Положение об обработке персональных данных - внутренний локальный акт школы, который описывает, какие данные учеников, родителей и сотрудников собираются, с какой целью, кто имеет к ним доступ и как они защищаются. Единой утвержденной формы нет, документ составляется самостоятельно на основе 152-ФЗ и утверждается приказом директора.
В школе персональные данные собираются сразу по нескольким направлениям - личные дела учеников, контакты родителей, кадровые данные педагогов, а иногда и данные о здоровье ребенка, которые относятся к специальной категории и требуют отдельного согласия. Положение должно перечислять эти категории данных отдельно и указывать конкретную цель обработки по каждой, а не общую фразу вроде «для образовательного процесса».
Обязательные разделы: цели и правовые основания обработки, перечень обрабатываемых данных, порядок получения согласия у родителей как законных представителей, сроки хранения личных дел, порядок доступа сотрудников школы к данным, действия при запросе субъекта или его представителя, порядок уничтожения данных по истечении цели обработки. Отдельно стоит прописать работу с фото и видео с мероприятий - для их использования на сайте школы или в соцсетях нужно отдельное согласие родителей.
При проверке Роскомнадзора смотрят не столько на само положение, сколько на то, совпадает ли реальная практика с написанным: собирает ли школа только заявленные данные, подписаны ли согласия у всех родителей, куда фактически передаются данные - например, в электронный дневник стороннего оператора.