Документы по информационной безопасности для школы и колледжа в Кургане

Школа и колледж работают с электронным журналом, платформами для ГИА, личными делами учеников и сотрудников. Учредитель в Кургане прислал перечень документов по персональным данным и информационной безопасности: часть — «обязательно», часть — «рекомендуется». Разобраться, где норма закона, а где пожелание проверяющего, сходу непросто.

В этой статье — что действительно требуют 152-ФЗ, приказ ФСТЭК № 117 от 01.03.2026 для государственных учреждений и отраслевые акты, а что остаётся практикой. Покажем, какие документы утверждает руководитель, кто их проверяет и как подготовить пакет без лишних затрат.

Какие документы по ИБ обязательны: образовательная организация

Для школы или колледжа применимы два контура требований. Первый — общий для любого оператора персональных данных (152-ФЗ). Второй — специальный для государственных и муниципальных учреждений: их информационные системы подпадают под требования о защите информации в государственных информационных системах (приказ ФСТЭК № 117, действует с 01.03.2026, заменил приказ № 17). Частные образовательные организации вне ГИС используют только первый контур.

Ниже — перечень документов с честным разделением «обязательно по норме» и «практика».

Отдельного «перечня из 20 обязательных документов» в законе нет — меры оператор определяет сам (ч. 1 ст. 18.1 152-ФЗ). Но без перечисленных выше бумаг невозможно ни отчитаться перед РКН, ни пройти проверку учредителя.

Состав комплекта для вашей организации

Минимальный рабочий комплект для школы или колледжа выглядит так:

Кто проверяет и что смотрят

Основные контролирующие органы для образовательной организации:

• Роскомнадзор — проверяет соблюдение 152-ФЗ: политику, приказ об ответственном, согласия, уведомление, порядок уничтожения. Плановые проверки в 2025 году не проводились, основной риск — внеплановые по жалобам родителей или работников.
• ФСТЭК — контролирует государственные информационные системы, к которым относятся системы государственных и муниципальных школ/колледжей. Проверяет выполнение приказа № 117, наличие политики защиты информации, ответственных лиц, внутренних регламентов.
• Учредитель (департамент/управление образования в Кургане) — вправе запрашивать локальные акты, проверять организацию работы с ПДн в рамках ведомственного контроля.
• Прокуратура — при проверках соблюдения законодательства о персональных данных в бюджетных учреждениях.

Типовые вопросы на проверке:

• Где опубликована политика обработки ПДн? Доступна ли она на каждой странице сбора данных (например, форма записи на кружок)?
• Кто назначен ответственным за организацию обработки ПДн? Есть ли приказ и должностные обязанности?
• Как оформлены согласия родителей? Отдельные ли это документы с конкретными целями? Есть ли доказательства их получения?
• Как школа уведомила РКН? Подано ли уведомление до начала обработки, содержит ли описание мер защиты?
• Каков порядок уничтожения ПДн? Есть ли акты, подтверждающие уничтожение при достижении цели, и кто за это отвечает?
• Ознакомлены ли работники с локальными актами под роспись? Есть ли журналы ознакомления?

Как мы готовим комплект

Работаем дистанционно по всей России, в том числе в Кургане. Сначала присылаем опросный лист (DOCX) о деятельности, целях обработки, системах, сотрудниках, контрагентах. Далее — созвон при необходимости. Документы адаптируем под ваши процессы, а не отдаём пустой шаблон. Утверждает руководитель заказчика.

Техническую часть — модель угроз ИСПДн, акт определения уровня защищённости, внутренние стандарты по приказу № 117 для государственных учреждений — готовим только методически (шаблон, указания, проверка) или с партнёром-лицензиатом ФСТЭК. Это связано с требованиями к лицензированию технической защиты информации.

Особенности, о которых забывают

• ✓ Персональные данные несовершеннолетних. Согласие на обработку ПДн ребёнка даёт законный представитель. Согласие должно быть отдельным документом с конкретными целями: ведение личного дела, электронный журнал, участие в олимпиадах, публикация фото на сайте.
• ✓ Оператор региональной ГИС. Школа обычно является пользователем электронного журнала, а не оператором ГИС. Но это не снимает обязанности соблюдать правила доступа, не передавать логины, не размещать в системе данные, не предусмотренные регламентом.
• ✓ Сайт школы. Если на сайте есть форма записи, обратной связи, оплаты — политика ПДн должна быть доступна именно на этих страницах. Публикация списков учеников, фото с мероприятий требует отдельного согласия на распространение (ст. 10.1 152-ФЗ).
• ✓ Бумажные носители. Личные дела, журналы успеваемости, медицинские справки — это тоже обработка ПДн. Нужны приказ о местах хранения, перечень лиц с доступом, порядок уничтожения по истечении срока.
• ✓ Смешение согласий. Согласие на обработку ПДн и согласие на размещение фотографии в открытом доступе — разные документы. Частая ошибка — объединять их в одну форму.

Разбор на примере: городская школа

Как работали:

Что будет без документов

Отдельного штрафа «за отсутствие локальных актов» в КоАП нет. Но последствия реальны:

• Неопубликованная политика ПДн — штраф по ст. 13.11 ч. 3 КоАП: для юридических лиц от 30 до 60 тыс. ₽. Это прямая санкция именно за отсутствие документа.
• Обработка ПДн без правовых оснований или с нарушением целей — ст. 13.11 ч. 1 КоАП: юрлица 150–300 тыс. ₽. Отсутствие локальных актов может быть квалифицировано как такая обработка.
• Обработка ПДн без письменного согласия, когда оно обязательно, — ст. 13.11 ч. 2 КоАП: юрлица 300–700 тыс. ₽.
• Утечка персональных данных — по новым частям 15–18 ст. 13.11 КоАП (420-ФЗ) оборотные штрафы достигают 3–20 млн ₽, при повторной утечке — до 500 млн ₽ или процент от выручки.
• Нарушение требований приказа ФСТЭК № 117 для госучреждений — влечёт предписание ФСТЭК и административную ответственность по ст. 13.12 КоАП (разглашение или нарушение правил защиты информации).
• Дисциплинарная ответственность: разглашение ПДн ученика или работника может стать основанием для увольнения по п. 6 «в» ст. 81 ТК РФ, если в организации закреплён режим охраны таких сведений.

Без утверждённого перечня, приказов и расписок школа не сможет доказать, что сведения являлись охраняемой тайной, — ни для увольнения, ни для возмещения убытков в случае утечки.

Чем поможем и сколько это стоит

Мы готовим правовой и организационный пакет по 152-ФЗ и Трудовому кодексу для школ и колледжей. В состав входят:

• Политика обработки ПДн для сайта и внутренняя
• Положение об обработке и защите ПДн
• Положение о ПДн работников
• Приказ об ответственном за организацию обработки ПДн
• Формы согласий отдельными документами (ученики, родители, работники, фото/видео)
• Поручения на обработку (для подрядчиков, если есть)
• Регламент ответов на запросы субъектов
• Порядок уничтожения ПДн и акты
• Регламент работы с электронным журналом
• Инструкции педагогам

Цена ниже рыночной, потому что мы используем отработанные типовые решения и работаем дистанционно: вы заполняете опросный лист, специалист адаптирует документы под ваши процессы. Никаких пустых шаблонов — каждая форма привязана к вашим целям обработки.

Частые вопросы

Готовим правовой пакет для школ и колледжей более 5 лет. Начните с комплекта документов по информационной безопасности или отдельно закажите документы по персональным данным. Если нужна техническая часть — модель угроз ИСПДн — поможем методически или организуем с партнёром-лицензиатом ФСТЭК.