Вопрос: само образовательное учреждение?

В образовательном учреждении проводится обработка, регистрация сведений, необходимых для оказания услуг в области образовательной деятельности, персональных данных работников, учащихся, сведений об их профессиональной служебной деятельности, успеваемости , в том числе и через автоматизированные информационные системы( электронные дневники). Вопрос: может ли быть ответственным за обработку персональных данных и их защиту юридическое лицо : само образовательное учреждение? Или обязательно должно нести персональную ответственность назначенное директором физическое лицо, которое не проходило специального обучения по этому направлению? Спасибо