Индекс ScanBase: частные школы Москвы и Петербурга — стоимость обучения не связана с защитой данных детей

Исследование ScanBase, июль 2026. Мы просканировали сайты 147 частных школ Москвы и Санкт-Петербурга на соответствие 152-ФЗ. Все цифры ниже — из этого скана, методология воспроизводима и приведена в конце.

Главный результат: платное хуже бесплатного

Родители частных школ платят от нескольких сотен тысяч до двух миллионов рублей в год. Одно из неявных ожиданий за эти деньги — что со всем, включая безопасность и данные ребёнка, там обращаются аккуратнее, чем в массовой государственной школе.

Мы решили это проверить и прогнали через сканер сайты 147 частных школ двух столиц. Результат оказался обратным ожиданию.

Сравнение с вузами не случайное: мы сканировали их по той же методике месяцем ранее, подробности — в исследовании Индекс ScanBase: 100 лучших вузов России. Средняя оценка школ — 54,3, разброс от 0 до 97. Только 12 школ из 123 набрали 80 и выше, а 21 школа оказалась ниже 40.

Между Москвой (53,9) и Петербургом (54,7) значимой разницы нет. Это важный момент: проблема не в конкретном городе, рынке или директоре. Она системная.

Что и как мы измеряли

В выборку вошли 147 частных (негосударственных) общеобразовательных школ: 75 в Москве и 72 в Санкт-Петербурге. Просканировать удалось 144 сайта, в анализ соответствия вошли 123.

Каждому сайту сканер выставил score от 0 до 100 по трём десяткам проверок: наличие и полнота политики обработки данных, cookie-баннер и порядок загрузки трекеров, формы записи и согласие, сторонние сервисы и передача данных за рубеж, реквизиты оператора, геолокация сервера. Полноту документов отдельно разбирал AI-слой, который читает текст политики и проверяет наличие обязательных разделов по ст. 18.1 152-ФЗ.

Проверка считается проваленной, только если сканер уверенно не нашёл требуемого после «честной деградации»: при нехватке данных ставится пометка «проверьте вручную», а не ложное нарушение.

Чем дороже школа, тем хуже защита

Самый неожиданный срез — по типу школы.

Международные школы — самые дорогие в выборке, обучение стоит порядка 1,5–2 млн рублей в год. И именно они защищают данные хуже остальных групп.

Причина не в злом умысле, а в стеке. «Международная» школа собирает сайт на международных инструментах: Google-аналитика, Google-шрифты, зарубежные CRM и формы, иногда и хостинг за пределами страны. У международных школ сервер находится вне РФ в 11% случаев, тогда как у остальных групп — в 2–3%. Требования же российского закона к локализации и трансграничной передаче от бренда школы не зависят.

Куда уходят данные детей

Там, где на сайте вообще есть сторонние скрипты, они срабатывают до того, как посетитель дал согласие на cookie. Без исключений.

Каждый такой скрипт при загрузке страницы отправляет IP-адрес и технические идентификаторы посетителя на серверы за пределами России. Это трансграничная передача персональных данных (ст. 12 152-ФЗ), а срабатывание до согласия расходится со ст. 6 и позицией Роскомнадзора. Встречается на школьных сайтах и пиксель TikTok.

Показательно обратное: у российской Яндекс.Метрики в нашем скане 0% нарушений по трансграничной передаче — она хранит данные внутри страны. Значит, проблема не в веб-аналитике как таковой, а именно в зарубежных сервисах. Отдельно напомним: любой трекер, включая российский, по закону должен подгружаться только после согласия.

Политика есть, но она пустая

Политика обработки персональных данных опубликована у 77% школ. У 23% её нет вовсе — это хуже, чем у вузов, где документа не было у 18%, и это прямое нарушение п. 2 ст. 18.1 152-ФЗ.

Но наличие документа и его соответствие закону — разные вещи. Мы разобрали тексты 79 политик:

Хуже всего дела со сроками хранения данных (нет у 24%, ещё у 42% раздел неполон) и реквизитами оператора (нет у 18%, неполны ещё у 48%). Права субъекта данных отсутствуют у 22%, передача третьим лицам — у 22%, правовое основание обработки — у 13%, но ещё у 27% оно описано неполно.

Практический смысл прост: если в политике не указаны сроки хранения, непонятно, когда школа обязана удалить данные ребёнка. Если не описана передача третьим лицам — родитель не знает, что данные уходят в зарубежную аналитику.

Ни баннера, ни согласия

Третий пласт проблем — интерфейсы, через которые школа собирает данные.

