Директор школы ссылается на пункт в заявлении, но не на официальный отказ от сбора персональных данных - что законно?

Законны оба заявления.

При этом:

1.Поскольку владелец ПД вправе в любое время отозвать ранее данное согласие на их обработку, последнее по времени заявление может отменять или изменять предыдущие.

2.При таких обстоятельствах ссылаться на более ранние заявления в обоснование отказа от более поздних- незаконно и необоснованно.

В соответствии со ст.9 Закона 152-ФЗ

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.

В вашем случае существенное значение могут иметь случаи обработки персональных данных, не требующие согласия его субъекта (из перечня ч.1 ст.6 Закона):

2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

11) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

Поэтому администрация школы вправе собирать и обрабатывать данные об учащихся, предусмотренные законом об образовании, другими федеральными законами и изданными в их исполнение подзаконными нормативными актами.