Кейс: онлайн-школа выиграла спор с Роскомнадзором по 152-ФЗ
Онлайн-школа получила внеплановую проверку Роскомнадзора после жалобы бывшего ученика, который решил, что его персональные данные не удалили по запросу. Проверка закончилась протоколом по ч. 1 ст. 13.11 КоАП РФ со штрафом до 100 000 рублей, но школа обжаловала постановление в суде по правилам КАС РФ и выиграла. Разбираем, с чего начался спор, что помогло школе в суде, какие ошибки чуть не стоили ей денег и что сделать другим школам, чтобы не оказаться в похожей ситуации.
Кейс собран на основе типичной практики консультаций ЭдПрав по спорам с Роскомнадзором — обобщенная история без названия школы и персональных данных участников, но с реальной последовательностью действий, документов и норм закона.
Онлайн-школа английского языка с оборотом около 40 млн рублей в год работала без штатного юриста: политику персональных данных когда-то составили по шаблону, согласия собирали через чекбокс на сайте, а запросы учеников разгребал администратор поддержки. Схема выглядела рабочей. Ровно до момента, когда одно письмо потерялось не там, где надо.
Ситуация: жалоба ученика и начало проверки
Поводом для проверки Роскомнадзора чаще всего становится не проверка по плану, а жалоба конкретного человека: ученик написал в РКН, что просил удалить свои данные, но школа не ответила в срок. Это запускает внеплановую проверку по ст. 23.1 ФЗ №152 без предупреждения.
Бывший ученик отписался от рассылки, но письма шли еще два месяца. Он написал школе запрос на удаление персональных данных через форму обратной связи, ответа не дождался и подал жалобу в Роскомнадзор. Для поддержки это выглядело как рядовое обращение среди десятков других в общей почте. На деле оно стало основанием для внеплановой проверки.
РКН запросил у школы документы: политику обработки персональных данных, форму согласия, которую подписывал ученик, переписку по его запросу и журнал обработки обращений субъектов ПДн. На сбор документов дали 10 рабочих дней. Уже на этом этапе стало ясно: часть требуемых бумаг у школы просто не велась в нужном формате.
Что именно проверяла РКН
Роскомнадзор в первую очередь смотрит на сроки ответа субъекту персональных данных (30 дней по ст. 21 ФЗ №152), наличие письменного согласия на обработку и факт исполнения запроса на удаление — именно эти три пункта чаще всего становятся основанием для протокола.
Проверяющий запросил хронологию: когда поступил запрос ученика, когда школа его зарегистрировала, когда фактически удалила данные из CRM и рассылочного сервиса. Данные удалили из основной базы через 12 дней после запроса — формально в пределах 30-дневного срока. Но подтверждающего письма ученику никто не отправил. И он об этом попросту не знал.
| Дата | Событие |
|---|---|
| День 0 | Ученик отправляет запрос на удаление данных через форму на сайте |
| День 12 | Данные фактически удалены из CRM и сервиса рассылок |
| День 12 | Подтверждающее письмо ученику не отправлено |
| День 58 | Ученик подает жалобу в РКН, не получив подтверждения |
| День 73 | РКН запрашивает документы у школы, начинается проверка |
| День 95 | Составлен протокол по ч. 1 ст. 13.11 КоАП РФ |
Отсутствие подтверждения и стало формальной зацепкой: с точки зрения проверяющего, если субъект ПДн не получил ответ, запрос считается неисполненным — даже если данные технически уже удалены. Частая ошибка: школы делают всё правильно по существу, но не документируют это и не сообщают клиенту.
Что школа сделала правильно
Школа сохранила исходное согласие ученика на обработку данных с датой и IP-адресом, вела журнал изменений в CRM и фактически удалила данные в пределах установленного срока — эти три фактора стали основой защиты в суде.
При всех недочетах у школы нашлась база для защиты. Согласие на обработку данных при регистрации собиралось через отдельный чекбокс, не предустановленный по умолчанию, с фиксацией даты и IP — это соответствует требованиям формы согласия через чекбокс. В CRM сохранился лог удаления записи о клиенте с точной меткой времени. А в политике обработки персональных данных на сайте был явно прописан порядок обращения субъектов ПДн и контакты ответственного.
