Данные прокторинга, приватность и правовой ландшафт в России

Это инженерные рекомендации, а не юридическая консультация. Уточняйте детали у квалифицированного юриста.

Кратко

Как только ваш продукт записывает лицо экзаменуемого, его комнату и экран, вы перестаёте быть просто поставщиком ПО и становитесь оператором одних из самых строго регулируемых данных: видео и звука из дома, результатов аттестации, а при сверке лица с эталонным фото – ещё и биометрии. В России к таким данным применяются сразу четыре слоя права. 152-ФЗ требует согласия, оформленного отдельно от других документов (с 01.09.2025), запрещает хранить ПДн граждан РФ в зарубежных базах (с 01.07.2025) и задаёт правила поручения обработки подрядчику. Биометрию можно обрабатывать только с письменного согласия, а исходные образцы лица частная компания с 01.06.2023 хранить у себя не вправе: легальный путь идёт через Единую биометрическую систему (572-ФЗ). Правила электронного обучения (ПП № 1678) прямо описывают идентификацию экзаменуемых через ЕСИА и ЕБС, требуют закрепить порядок прокторинга в локальном акте и использовать ПО, которое соответствует законодательству РФ и (или) включено в реестр. Цена ошибки выросла: с 30.05.2025 за повторную утечку грозит оборотный штраф до 500 млн ₽, а с 11.12.2024 действует уголовная ст. 272.1 УК. Больше всего юридических рисков снимают инженерные решения: собирать минимум данных, нужных для контроля честности, хранить их только в России и только кратчайший обоснованный срок, оставлять каждое решение за человеком и оформить согласие, поручение и срок хранения до первого экзамена.

Почему это важно

Если вы строите или покупаете продукт для экзаменов с прокторингом, правовые требования – не сноска о комплаенсе, которую можно учесть позже, а исходное условие проектирования. Они определяют, что вам вообще разрешено собирать, где хранить и на каком основании действовать. Эта статья – инженерная карта рисков: какие данные на самом деле создаёт прокторинг, какие нормы к ним применяются и почему, что и сколько можно хранить и что нужно оформить письменно до запуска. Она написана для продакт-менеджера, руководителя корпоративного обучения или основателя, которому нужно оценить прокторинг и заполнить опросник по безопасности ПДн, а не для юриста, хотя юрист по ПДн узнает здесь каждую норму. Обзор подходов к прокторингу и их компромиссов по приватности помогает выбрать подход, а эта статья подробно разбирает право, данные и меры, которые позволят отстоять и то и другое при проверке.

Сначала: вы стали оператором персональных данных

Когда учащийся сдаёт экзамен с прокторингом, ваша система не просто «использует веб-камеру». Она создаёт целый набор чувствительных данных: видеозапись частного жилья, аудиозапись всех, кто рядом, запись экрана, журнал нажатий клавиш и переключений вкладок, а у автоматических инструментов – ещё и шаблон лица, математическое описание его геометрии для распознавания человека. В терминах 152-ФЗ вы – оператор, то есть сторона, которая определяет цели обработки, состав данных и действия с ними. Сервис прокторинга обычно – лицо, обрабатывающее ПДн по поручению оператора (ст. 6 ч. 3). Перед экзаменуемым отвечает оператор, а обработчик отвечает перед оператором (ч. 5); если обработчик иностранный, перед субъектом отвечают оба (ч. 6). Передав работу подрядчику, вы не передаёте ему ответственность.

На этом различии держится вся статья: камеры и алгоритмы можно купить, а выйти из роли оператора нельзя. Согласие, которое вы собираете, срок хранения, который задаёте, поручение, которое подписываете, и обещание, что каждую отметку проверит человек, остаются на вас, кто бы ни написал код. Если платформой пользуется вуз или учебный центр, оператором обычно становится он, а вы – обработчиком по его поручению. Тогда те же обязанности приходят к вам через договор, и продукт должен давать заказчику инструменты, чтобы их выполнить.

