Ответственный за персональные данные в онлайн-школе: зарплата, обязанности и совмещение должностей
Ответственный за персональные данные (DPO) в онлайн-школе — это обязательная должность по ст. 22.1 ФЗ №152 (проверено: июнь 2026). Назначить нужно каждому оператору ПДн без исключений, включая малый бизнес и ИП. Совмещение с должностью CTO, HR или юриста разрешено законом. Зарплата при полной ставке в EdTech — 80 000-150 000 руб./мес.; при совмещении — доплата 15 000-40 000 руб. к окладу. Отсутствие назначенного ответственного — нарушение ст. 18.1 ФЗ №152 и основание для предписания РКН.
Роскомнадзор проверяет онлайн-школы чаще, чем кажется. Один из первых вопросов при плановой проверке: «Кто у вас ответственный за персональные данные?» Если ответ — «ну, все понемногу» или «у нас пока нет такого человека» — это прямой путь к предписанию.
При этом назначение такого сотрудника — не сложная процедура. В этой статье разберём, кто может занять эту должность, можно ли совместить её с другими обязанностями, сколько это стоит и как правильно оформить.
Кто обязан назначить ответственного за ПДн
По ст. 22.1 ФЗ №152 (проверено: июнь 2026) каждый оператор персональных данных обязан назначить лицо, ответственное за организацию обработки ПДн. Исключений по масштабу бизнеса нет: обязанность распространяется на ООО, ИП и даже на самозанятых, собирающих данные клиентов. Если школа хранит хоть один email ученика — она оператор ПДн, и ответственный нужен.
Многие владельцы онлайн-школ считают, что это требование касается только крупных компаний. Это заблуждение. ФЗ №152 оперирует понятием «оператор ПДн» — им становится любая организация или физлицо, которые самостоятельно определяют цели и способы обработки данных.
Онлайн-школа собирает данные на каждом шагу:
- регистрационная форма на сайте (имя, email, телефон)
- оплата курса (платёжные данные через эквайринг)
- LMS-платформа (GetCourse, Teachable) — профиль, прогресс, домашние задания
- рассылки (email-адреса и история открытий)
- аналитика (cookie, IP, поведение на сайте)
Всё это — обработка ПДн. Значит, ответственный нужен.
максимальный штраф за нарушения в сфере ПДн для организации по ч. 1 ст. 13.11 КоАП (на июнь 2026)
Важный нюанс: закон не устанавливает конкретного срока для первичного назначения. Но при плановой проверке РКН или по жалобе субъекта ПДн инспектор вправе запросить документы о назначении. Если их нет — это нарушение ст. 18.1 ФЗ №152 и основание для предписания с последующим штрафом при неисполнении.
Подробнее о функциях ответственного и его роли в онлайн-школе читайте в статье «Ответственный за персональные данные в онлайн-школе».
Требования к кандидату: кто может занять должность
ФЗ №152 не устанавливает квалификационных требований к ответственному за ПДн: нет обязательного юридического образования, нет обязательной сертификации. Главное — это сотрудник или уполномоченное лицо, которое знает процессы обработки данных в организации и может организовать соблюдение требований закона. Одно ограничение из ст. 22.1 ФЗ №152: назначить можно только физическое лицо, не отдел и не должность без конкретного ФИО.
Это существенное отличие от европейского GDPR, где DPO должен обладать «экспертными знаниями в области законодательства о защите данных». Российский закон мягче в этом отношении, но это не значит, что можно назначить случайного человека.
| Кандидат | Плюсы | Риски |
|---|---|---|
| Юрист | Знает закон, умеет работать с документами | Может не знать технических деталей хранения данных |
| CTO / технический директор | Понимает архитектуру систем и хранение данных | Часто перегружен, мало времени на регуляторную работу |
| HR-менеджер | Работает с данными сотрудников, знает внутренние процессы | Не всегда понимает работу с данными клиентов |
| Операционный директор | Понимает все процессы, может влиять на политики | Нет юридической экспертизы по умолчанию |
| Внешний специалист (аутсорс) | Высокая экспертиза, независимость | Меньше погружён в специфику конкретной школы |
На практике для онлайн-школы с командой до 20 человек оптимальный выбор — совмещение с тем, кто наиболее близок к процессам работы с данными. Чаще всего это CTO или операционный директор.
При выборе стоит также учесть: ответственный за ПДн будет отвечать на запросы субъектов (учеников), взаимодействовать с РКН и вести документацию. Человек должен быть готов уделять этому 6-15 часов в месяц в спокойный период — и значительно больше при инциденте.
Совмещение: DPO + CTO, HR, юрист — что разрешено
ФЗ №152 не запрещает совмещение должности ответственного за ПДн с другими обязанностями. Ответственный может быть штатным сотрудником, для которого работа с ПДн является дополнительной функцией. Единственное ограничение — не должно быть конфликта интересов: нельзя одновременно быть тем, кто принимает решения об обработке данных, и тем, кто должен независимо контролировать их законность.
