Аудит 109 EdTech-платформ: почему онлайн-школы массово нарушают закон о персональных данных

Для сравнения: у топ-100 вузов тот же показатель — 62, у частных школ — 55. Чем коммерчнее и «цифровее» образование, тем хуже обстоят дела с персональными данными. А с 7 июля 2026 года вступила в силу обновлённая статья 13.56 КоАП — теперь нарушения, которые раньше де-факто не наказывали, стали обеспечены реальными штрафами.

96% платформ собирают данные до согласия

Ключевая находка аудита: из 98 проанализированных платформ у 94 сторонние трекеры и рекламные пиксели срабатывают в момент открытия страницы — до того, как посетитель нажал «Принять» в cookie-баннере. Юридически каждый такой трекер — это передача персональных данных стороннему получателю без законного основания (ст. 6 и 9 152-ФЗ).

Данные утекают в среднем в четыре зарубежных сервиса. У отдельных платформ — в четырнадцать. Всего по выборке насчитано 53 иностранных получателя: помимо привычных Google и пикселей Meta, в списке рекламные сети и дата-брокеры, включая, например, малайзийскую рекламную сеть, получающую данные с десяти образовательных сайтов. Каждая такая трансграничная передача — отдельный вопрос по ст. 12 152-ФЗ.

Отдельная история — детские платформы. Их средний балл соответствия: 38.6. У 79% из них нет корректно оформленного согласия законного представителя, хотя по ст. 9 152-ФЗ для несовершеннолетних требования строже, а не мягче. Данные детей уходят в те же трекеры до какого-либо согласия.

Новые штрафы за рекомендательные технологии

78% платформ с рекомендательными технологиями — подбор курсов, преподавателей, персональные подборки уроков — не опубликовали обязательные правила их применения. Требование ст. 10.2-2 149-ФЗ действует с 1 октября 2023 года, но до июля 2026 года было фактически без санкции. Теперь всё изменилось: статья 13.56 КоАП (Федеральный закон от 26.06.2026 № 199-ФЗ) вступила в силу 7 июля.

Для юридических лиц штраф за отсутствие правил — от 500 000 рублей, за повторное нарушение — до 1 400 000. Роскомнадзор дополнительно вправе потребовать прекратить использование рекомендательной технологии в течение суток, а при неисполнении — ограничить доступ к ресурсу. Важный нюанс: наличие политики конфиденциальности на сайте от ответственности не спасает. Нарушение фиксируется по факту поведения сайта, а не по тексту документа.

Что это значит при выборе курсов

Факт: каждая вторая крупная российская EdTech-платформа не проходит даже половину критериев по обработке персональных данных. Для слушателя курсов это не абстрактный комплаенс-вопрос — это прямой риск: куда уходят данные карты, e-mail, а у детских сервисов — данные ребёнка.

На что обращать внимание:

• Cookie-баннер появляется, но трекеры уже грузятся. Проверяется в DevTools (вкладка Network) за 30 секунд. Если пиксели Facebook или аналитика Google стартуют до клика — платформа нарушает.
• Рекомендательные блоки без ссылки на правила. Если сайт предлагает «курсы для вас» или «подборку на основе ваших интересов», но нигде не раскрывает, какие данные для этого используются — нарушение.
• Детские платформы с минимальной верификацией. Если сервис для детей не запрашивает подтверждение согласия родителя — данных ребёнка, вероятно, обрабатывают нелегитимно.

Медианный балл 50 из 100 — это не случайность отдельных игроков, а системная проблема отрасли. Штрафы заработали, Роскомнадзор получил инструмент, а рынок курсов продолжает работать по инерции. Выбирать образовательную платформу, не проверив, как она обращается с данными, — это как подписать кредитный договор, не читая процентную ставку.