Что делать если коллега-преподаватель разгласил персональные данные ученика
Если преподаватель или другой сотрудник онлайн-школы разгласил персональные данные ученика — передал их третьим лицам, опубликовал в чате или показал без согласия — школа как оператор ПДн несёт ответственность по ст. 17 ФЗ №152 вне зависимости от того, кто именно это сделал. Штраф для юридического лица или ИП по ч. 7 ст. 13.11 КоАП составляет от 100 000 до 300 000 рублей. Первые 24 часа после обнаружения инцидента критичны: нужно зафиксировать факт нарушения, оценить масштаб, уведомить РКН и принять внутренние меры к сотруднику.
Такая ситуация случается чаще, чем кажется. Преподаватель переслал список учеников группы в личный Telegram-чат. Куратор поделился оценками студента с другим куратором в общем рабочем канале. Сотрудник отдела продаж показал карточку клиента знакомому. Во всех этих случаях школа оказывается в зоне риска — даже если сотрудник действовал из лучших побуждений или по недосмотру.
Разберём пошагово: что считается разглашением ПДн по закону, кто реально несёт ответственность, как документировать инцидент и уведомлять Роскомнадзор — и что сделать, чтобы такого больше не повторялось.
1. Тип нарушения: что именно нарушил сотрудник
Разглашение ПДн — это передача персональных данных субъекта третьим лицам без его согласия или без законного основания. Ответственность несёт не только сотрудник лично, но и организация как оператор ПДн. По ч. 7 ст. 13.11 КоАП (проверено: май 2026) штраф для юрлица составляет от 100 000 до 300 000 рублей.
По ст. 3 ФЗ №152 «О персональных данных» (проверено: май 2026) к персональным данным относится любая информация, которая прямо или косвенно позволяет идентифицировать физическое лицо. Применительно к онлайн-школе это: ФИО ученика, номер телефона, email, фотография, данные о прогрессе обучения, оценки и отзывы, платёжная информация.
Разглашение может произойти в разных формах — и не всегда очевидных:
| Ситуация | Нарушение? | Норма |
|---|---|---|
| Преподаватель переслал список группы в личный чат | Да | ст. 7 ФЗ №152 |
| Куратор обсудил оценки студента с коллегой в общем канале | Да | ст. 7 ФЗ №152 |
| Сотрудник показал карточку клиента на экране третьему лицу | Да | ст. 7 ФЗ №152 |
| Преподаватель упомянул имя ученика в отзыве без согласия | Да | ст. 9 ФЗ №152 |
| Куратор передал контакты ученика другому ученику для связи | Да | ст. 7 ФЗ №152 |
| Сотрудник обсудил данные клиента с коллегой в рамках рабочей задачи | Нет, если есть приказ о доступе | ст. 6 ФЗ №152 |
Ключевой момент по ст. 17 ФЗ №152 (проверено: май 2026): ответственность наступает как для самого нарушителя (дисциплинарная, а при умысле — уголовная по ст. 137 УК РФ), так и для организации как оператора ПДн (административная). Школа не может «переложить» ответственность только на сотрудника — РКН придёт именно к ней.
максимальный штраф для юрлица по ч. 7 ст. 13.11 КоАП за передачу ПДн без согласия субъекта
2. Первые 24 часа: что делает школа
После обнаружения инцидента с ПДн у школы есть 24 часа на первичное уведомление РКН (если данные утекли вовне) и параллельно — на внутренние действия по локализации. Промедление усугубляет ситуацию: РКН при проверке смотрит на дату обнаружения и дату уведомления.
Действуйте по следующей схеме — сразу после того, как узнали о факте разглашения:
Чек-лист: первые 24 часа после инцидента с ПДн
- ✓ Зафиксировать время и обстоятельства обнаружения инцидента (скриншоты, переписка, показания очевидцев)
- ✓ Установить, какие именно данные были разглашены и кому
- ✓ Оценить масштаб: один субъект ПДн или несколько, чувствительные данные или нет
- ✓ Отстранить сотрудника от доступа к ПДн до завершения внутреннего расследования
- ✓ Определить ответственного за реагирование (ответственный за ПДн по ст. 18.1 ФЗ №152)
- ✓ Инициировать уведомление РКН через Госуслуги (если данные вышли за периметр организации)
- ✓ Уведомить затронутого ученика (ученика, чьи данные разглашены)
- ✓ Начать оформление внутреннего акта об инциденте
Отдельный момент: нужно ли уведомлять РКН, если данные остались «внутри» — например, преподаватель показал карточку студента другому преподавателю? Формально по ст. 21 ФЗ №152 (проверено: май 2026) и поправкам, вступившим в силу с 30 мая 2025, уведомление обязательно при любой утечке, которая привела к несанкционированному доступу. Если данные вышли только к другому сотруднику в рамках допустимых полномочий — можно ограничиться внутренним актом. Если вышли за пределы — уведомляем РКН.
