ЕГЭ и ОГЭ: ПДн участников

Проведение ЕГЭ и ОГЭ порождает устойчивый поток персональных данных: паспортные реквизиты, биометрические изображения с видеокамер в аудиториях, результаты сдачи, сведения о состоянии здоровья для организации особых условий. Законодательство разграничивает роли операторов внутри этой цепочки, устанавливает специальные требования к согласиям и определяет уголовную ответственность за незаконное использование данных по ст. 272.1 УК РФ (с 11.12.2024). Ниже — разбор ключевых правовых узлов, которые юрист школы должен держать под контролем в каждый экзаменационный цикл.

Кто является оператором персональных данных при проведении ГИА?

Роли операторов в процедуре ГИА распределены между несколькими уровнями. Образовательная организация самостоятельно определяет цели и способы обработки ПДн своих учеников — она является оператором по смыслу ст. 3 ФЗ-152. Региональный центр оценки качества образования обрабатывает данные на основании государственного задания и регионального законодательства. Рособрнадзор формирует федеральную базу результатов.

Привлечение подрядчиков — поставщиков систем видеонаблюдения, платформ для печати КИМ, сервисов онлайн-проверки работ — оформляется как поручение обработки по п. 3 ст. 6 ФЗ-152. Отсутствие письменного договора-поручения означает, что подрядчик фактически обрабатывает данные без правового основания. При утечке через такого подрядчика ответственность несёт школа как оператор: практика по аналогии с общим принципом ответственности оператора за действия обработчика устойчива в административных делах.

Отдельного внимания требует Дневник.ру и аналогичные платформы электронных дневников. Если региональные власти обязывают школу использовать конкретный сервис, региональный орган выступает совместным оператором либо устанавливает порядок обработки нормативным актом. Юрист школы должен проверить, предусмотрена ли передача данных в эту платформу в уведомлении, поданном в РКН по ст. 22 ФЗ-152.

Какие согласия нужны для участия в ЕГЭ и ОГЭ с учётом поправок 2025 года?

С 01.09.2025 согласие на обработку ПДн не может быть частью трудового договора, оферты, политики конфиденциальности или заявления о приёме на обучение. Оно оформляется отдельным документом с реквизитами, перечисленными в ст. 9 ФЗ-152 в редакции ФЗ-156: наименование оператора, цель, перечень обрабатываемых данных, перечень действий, срок, способ отзыва.

Для несовершеннолетних участников ГИА действует правило ч. 6 ст. 9 ФЗ-152: согласие на обработку ПДн лица до 14 лет даёт родитель или законный представитель. Участник в возрасте от 14 до 18 лет вправе дать согласие самостоятельно, если иное не предусмотрено федеральным законом.

На практике это означает: форма согласия для участника ЕГЭ — 11-классника (как правило, 17 лет) подписывается им самим. Для участника ОГЭ — 9-классника (как правило, 14–15 лет) — тоже самостоятельно. Для девятиклассника, которому ещё нет 14 лет, согласие даёт родитель. Юрист должен разграничить эти категории в шаблонах документов и не использовать единую форму.

Отдельного согласия требует публикация фотографии выпускника в открытом доступе (например, на стенде почёта или в официальном аккаунте школы): ст. 10.1 ФЗ-152 предусматривает отдельное согласие на распространение ПДн. Молчание по умолчанию означает запрет публикации.

Как обрабатываются специальные категории ПДн участников — состояние здоровья и биометрия?

Участники с ограниченными возможностями здоровья и инвалидностью проходят ГИА в особых условиях. Для их организации школа обрабатывает сведения о диагнозе, группе инвалидности, рекомендациях ПМПК — то есть специальные категории по ст. 10 ФЗ-152, обработка которых по общему правилу запрещена без явного письменного согласия.

Допустимые основания обработки медицинских данных в контексте ГИА — согласие субъекта (законного представителя) или исполнение обязанностей, возложенных на оператора законодательством об образовании. Последнее основание действует только там, где конкретная норма прямо предписывает обработку. В остальных случаях — отдельное письменное согласие.

Видеозапись в экзаменационных аудиториях фиксирует изображение лица участника. По ст. 11 ФЗ-152 изображение лица является биометрическими ПДн, если используется для установления личности. Роскомнадзор в разъяснениях квалифицирует запись видеонаблюдения как обработку биометрии, когда запись применяется для идентификации нарушителей. Правовое основание для такой обработки — письменное согласие либо норма федерального закона.

Порядок видеонаблюдения при ГИА урегулирован Порядком проведения ГИА (приказ Минпросвещения России совместно с Рособрнадзором). Ссылка на него в согласии либо в уведомлении РКН позволяет обосновать правовое основание обработки биометрических данных без отдельного согласия — при условии, что приказ прямо предусматривает видеозапись и её использование для идентификации.