Сразу определим два ключевых термина. Биометрические персональные данные (ст. 11) – сведения о физиологических и биологических особенностях человека, по которым можно установить его личность и которые оператор для этого использует; обрабатывать их можно только с письменного согласия. Специальные категории ПДн (ст. 10) – самый чувствительный уровень, куда входят, например, сведения о здоровье. В прокторинге они появляются, когда учащийся просит особые условия из-за инвалидности или ОВЗ.

Нажмите, чтобы увеличить

152-ФЗ: согласие, локализация и поручение

Отдельное согласие и от кого его брать

С 01.09.2025 согласие на обработку ПДн должно быть оформлено отдельно от иных документов и информации (ч. 1 ст. 9 в ред. 156-ФЗ). Для прокторинга это значит, что галочка «принимаю правила экзамена», в которую зашито согласие на запись, больше не годится. Нужен отдельный экран или документ, где перечислено, что записывается (видео, звук, экран, события браузера), зачем, кто обрабатывает данные и сколько их хранят. Если в процессе есть сверка лица, на неё нужно письменное согласие по ст. 11. За несовершеннолетнего согласие дают законные представители: отдельной нормы о детях в законе нет, действуют общие правила, а полномочия представителя проверяет оператор. Согласие работает и в обратную сторону: если его отзовут, обработку нужно прекратить, а ненужные данные уничтожить не позднее 30 дней (ст. 21 ч. 5).

Локализация: записи только в российских базах

С 01.07.2025 сбор, запись, хранение и другие операции с ПДн граждан РФ с использованием баз данных за пределами России не допускаются (ч. 5 ст. 18 в ред. 23-ФЗ). Раньше закон требовал лишь первичной записи в РФ, а теперь зарубежное хранилище записей прокторинга, зарубежная облачная LMS или отправка видео в зарубежный API распознавания создают прямой риск нарушения. Инженерный вывод простой: видео, шаблоны, журналы и отчёты прокторинга хранятся в российском облаке или на ваших серверах, и это видно на схеме архитектуры, а не только в договоре. В уведомлении Роскомнадзора об обработке ПДн, которое оператор подаёт до начала обработки (ст. 22), отдельно указываются место нахождения базы данных и наличие трансграничной передачи.

Поручение обработки подрядчику

Сервис прокторинга обрабатывает данные на основании поручения оператора (ст. 6 ч. 3). Закон требует указать в поручении перечень ПДн, действия с ними и цели, обязанность соблюдать конфиденциальность и требования к защите по ст. 19 (включая уведомление оператора об инцидентах), а также обязанность по запросу оператора подтверждать выполнение требований документами. Согласие субъекта подрядчику получать не нужно (ч. 4), его получает оператор. Читайте договор с сервисом прокторинга одновременно как юрист и как инженер. Где физически лежат записи, кто из субподрядчиков их видит, как поставщик сообщит об утечке и как подтвердит удаление?

Цена ошибки: оборотные штрафы и уголовная статья

С 30.05.2025 (420-ФЗ) штрафы по ст. 13.11 КоАП для юрлиц за утечку зависят от её масштаба: 3–5 млн ₽ (до 10 тыс. записей), 5–10 млн ₽ (до 100 тыс.), 10–15 млн ₽ (свыше 100 тыс.). Утечка биометрии – отдельный состав: 15–20 млн ₽. За повторную утечку штраф уже оборотный: 1–3% выручки, но не меньше 20 млн ₽ (для биометрии – 25 млн ₽) и не больше 500 млн ₽. Если не уведомить Роскомнадзор об утечке в течение 24 часов, добавится ещё 1–3 млн ₽. Обработка биометрии без письменного согласия стоит 300–700 тыс. ₽.

Пример. Допустим, из хранилища утёк архив записей прокторинга 60 000 экзаменуемых, а система сверяла их лица с эталонными фото.

