Для оператора любого масштаба, включая ИП с онлайн-школой, обязанность по обеспечению безопасности персональных данных складывается из двух частей: организационных мер и технических. Их конкретный набор зависит от уровня защищенности вашей системы по постановлению правительства N 1119, но для небольшого бизнеса с базовыми контактными данными учеников этот набор обычно укладывается в разумный минимум.
Организационные меры - это назначение себя или сотрудника ответственным за обработку персональных данных, разработка политики обработки данных для сайта, ознакомление сотрудников с правилами работы с данными учеников, если они у вас есть, и документ, оценивающий угрозы именно для вашей системы - какие каналы утечки актуальны, что может пойти не так. Технические меры для сайта - это SSL-сертификат, чтобы форма записи передавала данные по защищенному каналу, ограничение доступа к админке CMS и базе данных курса только вам и доверенным сотрудникам, обновление платформы и плагинов.
Для ИП без штата это не означает найм отдельного специалиста по безопасности - при таком объеме данных достаточно один раз навести порядок: поставить SSL, если его еще нет, ограничить лишние доступы, оформить политику обработки данных и короткий документ с оценкой угроз под свою систему. Дальше это требует не постоянного внимания, а периодической проверки при изменениях - смене платформы, добавлении новых форм на сайте.
Мы делаем такой пакет под сайты именно такого масштаба - аудит, политика и техническая часть - за 2-3 рабочих дня, если нужно закрыть это разом, а не разбираться по частям.