Ответственный за персональные данные в онлайн-школе: нужно ли назначать и кто подойдёт
Каждая онлайн-школа, которая собирает данные студентов, обязана назначить ответственного за организацию обработки персональных данных — это требование ч. 1 ст. 18.1 152-ФЗ (проверено: май 2026). Без такого назначения оператор нарушает закон вне зависимости от размера бизнеса. Ответственным может быть штатный сотрудник, руководитель или внешний специалист. Важно правильно оформить приказ и разместить контакты на сайте — именно по ним субъекты персональных данных будут направлять обращения.
Многие владельцы онлайн-школ думают, что ответственный за персональные данные нужен только крупным компаниям с тысячами клиентов и отдельным IT-отделом. Это заблуждение. Закон не делает исключений по размеру бизнеса: если вы собираете имена и email-адреса студентов для курсов — вы оператор персональных данных и обязаны назначить ответственного.
Разберём, кто именно должен быть назначен, что он делает на практике, как правильно оформить это юридически и что будет, если проигнорировать требование.
Кто такой ответственный за ПДн и зачем он нужен
Ответственный за организацию обработки персональных данных — это лицо, которое следит за тем, чтобы онлайн-школа соблюдала 152-ФЗ (проверено: май 2026). Он не несёт личной ответственности за нарушения вместо работодателя, но является точкой контакта между оператором, РКН и субъектами данных. Его контакты размещаются на сайте, и именно к нему поступают обращения от студентов с требованиями об удалении данных или отзывом согласия.
Понять роль ответственного за ПДн проще через аналогию: это как инспектор по охране труда в компании. Он не обязан лично устранять каждую опасность, но следит за тем, чтобы в организации были нужные инструкции, проводились проверки и фиксировались нарушения. Реальная ответственность остаётся за руководителем, а ответственный обеспечивает систему.
Для онлайн-школы ответственный за ПДн выполняет несколько конкретных функций:
- Контролирует актуальность политики обработки персональных данных
- Принимает и обрабатывает обращения студентов: запросы на доступ к данным, требования об удалении, отзывы согласий
- Взаимодействует с РКН при проверках и запросах
- Следит за тем, чтобы подрядчики (CRM, email-рассылки, GetCourse) работали в рамках договоров с обязательствами по защите ПДн
- Организует внутреннее обучение сотрудников, которые работают с данными студентов
Подробнее о том, что входит в политику обработки персональных данных, читайте в статье о политике обработки ПДн.
Обязательно ли назначать: ответ однозначный
Да, обязательно для любого оператора персональных данных — вне зависимости от размера бизнеса. Ч. 1 ст. 18.1 152-ФЗ (проверено: май 2026) прямо обязывает оператора назначить лицо, ответственное за организацию обработки персональных данных. Онлайн-школа становится оператором с момента первого сбора данных — хотя бы одного имени и email при регистрации на курс.
Исключений в законе нет. Это требование распространяется на:
- ИП с курсами для пяти студентов
- самозанятых репетиторов, которые ведут запись клиентов в таблице
- небольшие образовательные проекты без штата
- крупные EdTech-компании с тысячами учеников
ч. 1 ст. 18.1 — норма, которая обязывает каждого оператора персональных данных назначить ответственного. Действует с 2006 года, ужесточена в 2022-2023 годах
Важный нюанс: закон требует именно назначить конкретное лицо, а не просто распределить функции между несколькими сотрудниками. Если в компании нет назначенного ответственного — это формальное нарушение, даже если фактически кто-то занимается вопросами персональных данных.
Узнайте об актуальных штрафах за нарушения в области ПДн в статье о новых штрафах 2025 года. Ответы на частые вопросы об операторах ПДн также есть в разделе FAQ ЭдПрав.