Утечка ПДн, от 10 до 100 тыс. записей:          5–10 млн ₽
Если утекли биометрические шаблоны (отд. состав): 15–20 млн ₽
Не уведомили РКН в течение 24 часов:             + 1–3 млн ₽

Повторная утечка биометрии, выручка компании 1,5 млрд ₽:
  1–3% × 1 500 млн ₽ = 15–45 млн ₽ → но не меньше 25 млн ₽ → 25–45 млн ₽

Разница между первой и второй строкой зависит ровно от того, хранили ли вы шаблоны лица у себя. Дело не в том, что «штрафы выросли», а в том, что от многомиллионного штрафа вас отделяют дешёвые и скучные меры: не держать биометрию в своём контуре, шифровать записи, удалять их по графику и иметь отработанный порядок уведомления. Для физических лиц, виновных в незаконных сборе, хранении, использовании и передаче ПДн, с 11.12.2024 действует ст. 272.1 УК; ПДн несовершеннолетних и биометрия – квалифицирующие признаки, наказание до 5 лет лишения свободы.

«Частая ошибка: считать, что персональные данные – забота поставщика. Если вы определяете, зачем записывать экзаменуемых и что делать с записями, оператор – вы, и именно вас Роскомнадзор спросит о согласии, локализации и сроках. Прочтите поручение: кто кого уведомляет об инциденте и за сколько часов? У вас самих на уведомление регулятора 24 часа и ещё 72 часа на результаты внутреннего расследования (ст. 21 ч. 3.1). Не рассчитывайте, что отвечать будет подрядчик.»

Биометрия: где проходит граница и почему легальный путь – ЕБС

Сверка лица – биометрия, отметки о поведении – нет

Многие команды понимают это неверно: не каждая система прокторинга обрабатывает биометрию. По определению ст. 11 сведения становятся биометрическими, когда по ним можно установить личность и оператор использует их для установления личности. Если ПО лишь отмечает поведение («лицо не в кадре», «в кадре второй человек», «взгляд в сторону») и не строит и не сравнивает шаблон для идентификации, это обработка обычных персональных данных; запись по-прежнему остаётся ПДн со всеми обязанностями, описанными выше. Как только система сверяет лицо с фото из паспорта или профиля, чтобы подтвердить, что экзамен сдаёт нужный человек, вы переходите биометрическую границу. Различие инженерное: биометрией данные делает сопоставление шаблона для идентификации. От того, по какую сторону границы стоит ваш инструмент, зависят применимые к вам правила, поэтому зафиксируйте это в описании системы.

572-ФЗ и Единая биометрическая система

С 01.06.2023 частные компании не вправе хранить исходные биометрические образцы лица и голоса в своих системах: работа с биометрией идёт через ЕБС, а коммерческие организации, прошедшие аккредитацию Минцифры, работают с векторами. Существующие базы нужно было передать в ЕБС до 30.09.2023. Работа без аккредитации грозит штрафом до 2 млн ₽ (ст. 13.11.3 КоАП). Для прокторинга это означает, что легальный путь биометрической сверки – ЕСИА плюс ЕБС по правилам ПП № 1678 (о них ниже). Собственная модель распознавания лиц, которая строит и хранит шаблоны экзаменуемых вне ЕБС, – зона правового риска; обсудите её с юристом до того, как писать код, а не после.

Отказ от биометрии – не повод отказать в экзамене

Предоставление биометрии не может быть обязательным, и оператор не вправе отказать в обслуживании, если человек отказался её сдавать (ст. 11 ч. 3); с 30.05.2025 за такой отказ грозит штраф 200–500 тыс. ₽ (ч. 8 ст. 14.8 КоАП). Поэтому в продукте должен быть путь без биометрии: очная сдача, подтверждение личности проктором по документу без автоматической сверки или другой формат, согласованный с юристом. Если биометрическая сверка – единственный способ попасть на экзамен, у вас проблема, сколько бы галочек ни стояло в согласии.

Нажмите, чтобы увеличить

Правила электронного обучения: что ПП № 1678 говорит о прокторинге

Отношение российского права к прокторингу яснее всего видно в правилах применения электронного обучения и дистанционных образовательных технологий, утверждённых ПП № 1678 (действуют с 01.09.2024 до 01.09.2029, текущая редакция – ПП № 517 от 06.05.2026, вступила в силу 15.05.2026). В них прокторинг назван прямо.

