Сайт онлайн-школы: данные учеников, вебинары и воронки

Маршрут ученика: где онлайн-школа собирает персональные данные учеников на сайте

Типичная онлайн-школа уверена, что персональные данные учеников на сайте лежат в одном месте — в CRM, куда падают заявки. Пройдём по маршруту ученика от первого касания до отзыва на лендинге и посчитаем точки сбора. Их около десяти, и минимум пять из них — не ваш сайт, а чужие сервисы.

• Лендинг с лид-магнитом: чек-лист, вебинар-запись или пробный урок в обмен на имя и почту.
• Квиз «подберём уровень» или «определим класс» — с вопросами про возраст ребёнка и цели обучения.
• Форма регистрации на бесплатный вебинар — чаще всего в чужой вебинарной комнате.
• Бот в мессенджере и цепочка прогрева на 5–7 дней.
• Оплата курса и акцепт оферты.
• Доступ в личный кабинет с уроками и чат учебной группы.
• Сдача домашних заданий: файлы, фото тетради, голосовые сообщения.
• Записи занятий, где у половины группы включены камеры.
• Блок отзывов и «результатов учеников» на лендинге.
• Счётчики аналитики и рекламные пиксели на страницах курсов.

Главное, что стоит понять до всех деталей: разные точки закрываются разными основаниями, и не всё нужно закрывать согласием. Оплата курса и доступ к урокам — это обработка для исполнения договора, стороной которого является сам ученик, отдельное согласие для неё не требуется (п. 5 ч. 1 ст. 6 152-ФЗ). А всё, что происходит до оплаты — лид-магнит, квиз, регистрация на вебинар, прогрев в боте, — договором не закрыто, там нужно согласие. Роскомнадзор давал ровно такое разъяснение интернет-магазинам: акцепт оферты закрывает исполнение договора, но не маркетинг.

И одна фраза, чтобы снять типичное возражение «я же просто репетитор». Закон не применяется, когда физлицо обрабатывает данные исключительно для личных и семейных нужд (п. 1 ч. 2 ст. 1 152-ФЗ). Коммерческая продажа курсов под это исключение не подпадает.

Три точки из этой таблицы почти всегда оформлены неправильно: регистрация на вебинар, чужие сервисы воронки и блок отзывов. По ним и пойдём.

Регистрация на вебинар и лид-магнит: где нужно согласие, а где хватает оферты

Самая массовая форма онлайн-школы — регистрация на бесплатный вебинар. И почти везде под ней стоит одна галочка: «Согласен с офертой и политикой конфиденциальности».

С 1 сентября 2025 года так уже нельзя. Часть 1 статьи 9 152-ФЗ в редакции ФЗ от 24.06.2025 № 156-ФЗ требует, чтобы согласие на обработку персональных данных было оформлено отдельно от иных информации и (или) документов, которые подтверждает или подписывает человек. Оферта, правила участия, подписка на новости — это и есть «иные документы». Значит, согласие при регистрации на вебинар должно быть отдельным пунктом, а не частью общей галочки.

Почему это не косметика. Доказывать, что согласие получено, обязана школа — прямая норма ч. 3 ст. 9. Скриншот лендинга, где одна галочка отвечает сразу за оферту, политику и обработку данных, таким доказательством не работает: из него не видно, на что именно человек согласился.

Развилка, которую стоит проговорить честно, чтобы не пугать зря. На бесплатном вебинаре и лид-магните договора ещё нет — нужно согласие. После оплаты курса есть акцепт оферты, и для исполнения договора отдельное согласие не требуется. Но рассылки, ретаргетинг и «дожим» на следующую ступень договором не закрыты — на них согласие нужно.

Отдельный сюжет ниши — совместные запуски и вебинары «в четыре руки». Если лид пришёл из базы партнёра, данные вы получили не от самого человека. В этом случае до начала обработки вы обязаны сообщить ему наименование и адрес школы, цель и правовое основание обработки, перечень персональных данных, его права и источник получения данных (ч. 3 ст. 18 152-ФЗ). На практике это первое письмо или первое сообщение в боте, а не молчаливое добавление в базу.

