ПДн преподавателей

Образовательная организация одновременно выступает оператором ПДн в нескольких ролях: работодатель обрабатывает данные преподавателей, учебное заведение — данные учеников и их родителей. Настоящий материал посвящён именно первой роли. Юрист организации отвечает за то, чтобы каждая категория ПДн преподавателя обрабатывалась с надлежащим основанием, хранилась в рамках установленных сроков и была защищена организационными мерами. Ниже — нормы, типичные ошибки и практические сценарии для 2026 года.

Какие данные преподавателя относятся к персональным и требуют отдельного внимания?

Персональные данные преподавателя охватывают несколько категорий. Общие ПДн — ФИО, дата рождения, паспортные данные, СНИЛС, ИНН, адрес — обрабатываются на основании ст. 6 ФЗ-152 в рамках трудового договора без отдельного согласия, если обработка нужна для его исполнения. Специальные категории по ст. 10 ФЗ-152 — сведения о состоянии здоровья (медицинские книжки, справки об инвалидности, психиатрическое освидетельствование), сведения о судимости — требуют отдельного правового основания. Обработка биометрии преподавателя (изображение лица для СКУД, голосовые профили) — только с письменного согласия по ст. 11 ФЗ-152.

Данные о квалификации и образовании преподавателя (дипломы, сертификаты, категории) обрабатываются как необходимые для допуска к педагогической деятельности — правовое основание ст. 6 ч. 1 п. 5 ФЗ-152 (исполнение договора). Публикация этих данных на сайте учебного заведения — это распространение ПДн по ст. 10.1 ФЗ-152, которое требует отдельного согласия. Молчание преподавателя не означает разрешения на публикацию.

Как правильно оформить согласие преподавателя с 01.09.2025?

До 01.09.2025 согласие на обработку ПДн работника нередко включалось в текст трудового договора, дополнительного соглашения или ознакомительного листа. ФЗ-156 от 24.06.2025 изменил ч. 1 ст. 9 ФЗ-152: с указанной даты согласие оформляется исключительно отдельным документом и не может быть объединено ни с каким другим.

Ранее полученные согласия, включённые в трудовые договоры, обратной силы не теряют — переоформлять их в обязательном порядке закон не требует. Однако любое новое согласие, которое потребуется получить после 01.09.2025 (например, на публикацию фото на сайте или на обработку биометрии в СКУД), должно быть оформлено как отдельный документ. Юристу организации следует провести ревизию: какие согласия были получены после этой даты и соответствуют ли они новым требованиям.

Что обязана публиковать образовательная организация о педагогах и при каких условиях?

Федеральный закон об образовании обязывает организации размещать сведения о педагогическом составе на официальном сайте. Такая публикация является распространением ПДн по ст. 10.1 ФЗ-152. Оператор вправе публиковать только те данные, на которые получено отдельное согласие на распространение. Типичный набор: ФИО, должность, преподаваемые дисциплины, уровень образования, квалификационная категория — допустимы при наличии согласия. Домашний адрес, СНИЛС, дата рождения, сведения о здоровье публикации не подлежат ни при каких условиях без специального основания.

Практика показывает устойчивую ошибку: школы и вузы размещают фотографии преподавателей без согласия на распространение биометрических данных. Изображение лица — биометрические ПДн по ст. 11 ФЗ-152. Их публикация без письменного согласия нарушает сразу две нормы: ст. 10.1 (распространение без согласия) и ст. 11 (биометрия без письменного согласия). Штраф по ч. 2 ст. 13.11 для организации — до 700 000 ₽.

Какие сроки хранения ПДн преподавателей установлены нормативно?

Сроки хранения кадровых документов с ПДн преподавателей регулируются Перечнем типовых управленческих архивных документов (Приказ Росархива от 20.12.2019 № 236). Личное дело работника хранится 75 лет (для организаций, созданных до 2003 года — 75 лет с момента закрытия дела). Трудовые договоры — 75 лет. Сведения о доходах, справки 2-НДФЛ — 5 лет. Медицинские книжки — хранятся у работника, но организация вправе хранить копию на период трудовых отношений.

После прекращения трудовых отношений обработка ПДн преподавателя должна быть прекращена или ограничена: данные, не подлежащие архивному хранению, уничтожаются по акту. Этого требует ст. 5 ФЗ-152 — принцип хранения не дольше, чем необходимо для цели обработки. Отсутствие акта об уничтожении ПДн при проверке РКН фиксируется как нарушение ч. 2 ст. 13.11 (обработка ПДн после достижения цели).