Идентификация через ЕСИА и ЕБС (п. 14–18). Для аттестаций в высшем образовании, СПО и ДПО организация может идентифицировать учащихся через ЕСИА и ЕБС – сама или через сервис прокторинга, который вправе получить из ЕСИА ФИО и СНИЛС учащегося. Подключение к инфраструктуре идёт по ПП № 1382. Для ЕБС нужно согласие, у несовершеннолетних – согласие законного представителя. Такая схема прошла пилот в семи вузах в 2021/22 учебном году. Для архитектуры это значит, что идентификация – внешний государственный контур: ваш продукт получает от него результат, а не копит лица у себя.

Локальный акт (п. 20). Порядок прокторинга и используемых средств связи (видеоконференции, сообщения, обмен файлами) организация закрепляет в локальном акте и публикует на своём сайте. Всё, что делает ваш продукт (какие сигналы записываются, кто их смотрит, как подаётся апелляция), должно соответствовать этому акту, и хороший продукт даёт заказчику готовое техническое описание для него.

Реестр ПО (п. 21). Системы управления обучением, а также ПО для идентификации в составе сервисов прокторинга, видеоконференций и обмена сообщениями должны создаваться и использоваться в соответствии с законодательством РФ и (или) входить в единый реестр российских программ (ПП № 1236). Из-за «и (или)» строгость нормы зависит от толкования, но госзаказчики применяют её жёстко, поэтому при выборе поставщика проверьте его статус в реестре.

Обработка ПДн (п. 22) идёт по 152-ФЗ: правила ЭО не создают отдельного режима и не снимают ни одной обязанности из предыдущих разделов.

Дом, несовершеннолетние и сроки хранения записей

Дом. Требование «покажите камерой комнату» не бесплатно. Конституция защищает неприкосновенность частной жизни и жилища (ст. 23 и 25) и прямо запрещает сбор, хранение, использование и распространение информации о частной жизни лица без его согласия (ст. 24). В кадр попадают родственники и соседи по квартире, которые никакого согласия не давали, а их изображения – тоже персональные данные. Просите показать комнату только там, где значимость экзамена это действительно оправдывает, не храните запись дольше проверки и не превращайте осмотр в обязательный ритуал каждого теста.

Несовершеннолетние. Для школьников и студентов колледжей до 18 лет согласие на обработку, а тем более на биометрию, дают законные представители. Незаконные использование и передача ПДн несовершеннолетних – квалифицирующий признак по ст. 272.1 УК. Если продукт работает со школами или СПО, учтите: такие организации обязаны использовать для взаимодействия участников государственные информационные системы и национальный мессенджер MAX, куда перенесён Сферум (ст. 16 ч. 3.1 273-ФЗ, п. 4.1 и 9 ПП № 1678). Ваш сервис встраивается в этот контур, а не подменяет его.

Сроки хранения. Специального федерального срока хранения записей прокторинга мы не нашли, и придумывать его не стоит. Действует общий принцип: хранить ПДн не дольше, чем требует цель (ст. 5 ч. 7), а по достижении цели уничтожить или обезличить их не позднее 30 дней (ст. 21 ч. 4). Цель записи прокторинга – проверить результат конкретного экзамена, включая апелляцию. Значит, срок считается так:

срок хранения = окно апелляции по локальному акту
              + время на разбор спорных меток (если дело открыто – до его закрытия)
              + не более 30 дней на уничтожение (ст. 21 ч. 4 152-ФЗ)

Зафиксируйте этот срок в согласии и в локальном акте и настройте автоматическое удаление: удаление вручную по графику – это удаление, которое не случится.

Автоматические решения и ИИ-прокторинг

Отдельного закона об ИИ, который классифицировал бы прокторинг по уровням риска, в России нет, но ключевое правило уже есть в 152-ФЗ. Ст. 16 запрещает принимать исключительно на основании автоматизированной обработки ПДн решения, которые порождают юридические последствия для человека или иначе затрагивают его права и законные интересы. Исключения – письменное согласие или случаи, прямо предусмотренные федеральным законом, но и тогда оператор обязан разъяснить порядок принятия решения и его возможные последствия и дать возможность возразить. Результат экзамена, аннулированный по отметке нейросети, – именно такое решение. Отсюда инженерное требование: отметка ИИ – повод для проверки человеком, а в журнале должно быть видно, кто из людей принял решение и на каком основании.