Чек-лист: что сработало в пользу школы
- ✓ Согласие на обработку ПДн с датой, IP и текстом формулировки сохранено
- ✓ Данные фактически удалены из всех систем в пределах 30 дней
- ✓ В CRM остался технический лог с точным временем удаления
- ✓ На сайте опубликована актуальная политика обработки ПДн
- ✓ Назначен ответственный за обработку персональных данных с указанными контактами
Эти доказательства не спасли от протокола — инспектор действовал формально, глядя на отсутствие ответа заявителю. Зато именно они стали козырем на этапе судебного обжалования.
Что можно было сделать лучше
Главная ошибка школы — обработка запросов на удаление данных через общую почту поддержки без отдельного журнала регистрации и без обязательного письменного подтверждения заявителю, что запрос исполнен.
Отправь школа ученику простое письмо «ваши данные удалены [дата]» — жалобы в РКН, скорее всего, вообще бы не было. Отсутствие такого подтверждения выглядит как молчание, а молчание в спорах с регулятором почти всегда трактуется не в пользу оператора персональных данных.
Дальше — смешение каналов. Запросы на удаление данных приходили через ту же форму, что и вопросы про расписание занятий, поэтому такие обращения легко терялись среди рутинных сообщений. У ответственного за ПДн не было отдельного маршрута для юридически значимых запросов — подробнее о том, как правильно организовать эту роль, в статье о назначении ответственного за персональные данные.
И третье, самое незаметное: не было фиксированного регламента сроков. Формально 12 дней укладываются в лимит по ст. 21 ФЗ №152 (проверено: июль 2026). Но без внутреннего SLA (например, «отвечать за 5 рабочих дней») такие запросы регулярно откладывают до последнего — знакомая история для любой команды поддержки.
Как проходило обжалование в суде
Постановление о штрафе по КоАП РФ школа обжаловала в районном суде в порядке главы 30 КоАП РФ, представив доказательства фактического исполнения запроса и указав на отсутствие вреда для субъекта персональных данных, — это стандартный путь оспаривания для юрлиц.
Юрист школы подготовил жалобу на постановление в течение 10 дней с момента получения копии. Срок нельзя пропускать: при пропуске придется отдельно доказывать уважительность причины. К жалобе приложили скриншот согласия с датой и IP, выгрузку из CRM с логом удаления, переписку с учеником (включая сам запрос) и внутренний регламент обработки обращений — который к моменту суда школа уже успела формализовать.
Ключевым аргументом в суде стало то, что данные были фактически удалены в пределах 30-дневного срока, а формальное отсутствие письма-подтверждения не образует существенного нарушения прав субъекта: вреда учебному процессу или репутации заявителя причинено не было. Суд также учел, что школа добровольно устранила недостаток процесса еще до заседания, введя обязательное подтверждение по каждому запросу на удаление данных.
максимальный штраф по ч. 1 ст. 13.11 КоАП РФ для юрлица, которого школе удалось избежать
Итог: решение суда и что это значит
Суд отменил постановление о привлечении к административной ответственности, признав нарушение малозначительным по ст. 2.9 КоАП РФ, поскольку данные были удалены в срок, а формальный недостаток — отсутствие уведомления — не повлек негативных последствий для заявителя.
Это не значит, что молчать в ответ на запросы «нормально». Малозначительность суд применяет по своему усмотрению, и в похожем деле с другими фактами решение вполне могло быть иным. Школе помогла не сама попытка обжаловать штраф, а совокупность доказательств, собранных заранее.
Разница между «избежать штрафа один раз» и «снять риск системно» — принципиальная. Не будь у школы лога удаления в CRM или согласия с фиксацией даты и IP, у суда просто не нашлось бы оснований для малозначительности: формальное нарушение так и осталось бы формальным нарушением, а штраф пришлось бы заплатить. Так что урок здесь не «можно немного затягивать с ответами», а обратный: если процесс выстроен правильно, один недочет не обязан стоить компании 100 000 рублей.
Куда важнее для бизнеса другое. После этого случая школа за один месяц внедрила отдельную форму для запросов по персональным данным (удаление, доступ, исправление), автоматическое письмо-подтверждение и внутренний журнал регистрации таких обращений. Обошлось это дешевле, чем один штраф, который едва не пришлось заплатить.