Подробнее о порядке действий при утечке читайте в статье «Утечка ПДн в онлайн-школе: что делать в первые 24 часа».
3. Документирование инцидента
Правильно оформленный акт об инциденте с ПДн — это ваша главная защита при проверке РКН. Он доказывает, что школа отреагировала своевременно и приняла меры. Без документации любые ваши слова о «немедленной реакции» — просто слова.
Акт об инциденте должен содержать как минимум следующее:
| Раздел акта | Что включить |
|---|---|
| Дата и время обнаружения | Точное время, кто обнаружил, каким образом |
| Описание инцидента | Что произошло, какие данные затронуты, кому переданы |
| Субъекты ПДн | Сколько человек пострадало, какие категории данных |
| Виновное лицо | ФИО сотрудника, должность, каким образом получил доступ |
| Принятые меры | Что сделано немедленно: отзыв доступа, уведомление, блокировка |
| Дата уведомления РКН | Номер обращения, скриншот или подтверждение |
| Ответственный | ФИО и должность лица, составившего акт |
Параллельно с актом соберите доказательную базу: скриншоты переписки или сообщений с разглашёнными данными, распечатки из CRM или LMS с отметками доступа, показания других сотрудников (в письменной форме с подписями), журнал доступа к системам если он ведётся.
Важно: никогда не удаляйте следы инцидента «чтобы не было лишних вопросов». РКН при проверке легко устанавливает подобные попытки сокрытия, и это кратно увеличивает риск штрафа и даже уголовного преследования руководства по ст. 274.1 УК РФ.
срок для направления полного уведомления об инциденте в РКН после первичного 24-часового уведомления (ст. 21 ФЗ №152, поправки с мая 2025)
4. Уведомление РКН и самого ученика
При утечке ПДн за пределы организации школа обязана уведомить РКН дважды: первично — в течение 24 часов (факт инцидента), и расширенно — в течение 72 часов (полная информация о масштабе и мерах). Также нужно уведомить самого ученика, чьи данные были разглашены.
Уведомление РКН подаётся через единую форму на Госуслугах. Первичное уведомление (24 часа) включает:
- Наименование оператора и ИНН
- Дата и время инцидента или его обнаружения
- Краткое описание: что произошло
- Предполагаемые причины
- Вред, который может быть причинён субъектам ПДн
Расширенное уведомление (72 часа) дополняется:
- Точный перечень затронутых субъектов и категорий ПДн
- Принятые меры по устранению последствий
- Планируемые меры по предотвращению повторения
- Сведения о лице, ответственном за ПДн
Уведомление самого ученика — отдельное требование. По ст. 21 ФЗ №152 (проверено: май 2026) оператор обязан сообщить субъекту ПДн о факте разглашения его данных. Единого обязательного формата нет, но лучше направить письменное уведомление с описанием: какие данные были разглашены, кому, что школа предприняла, и как ученик может защитить свои интересы.
О том, кто должен вести работу с РКН в вашей школе, читайте в статье «Ответственный за персональные данные в онлайн-школе: нужно ли назначать».
5. Внутренние санкции к сотруднику
Сотрудник, разгласивший ПДн, может быть привлечён к дисциплинарной ответственности — вплоть до увольнения по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ. Однако для этого разглашение должно быть надлежаще оформлено, а сотрудник — заранее ознакомлен с режимом конфиденциальности под роспись.
Варианты дисциплинарных санкций — от мягкого к жёсткому:
Виды дисциплинарных мер за разглашение ПДн
- ✓ Замечание — при первичном нарушении без умысла и значительного ущерба
- ✓ Выговор — при повторном нарушении или при наступлении негативных последствий для ученика
- ✓ Увольнение по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ — за разглашение охраняемой законом тайны, если режим коммерческой/конфиденциальной информации был введён в организации
- ✓ Привлечение к материальной ответственности (ст. 238 ТК РФ) — за прямой ущерб, причинённый работодателю штрафами РКН
Критически важный момент: уволить сотрудника «за разглашение ПДн» можно только если в организации введён режим конфиденциальности персональных данных. Это означает: есть локальный нормативный акт (Положение о ПДн или Политика конфиденциальности для сотрудников), сотрудник ознакомлен с ним под роспись при приёме на работу или позже, и в трудовом договоре или должностной инструкции прямо прописана обязанность соблюдать конфиденциальность ПДн.
Если этого нет — уволить за разглашение законно не получится. Максимум — выговор. Это ещё одна причина не откладывать оформление политики обработки ПДн и ознакомительных листов.
Отдельно: если разглашение было умышленным и причинило существенный вред (например, данные ученика были переданы конкурирующей школе), можно рассматривать обращение в полицию по ст. 137 УК РФ (нарушение неприкосновенности частной жизни) — особенно если разглашена была чувствительная информация (здоровье, финансы, семейные обстоятельства).
