закона № 152-ФЗ;
- отразите использование сервиса в своей политике обработки персональных данных.
ШАГ №3 - Политика обработки персональных данных
После того как вы определили, какие данные собираете, зачем и какими сервисами пользуетесь, составьте политику обработки персональных данных. Можно воспользоваться готовым шаблоном и адаптировать его под свою работу.
Политика обработки персональных данных должна быть доступна ученикам и родителям. Если у вас нет собственного сайта, создавать его только ради публикации политики не требуется. Доступ к документу можно организовать другим способом.
Если вы собираете данные через сайт, форму записи или онлайн-сервис, необходимо проверить, как разместить политику и обеспечить доступ к ней непосредственно в используемой сети или на странице сбора данных.
ШАГ №4 - Уведомление Роскомнадзора, локализация и иностранные сервисы
Когда репетитору не надо уведомлять РКН? Для обычной работы практически важное исключение - обработка исключительно без средств автоматизации. Если вы храните контакты в телефоне, ведете Excel на компьютере или используете другие цифровые инструменты, ориентируйтесь на то, что уведомление Роскомнадзора требуется. Самозанятость или статус ИП от этой обязанности сами по себе не освобождают.
Сначала проверьте локализацию
При сборе персональных данных граждан России их запись, систематизация, накопление, хранение, уточнение и извлечение в общем случае должны осуществляться с использованием баз данных, находящихся в России. Поэтому основную рабочую базу учеников нужно вести в сервисе или системе, соответствующей этому требованию.
Если используются иностранные сервисы
Google Drive, Google Contacts, iCloud и другие зарубежные облачные сервисы могут приводить к трансграничной передаче данных. При их использовании нужно проверить иностранного получателя, страну и условия обработки.
Если трансграничная передача действительно осуществляется, обычной отметки в уведомлении Роскомнадзора недостаточно. До начала такой передачи подается отдельное уведомление Роскомнадзору о намерении осуществлять трансграничную передачу. Согласие ученика или родителя само по себе этого не заменяет.
Для обычного частного репетитора практический путь проще: если зарубежный сервис нужен только ради удобства, сначала проверьте, можно ли использовать российский сервис и не создавать дополнительный процесс трансграничной передачи.
ШАГ №5 - Настройте безопасность и удаление
Для самостоятельного репетитора меры могут быть простыми, но они должны реально работать.
Установите пароль на компьютер и телефон. Включите двухфакторную аутентификацию. Не давайте доступ к таблице с учениками «всем по ссылке». Не держите записи занятий в открытом облаке. Закрывайте доступ людям и помощникам, с которыми перестали работать.
И не храните всё бесконечно.
Срок хранения зависит от конкретного документа и цели. Ориентируйтесь на эту простую схему:
- Заявка, по которой занятия не начались: после завершения общения удалите ненужные контакты и заметки, если нет другого законного основания их хранить.
- Расписание, домашние задания, рабочие заметки и видеозаписи: храните, пока они нужны для обучения или иной законной цели; после достижения цели удаляйте. Для записей уроков лучше заранее установить короткий понятный срок.
- Договоры, сведения об оплате, чеки и материалы по возможным претензиям: сохраняйте в пределах применимых налоговых, договорных и иных обязательных сроков; общего срока «всё хранить три года» нет.
- Отзывы, фото и видео для рекламы: соблюдайте установленные цели, срок и условия полученных разрешений; после прекращения правового основания пересмотрите возможность публикации.
Правовая лаборатория CHATTERN
Вебинар о персональных данных репетиторов
28 октября 2026 года · 10:00 МСК
Прямой эфир состоится в сообществе Chattern в ВКЧасть 2. Жизненные примеры
Самый простой случай
Если вы храните имя и телефон ученика локально в телефонной книге без облачной синхронизации, а расписание и оплаты - в таблице на своем компьютере, ничего не публикуете и не передаете сторонним сервисам, вам нужны: договор, политика обработки персональных данных, уведомление Роскомнадзора и разумные меры защиты. Отдельное согласие на обычную обработку данных, необходимых для занятий по договору, не требуется.
История 1. Мама написала в Telegram: можно ли просто ответить?
Да, для самого ответа на обращение и согласования пробного урока не нужно автоматически отправлять родителю длинную анкету с общей галочкой «разрешаю все». Но репетитор должен понимать правовое основание и соблюдать требования к выбранному каналу и месту хранения. Не превращайте первое сообщение в бессрочное досье: не просите дату рождения, адрес, паспорт и школу ученика, если они не нужны для конкретной задачи.
Как лучше: уточнить предмет, возрастной диапазон, формат занятий и удобный способ связи. После подтверждения сотрудничества перенести необходимые сведения в организованный учет, соблюдая требования к используемым сервисам. Родителю кратко объяснить, как вы используете контакты и куда обратиться по вопросам данных.
История 2. «Я хочу отслеживать успехи: заведу на каждого ребенка карточку»
Карточка с домашними заданиями, темами и результатами полезна для обучения. Не заносите туда сведения, которые для занятий не нужны: паспортные данные, семейные конфликты, диагнозы и другие лишние сведения.
Как лучше: определите, кто видит карточку и когда данные будут удалены. Если карточка хранится в стороннем сервисе, применяются правила поручения обработки.
История 3. «Записал урок - пришлю ученику для повторения»
Запись - отдельный процесс обработки. Сначала ответьте на вопросы: все ли участники знают о записи, зачем она нужна, где сохранится, кто получит ссылку и когда файл будет удален. Согласование записи только для просмотра учеником не означает разрешение выложить минутный фрагмент в рекламный ролик.
