Начните с трех вещей: назначьте приказом сотрудника, ответственного за организацию обработки персональных данных, определите точный перечень данных, которые вы реально собираете о детях и родителях, и получите письменное согласие законного представителя ребенка на каждую цель обработки - занятия, рассылку, фото и видео отдельно.
Данные о ребенке до достижения им возраста, когда он может действовать самостоятельно, оформляются через согласие родителя или другого законного представителя - именно его подпись и его данные как заявителя фигурируют в документе, а не подпись самого ребенка. Это касается и офлайн-анкеты при записи, и формы на сайте.
Фото и видео с занятий - отдельная история: это не просто обработка, а распространение персональных данных, если ребенка можно узнать и это публикуется в открытом доступе. Для этого нужно отдельное согласие на распространение, обычной галочки под согласием на обработку недостаточно. Практично собирать его сразу при записи отдельным пунктом, с возможностью отказаться только от публикации, но продолжить занятия.
Дальше - обычная гигиена: ограничить доступ к базе с данными детей кругом сотрудников, которым это нужно по работе, не хранить лишнее, например копии свидетельств о рождении, если для занятий достаточно даты рождения, и прописать все это в политике обработки персональных данных, которая публикуется на сайте центра.