Что в итоге должно быть у формы регистрации: отдельный непредзаполненный пункт согласия; ссылка на политику, которая открывается именно с этой страницы; в тексте согласия — цели обработки, а не одно слово «согласен».

Автоворонка в мессенджере: согласие на данные и согласие на рекламу — это разные вещи

После вебинара человек уходит в бота, и там его 5–7 дней ведут цепочкой сообщений: истории выпускников, отработка возражений, дедлайн по цене. Владелец школы считает это частью продукта. Юридически это реклама.

Согласие на обработку данных и согласие на рекламу — два разных согласия по двум разным законам. Галочка по 152-ФЗ не даёт права слать рекламные сообщения: по ч. 1 ст. 18 38-ФЗ реклама по сетям электросвязи допускается только при условии предварительного согласия абонента, и реклама признаётся распространённой без согласия, если рекламораспространитель не докажет обратное. Цена вопроса по ч. 4.1 ст. 14.3 КоАП для юридического лица — 300 000–1 000 000 ₽.

Антимонопольный орган отдельно высказывался про схему, на которой держится половина инфобизнеса: согласие должно быть предварительным и явно выраженным, а навязанное согласие — когда отказ от рекламы равносилен отказу от услуги, а условия оферты принимаются целиком — надлежащим согласием не является.

Ещё одна строка, мимо которой обычно проходят: не допускается использование сетей электросвязи для распространения рекламы с применением средств набора номера без участия человека — автодозвоны и полностью автоматические рассылки (ч. 2 ст. 18 38-ФЗ).

И осторожно про площадки. С 1 сентября 2025 года не допускается распространение рекламы на информационных ресурсах, доступ к которым ограничен (ч. 10.7 ст. 5 38-ФЗ). При этом ФАС в марте 2026 года сообщила о переходном периоде до конца 2026 года: меры ответственности за распространение рекламы в Telegram и YouTube в этот период не применяются, хотя сам запрет не отменён. Обе половины важны одинаково — по отдельности их читать нельзя.

Практический вывод: в форме подписки на бота должно быть два отдельных пункта — согласие на обработку данных и согласие на получение рекламных сообщений. По общему правилу отказ от второго не должен лишать человека доступа к бесплатному материалу: навязанное согласие надлежащим не считается. Но практика здесь только что сдвинулась — Экономколлегия Верховного Суда РФ в определении от 22.06.2026 по делу № А07-5689/2025 (АО «Мэлон Фэшн Груп», кейс Sela) признала, что возмездное согласие на рекламу — бонус в обмен на галочку — в рамках конкретной промоакции может быть законным при четырёх условиях. Лид-магнит «чек-лист за почту и согласие на рассылку» — ровно этот сценарий, поэтому перед тем как связывать бонус с галочкой, сверьтесь с этими условиями: они разобраны в материале про согласие на рекламную рассылку.

Ученики младше 18: чьё согласие и что делать, если возраст вы не спрашивали

Школа английского для подростков, подготовка к ЕГЭ, детский курс программирования, вокал, шахматы — везде заявку оставляет родитель, а учится ребёнок. Данные несовершеннолетних учеников оказываются в личном кабинете, в чате группы и в домашках, причём часть из них школа никогда не собирала сознательно.

• Заявку с телефоном оставляет родитель, а дальше в переписке появляются имя, возраст и школа ребёнка.
• Квиз спрашивает класс, уровень и цели — это уже данные ребёнка, а не родителя.
• Анкета перед стартом уточняет особенности здоровья и темп занятий.
• Домашки приходят фотографиями и голосовыми: на фото — тетрадь с фамилией.
• В чате учебной группы дети общаются под своими именами и аватарками.

Правовая рамка честная, без выдуманных порогов: отдельного возрастного порога для согласия в 152-ФЗ нет — прямо урегулирован только случай недееспособности, за неё согласие даёт законный представитель (ч. 6 ст. 9). Практическая опора — Гражданский кодекс: за детей до 14 лет действуют законные представители (ст. 28), несовершеннолетние 14–18 лет совершают сделки с письменного согласия представителей (ст. 26). Роскомнадзор в письме от 11.03.2022 № 08-15154 разбирал вопрос через эту же конструкцию дееспособности.