Какие сценарии нарушений встречаются в образовательных организациях чаще всего?

Сценарий 1. Публикация фото педагога без согласия на распространение биометрии. Ситуация: школа размещает на сайте раздел «Наши учителя» с фотографиями. Согласия на публикацию фото как биометрических ПДн не запрашивались — преподаватели подписали только трудовые договоры. Доказательства нарушения: скриншот страницы сайта с датой, отсутствие в кадровых документах отдельного согласия по ст. 11 ФЗ-152. Вероятный исход: штраф по ч. 2 ст. 13.11 в диапазоне 300 000–700 000 ₽. Стратегия: получить ретроспективные согласия или убрать фотографии до проверки; при поступлении протокола — ссылаться на устранение нарушения до рассмотрения дела.

Сценарий 2. Передача ПДн преподавателей в зарубежный сервис (Google Workspace, Microsoft 365). Ситуация: организация использует корпоративный Google Workspace для работы с документами сотрудников. ПДн преподавателей (ФИО, электронная почта, сведения о должности) хранятся на серверах Google за рубежом. Уведомление РКН о трансграничной передаче не подавалось. Доказательства: соглашение с Google, данные о геолокации серверов. Вероятный исход: нарушение ч. 5 ст. 18 ФЗ-152 (локализация) — штраф по ч. 8 ст. 13.11 от 1 000 000 до 6 000 000 ₽. Стратегия: перенести первичный сбор и хранение ПДн работников на российские серверы; при необходимости использования зарубежного сервиса — подать уведомление о трансграничной передаче и оценить соответствие страны требованиям адекватной защиты.

Сценарий 3. Утечка кадровой базы данных через уязвимость в МИС или LMS. Ситуация: база данных HR-модуля системы управления учебным процессом содержит ПДн 400 преподавателей, включая паспортные данные и СНИЛС. В результате атаки данные стали доступны третьим лицам. Организация не уведомила РКН в течение 24 часов. Доказательства: записи системных журналов, факт появления данных в открытом доступе. Вероятный исход: штраф по ч. 12 ст. 13.11 (утечка от 1 000 до 10 000 субъектов) — 3 000 000–5 000 000 ₽ плюс штраф по ч. 11 за неуведомление — 1 000 000–3 000 000 ₽. Стратегия: при обнаружении — немедленно зафиксировать инцидент, направить первичное уведомление в РКН за 24 часа, подготовить отчёт за 72 часа по Приказу РКН №187.

Как образовательная организация обрабатывает ПДн преподавателей при дистанционном обучении и прокторинге?

Дистанционные форматы создают дополнительные категории обработки ПДн преподавателей. Запись видеоконференций с участием педагога фиксирует его изображение и голос — биометрические ПДн по ст. 11 ФЗ-152. Если запись хранится и используется повторно, требуется отдельное согласие. Системы прокторинга, применяемые при онлайн-экзаменах, собирают биометрию как студентов, так и преподавателей-наблюдателей — если камера фиксирует лицо педагога, это тоже обработка биометрических ПДн.

Использование зарубежных платформ (Google Classroom, Zoom, Microsoft Teams) для работы с данными преподавателей создаёт риск нарушения требований локализации по ч. 5 ст. 18 ФЗ-152 с 01.07.2025. Юрист должен проверить, где физически хранятся данные пользователей в рамках корпоративных соглашений. Если серверы расположены за пределами России — либо данные переносятся на российские ресурсы, либо подаётся уведомление о трансграничной передаче.

Что грозит образовательной организации за нарушения при обработке ПДн преподавателей?

Ответственность за нарушения при обработке ПДн работников наступает по ст. 13.11 КоАП в редакции ФЗ-420 от 30.11.2024 (действует с 30.05.2025). Для образовательных организаций наиболее вероятны следующие составы.

Обработка без надлежащего согласия или с нарушением его состава — ч. 2 ст. 13.11: 300 000–700 000 ₽ для юридического лица. Повторное нарушение по ч. 2.1 — 1 000 000–1 500 000 ₽. Неопубликование политики обработки ПДн — ч. 3 ст. 13.11: 30 000–60 000 ₽. Невыполнение требования работника об уточнении или уничтожении ПДн — ч. 5 ст. 13.11: 50 000–90 000 ₽. Неуведомление РКН об утечке в 24 часа — ч. 11 ст. 13.11: 1 000 000–3 000 000 ₽.