Уроки для других школ
Три практических вывода из этого кейса: фиксируйте каждый запрос субъекта персональных данных отдельно от обычной переписки, всегда отправляйте письменное подтверждение исполнения запроса и держите под рукой документы, подтверждающие законность обработки данных — согласие, политику, журнал действий.
Проверки Роскомнадзора почти никогда не начинаются «с нуля» — их запускает конкретное обращение конкретного человека. Лучшая профилактика — не бояться проверок вообще, а закрыть типовые причины жалоб: молчание в ответ на запросы, отсутствие явного согласия, размытая политика обработки данных.
| Риск | Как закрыть |
|---|---|
| Запрос теряется в общей почте поддержки | Отдельная форма или адрес для обращений по ПДн |
| Нет подтверждения исполнения запроса | Автоматическое письмо-уведомление после удаления/изменения данных |
| Нет фиксации сроков | Внутренний SLA — например, 5 рабочих дней на ответ |
| Устаревшая или общая политика ПДн | Актуализировать документ под реальные процессы школы |
Стоит договориться с командой поддержки, как распознавать юридически значимые запросы среди обычных обращений. Слова «удалите мои данные», «отзываю согласие», «хочу узнать какие данные вы храните» должны сразу попадать к ответственному за ПДн, а не оставаться в общей очереди тикетов.
Полезная привычка — раз в квартал прогонять собственный процесс через сценарий «жалоба от недовольного бывшего клиента». Представьте, что человек написал в РКН прямо сейчас, и проверьте, какие документы вы сможете предоставить за 10 рабочих дней. Если на часть вопросов ответа нет — вот и готовый список задач на ближайший месяц, а не повод для паники. Закрыть пробелы заранее почти всегда дешевле, чем объяснять их инспектору постфактум.
Частые вопросы
С чего обычно начинается проверка Роскомнадзора для онлайн-школы?
Чаще всего — с жалобы конкретного человека: ученика, родителя или бывшего сотрудника, который считает, что его персональные данные обработали или удалили с нарушением. Плановые проверки по 152-ФЗ тоже бывают, но встречаются реже.
Можно ли избежать штрафа, если данные фактически удалили, но с опозданием на уведомление?
Формально нарушение есть, но суд может признать его малозначительным по ст. 2.9 КоАП РФ при отсутствии вреда для заявителя. Гарантии здесь нет — все зависит от конкретных доказательств и позиции суда.
Сколько времени есть на обжалование постановления РКН о штрафе?
10 дней с момента получения копии постановления, согласно главе 30 КоАП РФ. При пропуске срока нужно отдельно доказывать уважительность причины, что усложняет процесс.
Нужно ли отправлять ученику подтверждение, если данные и так удалили?
Да, обязательно. Формальное исполнение запроса без уведомления заявителя — частая причина жалоб в РКН, даже если по существу школа ничего не нарушила.
Как понять, что запрос от ученика нужно передавать ответственному за ПДн, а не отвечать через обычную поддержку?
Любое упоминание слов «удалить данные», «отозвать согласие», «какие данные вы храните» или прямая ссылка на 152-ФЗ — сигнал сразу передать обращение ответственному за обработку персональных данных.
Не хотите разбираться сами?
ЭдПрав поможет выстроить процесс работы с обращениями по персональным данным так, чтобы жалобы в Роскомнадзор не превращались в штрафы. Справочные вопросы к AI-юристу бесплатно, без ограничений. Персонализированная проверка с верификацией юристом от 396 руб. за запрос.
Смотрите также: что делать при утечке персональных данных, кто должен быть ответственным за ПДн, как правильно удалять данные клиента, политика обработки персональных данных, глоссарий термина оператор персональных данных, раздел FAQ и тарифы ЭдПрав.
Статья подготовлена на основе актуального законодательства РФ на июль 2026 года. Кейс — обобщенный пример из практики консультаций, не относится к конкретному юридическому лицу. Для получения консультации по вашему конкретному случаю рекомендуем обратиться к специалисту.
Не хотите разбираться сами?
ЭдПрав проверит ваш сайт и подготовит все необходимые документы. От 396 ₽ за запрос.
Попробовать бесплатно →