Согласие на обработку персональных данных для онлайн-школы: образец и обязательные пункты 2026

Большинство онлайн-школ делают одно и то же: берут шаблон согласия из интернета, меняют название компании и ставят галочку «с документацией разобрались». Половина таких шаблонов не соответствует редакции ФЗ №152 после поправок 2022-2023 годов. Половина — это не преувеличение.

Ниже — что закон требует в 2026, как выглядит согласие без дыр и где онлайн-школы ошибаются чаще всего.

1. Когда без согласия нельзя: закон не оставляет выбора

Часто слышу от владельцев школ: «У нас есть договор с учеником, зачем ещё согласие?». Логика понятна, но неправильная. Договор даёт право обрабатывать данные только в целях его исполнения. Выставить акт, отправить доступ к курсу, выдать документ об обучении — без согласия. А вот рекламная рассылка тому же ученику — это уже другая цель. Согласие нужно.

Действие	Основание	Согласие нужно?
Выставить договор и акт ученику	Исполнение договора (п. 5 ч. 1 ст. 6 ФЗ №152)	Нет
Отправить доступ к курсу	Исполнение договора	Нет
Email-рассылка о новых курсах	Нет другого основания	Да
Сбор базы лидов через форму на сайте	Нет другого основания	Да
Фото ученика в кейсах и рекламе	Нет другого основания	Да (отдельное)
Обработка данных в чат-боте	Нет другого основания	Да
Данные сотрудника-преподавателя для кадрового учёта	Трудовые отношения (п. 2 ч. 2 ст. 11 ФЗ №152)	Нет

Письменная форма обязательна только в случаях, прямо указанных в законе: обработка специальных категорий ПДн (здоровье, биометрия), данные несовершеннолетних, трансграничная передача без надлежащей защиты (ч. 4 ст. 9 ФЗ №152-ФЗ, проверено: июнь 2026). Для обычного сбора email с чекбоксом на сайте хватает конклюдентной формы — подробнее в статье о форме согласия через чекбокс.

Нюанс 2022 года, который многие пропустили: согласие на рассылку — это отдельное согласие на обработку ПДн. Дописать пункт «разрешаю рассылки» в общее согласие — недостаточно. Почему — в статье об отдельном согласии на рассылку.

2. Обязательные реквизиты: 7 пунктов из ч. 4 ст. 9 ФЗ №152

Каждый пункт — как он выглядит на практике для онлайн-школы, а не в виде цитаты из закона.

№	Что должно быть	Как выглядит в документе
1	ФИО, адрес субъекта ПДн, реквизиты паспорта	«Иванова Мария Сергеевна, паспорт серии ХХХХ № ХХХХХХ, выдан…» — для письменной формы. Для электронной достаточно email + подтверждение.
2	Наименование и адрес оператора	Полное юридическое название, ИНН, адрес. Для ИП — ФИО предпринимателя, ОГРНИП.
3	Цель обработки	Конкретно: «оказание образовательных услуг по договору №…», «направление информационных рассылок о курсах ООО». Нельзя писать «любые законные цели».
4	Перечень ПДн	Конкретный список: «фамилия, имя, отчество, адрес электронной почты, номер телефона». Нельзя писать «персональные данные согласно заявке».
5	Перечень действий с ПДн	«сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, удаление, уничтожение».
6	Срок согласия	Конкретный срок или условие: «до момента отзыва», «в течение 3 лет с даты подписания», «до достижения цели обработки».
7	Подпись субъекта	Для электронной формы — проставление галочки и отправка формы. Для письменной — личная подпись с расшифровкой.

Особо о цели обработки. Это самое частое место нарушений. «Улучшение качества услуг», «взаимодействие с клиентами», «законные цели оператора» — такие формулировки РКН при проверке признаёт ненадлежащими. Цель должна быть конкретной и соразмерной. Если цель — рассылка, пишите рассылка. Если ведение CRM, пишите ведение CRM. Без красивых обобщений.

Ещё один обязательный пункт — право на отзыв. По ч. 2 ст. 9 ФЗ №152-ФЗ субъект может отозвать согласие в любой момент. Вы обязаны прекратить обработку в течение 30 дней после получения отзыва. Напишите об этом прямо в тексте согласия — и нарушений меньше, и ученик видит, что вы не пытаетесь спрятать мелкий шрифт.