С 11.12.2024 действует ст. 272.1 УК РФ (ФЗ-421 от 30.11.2024): незаконные сбор, хранение или передача компьютерной информации с ПДн. Максимальное наказание по ч. 5 — лишение свободы до 10 лет. Это уже не административная, а уголовная ответственность, которая может быть применена к должностным лицам организации при умышленных действиях с базой данных преподавателей.

Частые вопросы

1. Когда нужно согласие родителей при обработке ПДн преподавателей?

Согласие родителей требуется не при обработке ПДн преподавателей как работников, а при обработке ПДн несовершеннолетних обучающихся. Если преподаватель обрабатывает персональные данные учеников в рамках образовательного процесса — он действует как уполномоченное лицо оператора. Оператором выступает образовательная организация. Согласие родителей (законных представителей) на обработку ПДн детей до 14 лет необходимо по ст. 9 ФЗ-152, поскольку несовершеннолетние не могут давать согласие самостоятельно.

2. Можно ли использовать Google Classroom для работы с данными преподавателей?

С 01.07.2025 первичный сбор, систематизация и хранение ПДн граждан РФ должны осуществляться в базах данных, расположенных на территории России (ч. 5 ст. 18 ФЗ-152). Google Classroom хранит данные на серверах преимущественно за рубежом. Использование без подачи уведомления о трансграничной передаче создаёт риск нарушения, штраф по ч. 8 ст. 13.11 — от 1 000 000 до 6 000 000 ₽. Альтернативы — российские платформы (Яндекс 360, Сферум) или заключение соглашения с Google с подачей уведомления в РКН.

3. Что такое прокторинг с точки зрения 152-ФЗ?

Прокторинг — это система контроля за прохождением онлайн-экзамена, которая фиксирует изображение лица, движения глаз, голос и сведения об окружении. Все эти данные относятся к биометрическим ПДн по ст. 11 ФЗ-152. Оператор прокторинговой системы обязан получить письменное согласие субъекта (студента, а при его несовершеннолетии — родителя) до начала сессии. Если прокторинг применяется при аттестации преподавателей — тот же порядок распространяется на педагогов.

4. Кто является оператором ПДн в онлайн-школе?

В онлайн-школе оператором ПДн является юридическое лицо (ИП), которое определяет цели и способы обработки данных обучающихся и преподавателей. Если онлайн-школа использует внешнюю LMS или платёжный сервис, которые обрабатывают ПДн — она обязана заключить с ними договор поручения по п. 3 ст. 6 ФЗ-152. Преподаватель в онлайн-школе, работающий как самозанятый или ИП, может выступать самостоятельным оператором в части данных своих учеников — тогда он обязан подать уведомление в РКН по ст. 22 ФЗ-152.

5. Что грозит школе за утечку ПДн преподавателей?

Ответственность зависит от масштаба утечки. При утечке от 1 000 до 10 000 субъектов — штраф 3 000 000–5 000 000 ₽ по ч. 12 ст. 13.11. При отсутствии уведомления РКН в течение 24 часов — дополнительный штраф 1 000 000–3 000 000 ₽ по ч. 11. Если в утечке участвовал сотрудник умышленно — возможна уголовная ответственность по ст. 272.1 УК РФ. Государственные школы без коммерческой выручки также привлекаются к ответственности: административные санкции применяются к юридическому лицу вне зависимости от формы собственности.

Итог

ПДн преподавателей обрабатываются в нескольких режимах: как данные работников по трудовому законодательству, как биометрия в СКУД и на сайте, как данные субъектов дистанционных систем. Каждый режим требует отдельного правового основания, а с 01.09.2025 — и отдельного согласия. Юрист образовательной организации отвечает за то, чтобы ОРД покрывал все эти категории, а не только учеников.

DATUM сопровождает образовательные организации — школы, вузы, онлайн-школы, EdTech-платформы — в части приведения обработки ПДн работников и обучающихся в соответствие с ФЗ-152, подготовки к проверкам РКН и реагирования на инциденты.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка обработки ПДн работников и обучающихся по чек-листу из 38 пунктов.
• Комплект ОРД под ключ — политика, согласия, приказы и регламент реагирования для образовательной организации.
• DPO-аутсорсинг — абонентское сопровождение функции ответственного за обработку ПДн по ст. 22.1 ФЗ-152.

1 декабря 2026 года