Второй вопрос – что ИИ вообще позволено анализировать. Прямого запрета на распознавание эмоций в образовании российское право не содержит, но обрабатывать можно только данные, отвечающие целям обработки, и их объём не должен быть избыточным (ст. 5 ч. 4–5). «Детекцию стресса» или «анализ эмоций» трудно обосновать целью проверки честности экзамена, а ложных отметок они дают много. Не включайте такие функции, даже если поставщик предлагает их в подарок.

Третий вопрос – происхождение ПО. Для образовательных организаций действует п. 21 ПП № 1678 о реестре; в госсекторе, кроме того, указ № 166 с 01.01.2025 запрещает иностранное ПО на значимых объектах КИИ. Если вы строите ИИ-прокторинг сами, все эти обязанности ложатся на вас. Это ещё один довод купить готовое решение у российского поставщика, который берёт эту нагрузку на себя.

Нажмите, чтобы увеличить

Предвзятость – юридический риск, а не только этическая проблема

Справедливости место в юридической статье, потому что несправедливый прокторинг создаёт правовой риск. Автоматический прокторинг опирается на детекцию и распознавание лиц, а независимые исследования, прежде всего работа «Watching the Watchers» на конференции USENIX Security 2022 года, показали, что такие системы работают по-разному для людей с разным тоном кожи и легко обходятся подготовленным нарушителем. Инструмент, который раз за разом требует от части экзаменуемых «исправить освещение» или помечает людей с инвалидностью за нормальное для них поведение, не просто неэтичен. Он противоречит обязанности создавать специальные условия для обучающихся с ОВЗ и инвалидностью (ст. 79 273-ФЗ), а при автоматическом незачёте – ещё и ст. 16 152-ФЗ. Сведения о здоровье, которые учащийся сообщает ради особых условий, относятся к специальной категории ПДн (ст. 10), и хранить их рядом с записями экзамена без отдельной защиты нельзя. Требования к доступности остальной платформы (см. WCAG 2.1 AA и ГОСТ Р 52872-2019 для учебного видео) плохо сочетаются с грубым наблюдением. Решение всё то же, к которому приводит право: каждую отметку проверяет человек с учётом контекста, и никакая отметка не ведёт к автоматическому незачёту.

Что оформить письменно и что построить

Требования здесь конкретны: в основном это документы и несколько проектных решений, и всё перечисленное ниже должно быть готово к первому экзамену. Чек-лист для скачивания сводит это на одну страницу.

Нужны цель и правовое основание, записанные в политике обработки ПДн, опубликованной на сайте (ст. 18.1), и уведомление Роскомнадзора до начала обработки (ст. 22). Нужно отдельное согласие (ст. 9), для сверки лица – письменное (ст. 11), за несовершеннолетних – от законных представителей, и путь без биометрии для тех, кто от неё отказался. Нужны оценка вреда субъектам по требованиям Роскомнадзора (ст. 18.1 ч. 1 п. 5), определение уровня защищённости и меры по ПП № 1119 и приказу ФСТЭК № 21. Нужно поручение подрядчику со всем, что требует ст. 6 ч. 3, и подтверждённое хранение в России (ст. 18 ч. 5). Нужен опубликованный срок хранения с автоудалением (ст. 5 ч. 7, ст. 21 ч. 4) и порядок уведомления об утечке за 24 и 72 часа. Нужна минимизация уже при записи: кратчайшая запись, минимум сигналов, осмотр комнаты только при реальной необходимости и никаких выводов об эмоциях. Нужно, чтобы решения принимал человек и была описана процедура апелляции (ст. 16). А если экзамен проводит образовательная организация – локальный акт о прокторинге на её сайте (п. 20 ПП № 1678) и ПО, соответствующее п. 21.

