Проверили 109 EdTech-платформ (онлайн-школы и курсы) на соответствие 152-ФЗ: почти все нарушают, и вот чем это грозит

Мы просканировали 109 российских образовательных платформ (онлайн-школы, курсы профессий, языковые сервисы, детское программирование) и проверили, как они на практике соблюдают 152-ФЗ. Смотрели не тексты политик, а фактическое поведение сайтов: что грузится на страницах, куда уходят данные, оформлено ли согласие. Проанализировать удалось 98 платформ.

Результат неутешительный для отрасли и поучительный для любого бизнеса с сайтом: почти каждая платформа нарушает закон по составам, за которые штрафуют в первую очередь. Разберём находки, привяжем к нормам и суммам, и в конце дадим чек-лист, применимый не только к EdTech.

Медианный балл соответствия составил 50 из 100. Для сравнения: у ранее проверенных нами топ-100 вузов было 62, у частных школ 55. Чем цифровее и коммернее образование, тем хуже с данными, а на дне оказался сегмент, где учатся дети: детские платформы набрали в среднем 38.6 балла.

Трекеры срабатывают до согласия у 94 платформ из 98 (96%). Это ключевая находка. Сторонние счётчики и рекламные пиксели загружаются в момент открытия страницы, до того как посетитель нажал «Принять» в cookie-баннере. С точки зрения закона каждый такой трекер это передача персональных данных стороннему получателю, а по ст. 6 и 9 152-ФЗ она возможна только на законном основании. Для рекламной аналитики основание это согласие, полученное до сбора данных. Трекер, сработавший раньше баннера, собирает данные без основания.

У 79% детских платформ нет корректно оформленного согласия. Здесь обрабатываются данные несовершеннолетних, для которых по ст. 9 152-ФЗ нужно согласие законного представителя, а требования строже, а не мягче. Тем не менее данные собираются через скрытые трекеры до какого-либо согласия.

Данные уходят в среднем в четыре иностранных сервиса, а у отдельных платформ в четырнадцать сразу. Всего по выборке мы насчитали 53 разных зарубежных получателя. Помимо привычных Google и пикселя Meta¹*, это рекламные сети и дата-брокеры, включая малайзийскую рекламную сеть, получающую данные с десяти образовательных сайтов. Каждая такая передача за рубеж это отдельный вопрос по трансграничной передаче (ст. 12 152-ФЗ).

78% платформ с рекомендательными технологиями не опубликовали обязательные правила их применения. Подбор курсов, преподавателей, персональные подборки уроков это рекомендательная технология в понимании ст. 10.2-2 149-ФЗ. Владелец обязан опубликовать правила её применения и раскрыть, какие данные используются. Требование действует с 1 октября 2023 года, но соблюдают его единицы.

Все найденные составы предметны и обеспечены штрафами. Суммы для юридических лиц по действующим редакциям:

Отдельно стоит отметить состав по рекомендательным технологиям. Штраф за него совсем новый: статью 13.56 КоАП ввёл Федеральный закон от 26.06.2026 № 199-ФЗ, и действует она с 7 июля 2026 года. До этого требование по ст. 10.2-2 149-ФЗ было почти без санкции, поэтому его массово игнорировали. Теперь за отсутствие правил юрлицу грозит от 500 000 рублей, за повторное нарушение до 1 400 000, а Роскомнадзор дополнительно вправе потребовать прекратить использование рекомендательной технологии в течение суток и при неисполнении ограничить доступ к ресурсу.

Важный нюанс для оценки риска: наличие политики на сайте от ответственности не спасает. Нарушение фиксируется по факту поведения сайта, а не по тексту документа. Согласие, собранное уже после того, как данные ушли трекерам, при проверке приравнивается к его отсутствию.

Показательно, что нарушать необязательно. Пять из шести платформ, набравших 80 баллов и выше, работают вообще без единого иностранного сервиса, тогда как дно рейтинга тащит в среднем по шесть таких сервисов. Западный рекламно-аналитический стек это главный источник нарушений: он тянет за собой и трекеры до согласия, и трансграничную передачу. Аналитику, шрифты, капчу и формы на российских сервисах, и самый массовый класс нарушений отпадает. Остальное (согласия, уведомление, документы) добирается отдельно, но именно этот шаг вытягивает результат сильнее всего.

Проверка целой отрасли показала системную картину: нарушения это не единичная халатность, а норма, которая складывается из обычных рабочих решений. Готовый шаблон сайта тянет иностранные шрифты и капчу, маркетинг ставит пиксели, рекомендательный виджет воспринимается как продуктовая функция, а не как регулируемая обработка данных. При этом почти всё закрывается настройками и документами за несколько дней, а цена бездействия по одному составу измеряется сотнями тысяч рублей, а по утечкам миллионами. Проверять стоит не текст политики, а фактическое поведение сайта: именно на него смотрит регулятор.

Meta¹ Platforms Inc. (включая социальные сети Facebook¹ и Instagram¹) признана в России экстремистской организацией, её деятельность на территории РФ запрещена.