Школа обрабатывает данные трех групп людей: учеников, их родителей или законных представителей и сотрудников. Это ФИО, дата рождения, адрес регистрации и проживания, данные свидетельства о рождении или паспорта, СНИЛС, контактные телефоны и email родителей, сведения об успеваемости и посещаемости, а по сотрудникам - трудовые книжки, дипломы об образовании и данные для расчета зарплаты.
Отдельная категория - специальные данные, которые требуют более строгого режима: сведения о состоянии здоровья ребенка (медицинские справки, сведения об инвалидности или хроническом заболевании для организации питания или физкультуры), фотографии и видео с мероприятий, если по ним можно узнать конкретного ребенка, иногда - сведения о вероисповедании при формировании групп по основам религиозных культур.
На фото и видео с праздников и линеек, которые школа публикует в соцсетях или на сайте, нужно отдельное согласие родителей - это уже не просто обработка, а распространение персональных данных, для которого требуется отдельное согласие, а не общее на обработку. То же касается размещения работ детей с указанием фамилии и класса на школьном сайте.
Основание для сбора большинства данных ученика - закон об образовании и устав школы, поэтому отдельное согласие на базовые сведения (ФИО, класс, оценки) обычно не требуется. Но для всего, что выходит за рамки образовательного процесса - фото для публикации, данные о здоровье для внеучебных целей, передача данных в сторонние сервисы вроде электронного дневника стороннего разработчика - нужны отдельные согласия и договор с оператором сервиса.