6. Как предотвратить в будущем: системные меры
Один инцидент — это случайность. Два инцидента — это проблема с системой. Чтобы разглашение ПДн сотрудниками не повторялось, нужны не только локальные акты, но и технические меры ограничения доступа и регулярное обучение персонала.
Системная защита строится на трёх уровнях:
Организационный уровень. Разработайте и внедрите Политику конфиденциальности для сотрудников. Пропишите в ней: какие данные являются ПДн, кто имеет право доступа к каким данным, что считается разглашением, и какие санкции применяются. Ознакомьте каждого сотрудника под роспись — это ваш главный правовой инструмент при дисциплинарных разбирательствах.
Технический уровень. Разграничьте доступ к системам с ПДн по принципу «минимально необходимого»: преподаватель видит только своих учеников, куратор — только свою группу, бухгалтер — только платёжные данные. Ведите журнал доступа в CRM и LMS — это помогает и при расследовании инцидентов, и при проверках РКН. Настройте запрет на экспорт данных в личные мессенджеры.
Обучение персонала. Проводите вводный инструктаж для новых сотрудников по обращению с ПДн. Раз в год — повторный инструктаж. Фиксируйте факт обучения в журнале. Это не занимает много времени (30-40 минут), но существенно снижает риск «нарушения по незнанию» — самого распространённого типа инцидентов в онлайн-школах.
| Мера защиты | Стоимость внедрения | Снижение риска |
|---|---|---|
| Политика конфиденциальности + ознакомление под роспись | Низкая (юридическая услуга или шаблон) | Высокое (даёт основание для санкций) |
| Разграничение доступа в CRM/LMS | Средняя (настройка ролей) | Высокое (техническое предотвращение) |
| Журнал доступа к ПДн | Низкая (настройка логирования) | Среднее (доказательная база) |
| Обучение сотрудников (1 раз в год) | Низкая | Среднее (снижает нарушения по незнанию) |
| NDA-соглашение о конфиденциальности с ПДн-разделом | Низкая | Высокое (гражданско-правовая ответственность) |
Если вы ещё не настроили процедуру получения согласия на обработку ПДн от учеников — это тоже часть системной защиты. Без действующего согласия любое использование данных (даже внутри школы) становится уязвимостью.
Стоимость персонализированной проверки ваших документов по ПДн — от 396 руб. за запрос.
Часто задаваемые вопросы
Что грозит школе, если ученик пожалуется в РКН на разглашение его данных сотрудником?
РКН проведёт проверку: запросит документы об обработке ПДн, журналы доступа, Политику конфиденциальности. Если нарушение подтвердится и школа не уведомила РКН самостоятельно — штраф по ч. 7 ст. 13.11 КоАП составит от 100 000 до 300 000 рублей. При повторном нарушении (ч. 8 ст. 13.11 КоАП) — до 500 000 рублей. Если школа успела уведомить РКН самостоятельно до жалобы и приняла меры — это учитывается как смягчающее обстоятельство.
Можно ли уволить преподавателя за то, что он случайно переслал список группы не в тот чат?
Формально — да, если в школе введён режим конфиденциальности и сотрудник ознакомлен с ним под роспись. Однако при «случайном» нарушении суды обычно встают на сторону работника, если отсутствует умысел. На практике лучше начать с выговора и изменения технических настроек доступа, сохранив увольнение как крайнюю меру для повторных или умышленных нарушений.
Нужно ли уведомлять РКН, если данные разглашены только другому сотруднику школы?
Если другой сотрудник имеет право доступа к этим данным согласно установленным ролям — нарушения нет, уведомление не требуется. Если доступ вышел за рамки служебной необходимости (сотрудник без соответствующих полномочий получил доступ к данным) — это уже несанкционированный доступ, и уведомление РКН рекомендуется для снижения рисков.
Обязана ли школа компенсировать моральный ущерб ученику, чьи данные разгласили?
По ст. 17 ФЗ №152 и ст. 151 ГК РФ (проверено: май 2026) субъект ПДн вправе требовать компенсацию морального вреда через суд. Размер компенсации определяет суд — как правило, от 5 000 до 50 000 рублей при отсутствии тяжких последствий. При разглашении чувствительных данных (медицина, финансы) суды присуждают больше. Добровольное урегулирование с учеником (извинение, компенсация) позволяет избежать судебного иска и сохранить репутацию школы.
Не хотите разбираться сами?
ЭдПрав проверит ваши документы по персональным данным и поможет выстроить процедуру реагирования на инциденты. Справочные вопросы к AI-юристу бесплатно, без ограничений. Персонализированная проверка с верификацией юристом от 396 руб. за запрос.
Статья подготовлена на основе актуального законодательства РФ на май 2026 года. Для получения консультации по вашему конкретному случаю рекомендуем обратиться к специалисту.
Не хотите разбираться сами?
ЭдПрав проверит ваш сайт и подготовит все необходимые документы. От 396 ₽ за запрос.
Попробовать бесплатно →