В российских онлайн-школах малого и среднего размера совмещение — это норма, а не исключение. Вот как это выглядит на практике:
| Основная должность | Совмещение с DPO | Типичная нагрузка на ПДн |
|---|---|---|
| CTO | Часто, особенно в tech-школах | 8-12 часов/мес. |
| Юрист | Часто | 10-15 часов/мес. |
| HR-директор | Иногда, для школ с большим штатом | 6-10 часов/мес. |
| Операционный директор | Реже, но возможно | 8-12 часов/мес. |
| Собственник (ИП) | Да, для микро-школ | 4-8 часов/мес. |
Когда совмещение может оказаться проблемой:
Конфликт интересов. Если CTO одновременно является ответственным за ПДн и принимает решение о внедрении новой аналитической системы — он не может независимо оценить соответствие этого решения требованиям закона. В таком случае стоит либо разделить роли, либо привлечь внешний аудит конкретного решения.
Перегрузка при инцидентах. Если в школе произошла утечка данных, ответственный должен действовать немедленно: уведомить РКН в течение 24 часов, оценить масштаб ущерба, провести расследование. Если человек при этом одновременно тушит технические пожары — ни то, ни другое не будет сделано хорошо.
О том, как действовать при утечке и что делать в первые часы, читайте в статье «Утечка персональных данных: что делать».
Должностная инструкция: 7 ключевых обязанностей
Перечень обязанностей ответственного за ПДн вытекает из ст. 18.1 ФЗ №152 (проверено: июнь 2026) и должен быть закреплён в должностной инструкции. Без инструкции с подписью сотрудника работодателю сложно привлечь его к дисциплинарной ответственности за нарушения. Семь ключевых функций: контроль соответствия, документирование, ответы субъектам, обучение персонала, работа с РКН, аудит систем, реагирование на инциденты.
Чек-лист: 7 ключевых обязанностей ответственного за ПДн
- ✓ Контроль соответствия: следить за тем, чтобы процессы обработки ПДн соответствовали ФЗ №152 — от сбора согласий до хранения и удаления данных
- ✓ Документирование: вести реестр обработки ПДн, журналы согласий, журнал обращений субъектов; поддерживать актуальность политики конфиденциальности
- ✓ Ответы на запросы субъектов: принимать заявления об удалении, исправлении или предоставлении данных, отвечать в установленные сроки (30 дней по ст. 21 ФЗ №152)
- ✓ Обучение персонала: проводить инструктажи для сотрудников, работающих с ПДн; фиксировать факт проведения
- ✓ Взаимодействие с РКН: готовить уведомления об обработке ПДн, отвечать на запросы регулятора, участвовать в проверках
- ✓ Аудит систем: периодически проверять все системы хранения данных (CRM, LMS, рассылки) на соответствие требованиям закона
- ✓ Реагирование на инциденты: при утечке — уведомить РКН и субъектов, провести расследование, зафиксировать результаты и принятые меры
Обратите особое внимание на последний пункт. С мая 2025 года штрафы за нарушения в работе с ПДн существенно выросли. Подробнее о новых размерах санкций — в статье «Новые штрафы по 152-ФЗ».
Должностная инструкция должна быть подписана сотрудником. Без подписи при возникновении нарушений работодателю будет сложно доказать, что ответственный был надлежащим образом ознакомлен со своими функциями. Типовые формулировки для должностной инструкции и другие обязательные документы можно найти в разделе часто задаваемых вопросов.
Зарплата ответственного за ПДн в EdTech
Отдельной статистики по DPO в EdTech мало — должность часто совмещается, и вилка зарплат зависит от формата занятости. По данным рынка труда и экспертным оценкам: штатный DPO на полной ставке в IT/EdTech — 80 000-150 000 руб./мес. При совмещении — доплата 15 000-40 000 руб. к основному окладу. Аутсорсинг функции DPO внешней фирме — 15 000-50 000 руб./мес. в зависимости от объёма задач.
диапазон зарплаты штатного DPO на полной ставке в IT/EdTech (Москва, 2026)
| Формат | Стоимость | Плюсы | Минусы |
|---|---|---|---|
| Штатный DPO (полная ставка) | 80 000-150 000 руб./мес. | Погружён в компанию, доступен постоянно | Высокая стоимость для малого бизнеса |
| Совмещение (CTO/HR/юрист) | +15 000-40 000 руб. к окладу | Экономия, знает все процессы | Риск перегрузки, возможен конфликт интересов |
| Аутсорсинг (юридическая фирма) | 15 000-50 000 руб./мес. | Профессиональная экспертиза, независимость | Меньше погружён в специфику конкретной школы |
| Собственник ИП (самостоятельно) | 0 (только своё время) | Нет прямых затрат | Высокий риск ошибок из-за нехватки знаний |
Для небольшой онлайн-школы с оборотом до 20 млн руб./год оптимальное решение — совмещение с доплатой. Нанимать отдельного DPO на полную ставку имеет смысл при обороте от 100 млн руб./год и/или при работе с чувствительными категориями данных (медицинские, биометрические) или с аудиторией несовершеннолетних.
