Шесть вопросов о персональных данных к любому поставщику

Согласование на использование внешнего сервиса подписывает не поставщик, а ответственный за информатизацию школы, и перед родителем и проверяющим отвечать будет школа как оператор персональных данных. Отсюда единственный работающий порядок: задать всем кандидатам одинаковый набор вопросов, получить ответы письмом и сравнить их между собой. Ниже шесть вопросов и статьи, на которые каждый из них опирается.

Коротко: фраза «мы соответствуем 152-ФЗ» не является документом. Документы — это поручение на обработку по части 3 статьи 6, ответ о стране размещения баз, перечень субподрядчиков, срок уничтожения данных, порядок уведомления об инциденте и описание того, что видит родитель.

Почему заверение о соответствии ничего не закрывает

Передавая данные ученика во внешний сервис, школа не перестаёт быть оператором. Часть 3 статьи 6 152-ФЗ описывает эту конструкцию прямо: обработку можно поручить другому лицу по договору, но ответственность перед субъектом персональных данных остаётся на операторе. Поставщик отвечает перед школой, школа отвечает перед родителем.

Есть ещё два документа, о которых поставщик не вспоминает, потому что они адресованы школе. Постановление Правительства от 01.11.2012 № 1119 определяет уровень защищённости информационной системы персональных данных, а приказ ФСТЭК России от 18.02.2013 № 21 задаёт состав организационных и технических мер для каждого уровня. Ни то, ни другое поставщик за школу не выполнит. Согласование подписывается под конкретные документы, и письмо «у нас всё по закону» к ним не относится.

Шесть вопросов, одинаковых для всех кандидатов

1. Какие поля собираются в аккаунте ребёнка? Перечислите их

Ответ «только минимально необходимые» не принимается: нужен список полей. Проверяется он за пять минут, регистрацией тестового аккаунта, и расхождение между списком и формой регистрации говорит о поставщике больше любой презентации. Отдельно спросите про дату рождения и возраст: их чаще всего собирают без нужды.

2. В какой стране физически находятся базы с этими данными?

Часть 5 статьи 18 152-ФЗ в редакции, действующей с 1 июля 2025 года, сформулирована как прямой запрет записи и хранения персональных данных граждан России в базах за пределами страны; само требование введено 242-ФЗ. В ответе нужна страна; название облачного провайдера страной не является. Если предполагается трансграничная передача, спросите про уведомление в Роскомнадзор: часть 3 статьи 12 требует подать его до начала передачи.

3. Кто ещё получает доступ: назовите субподрядчиков

Хостинг, база данных, почтовые рассылки, аналитика на сайте. Ответ «третьим лицам не передаём» при работающем на сервисе счётчике аналитики неверен, и это проверяется открытием сайта с панелью разработчика. Политика конфиденциальности, в которой субподрядчики не перечислены, отвечает на вопрос отрицательно.

4. Через какой срок данные уничтожаются после расторжения и как это подтверждается?

Статья 21 152-ФЗ описывает обязанности по уточнению, блокированию и уничтожению. От поставщика нужен срок в днях и способ подтверждения. Заодно спросите, удаляет ли школа аккаунт сама из интерфейса или удаление идёт письменным обращением: в конце учебного года это разные операционные риски.

5. Готовы ли вы подписать поручение на обработку?

Поручение содержит перечень действий с данными, цели обработки, обязанность соблюдать конфиденциальность и требования к безопасности. Отказ подписать поручение — это тоже ответ, и он избавляет вас от дальнейшей переписки.

6. В какой срок вы сообщите школе об инциденте?

Часть 3.1 статьи 21 обязывает уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента и в течение 72 часов сообщить о результатах внутреннего расследования. В эти сроки школа не уложится, если узнает об утечке на третий день. Цена вопроса зафиксирована в статье 13.11 КоАП, вплоть до оборотного штрафа от одного до трёх процентов выручки за повторную утечку.

И вопрос, который задают реже: что видит родитель?

Согласие законного представителя предусмотрено статьёй 9 152-ФЗ, и полномочия представителя проверяет оператор, то есть школа. Родитель, подписавший согласие, вправе понимать, что именно видит о его ребёнке посторонняя организация. Спросите, есть ли у родителя собственный доступ к данным ребёнка: от ответа зависит формулировка согласия.

Наши ответы на эти же шесть вопросов

Набор вопросов бесполезен, если его автор уклоняется от собственных ответов. Meta Typing Club отвечает так.

Поля аккаунта ребёнка: имя, фамилия, языки практики. Возраст и дата рождения не собираются вообще, такого поля нет ни в модели данных, ни в интерфейсе. Аккаунт создаёт учитель или родитель, адрес почты ребёнка не требуется, логин и пароль формируются автоматически.

