Согласие на обработку персональных данных ребёнка: когда оно нужно
ФИО ребёнка, дата рождения, класс или группа, иногда СНИЛС для системы персонифицированного финансирования допобразования — обычная форма записи в кружок или школу. Именно это и есть персональные данные: любая информация, которая прямо или косвенно относится к конкретному человеку. Ребёнок — самостоятельный субъект персональных данных, а не «приложение» к анкете родителя, и заполнение такой формы — это обработка персональных данных по 152-ФЗ в полном объёме: с обязанностью получить согласие, опубликовать политику обработки и так далее.
Что считается персональными данными в этом контексте, разбираться долго не приходится: ФИО, дата рождения, адрес, телефон родителя, фото, сведения о здоровье — всё это персональные данные. Школа, детский сад, кружок, спортивная секция — такой же оператор персональных данных, как коммерческая компания, независимо от формы: бюджетное учреждение, ИП или ООО. Специальной льготы для образовательных организаций закон не даёт.
Здесь важна тонкость. Обработка персональных данных в рамках основной уставной деятельности — зачисление, личное дело, электронный журнал — может идти без отдельного согласия: для этого есть отдельное законное основание. Но оно не покрывает дополнительные цели: публикацию фото на сайте, использование сторонней CRM для записи, email- и SMS-рассылки родителям. Для всего этого нужно отдельное согласие на обработку персональных данных.
Ещё одна частая путаница — с 273-ФЗ «Об образовании в РФ». Да, закон обязывает школу публиковать на сайте открытую информацию: устав, лицензию, состав педагогов. Но это не про персональные данные конкретных учеников — такие данные 273-ФЗ публиковать не требует и не разрешает.
Кто подписывает согласие за ребёнка: родитель, опекун или сам подросток
До 14 лет ребёнок не может сам совершать юридически значимые действия — по ст. 28 ГК РФ за него это делают родители, усыновители или опекуны. С 14 до 18 лет у подростка уже частичная дееспособность (ст. 26 ГК РФ): он может действовать сам, но письменное согласие законного представителя всё равно требуется — за небольшими исключениями, не относящимися к записи в кружок.
Стоит сделать честную оговорку. Сам 152-ФЗ прямо говорит про представителя только применительно к недееспособности субъекта (ч. 6 ст. 9), а не к несовершеннолетию как таковому. Формулы «за любого ребёнка до 18 лет согласие всегда даёт родитель» дословно в законе о персональных данных нет — это устоявшаяся и практически безопасная практика, которая опирается на нормы Гражданского и Семейного кодекса, а не прямая цитата 152-ФЗ. Разница тонкая, но для директора школы или руководителя кружка не критичная: родители — законные представители детей и вправе выступать от их имени без доверенности, по ч. 1 ст. 64 Семейного кодекса РФ достаточно свидетельства о рождении.
И ещё важный момент об ответственности: бремя доказывания, что согласие получено от надлежащего лица — родителя, а не от самого ребёнка через форму на сайте, — лежит на операторе (ч. 3 ст. 9 152-ФЗ), а не на Роскомнадзоре и не на родителе.
Согласие на обработку данных и согласие на публикацию фото — не один документ
Самая частая ошибка школ и кружков — считать, что один документ закрывает всё. На деле согласие на обработку персональных данных (для формы записи, базы данных) и согласие на обнародование изображения ребёнка (ст. 152.1 ГК РФ, для фото и видео с мероприятий, портфолио) — два разных документа с разным правовым основанием. Смешивать их нельзя.
Если на сайте нет ни одного из этих двух документов отдельно от анкеты записи — самое время это проверить.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтВажно: согласие на обработку ПДн и согласие на фото не взаимозаменяемы. Форма записи с чекбоксом «согласен на обработку данных» не даёт права публиковать портретные фото ребёнка с указанием фамилии — для этого нужно отдельное согласие законного представителя.
У согласия на фото есть законные исключения. Общий план утренника или соревнования обычно можно публиковать без отдельного согласия на каждого ребёнка — если конкретный ребёнок не является главным объектом кадра. А вот крупный портрет с подписанной фамилией уже требует согласия.
Разница в последствиях принципиальная. Нарушение ст. 152.1 ГК РФ — это не штраф РКН, а гражданский иск: удаление фото из интернета, уничтожение носителей, компенсация морального вреда. Но если тот же случай одновременно квалифицируется как обработка персональных данных без согласия, по нему же может прилететь ещё и административный штраф по ст. 13.11 КоАП — эти два трека не исключают друг друга.
И отдельно, без запугивания цифрами: фото ребёнка не считается автоматически «биометрическими персональными данными». Это узкий состав про идентификацию личности — распознавание лиц и подобные технологии, а не обычный фотоотчёт с праздника.
Данные о здоровье ребёнка — специальная категория персональных данных
Медицинская группа для физкультуры, справка для приёма в спортивную секцию, диагноз, ограничения по здоровью — это не рядовые персональные данные, а специальная категория персональных данных (ст. 10 152-ФЗ). Обработка таких сведений по общему правилу запрещена и допускается только по строго перечисленным основаниям — одно из них — письменное согласие законного представителя.
