Персональные данные учеников автошколы: что требует 152-ФЗ и где школы попадают на штраф

Автошкола — это машина по сбору персональных данных, даже если директор так о ней не думает. Паспорт, СНИЛС, медсправка, телефон, иногда сведения о здоровье. Всё это по 152-ФЗ — персональные данные, а медсправка и вовсе особая категория. И спрос за них с автошколы такой же, как с банка.

Штрафы за нарушения в 2026 году выросли ощутимо, а проверить оператора могут и без выезда — по жалобе одного обиженного ученика. Разберём, что школа обязана делать, где реально прокалываются и как закрыть основные дыры без юриста в штате.

Что вы обязаны как оператор ПДн

Как только вы собираете данные учеников, вы — оператор персональных данных. Из этого следует несколько обязанностей:

1. Согласие на обработку. Оно должно быть у каждого ученика, отдельным осмысленным документом, а не строчкой «согласен» в углу договора. На рассылки, звонки и SMS — отдельное согласие, это уже не «обработка ради обучения».
2. Уведомление Роскомнадзора. Оператор обязан подать уведомление о том, что обрабатывает ПДн. Многие школы про это просто не знают.
3. Хранение и доступ. Данные нельзя держать в общей гугл-таблице, к которой имеет доступ весь коллектив и бывшие сотрудники.
4. Серверы в России. Данные граждан РФ должны первично обрабатываться и храниться на серверах на территории страны.

Где школы попадают

Согласие «в договоре». Самая частая история. Согласие на обработку зашито в тело договора одной фразой. Формально осознанного согласия нет, на рассылки — тем более. Пришла жалоба — доказать нечем.

Данные в мессенджерах и таблицах. Медсправки фотографируют в общий чат, списки учеников живут в гугл-таблице с открытой ссылкой. Уволился администратор — данные ушли с ним.

Рассылки без согласия. Собрали телефоны учеников, погнали SMS про новый набор. Один пожаловался — и вот уже проверка, потому что согласия на рекламу не было.

Иностранные сервисы. Школа гоняет данные учеников через зарубежный CRM или облако — нарушение требования о хранении в РФ, даже если «там удобнее».

Как закрыть основные дыры

Идея не в том, чтобы нанять безопасника, а в том, чтобы данные жили в одном месте с нормальным доступом и согласиями.

В Drivli данные учеников хранятся на серверах в России — требование о локализации закрыто на уровне сервиса. Доступ — по ролям: инструктор видит своих, менеджер — свой филиал, а не «все всё». Уволили сотрудника — отозвали доступ, и данные не ушли на его телефоне.

Согласие ученик подписывает отдельным документом — в том числе онлайн, кодом из Telegram (ПЭП по 63-ФЗ), и оно хранится с отметкой, кто и когда подписал. На маркетинговые рассылки — отдельный флаг согласия: система шлёт письма и сообщения только тем, кто согласие дал, а отписаться можно в один клик. Пожаловаться будет не на что.

Отдельно про AI и распознавание сканов: и помощник директора, и сверка дат по фото документов работают локально, без отправки данных учеников во внешние сервисы вроде зарубежных нейросетей. Персданные не утекают на сторону — это принципиальная позиция, а не галочка.

Коротко

• Собираете паспорта и медсправки — вы оператор ПДн со всеми обязанностями.
• Согласие — отдельным документом; на рекламу — отдельное согласие.
• Уведомите Роскомнадзор, храните данные в РФ, закройте доступ по ролям.
• Мессенджеры и открытые таблицы — главный источник утечек.

Роли, скоуп по филиалам и согласия на рассылки есть на всех тарифах. Онлайн-подписание согласий (ПЭП) — с тарифа «Профи» за 4 490 ₽ в месяц. Один штраф по 152-ФЗ дороже годовой подписки в разы.