Страна размещения баз: не подтверждаем. Инфраструктура внешняя, регион базы данных в документации не зафиксирован, политика конфиденциальности не называет ни места хранения, ни субподрядчиков, ни срока хранения. В реестре российского программного обеспечения платформы нет, в федеральном перечне электронных образовательных ресурсов тоже. Для использования на уроке это дисквалифицирующий факт, и смягчать его мы не будем.

Удаление аккаунта выполняется по письменному обращению, самостоятельного удаления в интерфейсе нет. Стоимость: личное использование бесплатное - человек учится сам, семья, родитель со своим ребёнком. На своём аккаунте учитель может бесплатно оценить платформу максимум на пяти учениках; это ознакомление, а не пилот, и школьное согласование оно не заменяет. Работа с классом, доступ для школы, района или организации - это коммерческое использование, оно платное и определяется по запросу, публичной цены за ученика нет. Поручение на обработку обсуждается вместе с договором на школьный доступ.

Три ответа из шести для государственной школы отрицательные, и узнать это до согласования дешевле, чем после.

Режим, в котором вопрос о локализации не возникает

Требование о размещении баз привязано к персональным данным. Если школа их не передаёт, к этому обмену оно не применяется, и технически такой режим доступен.

Пилот запускается на учебных логинах вида «2б-07» или «уч-14». Фамилии и имена не вводятся, почта ребёнка не нужна, возраст платформа не запрашивает. Таблица сопоставления логина и ученика остаётся в школе, на бумаге или в школьной системе. Наружу уходит бессмысленный идентификатор и метрики набора.

Границу назовём сразу. Это режим, который согласуется с ответственным за информационную безопасность и фиксируется в приказе о пилоте, а не юридическое заключение. Школа остаётся оператором персональных данных по собственным записям, включая ту самую таблицу. И в момент, когда в платформу вводятся настоящие фамилии, режим меняется, а вопрос о локализации возвращается целиком.

Перед всем этим есть шаг, экономящий неделю: откройте домен с рабочего места в самом кабинете. Школьные каналы идут через единую сеть передачи данных с централизованной контентной фильтрацией, и внешний домен может не открыться независимо от согласований. Тогда вопрос адресуется оператору сети и муниципальному администратору фильтрации, и решается он до сбора согласий. Проверка домена из кабинета занимает десять минут и снимает риск, который никакая переписка с поставщиком не закрывает.

Что спрашивают чаще всего

Сколько это стоит в расчёте на одного ученика в год?

У Meta Typing Club публичной цены за ученика нет. Бесплатно только личное использование: сам человек, семья, родитель со своим ребёнком. Работа с классом - это уже школьное использование, а значит коммерческое и платное; школьный доступ определяется по запросу. На своём аккаунте учитель может провести один ознакомительный класс не более чем на пяти учениках - это оценка платформы, а не рабочий класс, и школьное согласование она не заменяет. Если вы сравниваете поставщиков, требуйте цифру за ученика в год письмом, иначе бюджет на четыре параллели не спланировать ни по одному из них.

Учитель хочет начать сам, без закупки. Это снимает согласование?

Нет, и деньги здесь ни при чём: согласование относится к данным и регламентам. Про деньги поправка: бесплатно только личное использование, на своём аккаунте учитель посмотрит платформу максимум на пяти учениках, а класс - это школьное использование, платное и по запросу. Понадобятся приказ о пилоте, согласия родителей и ваша подпись: без них это обработка данных учеников без основания, за которую при проверке отвечает школа по статье 13.11 КоАП.

У нас собраны согласия родителей. Этого достаточно для локализации?

Нет. Требование части 5 статьи 18 относится к тому, где происходит обработка. Согласие закрывает основание обработки; место размещения баз оно не меняет.

Поставщик отказывается подписывать поручение. Что это означает?

Что передавать ему персональные данные учеников нельзя. Поручение по части 3 статьи 6 является условием законной передачи, и без него школа принимает риск на себя целиком.

Домен не открывается из кабинета. К кому обращаться?

К оператору единой сети передачи данных и муниципальному администратору контентной фильтрации, заявкой с указанием домена и учебной цели. Проверку делайте именно в кабинете: профили доступа в разных сегментах школьной сети различаются. Состав функций, которые понадобится описать в заявке, есть в справочном разделе.

Как этим пользоваться

Отправьте шесть вопросов одним письмом всем поставщикам короткого списка, включая нас, и назначьте срок ответа. Сравнивать вы будете шесть одинаковых столбцов вместо шести презентаций, и решение станет объяснимым директору, родителю и проверяющему. Поставщик, приславший письменные ответы со ссылками на статьи, уже отличается от того, кто прислал сертификат картинкой, а содержание уроков вы посмотрите после того, как закроете вопрос допуска. Письменный ответ на все шесть вопросов - это тот минимум, ниже которого поставщика можно не рассматривать.