Вообще, у нас существет закон "О защите первональных данных" 115-ФЗ, в соответствии с которым, организация, которая осуществляет сбор персональных данных ( к которым относятся ФИО, место жительства, данные документов и вобще все данные, имеющие персональный характер), обязана зарегистрироваться как оператор персональных данных (регулирующий орган сейчас точно не помю - один из низ ФСБ, и что-то типа Роскомсвязи, можно погуглить). Оператор персональных данных должен обосновать причины, по которым он эти данные собирает, установить процедуры доступа до этой информации, ее хранения, уничтожения и пр. Можно поинтересоваться, является ли школа официальным оператором персональных данных (списки операторов, вроде даже в сети должны публиковаться), думаю, вряд ли