Да, школе как оператору персональных данных нужно локальное положение об обработке и защите персональных данных - внутренний документ, который описывает, какие данные собираются об учениках, родителях и сотрудниках, с какой целью, кто имеет к ним доступ, как долго они хранятся и какими мерами защищены. Утверждается положение приказом директора.
В нем обычно фиксируют: перечень обрабатываемых персональных данных по каждой категории субъектов (ученики, родители или законные представители, педагоги, прочий персонал), цели обработки, состав ответственных лиц, порядок доступа и передачи данных третьим лицам, например в отдел образования или медицинскую организацию, сроки хранения и порядок уничтожения, а также применяемые организационные и технические меры защиты - от разграничения доступа в электронном журнале до правил хранения бумажных личных дел.
Готовый шаблон из интернета проверку не пройдет, если он не совпадает с реальными процессами школы: в документе написано одно, а на деле журнал ведется в другой системе или доступ к личным делам никак не ограничен. Отдельно стоит прописать порядок ответа на запросы родителей и учеников об их данных - закон отводит на это 10 рабочих дней с возможностью продления еще на 5, и порядок уничтожения данных после окончания обучения или отзыва согласия, обычно в срок до 30 дней. Каждого сотрудника с доступом к персональным данным нужно ознакомить с положением под подпись - иначе документ существует только на бумаге.