Нажмите, чтобы увеличить

Строить или покупать: что можно и чего нельзя передать подрядчику

Сам движок прокторинга (компьютерное зрение, команду живых прокторов, интеграцию с ЕСИА и ЕБС) почти всегда стоит покупать: это годы специализированной работы, которую ни одному обучающему продукту не стоит повторять. На российском рынке основные поставщики – ProctorEdu (его, например, использует НИУ ВШЭ) и Examus. Оба работают в синхронном, асинхронном и автоматическом режимах, в облаке и в коробочной версии. Коробка на ваших серверах упрощает локализацию и поручение, облако – эксплуатацию; выбор зависит от ваших требований к контуру. Но ядро соответствия на сторону не передаётся, потому что оператор – вы или ваш заказчик. За вами остаются политика и поток данных: цель и интерфейс отдельного согласия, путь без биометрии, срок хранения и автоудаление, условия поручения, порядок реагирования на утечку, проверка человеком и апелляция, а также интеграция, которая возвращает результат через LTI 1.3 и не оставляет брошенных записей. Полная схема всей подсистемы с пояснениями – в статье «Эталонный дизайн прокторинга и оценивания».

Где здесь Фора Софт

Фора Софт разрабатывает видео, функции реального времени и оценивание для регулируемых продуктов в онлайн-обучении, телемедицине и других отраслях, где важно, что вы записываете и где храните. В прокторинге мы полезны не камерой, а инженерными решениями. Мы чисто интегрируем специализированный сервис прокторинга и государственный контур ЕСИА и ЕБС, разворачиваем хранилище в российском облаке или на серверах заказчика и проектируем поток данных так, чтобы записи были минимальными, зашифрованными, ограниченными по сроку и автоматически уничтожались по графику. Проверку человеком и апелляцию мы встраиваем в путь результата, чтобы отметка никогда не становилась автоматическим вердиктом. Мы помогаем командам превратить правовую карту из этой статьи в решения для разработки: где для конкретного инструмента проходит биометрическая граница, что должны говорить согласие, поручение и локальный акт и как сохранить контроль честности, не рискуя оборотным штрафом.

Главное

• Запись экзаменуемого делает вас оператором ПДн (а при сверке лица – и биометрии). Эту роль нельзя передать поставщику: он обрабатывает данные по вашему поручению.
• 152-ФЗ: согласие оформляется отдельно (с 01.09.2025), ПДн граждан РФ – только в российских базах (с 01.07.2025), поручение подрядчику – с составом из ст. 6 ч. 3, при утечке – уведомление РКН за 24 и 72 часа.
• Биометрическая граница – сопоставление шаблона для установления личности; отметки только о поведении – обычные ПДн. Легальный путь сверки – ЕСИА и ЕБС по ПП № 1678, и всегда нужен путь без биометрии.
• ПП № 1678 прямо описывает прокторинг: идентификация через ЕСИА и ЕБС, локальный акт на сайте, ПО по законодательству РФ и (или) из реестра.
• Решение о незачёте без письменного согласия экзаменуемого нельзя принимать исключительно автоматически (ст. 16 152-ФЗ); анализ эмоций не включайте.
• Штрафы с 30.05.2025 оборотные (до 500 млн ₽), действует ст. 272.1 УК. Собирайте минимум, храните в РФ кратчайший обоснованный срок, оформляйте согласие и поручение и оставляйте решение по каждой отметке за человеком: это и есть большая часть соответствия.

Что почитать дальше

• Онлайн-прокторинг: подходы, компромиссы и приватность – обзор живого прокторинга, записи с последующим разбором и автоматического прокторинга; эта статья его углубляет.
• Подтверждение личности на экзаменах – как доказать, кто сдаёт тест, и какой компромисс между точностью и приватностью у каждого способа.
• Защита от списывания: обнаружение, сдерживание и дизайн оценивания – как снизить потребность в тяжёлом наблюдении за счёт дизайна теста.
• Эталонный дизайн прокторинга и оценивания – схема всей подсистемы экзаменов с прокторингом с пояснениями.