3. Образец согласия для ученика онлайн-школы

Образец согласия на обработку персональных данных

Я, ___________________________________ (ФИО), именуемый(ая) далее «Субъект», даю настоящим согласие [полное наименование школы, ИНН, юридический адрес], именуемому далее «Оператор», на обработку моих персональных данных на следующих условиях:

1. Перечень персональных данных: фамилия, имя, отчество; адрес электронной почты; номер мобильного телефона; [при необходимости: реквизиты документа, удостоверяющего личность].

2. Цели обработки:

• оказание образовательных услуг, заключение и исполнение договора;
• ведение учёта обучающихся, выдача документов о прохождении обучения;
• направление информационных и рекламных рассылок о курсах Оператора [включить, только если планируется рассылка].

3. Действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача третьим лицам (сервисы email-рассылок, CRM-системы, платёжные сервисы) на основании заключённых договоров, обезличивание, блокирование, удаление, уничтожение.

4. Срок: до отзыва настоящего согласия или достижения цели обработки.

5. Право на отзыв: Настоящее согласие может быть отозвано Субъектом в любое время путём направления письменного заявления на адрес электронной почты [email школы]. После получения отзыва Оператор прекращает обработку в течение 30 дней.

6. Передача третьим лицам: Оператор вправе передавать персональные данные Субъекта следующим третьим лицам: сервисам email-рассылок (GetResponse, Unisender), CRM-системам (AmoCRM, Bitrix24, GetCourse), платёжным системам — только в объёме, необходимом для исполнения договора или оказания соответствующих услуг.

_____________ / _________________________ / ___________
(подпись) / (расшифровка подписи) / (дата)

Для сайта: согласие фиксируется путём проставления отметки в соответствующем поле (чекбокс) и отправки заявки. Нажатие кнопки «Отправить» подтверждает ознакомление с политикой обработки персональных данных и согласие с её условиями.

Если ваша школа работает с чат-ботами — там своя специфика получения согласия. Подробнее в статье об обработке ПДн в чат-ботах и мессенджерах.

4. Согласие родителя несовершеннолетнего и для рассылки

Особенности согласия для несовершеннолетних

Структура та же, что в основном образце, но три изменения:

• Субъект — ребёнок, подписант — родитель. Указываете данные и ребёнка (ФИО, дата рождения), и родителя.
• Обязательная фраза: «Действую как законный представитель несовершеннолетнего [ФИО ребёнка], [дата рождения], на основании [свидетельства о рождении / паспорта / решения суда об опеке]».
• В список ПДн добавьте: «дата рождения ребёнка, данные документа о рождении».

Образец согласия на рассылку (отдельный документ)

Я, ___________________________________ (ФИО), даю [наименование школы] согласие на направление мне на адрес электронной почты [email] информационных и рекламных материалов о продуктах и услугах.

Перечень данных: адрес электронной почты, фамилия, имя.

Цель: информирование о новых курсах, акциях, образовательных мероприятиях.

Срок: до отзыва. Согласие может быть отозвано путём нажатия кнопки «Отписаться» в письме или направления заявления на [email].

Дата: _____________ Подпись: _____________

У школ, которые работают с детьми, обязательств по ПДн больше — это факт. Отдельная тема — фото и видео с занятий: об этом в статье о фото и видео учеников как персональных данных.

5. Частые ошибки в формулировках

Ошибка 1. «Любые персональные данные» вместо конкретного перечня.

Закон требует перечень. «Любые данные, которые субъект предоставит» — не перечень. Это нарушение требования конкретности (ст. 5 ФЗ №152-ФЗ, проверено: июнь 2026). Список: ФИО, email, телефон. Нужна новая категория — берите новое согласие или обновляйте существующее.

Ошибка 2. Рассылка и ПДн в одном чекбоксе.

«Я соглашаюсь с политикой обработки ПДн и получением рекламных материалов» — это два разных юридических действия в одном чекбоксе. После поправок 2022 года — прямое нарушение. Согласие на рассылку должно быть отдельным и добровольным. Нельзя делать его условием регистрации.

Ошибка 3. Бессрочное согласие без условий прекращения.

Формально не запрещено, но проблема возникает при споре. Если субъект оспорит действие согласия, доказать его актуальность без условия прекращения сложно. Пишите «до отзыва» или конкретный срок — это простая страховка.

Ошибка 4. Не указаны третьи лица.

«Данные могут быть переданы третьим лицам в предусмотренных законом случаях» — это не раскрытие. Напишите прямо: CRM, сервис рассылок, платёжная система. Требование ч. 4 ст. 9 ФЗ №152-ФЗ (проверено: июнь 2026). Конкретные названия сервисов не обязательны, но категории — да.