• Cookie-баннера нет у 72% школ. А там, где он есть, кнопка «Отклонить» присутствует лишь у пятой части.
• Корректного согласия на обработку данных нет у 52% — и это при том, что школа через формы записи, заявок и личные кабинеты собирает данные несовершеннолетних (ст. 9 152-ФЗ).
• Реквизиты оператора не указаны у 41% — родителю попросту некуда направить обращение или отзыв согласия.

Отдельная картина у религиозных школ. Формально их средний балл неплох (55,1), но политики нет у 55% из них, а ссылок на неё в формах почти нет. Их сайты чаще технически заброшены: из 19 таких школ 7 сайтов вообще не открылись сканеру.

Почему так вышло

Важная оговорка, без которой цифры читаются неверно: 100% нарушений по трекерам — это не про то, что частные школы сознательно торгуют данными детей. Это про архитектуру.

Готовый шаблон сайта уже несёт в себе Google Fonts и капчу. Аналитику подключает подрядчик или маркетолог одной строкой кода. Пиксель Meta ставят, когда школа ведёт набор через соцсети. Политику скачивают из интернета и не вычитывают. А механизм согласия, который откладывал бы загрузку скриптов до нажатия на баннер, нужно настраивать отдельно, и до него руки не доходят.

Иначе говоря, сайт по умолчанию не соответствует 152-ФЗ. Соответствие — это то, что нужно сознательно включить. Именно поэтому проблема тотальная и одинаковая у элитной школы и у небольшой частной гимназии. Хорошая новость: раз причина техническая, то и чинится она техническими шагами.

Чем рискует школа: от штрафа до уголовной статьи

Частная школа — оператор персональных данных и одновременно исполнитель платных образовательных услуг. С 30 мая 2025 года санкции по ст. 13.11 КоАП кратно выросли (реформа по ФЗ № 420-ФЗ).

Важная деталь: чтобы получить штраф, необязательно допускать утечку. Достаточно того, что видно на сайте снаружи за минуту — трекеры до согласия, отсутствие политики, форма без корректного согласия.

Что проверить: родителям и школе

Родителю — перед тем как оставить заявку

Проверено: 0/4

• ✓На сайте есть политика обработки персональных данных, и она открывается
• ✓У формы записи есть ссылка на политику и непредзаполненный чекбокс согласия
• ✓Есть cookie-баннер, и в нём можно отказаться, а не только «Принять»
• ✓В политике указаны реквизиты оператора и сроки хранения данных ребёнка

Школе — минимальный набор

Выполнено: 0/6

• ✓Cookie-баннер реально блокирует трекеры до согласия, а не просто информирует
• ✓Google Fonts подключены локально; аналитика, капча и пиксели заменены на решения без передачи данных за рубеж
• ✓Политика опубликована и содержит все обязательные разделы: цели, основание, перечень данных, сроки хранения, передачу третьим лицам, права субъекта, реквизиты оператора
• ✓У каждой формы стоит ссылка на политику и непредзаполненный чекбокс согласия
• ✓Оформлено согласие на обработку данных несовершеннолетнего от законного представителя
• ✓Уведомление в Роскомнадзор подано, данные хранятся на серверах в России

Методология и оговорки

• Выборка: 147 частных школ Москвы (75) и Санкт-Петербурга (72). Просканировано 144, в анализ соответствия вошло 123, не ответили 3.
• Недоступные сайты. 21 сайт не удалось проанализировать из-за SSL-ошибок, недоступности или бот-защиты. Это техническое состояние сайта, а не нарушение закона, и в статистику соответствия эти школы не включены. Показательно, что среди них непропорционально много религиозных школ.
• Метрика нарушения. Проверка провалена, только если сканер уверенно не нашёл требуемого после honest-degrade. Знаменатель в процентах — лишь те школы, где проверка применима (например, «100% Meta Pixel» — это 10 из 10 школ, у которых пиксель в принципе установлен).
• Малая выборка по согласиям. Разбор согласий охватил 20 школ: у большинства согласие оформлено галочкой в форме, а не отдельным документом. Выводы по этому срезу приводим с оговоркой.
• Города. Между Москвой и Петербургом значимой разницы нет, проблема системная.
• Воспроизводимость. Любой сайт можно бесплатно прогнать через scanbase.ru и получить те же проверки.

Если вы только разбираетесь в теме, начните с базового материала — 152-ФЗ простыми словами.

Частые вопросы

Исследование будет обновляться. Если вы отвечаете за сайт школы, начните со скана и пройдите по чек-листу выше: большая часть нарушений закрывается техническими правками, без перестройки сайта.

* Meta Platforms Inc. (включая социальные сети Facebook и Instagram) признана в России экстремистской организацией, её деятельность на территории РФ запрещена.