Обычного чекбокса на форме здесь недостаточно: нужна именно письменная форма согласия с обязательными реквизитами (ч. 4 ст. 9 152-ФЗ), а не галочка, зашитая в общую анкету записи. Если секция или кружок собирает медсправки или сведения об ограничениях по здоровью — это отдельный, более строгий случай, чем обычная форма записи с ФИО и телефоном.
Сколько стоит ошибка: штрафы и уголовная ответственность за данные детей
Отдельного, более высокого штрафа по КоАП именно «за детей» нет — работают те же составы ст. 13.11 КоАП, что и для любого субъекта персональных данных.
| Нарушение | Граждане | Должностные лица | ИП | Юрлица |
|---|---|---|---|---|
| Нет согласия законного представителя на обработку ПДн (ч. 2 ст. 13.11 КоАП) | 10 000–15 000 ₽ | 100 000–300 000 ₽ | как для должн. лица | 300 000–700 000 ₽ |
| Нет или не опубликована политика обработки ПДн (ч. 3 ст. 13.11 КоАП) | 1 500–3 000 ₽ | 6 000–12 000 ₽ | 10 000–20 000 ₽ | 30 000–60 000 ₽ |
| Неуведомление РКН о начале обработки ПДн (ч. 10 ст. 13.11 КоАП) | 5 000–10 000 ₽ | 30 000–50 000 ₽ | 30 000–50 000 ₽* | 100 000–300 000 ₽ |
| Утечка ПДн специальной категории, например данных о здоровье воспитанников (ч. 16 ст. 13.11 КоАП) | 300 000–400 000 ₽ | 1 000 000–1 300 000 ₽ | как для должн. лица | 10 000 000–15 000 000 ₽ |
*Сумма для ИП по ч. 10 ст. 13.11 КоАП отдельной строкой в норме не прописана — здесь она условно приравнена к штрафу для должностных лиц по общей практике применения КоАП.
Важно: специального повышенного штрафа по КоАП именно за нарушения с данными детей нет. Но по УК РФ данные несовершеннолетних — отягчающее обстоятельство: по ч. 2 ст. 272.1 УК РФ — до 700 000 ₽ или до 5 лет лишения свободы, вместо до 300 000 ₽ и до 4 лет по ч. 1.
А вот незаконная публикация фото ребёнка (см. предыдущий раздел) — отдельный, гражданско-правовой трек: не штраф, а требования по суду.
Что обязательно должно быть в форме согласия на сайте
Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным и оформляться отдельно от оферты, договора или анкеты записи. Для формы кружка это работает так же, как для любой другой формы на сайте, с той разницей, что подписант здесь — законный представитель, а не сам субъект данных. В тексте согласия должны быть указаны и ребёнок (за кого дают согласие), и представитель (кто даёт согласие).
Обязательный чек-лист для формы согласия на обработку персональных данных:
- кто оператор персональных данных (название организации или ИП);
- за кого дают согласие — ФИО ребёнка, ФИО законного представителя и документ, подтверждающий полномочия (например, свидетельство о рождении);
- конкретная цель обработки (запись в кружок, ведение личного дела, рассылка и т. д.);
- перечень обрабатываемых данных;
- срок действия согласия;
- право и способ отзыва согласия;
- отдельная галочка — не «зашитая» в общую анкету или оферту.
Отдельный чекбокс «Согласие на обработку персональных данных» должен стоять отдельной строкой формы, а не быть частью общего согласия с офертой на оказание услуг — иначе согласие считается недействительным, даже если родитель фактически заполнил всю анкету.
Согласие на обработку персональных данных можно отозвать в любой момент — оператор обязан прекратить обработку на будущее, если нет другого законного основания продолжать. Отзыв согласия на обработку данных, оформленного при записи в кружок, не означает автоматического прекращения занятий или членства — это касается только дальнейшей обработки персональных данных.
Отдельная рекомендация без прямых цитат: Роскомнадзор рекомендует не публиковать персональные данные несовершеннолетних, включая фотографии, в открытом доступе на сайтах образовательных учреждений.
Что делать дальше: проверьте сайт и приведите документы в порядок
Итог простой и неприятный: школа, детский сад или кружок — такой же оператор персональных данных, как любой бизнес, и легко может нарушать закон, сам того не замечая. Нет отдельного согласия на дополнительные цели — фото, стороннюю CRM, рассылки родителям. Один чекбокс отвечает сразу за всё. Уведомление в РКН не подано.
С 2022 года (266-ФЗ) отменена почти вся старая льгота по уведомлению Роскомнадзора и включению в реестр операторов персональных данных — специального освобождения для образовательных и бюджетных учреждений не осталось: сайт с формой записи — это обработка средствами автоматизации, а именно на неё льгота уже не распространяется. Разбирать, нужно ли конкретно вашему сайту подавать уведомление и как это сделать, — тема отдельной статьи про реестр операторов персональных данных; здесь важен вывод: специальной защиты «для образования» в законе больше нет.
Прежде чем переписывать форму записи наугад, проще один раз проверить сайт на 152-фз целиком — форму, политику конфиденциальности, чекбокс согласия, фото на сайте — и получить точный список того, что нужно исправить, а не гадать.