Школе нужно и то, и другое: уведомление в Роскомнадзор обязательно, а внутренние приказы его не заменяют. С 1 сентября 2022 года исключений из обязанности уведомлять почти не осталось, и образовательное учреждение, которое ведет личные дела учеников, хранит контакты родителей и публикует фото с мероприятий, точно подпадает под это требование.
Уведомление подает директор или уполномоченное лицо через личный кабинет на сайте Роскомнадзора до начала обработки данных - если школа уже работает, лучше подать уведомление сейчас, чем ждать проверки. В нем указывают цели обработки, категории субъектов (ученики, родители, сотрудники), перечень данных и меры защиты.
Помимо уведомления школе нужны: положение об обработке персональных данных, согласия родителей как законных представителей несовершеннолетних - отдельно на публикацию фото и видео с мероприятий, отдельно на использование данных для документов и характеристик, приказ о назначении ответственного за организацию обработки ПДн и перечень информационных систем, где хранятся данные (электронный журнал, бухгалтерская программа, сайт).
Ошибка, с которой часто сталкиваюсь: школы оформляют только приказ и положение, а уведомление в Роскомнадзор откладывают, считая себя бюджетным учреждением и не обязанным его подавать. Статус учреждения на эту обязанность не влияет.