Главный практический тезис: «поля возраста у нас нет — значит, и детей нет» не работает. Обязанность получить надлежащее согласие не зависит от того, спросила школа возраст или нет, а доказывать наличие согласия обязана школа (ч. 3 ст. 9). При этом честно оговоримся: конкретной нормы, обязывающей проверять возраст на сайте, в 152-ФЗ нет — это вывод из общей конструкции согласия, а не отдельное требование закона.

Отдельно — вопросы про здоровье. «Есть ли у ребёнка СДВГ или дислексия», справка для перерасчёта за пропущенные занятия, ограничения по здоровью в анкете вокальной или спортивной школы, логопедическая и нейропсихологическая диагностика — это специальная категория данных. Их обработка по общему правилу не допускается, и первое из исключений — согласие в письменной форме (ч. 1 и п. 1 ч. 2 ст. 10). Обычной галочки здесь недостаточно.

Одна строка про повышенный риск, без нагнетания: в уголовной норме о незаконном обороте персональных данных обработка данных несовершеннолетних — квалифицирующий признак (ч. 2 ст. 272.1 УК). Как выглядит само согласие за ребёнка, кто и как его подписывает и что в нём должно быть, мы разобрали отдельно — согласие на обработку персональных данных детей.

Чужие сервисы воронки: комната вебинара, LMS, рассылка, куратор

Обработка данных на онлайн-курсах почти никогда не происходит внутри самой школы. Посмотрите, через сколько чужих рук проходит один ученик:

• комната для вебинара, где он регистрируется и оставляет почту;
• платформа с уроками, где хранится его прогресс;
• сервис рассылок с базой писем;
• конструктор ботов с номерами и историей переписки;
• сервис приёма платежей;
• облако, где лежат домашние работы и записи занятий;
• кураторы и проверяющие домашки на подряде;
• таблицы, в которых ведут базу учеников и оплаты.

Юридически все они — лица, обрабатывающие данные по поручению. Значит, нужны два условия сразу: согласие человека и договор поручения, в котором определены перечень данных, перечень действий с ними, цели обработки, обязанность соблюдать конфиденциальность и требования к защите (ч. 3 ст. 6 152-ФЗ). Сам обработчик согласие не собирает — это не его обязанность (ч. 4 ст. 6).

Куратор-фрилансер, проверяющий домашние работы, и подрядчик, который «просто выгрузил базу для рассылки», — та же конструкция. Это то место, где школа обычно вообще не догадывается, что нужен документ, и ограничивается договором на услуги, где про персональные данные нет ни слова.

Зарубежная часть — коротко, потому что тут постоянно путают два разных процесса. Локализация — про то, где данные россиян впервые записываются и хранятся: запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ должны идти в базах на территории РФ. С 1 июля 2025 года ФЗ от 28.02.2025 № 23-ФЗ переформулировал норму в прямой запрет использовать для этих действий базы данных за пределами РФ — кроме случаев из пп. 2, 3, 4, 8 ч. 1 ст. 6 (ч. 5 ст. 18 152-ФЗ). Слова «копии» в самой норме нет: можно ли хранить копию базы за рубежом — предмет толкования, а не буква закона. При этом Роскомнадзор (письмо от 24.03.2025 № 08-134789) и Минцифры (письмо от 12.05.2025 № П25-44929) разъяснили, что новая редакция не ограничивает трансграничную передачу данных, ранее собранных в базах на территории РФ. Трансграничная передача — отдельный процесс: отправить данные за границу можно, но до начала передачи нужно подать в Роскомнадзор отдельное уведомление, не то же самое, что уведомление об обработке (ч. 3 ст. 12), и выполнить остальные условия ст. 12. Если воронка школы живёт на иностранных платформах, механику стоит разобрать целиком — она в материале про зарубежные сервисы на сайте и локализацию данных.

И отдельный случай: обмен базами при совместных запусках — это не поручение обработки, а передача данных другому оператору. Здесь нужно своё основание, и проверить его лучше до рассылки, а не после.

