Частная школа с медицинским кабинетом, биометрическим СКУД и учебной платформой в зарубежном облаке. Как привести всё это в соответствие с законом?

Медкабинет. Медицинская деятельность лицензируется: школа либо привлекает медицинскую организацию и предоставляет ей помещение (ч. 3 ст. 41 273-ФЗ), либо получает лицензию сама. В первом случае оператор медданных — медорганизация, школа получает лишь сведения о допуске и противопоказаниях (Q154); во втором школа сама хранит врачебную тайну (ст. 13 323-ФЗ) и обрабатывает спецкатегории по п. 4 ч. 2 ст. 10 152-ФЗ. Медицинская ИСПДн отделяется от учебной: при угрозах 3-го типа спецкатегории дают третий уровень защищённости для менее чем 100 000 субъектов (п. 11 подп. «в» Требований ПП РФ № 1119) и второй для более чем 100 000 (п. 10 подп. «е»), биометрия — третий (п. 11 подп. «г»), меры — по приказу ФСТЭК № 21.

Биометрический СКУД. Распознавание лиц детей — биометрия (ч. 1 ст. 11 152-ФЗ), согласие дают законные представители (ч. 19 ст. 3 572-ФЗ), биометрия не может быть обязательной (ч. 11–13 ст. 3), обработка для идентификации вне ЕБС ограничена ст. 15 572-ФЗ, а Минцифры относит изображение лица к сфере 572-ФЗ (письмо от 15.10.2025 № П24-16856-ОГ). Локальная база лиц в СКУД, по выводу редакции, закону не соответствует, а схема через ЕБС для школ на 10.10.2026 не оформлена: законопроект внесён в Госдуму в январе 2026 по сообщениям СМИ, принятие не подтверждено (Q156). Карта и визуальная сверка охранником фото на пропуске биометрией не являются (письмо РКН от 29.08.2022 № 08-78032; ссылка на п. 2 ч. 2 ст. 1 572-ФЗ не подтверждена). Отпечатки пальцев Минцифры к сфере 572-ФЗ не относит, но для них остаются ст. 11 152-ФЗ, согласие родителей и альтернатива.

Платформа в зарубежном облаке. Сбор данных учеников в зарубежную базу запрещён с 01.07.2025 (ч. 5 ст. 18 в ред. 23-ФЗ), штраф 1–6 млн рублей (ч. 8 ст. 13.11 КоАП РФ), поэтому база учеников, журналы и кабинеты переносятся на российскую инфраструктуру с договором поручения (ч. 3 ст. 6). При реализации основной общеобразовательной программы с электронным обучением школа обязана применять государственные информационные системы и многофункциональный сервис обмена информацией (ч. 3.1 ст. 16 273-ФЗ): ФГИС «Моя школа» или региональную ГИС, а собственная платформа их дополняет, но не заменяет; ПО — по п. 21 Правил № 1678. Зарубежные сервисы — только для статики или как трансграничная передача по ст. 12 (Q162).

Документы: политика с тремя контурами; уведомление РКН по ст. 22 со спецкатегориями, биометрией (если останется), трансграничной передачей и адресами баз; договор с медорганизацией или лицензия и положение о медкабинете; локальный акт о СКУД и видеонаблюдении с альтернативой карты; поручения облачному провайдеру и вендору платформы; акты уровня защищённости и модели угроз по каждой ИСПДн; отдельные согласия родителей на спецкатегории, биометрию и распространение; план миграции с актом уничтожения данных у прежнего провайдера по приказу РКН № 179. Утечка спецкатегорий и биометрии — штрафы 10–15 и 15–20 млн рублей (ч. 16, 17 ст. 13.11 КоАП РФ).