Положение о персональных данных - это внутренний локальный акт школы, который описывает, какие данные обрабатываются (учеников, родителей, сотрудников), с какой целью, кто имеет к ним доступ и как они защищаются. Утверждается приказом директора, и с ним под подпись знакомят всех сотрудников, которые работают с личными делами и электронным журналом.
В положении отдельно пропишите электронный журнал и любые государственные информационные системы, куда школа передает данные учеников, - это тоже обработка персональных данных, и передача должна иметь правовое основание, обычно это прямое указание в законе об образовании, а не согласие родителей на каждый случай.
Данные несовершеннолетних учеников обрабатываются с согласия родителей или законных представителей - это отдельное согласие, которое берут при зачислении в школу, и его формулировка должна покрывать реальные цели обработки: электронный журнал, медицинские допуски к урокам физкультуры, фото и видео с мероприятий, если школа их публикует.
Также нужны назначенный ответственный за обработку персональных данных внутри школы, уведомление в Роскомнадзор и ограничение доступа к базе учеников - обычно это администрация и классный руководитель, а не весь педагогический коллектив. Публикация фото детей с мероприятий на сайте школы без отдельного согласия родителей - частое нарушение, за это тоже штрафуют по статье 13.11 КоАП.