По каждому сервису воронки ответьте на пять вопросов — это и есть рабочая инвентаризация:

1. Где физически впервые записываются и хранятся данные учеников — в РФ или нет (ч. 5 ст. 18 152-ФЗ).
2. Есть ли с сервисом договор — поручение обработки с обязательными элементами: перечень данных, перечень действий, цели, конфиденциальность, требования к защите (ч. 3 ст. 6).
3. Уходят ли данные за границу и подано ли отдельное уведомление в Роскомнадзор о намерении осуществлять трансграничную передачу до начала передачи (ч. 3 ст. 12).
4. Есть ли сервис или его российское юрлицо в реестре операторов персональных данных на портале Роскомнадзора.
5. Что написано про персональные данные в вашей версии договора или оферты с сервисом — не в маркетинговом описании, а в тексте документа.

Отзывы учеников, «результаты» и записи занятий

Блок «наши результаты» на лендинге: имя ученицы, фото, город, балл ЕГЭ и две строки о том, как изменилась жизнь. Рядом — скриншоты благодарностей из чата и видеоотзывы. Владелец школы считает, что раз человек сам прислал отзыв, вопрос закрыт.

Не закрыт, потому что это уже не «обработка», а распространение персональных данных. Согласие на обработку данных, разрешённых субъектом для распространения, оформляется отдельно от иных согласий (ч. 1 ст. 10.1 152-ФЗ), а требования к его содержанию заданы приказом Роскомнадзора от 24.02.2021 № 18, который действует до 1 сентября 2027 года. Две нормы оттуда стоит запомнить: молчание и бездействие субъекта ни при каких обстоятельствах не считаются согласием; и если в согласии не указано, что человек согласен на распространение, данные обрабатываются без права распространения.

Второй слой — изображение. Обнародование и использование изображения гражданина допускается только с его согласия (ст. 152.1 ГК). Для ребёнка оба согласия даёт законный представитель. Итого обычный чекбокс «даю согласие на обработку» блок отзывов не закрывает.

• отдельное согласие на распространение с перечнем сведений, которые можно публиковать;
• согласие на использование изображения — если в отзыве есть фото или видео;
• для ученика младше 18 оба даёт законный представитель.

Здесь важно не перегнуть. Прямого запрета собирать такое согласие в электронной форме на сайте в законе нет — закон допускает передачу согласия непосредственно оператору. Но требования к содержанию жёсткие: человек должен иметь возможность определить перечень сведений для распространения и установить запреты на передачу отдельных данных. Одна галочка этому не отвечает — нужна отдельная форма или документ.

Практическая деталь, о которой редко думают: передачу нужно прекратить в любое время по требованию человека, и любое лицо, обрабатывающее эти данные, обязано прекратить передачу в течение трёх рабочих дней с момента получения требования. То есть отзыв придётся снимать с лендинга по требованию выпускницы — и делать это быстро, включая копии на других страницах запусков.

Проктеринг с распознаванием лица — юридически сложная зона, где действует не только 152-ФЗ, но и законодательство о биометрии. Плюс прямая норма: предоставление биометрии не может быть обязательным, и отказывать в обслуживании за отказ её предоставить оператор не вправе (ч. 3 ст. 11). Такие сценарии стоит отдельно проверять с юристом, а не решать по аналогии с обычной записью урока.

Что должно быть на самом сайте: минимум онлайн-школы по 152-ФЗ

Мы прошли по воронке. Теперь короткий список того, что должно быть на самом сайте и вокруг него — независимо от того, какими сервисами вы пользуетесь.

• Политика обработки персональных данных, опубликованная в открытом доступе.
• Уведомление в Роскомнадзор о намерении обрабатывать данные — подано до начала обработки.
• Отдельный пункт согласия в каждой форме, где вы собираете данные.
• Информирование посетителей о том, что на страницах курсов работают счётчики.

Политика. Тот, кто собирает данные через интернет, обязан опубликовать в этой же сети документ, определяющий политику обработки персональных данных, и сведения о реализуемых требованиях к защите, и обеспечить к ним доступ (ч. 2 ст. 18.1). Нишевая деталь: у школы формы живут на десятке лендингов под каждый запуск, а политика висит только на главной. Доступ считается обеспеченным тогда, когда документ открывается оттуда, где данные собираются.