При выборе внешнего подрядчика для ведения ПДн-документации ориентируйтесь на тарифы на юридическое сопровождение — включая проверку политики конфиденциальности и подготовку пакета документов по ПДн.
Как оформить назначение: пошаговый алгоритм
Для корректного оформления нужны три документа: приказ о назначении ответственного, должностная инструкция с подписью назначенного лица, и обновлённые контактные данные ответственного на сайте. Требование публиковать контакты прямо закреплено в ст. 18.1 ФЗ №152: субъекты ПДн должны знать, к кому обращаться. РКН при проверке в первую очередь смотрит именно на сайт.
Чек-лист: оформление назначения ответственного за ПДн
- ✓ Шаг 1: Выбрать кандидата — конкретное физлицо (не отдел, не должность без ФИО)
- ✓ Шаг 2: Составить и подписать приказ о назначении с указанием ФИО, должности, даты и перечня функций
- ✓ Шаг 3: Разработать должностную инструкцию ответственного за ПДн
- ✓ Шаг 4: Ознакомить сотрудника с инструкцией под подпись
- ✓ Шаг 5: Опубликовать контактные данные ответственного на сайте — в политике конфиденциальности или в разделе «Обработка персональных данных»
- ✓ Шаг 6: Если школа зарегистрирована в реестре операторов ПДн (РКН) — обновить информацию об ответственном лице
- ✓ Шаг 7: Провести вводный инструктаж: ответственный должен знать, где хранятся данные, какие системы используются, какие процедуры уже внедрены
Частая ошибка: назначают ответственного приказом, но не прописывают его контакты на сайте. Между тем ст. 18.1 ФЗ №152 прямо требует, чтобы субъекты ПДн могли обратиться к ответственному. Если контактов на сайте нет — это самостоятельное нарушение, которое видно без всякой проверки.
Контактная информация должна содержать как минимум: корпоративный email для обращений по вопросам ПДн. Публиковать домашний адрес или личный номер телефона не нужно. Важно, чтобы письма на этот адрес реально читались и получали ответ в разумные сроки.
Что должно быть опубликовано на сайте онлайн-школы по требованиям ФЗ №152, читайте в глоссарии по защите ПДн.
Частые вопросы
Нужен ли ответственный за ПДн, если я — ИП и работаю один?
Да. Если вы как ИП собираете данные клиентов — вы оператор ПДн по ФЗ №152, и обязанность назначить ответственного распространяется на вас. В этом случае ответственным можете назначить себя. Составьте простой приказ-самоназначение и укажите свои корпоративные контакты на сайте в политике конфиденциальности. Это займёт час, но закроет вопрос при любой проверке.
Можно ли передать функции DPO внешней юридической фирме?
Да, ФЗ №152 допускает привлечение внешнего исполнителя. Но важно понимать: ответственность перед РКН остаётся на операторе — то есть на вашей школе. Договор с подрядчиком должен чётко прописывать его функции и зоны ответственности. Аутсорсинг не снимает с вас ответственности — он только помогает её правильно исполнять.
Что публиковать на сайте: ФИО сотрудника или только email?
Закон требует контактной информации для обращений субъектов. На практике достаточно корпоративного email (например, dpo@school.ru) и юридического адреса компании. Публиковать ФИО необязательно — многие школы указывают только должность «Ответственный за обработку ПДн» и email. Главное — чтобы письма на этот адрес реально читались и на них отвечали.
Что грозит, если ответственный за ПДн не назначен?
Это нарушение ст. 18.1 ФЗ №152. При проверке РКН выдаст предписание об устранении нарушения. При неисполнении предписания — штраф до 100 000 руб. по ч. 1 ст. 13.11 КоАП для организации, до 20 000 руб. для должностного лица. На практике первым шагом всегда идёт предписание с разумным сроком на исправление.
Обязан ли ответственный за ПДн иметь юридическое образование?
Нет. ФЗ №152 не устанавливает образовательных требований. На практике важнее глубокое знание внутренних процессов работы с данными, чем формальный диплом. Однако сотруднику стоит пройти базовое обучение по требованиям 152-ФЗ — это снизит риск случайных нарушений и повысит качество работы с документацией.
Не хотите разбираться сами?
ЭдПрав поможет подготовить документы по назначению ответственного за ПДн и должностную инструкцию. Справочные вопросы к AI-юристу бесплатно, без ограничений. Персонализированная проверка с верификацией юристом от 396 руб. за запрос.
Статья подготовлена на основе актуального законодательства РФ на июнь 2026 года. Для получения консультации по вашему конкретному случаю рекомендуем обратиться к специалисту.
Не хотите разбираться сами?
ЭдПрав проверит ваш сайт и подготовит все необходимые документы. От 396 ₽ за запрос.
Попробовать бесплатно →