Школе, как и любой организации, нужен документ - политика или положение об обработке персональных данных: в нем описывается, какие данные вы собираете (учеников, родителей, сотрудников), для каких целей, на каком основании, как долго храните и как субъекты могут реализовать свои права. Документ публикуется в открытом доступе, обычно на сайте школы.
Источники данных у школы такие: заявления на прием, личные дела учеников, данные родителей как законных представителей, кадровые документы сотрудников и формы на сайте. Отдельная сложность в том, что большинство учеников несовершеннолетние, поэтому согласие на обработку их данных подписывают родители или иные законные представители, а не сам ребенок.
В политике должны быть как минимум:
- перечень категорий обрабатываемых данных и целей обработки;
- правовые основания (закон об образовании, договор, согласие);
- сроки хранения и порядок уничтожения данных при отчислении или увольнении;
- права субъектов и контакты, куда обращаться с запросами;
- сведения о мерах защиты и о передаче данных третьим лицам, если она есть, например в электронный дневник.
Если на сайте есть форма записи и рассылка, отдельно понадобятся согласие на обработку при отправке формы и cookie-баннер, а само учреждение должно быть подано в реестр операторов Роскомнадзора - без такого уведомления обработка формально идет с нарушением закона, даже если политика оформлена идеально.