Ошибка	Неправильно	Правильно
Перечень данных	«Любые ПДн, предоставленные субъектом»	«Фамилия, имя, отчество, адрес электронной почты, номер телефона»
Согласие на рассылку	Один чекбокс «Согласен с политикой и рассылками»	Два отдельных чекбокса: политика ПДн + отдельно рассылки
Срок	«Бессрочно» без условий	«До отзыва настоящего согласия»
Третьи лица	«В предусмотренных законом случаях»	«Сервисам email-рассылок, CRM-системам, платёжным системам»
Цель	«В целях оказания услуг»	«Оказание образовательных услуг по договору №…, направление рассылок о новых курсах»

Конкретные вопросы по своей ситуации — в разделе частых вопросов.

6. Где хранить согласие и сколько

Срок хранения согласия в ФЗ №152 прямо не установлен, но логика простая: если вы обрабатываете данные — согласие должно быть под рукой для подтверждения при проверке РКН или запросе субъекта. После прекращения обработки — ещё 3 года на случай споров.

Электронные согласия.

Для онлайн-школы это обычно логи заполнения форм на сайте. Минимум: дата и время проставления галочки, IP-адрес субъекта, версия текста политики ПДн на тот момент. Если политика менялась — сохраните, с какой именно версией субъект согласился. Это важно: РКН при проверке может сверить дату согласия с редакцией документа.

Бумажные согласия.

Нужны для несовершеннолетних или при работе с биометрией. Папка с реестром: ФИО, дата согласия, цели, срок. Цель — за 30 секунд ответить инспектору на вопрос «Где согласие от Иванова Ивана?». Если ответа нет через 30 секунд, проверка начнёт идти по другому сценарию.

Подробнее о правилах хранения — в статье об архивировании согласий на обработку ПДн. Кто должен вести реестр — в материале об ответственном за персональные данные в онлайн-школе. Уведомление РКН при начале обработки — в статье об уведомлении в Роскомнадзор для онлайн-школы.

Стоимость проверки комплекта документов по ПДн — на странице тарифов ЭдПрав.

Часто задаваемые вопросы

Нужно ли отдельное согласие, если ученик уже подписал договор с онлайн-школой?

Договор даёт право обрабатывать только данные, нужные для его исполнения — доступ к курсу, документы, оплата. Рассылки, лидогенерация, фото в рекламе — это другие цели, и для каждой нужно отдельное согласие. Одного договора не хватит.

Можно ли получать согласие устно?

Общего запрета нет, но доказать устное согласие при проверке или споре невозможно. Для стандартных целей (рассылки, CRM) — чекбокс на сайте, это юридически равнозначная форма с доказательной базой. Письменная форма обязательна только для специальных категорий ПДн и данных несовершеннолетних (ч. 4 ст. 9 ФЗ №152-ФЗ, проверено: июнь 2026).

Что будет, если субъект отзовёт согласие, но мы уже внесли его данные в CRM?

При отзыве нужно прекратить обработку данных в течение 30 дней (ч. 5 ст. 9 ФЗ №152-ФЗ, проверено: июнь 2026) и уничтожить данные — если нет другого законного основания их хранить. Данные по договору можно оставить, основание «исполнение договора» сохраняется. Данные для рассылки и маркетинга — удалить: вывести из активных рассылок, убрать из маркетинговых баз, оставить только в договорном архиве.

Как долго хранить согласие, если ученик прошёл курс и договор закрыт?

Не менее 3 лет с момента прекращения обработки — в течение этого срока субъект может предъявить претензии. Практически удобнее хранить 5 лет: объединить с бухгалтерским архивом и не думать отдельно. Реестр должен фиксировать: когда согласие получено, под какие цели, когда обработка прекращена.

Нужно ли согласие для работы с данными в GetCourse или Bitrix24?

CRM — инструмент обработки, а не её основание. Загружаете данные учеников для учёта и исполнения договора — отдельного согласия на CRM не нужно, но нужен договор об обработке ПДн с самой платформой. Используете CRM для маркетинга и рассылок — нужно согласие на эти цели.

Не хотите разбираться сами?

ЭдПрав проверит комплект документов по персональным данным для вашей школы и поможет подготовить правильные формы согласий. Справочные вопросы к AI-юристу бесплатно, без ограничений. Персонализированная проверка с верификацией юристом от 396 руб. за запрос.

Попробовать бесплатно ->

Статья подготовлена на основе актуального законодательства РФ на июнь 2026 года. Для получения консультации по вашему конкретному случаю рекомендуем обратиться к специалисту.