Кто может быть ответственным за персональные данные
Ответственным может быть штатный сотрудник, сам руководитель (ИП или директор), или внешний специалист по договору оказания услуг. Закон не устанавливает квалификационных требований к этой роли. Главное — чтобы человек понимал суть требований 152-ФЗ (проверено: май 2026) и реально выполнял возложенные функции, а не только числился на бумаге.
| Вариант | Плюсы | Минусы | Подходит для |
|---|---|---|---|
| Руководитель (ИП / директор) | Не нужно дополнительных назначений, полный контроль | Нет времени заниматься этим реально | Микробизнес, ИП-одиночки |
| Штатный сотрудник (юрист, HR, администратор) | Погружён в процессы компании, доступен | Нужно обучение, возможна перегрузка | Малый и средний бизнес |
| Внешний специалист / аутсорсинг | Профессиональные знания, не нужен штат | Меньше погружения в специфику, стоимость | Компании без юридической функции в штате |
| Отдельная штатная единица (DPO) | Специализация, чёткое разделение ответственности | Затратно, оправдано только при большом объёме ПДн | Крупные EdTech-платформы |
Для большинства небольших онлайн-школ оптимальный вариант — назначить руководителя или одного из ключевых сотрудников. Главное не формальность назначения, а то, чтобы этот человек действительно отвечал на обращения студентов и отслеживал актуальность документации.
Если вы работаете на аутсорсинге с подрядчиками, которые обрабатывают данные ваших студентов (например, CRM-система или сервис рассылок), ответственный за ПДн также контролирует наличие надлежащих договоров с ними. Подробнее о передаче данных подрядчикам читайте в статье о передаче ПДн подрядчикам.
Как оформить назначение: приказ и контакты на сайте
Назначение оформляется приказом руководителя организации (или решением ИП). Контактные данные ответственного должны быть размещены на сайте — это прямое требование закона, чтобы субъекты персональных данных могли обратиться с запросами. Отсутствие контактов ответственного на сайте — отдельное нарушение, которое фиксируют при проверках.
Приказ о назначении должен содержать:
Чек-лист: обязательные элементы приказа
- ✓ ФИО назначаемого сотрудника и его должность
- ✓ Основание — ч. 1 ст. 18.1 Федерального закона No 152-ФЗ
- ✓ Дата вступления в должность ответственного
- ✓ Перечень обязанностей (можно отдельным приложением — должностной инструкцией)
- ✓ Подпись руководителя и назначаемого сотрудника
- ✓ Если внешний специалист — ссылка на договор оказания услуг
Контакты на сайте размещаются в нескольких местах:
- В политике обработки персональных данных — обязательно
- На странице «Контакты» — рекомендуется
- В нижнем колонтитуле сайта (footer) — рекомендуется, особенно если политика ПДн вынесена отдельно
Достаточно указать: имя (можно без полного ФИО), должность и email или форму обратной связи. Публиковать личный телефон необязательно. Главное — чтобы студент мог направить запрос и получить ответ в течение 30 дней.
Пример формулировки для сайта:
«Ответственный за организацию обработки персональных данных: Иванова Анна Сергеевна, специалист по правовым вопросам. Контакт для обращений: privacy@yourschool.ru»
Если у вас до сих пор не оформлена политика обработки персональных данных, начните с неё — там же разместите и контакты ответственного. Подробный разбор того, что должна содержать политика, есть в соответствующей статье блога.
Что входит в обязанности ответственного
Перечень обязанностей ответственного за ПДн определяется внутренними документами оператора, но ч. 1 ст. 18.1 152-ФЗ (проверено: май 2026) задаёт минимальный набор: организация обработки, внутренний контроль, оценка вреда, ознакомление сотрудников с требованиями. На практике это означает работу с обращениями субъектов, актуализацию документов и надзор за подрядчиками.
Разберём основные задачи по блокам:
Работа с обращениями субъектов:
- Принимать запросы студентов на доступ к их данным (ответ — в течение 30 дней)
- Обрабатывать требования об удалении или исправлении данных
- Принимать отзывы согласий на обработку ПДн
- Вести учёт обращений и сроков ответа
Внутренние процессы:
- Следить за актуальностью политики обработки ПДн
- Проверять, что форма согласия на сайте соответствует требованиям
- Контролировать наличие договоров с подрядчиками об обработке ПДн
- Организовывать ознакомление новых сотрудников с требованиями по ПДн
Взаимодействие с РКН:
- Организовывать ответы на запросы Роскомнадзора при проверках
- Поддерживать актуальность уведомления об операторе в реестре РКН
- При утечке данных — координировать уведомление РКН (первое — в течение 24 часов)
О том, как онлайн-школе встать на учёт в РКН, читайте в статье об уведомлении РКН. Глоссарий терминов по персональным данным доступен в разделе глоссария ЭдПрав.
