Какие персональные данные вы обрабатываете
Состав данных определяет и уровень защищённости по постановлению Правительства № 1119, и потолок штрафа по статье 13.11 КоАП. Типичный набор для этой сферы:
- Данные ученика: ФИО, дата рождения, школа, класс, иногда свидетельство о рождении
- Данные законного представителя: ФИО, телефон, email, паспортные данные для договора
- Успеваемость, результаты тестирований, характеристики и отзывы преподавателей
- Фото и видео с занятий, работы учеников
- Иногда — сведения о здоровье: справки, ограничения по нагрузке, особенности развития
Если центр собирает справки и сведения об особенностях здоровья ребёнка, это специальная категория персональных данных — утечка квалифицируется по части 16 статьи 13.11 КоАП (10–15 млн ₽). Отдельная сложность: согласие на обработку данных несовершеннолетнего даёт законный представитель, и это согласие должно быть оформлено так, чтобы его можно было предъявить — включая согласие на фото- и видеосъёмку.
Где эти данные обычно лежат
- CRM учебного центра с карточками учеников и оплатами
- Личные кабинеты учеников и родителей
- Платформа для онлайн-занятий и домашних заданий
- Чаты групп в мессенджерах с родителями
- Сайт с формой записи на пробное занятие
Типовые нарушения в этой сфере
| Нарушение | Норма | Штраф юрлицу |
|---|---|---|
| Утечка базы учеников и родителей (1–10 тыс. субъектов) | ч. 12 ст. 13.11 КоАП | 3–5 млн ₽ |
| Обработка данных ребёнка без согласия законного представителя | ч. 2 ст. 13.11 КоАП | 300–700 тыс. ₽ |
| Публикация фото учеников без надлежащего согласия | ч. 2 ст. 13.11 КоАП | 300–700 тыс. ₽ |
| Отсутствие уведомления в реестре операторов | ч. 10 ст. 13.11 КоАП | 100–300 тыс. ₽ |
| Отсутствие политики обработки ПДн на сайте | ч. 3 ст. 13.11 КоАП | 30–60 тыс. ₽ |
Сколько стоит утечка именно в вашем случае
Центр с 1 200 учениками обрабатывает данные примерно вдвое большего числа субъектов: ребёнок плюс как минимум один законный представитель. Это уже уверенно первая ступень шкалы утечек.
При наличии справок о здоровье применяется часть 16 с потолком 10–15 млн ₽, а повторная утечка — оборотный штраф не менее 20 млн ₽.
Где обычно находят дыры
Документы закрывают «бумажные» составы. Миллионные составы начинаются там, где к данным можно добраться в обход интерфейса. В этой сфере чаще всего встречается:
| Уязвимое место | Что это даёт атакующему |
|---|---|
| Личный кабинет родителя без проверки прав на чужого ученика | Доступ к успеваемости и контактам чужих детей |
| Открытый доступ к загруженным работам и фото с занятий | Фотографии детей индексируются поисковиками |
| Общая учётная запись преподавателей в CRM | Невозможно определить источник утечки; доступ сохраняется после увольнения |
| Форма записи на пробное занятие без защиты от автоматического перебора | Сбор контактов и наполнение базы мусором, помехи расследованию |
| Экспорт групп в Excel и рассылка файлов родителям | Контакты всех родителей группы расходятся неконтролируемо |
Чек-лист: что проверить в первую очередь
- Проверить, что согласие подписывает законный представитель и оно покрывает все цели, включая съёмку
- Разделить учётные записи преподавателей, отключать доступ при увольнении в тот же день
- Закрыть публичный доступ к фото и работам учеников
- Проверить личные кабинеты на доступ к чужим данным
- Не рассылать списки групп с контактами родителей общим файлом
- Подать или актуализировать уведомление в реестр операторов
- Провести технический аудит сайта и личных кабинетов