Онлайн-школа и 152-ФЗ: где воронка продаж курсов создаёт риски по данным
Осенью онлайн-школы запускают новые потоки, и у маркетинга много работы: лендинг под каждый курс, бесплатные вебинары, тесты на определение уровня, рассылки. Каждый из этих инструментов собирает имя, почту или телефон. При этом в команде обычно считают, что персональными данными занимаются платформа обучения и её разработчики, а маркетинг здесь ни при чём. На практике большая часть рисков по 152-ФЗ появляется на входе в воронку, задолго до первого урока.
Образовательный проект обрабатывает данные трёх групп людей. Это слушатели, преподаватели и авторы курсов, а также сотрудники компаний, которые покупают обучение для персонала. У каждой группы свой путь по сайту, свои формы и свои сервисы, через которые идут данные. Поэтому проверку удобнее строить по точкам контакта с человеком, а не по разделам сайта.
Где в воронке курса появляются персональные данные
Первая точка контакта — лид-магнит. Чек-лист или пробный урок в обмен на почту выглядит безобидно, но это уже сбор данных с конкретной целью, и эту цель нужно где-то сформулировать. Вторая — регистрация на вебинар: здесь часто просят телефон, а затем передают его в колл-центр или CRM. Третья — тесты уровня и квизы, где ответы привязываются к контакту и превращаются в профиль будущего ученика.
- формы лид-магнитов и пробных уроков
- регистрация на бесплатные вебинары и интенсивы
- квизы и тесты на определение уровня
- чат-боты в мессенджерах и виджеты обратного звонка
- заявки на корпоративное обучение от отдела кадров
- анкеты преподавателей и авторов курсов
С корпоративными клиентами всё устроено по-другому. Компания присылает списки сотрудников, а потом ждёт отчётов об их прогрессе и результатах тестов. Если школа использует эти контакты ещё и для писем с предложениями новых курсов самим сотрудникам, цель обработки расходится с той, ради которой данные передавали. Обработка, несовместимая с целями сбора, создаёт риск по ч. 1 ст. 13.11 КоАП: для юрлиц это от 150 до 300 тыс. ₽.
Что ломается на стыке маркетинга, продукта и подрядчиков
Счётчики на лендингах курсов
Лендинги онлайн-школ маркетинг часто собирает сам, без разработчиков: конструктор, менеджер тегов, пара счётчиков для ретаргетинга. Новый тег добавляют под конкретную кампанию и потом забывают удалить. В итоге Google Analytics, Hotjar или зарубежные рекламные пиксели загружаются при первом открытии страницы, хотя посетитель ещё не ответил на баннер. Код, который стартует до согласия, стоит исправлять первым.
Галочки в формах
Вторая типичная проблема — формальное согласие. Галочка стоит по умолчанию, одна отметка покрывает и обработку данных, и рекламную рассылку, а цель сбора не названа. К такому согласию возникнут вопросы по ч. 2 ст. 13.11 КоАП, где для юрлиц предусмотрено от 300 до 700 тыс. ₽. Исправить это обычно несложно: разделить согласия, снять предустановленную отметку и описать цель одной понятной фразой.
Видеосвязь и внешние сервисы
Вебинарные комнаты, облачное хранилище с записями занятий, платёжный модуль, платформа обучения на стороне вендора — всё это подрядчики, которые получают данные учеников. Если сервис иностранный, возникает вопрос трансграничной передачи, и уведомить Роскомнадзор нужно до её начала. Мы уже разбирали, как оценить подрядчика по рискам данных. Отдельно есть материал о том, как подать уведомление в Роскомнадзор и в каких случаях оно требуется.
Политика конфиденциальности описывает сайт таким, каким он был при запуске, а маркетинг меняет его каждую неделю.
Как объяснить задачу руководителю и подрядчику
Руководителю онлайн-школы задачу проще объяснить через продажи. Корпоративные заказчики при выборе поставщика обучения нередко спрашивают, как он обращается с данными сотрудников, и небрежный сайт осложняет такую сделку. Ещё стоит сразу назначить ответственных: кто добавляет теги, кто утверждает формы, кто обновляет политику после подключения нового сервиса. Без этого исправления держатся до следующей кампании.
Первичную проверку команда может провести сама. Достаточно открыть лендинг курса в режиме инкогнито, перейти на вкладку Network в инструментах разработчика и посмотреть, какие домены получают запросы до клика по баннеру. Затем список сервисов сверяют с текстом политики: если в ней нет вебинарной платформы или аналитики, документ отстал от реальности. Подробный порядок действий описан в материале Dobrolex про проверку образовательного сайта по 152-ФЗ.
Подрядчику задачу лучше передавать списком конкретных эпизодов: какой тег стартует раньше согласия, на какой странице, какая форма собирает лишние поля. При этом важно помнить, что внешняя проверка видит только публичные страницы, без входа в личный кабинет и без отправки форм. Сетевой запрос к иностранному домену даёт юристу повод разобраться, но сам по себе не доказывает нарушение. Внутренние процессы, серверная часть и закрытые разделы платформы проверяются отдельно.
У онлайн-школы персональные данные проходят через каждую форму, тег и встроенный сервис маркетинговой воронки, а не только через платформу обучения. Чем быстрее команда запускает лендинги и кампании, тем сильнее документы и согласия отстают от того, что сайт делает на самом деле. Если сверять сайт с документами после каждого запуска потока, это обходится дешевле, чем потом разбирать претензии корпоративного клиента или регулятора.