Школа - оператор персональных данных, и работает с несколькими категориями сразу: данными учеников, их родителей и сотрудников. Политика обработки персональных данных должна быть публичным документом, доступным на сайте школы, и описывать, какие данные собираются, с какой целью, кто имеет к ним доступ, сколько они хранятся и как можно отозвать согласие.
Начать стоит с инвентаризации: электронный журнал и дневник - это ФИО, оценки, посещаемость учеников; личные дела - паспортные данные родителей, адреса, иногда сведения о льготах и здоровье ребенка; сайт с фотографиями с праздников и линеек - это тоже персональные данные, и публикация фото ребенка требует отдельного согласия родителя на распространение, обычного согласия на обработку тут недостаточно.
Дальше нужно получить письменные согласия от родителей как законных представителей несовершеннолетних учеников - на обработку данных в журнале, на публикацию фото и видео, отдельно на использование в рекламных или отчетных материалах, если школа это делает. Сведения о здоровье ребенка, если они есть в личном деле, относятся к специальной категории данных и требуют повышенной защиты.
Школе также нужно подать уведомление в Роскомнадзор об обработке персональных данных, если оно еще не подано, и назначить ответственного за обработку ПДн из числа сотрудников - обычно это заместитель директора или отдельный работник, курирующий делопроизводство.