Требование	Нормативный правовой акт
Обрабатывать персональные данные школа вправе только с согласием	П. 1 ч. 1 ст. 6 Закона о персональных данных
Разъяснить физлицу, что он не получит, если не предоставит данные и согласие на их обработку	Ч. 2 ст. 18 Закона о персональных данных
Нельзя не допускать детей к образовательным программам, если их родители не хотят предоставлять биометрические данные или соглашаться на обработку таких данных	Ч. 3 ст. 11 Закона о персональных данных
Если школа планирует распространять персданные физлица, необходимо взять с него согласие на обработку этих данных	Ст. 7, ч. 9 ст. 9 Закона о персональных данных
Необходимо уведомить Роскомнадзор о том, что школа планирует обрабатывать персданные в автоматизированном режиме	Ч. 1 ст. 22 Закона о персональных данных
Если школа подавала уведомление, а сведения изменились – об этом нужно оповестить Роскомнадзор. Сделать это необходимо не позднее 15-го числа следующего месяца после изменений. Если школа прекращает обработку – уведомить об этом в течение 10 рабочих дней с даты, когда прекратила обрабатывать персданные	Ч. 7 ст. 22 Закона о персональных данных
Перед тем как образовательная организация передаст персданные за границу, необходимо направить в Роскомнадзор уведомление об этом	Ч. 3 ст. 12 Закона о персональных данных
Образовательная организация обязана издать политику оператора по обработке персданных и разместить ее на сайте. Там же вывесите локальные акты по обработке персональных данных и процедурам, которые предотвращают и выявляют нарушения законодательства, а также устраняют последствия нарушений	Ч. 1, 2 ст. 18.1 Закона о персональных данных
Утвердите у директора приказ о перечне лиц, которые имеют доступ к персональным данным работников	Абз. 6 ст. 88 ТК РФ
Обеспечьте защиту персональных данных в соответствии с Требованиями к защите персональных данных, когда обрабатываете их в информационных системах персональных данных	Ч. 1 и 2 ст. 19 Закона о персональных данных
Оцените вред, который причинит школа субъектам персданных, если нарушит Закон о персональных данных	П. 5 ч. 1 ст. 18.1 Закона о персональных данных
В течение 24 часов после инцидента с утечкой персональных данных направьте в Роскомнадзор первичное уведомление, а в течение 72 часов – дополнительное уведомление	Пп. 1, 2 ч. 3.1 ст. 21 Закона о персональных данных
Предоставьте сведения по обработке персданных гражданина по его запросу в течение 10 рабочих дней с момента, когда он обратился	Ч. 3 ст. 14, ч. 1 ст. 20 Закона о персональных данных
Необходимо прекратить в течение 10 рабочих дней после обращения гражданина обработку данных, если он просил об этом	Ч. 5.1 ст. 21 Закона о персональных данных
Предоставьте информацию, которую попросил Роскомнадзор, в течение 10 рабочих дней после запроса. Исключение – запрос об инциденте с компрометацией персональных данных, для которых законодательство установило отдельные сроки, когда предоставить информацию	Ч. 4 ст. 20 Закона о персональных данных
Подтвердите, что уничтожили персданные, если об этом попросил субъект персональных данных	Ч. 7 ст. 21 Закона о персональных данных