Школа обрабатывает персональные данные трех групп людей - учеников, их родителей и сотрудников, и базовые правила для всех одинаковые: собирать данные можно только с согласия (для несовершеннолетних - с согласия родителей или законных представителей), использовать строго по заявленной цели, хранить не дольше, чем нужно для этой цели, и подать в Роскомнадзор уведомление об обработке, если школа этого еще не сделала.
Дальше идут детали, в которых обычно и находят нарушения на проверке. Личные дела учеников и сотрудников должны храниться так, чтобы доступ к ним имел ограниченный круг людей - не весь секретариат и не общий шкаф в учительской. Медицинские справки, сведения об инвалидности и другая информация о здоровье относятся к специальным категориям данных, для них нужна повышенная защита. Фотографии детей на сайте школы, стенде или в соцсетях - это тоже обработка персональных данных, и на нее нужно отдельное согласие родителей, отличное от общего согласия на обучение.
Отдельная тема - электронный дневник и другие сторонние сервисы. Если школа передает данные учеников поставщику такой платформы, это тоже передача персональных данных, и с оператором платформы должен быть заключен договор с условиями обработки, а не просто устная договоренность.
Практический план для человека, которого только что назначили ответственным: свести в один список все места, где школа собирает и хранит персональные данные, проверить, есть ли на каждый случай согласие и уведомление в Роскомнадзор, и завести внутреннее положение о персональных данных с перечнем ответственных лиц. Без этого документа на проверке спросят в первую очередь.