Что будет без назначения ответственного
Отсутствие назначенного ответственного за ПДн является нарушением ч. 1 ст. 18.1 152-ФЗ (проверено: май 2026). При плановой или внеплановой проверке РКН это фиксируется как самостоятельное нарушение. Штраф по ч. 1 ст. 13.11 КоАП для юрлица составляет от 60 000 до 100 000 рублей, для ИП — от 10 000 до 20 000 рублей. Помимо штрафа выдаётся предписание об устранении.
максимальный штраф для юридического лица за нарушение требований ст. 18.1 152-ФЗ об организации обработки персональных данных (ч. 1 ст. 13.11 КоАП)
Важно понимать, что проверки РКН бывают не только плановые. Внеплановая проверка может начаться после жалобы одного студента, который пожаловался, что не смог связаться с ответственным за ПДн или не получил ответа на запрос об удалении данных в установленный срок.
Отсутствие ответственного также создаёт практические риски:
- Запросы студентов на удаление данных остаются без ответа — нарушение ст. 21 152-ФЗ
- При утечке данных нет назначенного координатора процесса реагирования
- Подрядчики, работающие с данными студентов, могут нарушать договорные условия без контроля
- Устаревшая политика ПДн на сайте при изменении реальных процессов обработки
Стоимость устранения нарушений по итогам проверки РКН, как правило, значительно превышает стоимость превентивной настройки. Проверить соответствие ваших документов и назначений требованиям закона можно через сервисы ЭдПрав.
Частые вопросы
Обязана ли онлайн-школа назначить ответственного за персональные данные?
Может ли директор или ИП сам быть ответственным за ПДн?
Нужно ли указывать контакты ответственного на сайте?
Какой штраф грозит за отсутствие назначенного ответственного?
Может ли ответственным за ПДн быть сам ИП?
Да, ИП может назначить себя ответственным за организацию обработки персональных данных. Для этого не нужно отдельного приказа — достаточно зафиксировать это в политике обработки ПДн и разместить свои контактные данные на сайте. Единственное ограничение: нужно реально выполнять функции ответственного, а не только числиться им формально.
Нужно ли платить ответственному за ПДн дополнительно?
Закон не обязывает устанавливать отдельную надбавку. Если функции ответственного возлагаются на штатного сотрудника дополнительно к основным обязанностям, это оформляется приказом о совмещении должностей или расширении зон ответственности. Размер компенсации — на усмотрение работодателя. На практике небольшие онлайн-школы нередко оформляют руководителя ответственным без доплаты, поскольку объём задач невелик.
Если ответственный за ПДн уволился, что делать?
Нужно как можно быстрее назначить нового ответственного — изданием нового приказа. Период без назначенного ответственного формально является нарушением 152-ФЗ. На сайте следует обновить контактные данные. Передача дел: новый ответственный должен ознакомиться с текущей политикой ПДн, действующими согласиями, договорами с подрядчиками и открытыми обращениями субъектов.
Обязательно ли указывать на сайте полные ФИО ответственного?
Закон не требует публиковать полные персональные данные ответственного. Достаточно указать имя (или должность) и контактный email или форму для обращений. Это делается для того, чтобы субъект персональных данных мог направить запрос и получить ответ — а не чтобы собрать досье на вашего сотрудника. На практике чаще указывают корпоративный email вроде privacy@school.ru или dpo@school.ru без имени конкретного сотрудника — это тоже приемлемо.
Нужно ли уведомлять РКН о назначении ответственного?
Нет, специального уведомления РКН о назначении ответственного за ПДн не требуется. Но при подаче или обновлении уведомления об операторе персональных данных (через реестр РКН) контактные данные ответственного за ПДн указываются в этой форме. Подробнее о порядке уведомления РКН читайте в пошаговой инструкции по уведомлению РКН.
Не хотите разбираться сами?
ЭдПрав проверит ваши документы по персональным данным: политику обработки, формы согласий, приказ о назначении ответственного. Справочные вопросы к AI-юристу бесплатно, без ограничений. Персонализированная проверка с верификацией юристом от 396 руб. за запрос.
Статья подготовлена на основе актуального законодательства РФ на май 2026 года. Для получения консультации по вашему конкретному случаю рекомендуем обратиться к специалисту.
Не хотите разбираться сами?
ЭдПрав проверит ваш сайт и подготовит все необходимые документы. От 396 ₽ за запрос.
Попробовать бесплатно →