Индекс ScanBase: 100 лучших вузов России и данные абитуриентов — рейтинг не спасает

Исследование ScanBase, июль 2026. Мы просканировали сайты 100 ведущих вузов России из рейтинга RAEX-100 на соответствие 152-ФЗ. Все цифры ниже — из этого скана, методология воспроизводима.

Абитуриент оставляет на сайте вуза чувствительный набор данных: ФИО, телефон, email, паспорт, СНИЛС, аттестат, иногда — сведения о здоровье и льготах. При этом «топовый вуз» интуитивно кажется синонимом «надёжного». Мы решили проверить, так ли это, и прогнали через сканер ScanBase сайты 100 лучших вузов страны по рейтингу RAEX-100 2025.

Короткий ответ: место в рейтинге почти не связано с тем, как вуз обращается с персональными данными. Ниже — пять находок, именами и цифрами.

Что и как мы измеряли

Выборка — 100 вузов из рейтинга RAEX «100 лучших вузов России» 2025. В анализ вошло 98: УУНиТ (#100) на момент скана был недоступен, МПГУ (#31) на публичной части не подпадал под критерии проверки 152-ФЗ.

Каждому сайту сканер выставил score от 0 до 100 — по десяткам проверок: cookie-баннер и порядок загрузки трекеров, наличие и полнота политики обработки ПДн, формы сбора данных и согласие, трансграничная передача, реквизиты оператора и другие. Проверка считается проваленной, только если сканер уверенно не нашёл требуемого элемента после «честной деградации» (нет данных → мягкая пометка, а не ложный провал).

Что получилось по всей выборке:

• медианный score — 62, средний — 58,7, разброс — от 15 до 95;
• только 9 вузов из 98 набрали 80+;
• 18 из 98 — ниже 40.

Находка 1: рейтинг ≠ защита данных

Самый наглядный результат исследования: позиция в академическом рейтинге и качество работы с данными почти не связаны между собой.

Лидером по 152-ФЗ оказался вуз, занимающий в рейтинге RAEX лишь 19-е место, — его score 95 из 100. При этом несколько вузов из самой первой пятёрки рейтинга набрали ниже 35, а около половины первой десятки застряли примерно на 50 из 100 — при том что по науке и образованию они в числе лучших в стране.

Как распределились оценки по всей выборке:

Медиана — 62, средний балл — 58,7, разброс — от 15 до 95.

Находка 2: 100% сдают данные в Google до согласия

Это самый тотальный результат исследования. Там, где на сайте вообще есть сторонние скрипты, они срабатывают до того, как посетитель нажал «Принять» в cookie-баннере (а часто баннера и нет):

• трекеры до согласия на cookie — 100% (91/91);
• Google Analytics / Google Tag Manager — 100% (19/19);
• Google Fonts — 100% (28/28);
• Google reCAPTCHA — 100% (6/6).

Каждый из этих скриптов при загрузке отправляет IP-адрес и технические идентификаторы посетителя на серверы Google за пределами РФ — это трансграничная передача по ст. 12 152-ФЗ, а сам факт установки трекеров без предварительного согласия противоречит ст. 6 и позиции Роскомнадзора по cookie.

Показательно обратное: Яндекс.Метрика — 0% нарушений (89 вузов). Проблема не в веб-аналитике как таковой, а именно в передаче данных за рубеж — в Google. Российский аналог этого вопроса не создаёт.

Находка 3: 96% политик — с дырами

Политика обработки ПДн есть у 82% вузов (у 18% её нет вовсе — прямое нарушение п. 2 ст. 18.1 152-ФЗ). Но наличие ≠ соответствие. Мы разобрали 55 политик по обязательным разделам, и результат такой:

Чего не хватает чаще всего:

Отдельно провалились технические вузы: у них 100% политик оказались дефектными.

Находка 4: медвузы и данные о здоровье

Медицинские вузы — особый случай. Они собирают данные о здоровье абитуриентов (справки, противопоказания), а это специальная категория по ст. 10 152-ФЗ: её обработка требует отдельного, письменного согласия.