Что такое прокторинг с точки зрения 152-ФЗ и чем он отличается от стандартного видеонаблюдения?

Прокторинг — дистанционный контроль за ходом экзамена с применением программного обеспечения, которое анализирует видеопоток с веб-камеры, аудиодорожку, активность на экране компьютера, биометрические параметры (движения глаз, мимику, паузы). В отличие от пассивной видеозаписи в аудитории, прокторинговая система проводит автоматизированную обработку биометрических ПДн в режиме реального времени.

С точки зрения 152-ФЗ это означает: обработку биометрии (ст. 11) плюс возможно — принятие автоматизированных решений, влияющих на права субъекта (ст. 16 ФЗ-152 запрещает такие решения без согласия или без прямого указания закона). Если платформа прокторинга принимает решение о подозрительном поведении и это влечёт аннулирование результата — это автоматизированное решение по смыслу ст. 16.

Провайдер прокторинга обрабатывает данные по поручению образовательной организации — договор-поручение обязателен. Если платформа размещена на серверах за пределами РФ, возникает обязанность уведомить РКН о трансграничной передаче по ст. 12 ФЗ-152. Обработка ПДн несовершеннолетних подрядчиком за рубежом без такого уведомления — дополнительный риск по ч. 10 ст. 13.11 КоАП.

Использование Google Classroom, Microsoft Teams или иных зарубежных платформ для дистанционного обучения порождает тот же вопрос: первичный сбор и хранение данных должны вестись на серверах в РФ (ч. 5 ст. 18 ФЗ-152). Синхронизация с зарубежным облаком допустима только после локализации.

Какие риски и сценарии нарушений характерны для школ в период ГИА?

Сценарий 1. Уведомление РКН не отражает прокторинг. Школа подключила платформу дистанционного контроля знаний в середине учебного года, но не обновила уведомление в реестре операторов ПДн. Реальная обработка (биометрия, передача данных подрядчику, возможно — трансграничная передача) шире заявленного. При плановой проверке РКН фиксирует расхождение: штраф по ч. 1 ст. 13.11 — 150–300 тыс. ₽; при повторном нарушении по ч. 1.1 — 300–500 тыс. ₽. Стратегия: обновить уведомление до проверки, добавить в договор-поручение пункт об обязанности подрядчика соблюдать ФЗ-152.

Сценарий 2. Утечка базы результатов ГИА через взлом регионального портала. Региональный центр оценки качества — самостоятельный оператор. Однако если школа передала туда данные без надлежащего договора-поручения, РКН вправе привлечь школу за нарушение условий передачи. Объём утечки — более 1 000 субъектов — квалифицируется по ч. 12 ст. 13.11: штраф 3–5 млн ₽. При повторности — оборотный штраф по ч. 15 ст. 13.11: от 1 до 3% совокупной выручки за предшествующий год, но не менее 20 млн ₽. Неуведомление РКН в течение 24 часов — дополнительно ч. 11 ст. 13.11 (1–3 млн ₽). Стратегия: формализовать порядок передачи данных в регоператор, разработать регламент реагирования на инциденты.

Сценарий 3. Согласие родителей встроено в заявление на ГИА. Школа использует старую форму заявления об участии в экзаменах, в которой пункт «Даю согласие на обработку ПДн» является частью основного документа. После 01.09.2025 такая форма не соответствует ч. 1 ст. 9 ФЗ-152 в ред. ФЗ-156. При жалобе субъекта — проверка РКН, штраф по ч. 2 ст. 13.11 (300–700 тыс. ₽). Стратегия: заменить форму до 01.09.2025 — или в кратчайшие сроки после даты, если срок уже прошёл; переподписать согласия при первой плановой возможности (запись на новый учебный год).

Как это применяется на практике

Кейс 1. Региональный методический центр (Сибирский федеральный округ, осень 2025) использовал платформу видеомониторинга экзаменов, данные с которой передавались на серверы подрядчика в Республике Беларусь. Уведомление о трансграничной передаче по ст. 12 ФЗ-152 в РКН подано не было. При внеплановой проверке РКН выдал предписание об устранении нарушения и составил протокол по ч. 10 ст. 13.11 КоАП. Юристы подготовили уведомление о трансграничной передаче, заключили дополнительное соглашение с подрядчиком и представили документы в РКН в ходе проверки. Штраф назначен в нижней части диапазона с учётом добровольного устранения нарушения до вынесения постановления.