Как лучше: заранее установить прозрачный порядок записи, проверить основание для обработки изображения и голоса, обеспечить закрытый доступ к файлу. Для публичного использования понадобится отдельная правовая проверка и, при необходимости, специальные согласия; у несовершеннолетних учитывайте полномочия законного представителя и права на изображение.
История 4. «Ученик сдал ЕГЭ на 96 баллов. Можно рассказать об этом в соцсетях?»
Результат сам по себе может быть учебной статистикой. Но формула «Маша Иванова, 11 класс школы № 7, 96 баллов» привязывает результат к конкретному человеку. Даже если родители гордятся успехом и написали благодарность, публикация идентифицирующих сведений - новая цель. Отдельно анализируются распространение персональных данных, использование фото и право на изображение.
Как лучше: либо рассказать обезличенный кейс без возможности идентификации, либо получить надлежащее отдельное разрешение для конкретной публикации и проверить, какие сведения можно раскрывать. Закрашивание аватара не гарантирует обезличивания, если по деталям переписки человека все равно узнают.
История 5. «Родитель просит присылать отчеты папе, бабушке и классному руководителю»
Не нужно считать любой контакт родственником с автоматическим правом получать историю уроков, оценки и контактные данные ребенка. Для разных получателей нужны разные основания. Даже если родитель оплачивает занятия, запрос на передачу сведений третьему лицу требует отдельной проверки обстоятельств.
Как лучше: закрепить согласованный круг лиц для организационной коммуникации, минимизировать содержание отчетов и не создавать общие чаты с подробными данными учеников без оценки законности такой передачи.
История 6. «Занятия закончились год назад, но я храню все переписки»
После окончания занятий не храните бессрочно переписки, фотографии, работы и другие учебные данные. Но договоры и сведения об оплате могут понадобиться дольше.
Как лучше: разделите договорные и платежные документы и учебные данные. Для каждой группы установите срок хранения, после которого ненужные данные удаляются или обезличиваются.
История 7. «Я веду учеников в российском электронном журнале или сервисе домашних заданий»
Если вы заносите в сервис имена учеников, оценки, задания и комментарии, российские серверы решают только вопрос локализации. Если сервис обрабатывает данные для ваших целей по вашему поручению, вы остаетесь оператором.
Как лучше: проверьте условия сервиса. В поручении должны быть указаны данные и операции с ними, цели обработки, требования конфиденциальности, локализации и безопасности, а также обязанность сервиса сообщать об инцидентах. Получите отдельное согласие на поручение и отразите сервис в своей политике. Если таких условий нет, не загружайте туда идентифицируемые данные учеников.
История 8. «Все ученики записаны в Google Таблицах, а контакты - в телефоне. Очень удобно!»
Google Таблицы позволяют удобно вести расписание, хранить контакты учеников и учитывать оплату. Но использование иностранных сервисов может нарушать требования к локализации персональных данных и приводить к трансграничной передаче, для которой предусмотрены дополнительные обязанности, включая отдельное уведомление Роскомнадзора.
При этом даже обычная телефонная книга может синхронизироваться с иностранным облаком - например, Google Contacts или iCloud. Сам по себе iPhone или Android не означает нарушения: важно, где фактически хранятся данные и кому они передаются.
Как лучше: для основной базы учеников используйте сервисы с подтверждённым размещением данных в России. Проверьте, включена ли облачная синхронизация контактов на телефоне. При использовании иностранных сервисов отдельно оцените соблюдение требований локализации и трансграничной передачи. Если сервис обрабатывает данные по вашему поручению, также проверьте условия такого поручения и наличие необходимого согласия.
История 9. «Я преподаю уже 5 лет, а про уведомление Роскомнадзора узнала только сегодня. Меня оштрафуют?»
По общему правилу репетитор должен уведомить Роскомнадзор до начала обработки персональных данных, если не применяется установленное законом исключение. Но многие начинают работать с учениками, не зная об этой обязанности, и узнают о ней только спустя несколько лет. За неподачу или несвоевременную подачу уведомления предусмотрен штраф. Однако само указание в уведомлении даты начала работы в прошлом не означает, что штраф будет назначен автоматически. Роскомнадзор оценивает наличие нарушения и обстоятельства его совершения.
Как лучше: если вы уже обрабатываете персональные данные, но ещё не подавали уведомление, сначала проверьте, обязаны ли вы это делать. Если обязаны - направьте уведомление, указав достоверную дату фактического начала обработки данных. Не нужно указывать текущую дату только для того, чтобы скрыть более раннее начало работы. Подача уведомления сейчас не исключает ответственности за допущенное нарушение, но позволяет исполнить обязанность и избежать дальнейшего бездействия.
Нужно ли бояться штрафов?
За нарушение законодательства о персональных данных предусмотрены серьёзные штрафы, в том числе для самозанятых и индивидуальных предпринимателей.
Например, за обработку данных без законного основания штраф для граждан составляет от 10 до 15 тыс. рублей, за неподачу обязательного уведомления в Роскомнадзор - от 5 до 10 тыс. рублей, а за нарушение требований к локализации персональных данных - от 30 до 50 тыс. рублей.
Для ИП ответственность значительно выше: в зависимости от нарушения штрафы могут достигать сотен тысяч и даже нескольких миллионов рублей. Отдельные повышенные санкции предусмотрены за утечки персональных данных.
При этом размер штрафа зависит от конкретного нарушения, его обстоятельств и правового статуса репетитора.
Чтобы снизить риски, важно не просто подготовить документы, а выстроить правильный порядок работы с данными учеников: определить цели обработки, оформить необходимые документы, проверить используемые сервисы и обеспечить защиту информации.