Положение о защите персональных данных обучающихся - это внутренний документ школы, и обязательных разделов в нем немного: кто относится к оператору и кто назначен ответственным за обработку, какие данные и о ком собираются - об учениках и их родителях, - с какой целью, кто из сотрудников имеет к ним доступ, какими мерами данные защищены и в какие сроки уничтожаются после отчисления или выпуска.
Из чего собрать перечень данных: ФИО, дата рождения и адрес ученика, сведения о родителях, оценки и результаты аттестации, медицинские справки и сведения об инвалидности (это специальная категория, для нее пропишите отдельный режим доступа), фотографии для сайта школы и школьных мероприятий. Отдельным пунктом стоит электронный дневник и любые сторонние образовательные платформы, если школа передает им данные учеников.
Дальше идет блок про доступ и защиту: кто конкретно из сотрудников работает с личными делами, как ограничен доступ к бумажному архиву и электронным базам, кто отвечает за резервное копирование. В конце - сроки хранения по каждому виду документов и порядок уничтожения: кто издает акт, кто входит в комиссию, куда деваются бумажные и электронные носители.
Положение утверждается приказом директора и должно ссылаться на форму согласия родителей на обработку данных ребенка - без этой связки документ выглядит формальным и не отвечает на вопрос, откуда у школы вообще есть право собирать данные ученика.