Уведомление об обработке. Подаётся до начала обработки (ч. 1 ст. 22). Прежние массовые исключения утратили силу с 1 сентября 2022 года, а из оставшихся к школе не подходит ни одно: исключение «обработка исключительно без средств автоматизации» не работает там, где есть CRM, платформа с уроками, рассылки и боты. Это касается и ИП, и самозанятого репетитора — организационно-правовая форма значения не имеет, оператором становится любое лицо, которое определяет цели обработки. Об изменении сведений нужно сообщить не позднее 15-го числа месяца, следующего за месяцем изменений.

Счётчики и пиксели на страницах курсов. Отдельной нормы «о cookie» в 152-ФЗ нет. Есть позиция регулятора: в письме от 26.06.2024 № 08-242780 Роскомнадзор указывал, что при сборе информации о посетителях сайта метрическими программами требуется правовое основание обработки, а при отсутствии иных оснований нужно получить согласие и проинформировать посетителя. Это ответ на обращение, а не нормативный акт, — но ориентироваться на него разумно.

Утечка. Сроки короткие и конкретные: 24 часа на уведомление Роскомнадзора об инциденте, его причинах и принятых мерах и 72 часа на сообщение о результатах внутреннего расследования (ч. 3.1 ст. 21).

И чего онлайн-школе, скорее всего, НЕ нужно. Сразу развилка. Если у школы есть лицензия на образовательную деятельность (АНО ДПО, ООО с лицензией) — она образовательная организация, и раздел «Сведения об образовательной организации» по ст. 29 273-ФЗ, ПП № 1802 и приказу № 1493 для неё обязателен; это отдельная тема. Всё сказанное дальше — про курсы и репетиторов без лицензии. Требования к этому разделу (ст. 29 273-ФЗ, постановление Правительства РФ от 20.10.2021 № 1802, приказ Рособрнадзора от 04.08.2023 № 1493) адресованы образовательным организациям: на репетитора-ИП без лицензии и на коммерческий курс без такого статуса они не распространяются — растягивать их на всех не надо. Зато у ИП, ведущего образовательную деятельность, есть своя обязанность по 273-ФЗ: до начала оказания платных образовательных услуг сообщить ученику и родителям несовершеннолетнего сведения о госрегистрации в качестве ИП, об уровне своего профессионального образования, общем стаже педагогической работы и стаже индивидуальной педагогической деятельности (ч. 4 ст. 32 273-ФЗ), а при привлечении педагогических работников — ещё и сведения о дате предоставления и регистрационном номере лицензии (ч. 5 ст. 32).

Чек-лист, с которым можно идти на свой сайт прямо сейчас:

1. В форме регистрации на вебинар согласие — отдельный непредзаполненный пункт, а не общая галочка с офертой.
2. Политика открывается с каждого лендинга запуска, а не только с главной страницы.
3. На подписку в бота есть отдельное согласие на рекламные сообщения, и оно не навязано: либо форма отправляется без него, либо это осознанное условие конкретной промо-механики с честно описанными условиями и работающей отпиской.
4. В квизе нет вопросов о здоровье — или под них собрано письменное согласие.
5. За учеников младше 18 согласие даёт законный представитель, и это видно из формы.
6. С вебинарной платформой, платформой уроков и сервисом рассылок подписан договор поручения с обязательными элементами.
7. Известно, где физически хранятся данные учеников в каждом сервисе воронки.
8. Если данные уходят за границу — подано отдельное уведомление о трансграничной передаче.
9. На каждый отзыв с именем и фото есть отдельное согласие на распространение.
10. Уведомление об обработке подано, и сведения в нём совпадают с тем, что реально происходит на сайте.

Первые восемь пунктов проверяются глазами за вечер. Последние два — открывается ли политика с каждого лендинга запуска и где физически хранятся данные учеников — руками проверить сложно: лендингов у школы бывает несколько десятков, а сторонних сервисов на странице обычно больше, чем кажется владельцу. Это и есть тот минимум, на котором онлайн-школа и 152-ФЗ перестают конфликтовать.

Нормы приведены по состоянию на дату публикации: 152-ФЗ, КоАП и 38-ФЗ в теме меняются часто, поэтому перед применением сверяйте редакции. Материал носит информационный характер и не является юридической консультацией.