Кейс 2. Образовательная организация дополнительного профессионального образования (Центральный федеральный округ, начало 2026) прошла проверку РКН без штрафа по ч. 3 ст. 13.11, поскольку политика обработки ПДн была актуализирована незадолго до проверки: в неё включили разделы о прокторинге, видеонаблюдении и договорах-поручениях с тремя подрядчиками. Организация относилась к категории микропредприятий — при первичном нарушении по иным основаниям суд вправе заменить штраф на предупреждение по ст. 4.1.1 КоАП, однако факта нарушения зафиксировано не было.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка ОРД, уведомления РКН, договоров-поручений по чек-листу из 38 пунктов
• Комплект ОРД под ключ — разработка согласий, политики, регламентов, приказов с учётом ФЗ-156 и специфики образования
• DPO-аутсорсинг — ответственный за обработку ПДн по ст. 22.1 ФЗ-152 на абонентском обслуживании

Частые вопросы

1. Когда нужно согласие родителей, а когда достаточно согласия самого участника ГИА?

Согласие родителя (законного представителя) обязательно, если участнику ещё не исполнилось 14 лет на момент подписания документа — это требование ч. 6 ст. 9 ФЗ-152. Участник ОГЭ в возрасте 14 лет и старше вправе подписать согласие самостоятельно. Выпускники 11 класса, сдающие ЕГЭ, как правило, достигли 17–18 лет и подписывают согласие лично. При переходе участника в категорию старше 14 лет в течение учебного года — согласие переоформляется.

2. Можно ли использовать Google Classroom или Microsoft Teams для обучения и подготовки к ГИА?

Использование возможно при соблюдении требования локализации по ч. 5 ст. 18 ФЗ-152: первичные запись, хранение и систематизация ПДн граждан РФ должны осуществляться в базах данных на территории России. Если платформа использует серверы за рубежом как основные, это нарушает локализацию. Альтернатива — российские платформы либо гибридная модель, при которой первичное хранение обеспечено локально, а синхронизация с зарубежным облаком оформлена как трансграничная передача с уведомлением РКН по ст. 12 ФЗ-152.

3. Что такое прокторинг с точки зрения 152-ФЗ?

Прокторинг — автоматизированная обработка биометрических ПДн (изображение лица, голос, поведенческие параметры) с целью контроля за соблюдением условий экзамена. С точки зрения 152-ФЗ это означает: обязательное письменное согласие субъекта (или законного представителя для участников до 14 лет) по ст. 11, договор-поручение с провайдером платформы по ст. 6, уведомление о трансграничной передаче по ст. 12, если серверы вне РФ. Автоматизированные решения на основе прокторинга, влияющие на результаты экзамена, регулируются ст. 16 ФЗ-152.

4. Кто является оператором ПДн в онлайн-школе или EdTech-платформе, которая готовит к ЕГЭ?

Онлайн-школа, самостоятельно собирающая данные учеников, является оператором по ст. 3 ФЗ-152: она определяет цели и способы обработки. Если платформа работает по договору с образовательной организацией, которая определяет цели — платформа обрабатывает данные по поручению (ст. 6 ч. 3 ФЗ-152). В этом случае между ними должен быть заключён договор-поручение. Оператор обязан уведомить РКН по ст. 22 ФЗ-152 до начала обработки.

5. Что грозит школе за утечку ПДн участников ГИА?

Размер штрафа зависит от числа пострадавших субъектов. Утечка от 1 000 до 10 000 субъектов — штраф 3–5 млн ₽ по ч. 12 ст. 13.11 КоАП в редакции с 30.05.2025. Утечка от 10 000 до 100 000 субъектов — 5–10 млн ₽ (ч. 13). Свыше 100 000 субъектов — 10–15 млн ₽ (ч. 14). При повторном нарушении — оборотный штраф до 3% годовой выручки, не менее 20 млн ₽ (ч. 15). Неуведомление РКН в течение 24 часов об инциденте — отдельно штраф 1–3 млн ₽ по ч. 11. Дополнительно возможна уголовная ответственность по ст. 272.1 УК РФ (с 11.12.2024).

Итог

Обработка ПДн участников ГИА — многоуровневая цепочка с несколькими операторами, специальными категориями данных и обязательным участием несовершеннолетних субъектов. С 01.09.2025 любое согласие, встроенное в заявление на экзамен, недействительно. Прокторинг и видеонаблюдение требуют отдельного правового обоснования. Утечка базы из тысяч участников — это штраф от 3 млн ₽ и обязанность уведомить РКН за 24 часа.

DATUM сопровождает образовательные организации в комплаенсе по ФЗ-152: аудит документов, разработка согласий под ФЗ-156, договоры-поручения с подрядчиками ГИА, подготовка к проверкам РКН.

3 июня 2026 года