• там, где это применимо, 80% берут данные спецкатегории без корректного согласия;
• предупреждение о медицинских противопоказаниях к профессии отсутствует у 36%;
• средний score медвузов — 56, но разброс огромный: от 82 у лидера до 15 у слабейшего. Уровень зависит не от «медицинского профиля», а от конкретной команды сайта.

Здесь особенно важно, что режим данных о здоровье строже обычного: спецкатегория требует отдельного письменного согласия. Подробно о нём и врачебной тайне — в отдельном разборе обработки персональных данных в медорганизации.

Находка 5: хуже всех — те, кто учит праву

Если сгруппировать вузы по профилю и усреднить score, получается ирония:

Заметнее всего отстаёт группа социально-экономических и правовых вузов — то есть тех, кто сам преподаёт 152-ФЗ и цифровое право. А лучше всех, вопреки ожиданиям, — аграрные. Это наблюдение на уровне групп: внутри каждой есть и сильные, и слабые сайты, поэтому отдельные названия мы здесь не приводим.

Почему так вышло — это не злой умысел

Важная оговорка: 100% нарушений по трекерам — это не про то, что вузы намеренно «сливают» данные абитуриентов. Это про архитектуру. Типовая CMS ставит Google Fonts и reCAPTCHA «из коробки», аналитику подключают маркетологи, а корректный механизм согласия (CMP), который блокировал бы скрипты до клика по баннеру, требует отдельной настройки, о которой мало кто думает.

Ровно поэтому проблема массовая и одинаковая: дело не в конкретном вузе, а в том, что «поставил и забыл» по умолчанию противоречит 152-ФЗ. И ровно поэтому она чинится — понятными техническими шагами.

Чек-лист: что проверить на сайте вуза

Короткий список для ответственного за ПДн в вузе (или для любопытного абитуриента). Отметьте, что закрыто.

Выполнено: 0/8

• ✓Cookie-баннер есть и блокирует трекеры ДО согласия (а не просто информирует)
• ✓Google Analytics / Fonts / reCAPTCHA заменены на решения без трансграничной передачи или загружаются после согласия
• ✓Политика обработки ПДн опубликована и доступна с любой страницы
• ✓В политике есть сроки хранения, передача третьим лицам, права субъекта, перечень данных, реквизиты оператора
• ✓У каждой формы (приёмная кампания, обратная связь) — ссылка на политику и непредзаполненный чекбокс согласия
• ✓Для данных о здоровье (медвузы, льготы) — отдельное письменное согласие по ст. 10
• ✓Уведомление в Роскомнадзор подано
• ✓Данные абитуриентов хранятся на серверах в РФ (локализация, ч. 5 ст. 18)

Методология и оговорки

Мы придерживаемся честности в цифрах — вот как читать исследование:

• Выборка: 100 вузов рейтинга RAEX-100 2025, в анализ вошло 98.
• Что считается нарушением: проверка провалена сканером после «честной деградации» (при нехватке данных ставится мягкая пометка, а не ложный провал). Знаменатель в процентах — только те вузы, где проверка применима (например, «100% GTM» — это 19 из 19 вузов, у кого GTM в принципе установлен).
• Оговорки: УУНиТ (#100) на момент скана был недоступен; МПГУ (#31) исключён как не подпадающий под критерии на публичной части; разбор согласий на спецкатегорию сделан по малой подвыборке (10 вузов) и приведён с этой оговоркой.
• Воспроизводимость: методология открыта — любой сайт можно бесплатно прогнать через scanbase.ru и получить тот же score.

Если вы только начинаете разбираться в теме, начните с базового материала — 152-ФЗ простыми словами.

Частые вопросы

Исследование будет обновляться. Если вы отвечаете за сайт вуза и хотите разобрать свой результат — начните со скана и пройдите по чек-листу выше.