A LGPD nas escolas alcança matrículas, boletins, prontuários de saúde, imagens, registros de acesso, plataformas de aprendizagem e comunicações com responsáveis. Como muitos titulares são crianças ou adolescentes, a instituição precisa demonstrar que cada tratamento atende ao melhor interesse do aluno e usa apenas os dados necessários.
Adequação não significa pedir consentimento para tudo. A escola deve mapear finalidades, escolher a base legal correta, limitar acessos, supervisionar fornecedores e explicar suas práticas em linguagem clara. Além disso, precisa preparar uma resposta rápida para incidentes de segurança.
Por que a LGPD nas escolas exige proteção reforçada
A Lei Geral de Proteção de Dados Pessoais dedica o art. 14 ao tratamento de dados de crianças e adolescentes. O melhor interesse desse público deve prevalecer na avaliação concreta.
Isso muda a forma de decidir. Uma ferramenta conveniente para a administração pode gerar coleta excessiva, exposição ou vigilância desproporcional. Portanto, a escola precisa justificar a necessidade do tratamento e comparar soluções menos invasivas.
O estudo técnico da ANPD sobre crianças e adolescentes examina as bases legais e reforça a centralidade do melhor interesse. Esse critério vale para escolas públicas, privadas, confessionais, cursos e fornecedores de tecnologia educacional.
LGPD nas escolas: quais dados exigem cuidado
Nem toda informação possui a mesma natureza. Nome, contato e filiação são dados pessoais. Já informações sobre saúde, deficiência, biometria, origem racial ou étnica e religião podem integrar categorias sensíveis previstas na LGPD.
- Dados acadêmicos: notas, frequência, avaliações, ocorrências e histórico escolar.
- Dados de saúde: alergias, laudos, medicamentos, restrições e necessidades de apoio.
- Imagens e voz: fotos de eventos, gravações de aula, câmeras e chamadas on-line.
- Dados digitais: endereço IP, dispositivo, logs, desempenho em aplicativos e identificadores.
- Dados financeiros: mensalidades, bolsas, responsáveis financeiros e comprovantes.
O conteúdo sobre dados sensíveis na LGPD explica por que saúde e biometria pedem controles mais rigorosos. Contudo, dados comuns também podem causar danos quando aparecem em grande volume ou revelam a rotina de um aluno.
Biometria e reconhecimento facial
A escola não deve adotar biometria apenas porque o fornecedor oferece essa função. Primeiro, avalie finalidade, necessidade, proporcionalidade, precisão e alternativas como cartão, lista ou controle humano. Depois, documente a base legal e os riscos.
Uma decisão dessa natureza pode exigir relatório de impacto, principalmente quando envolve tratamento em larga escala ou alto risco. Nesse sentido, contrato, aviso de privacidade e configuração técnica precisam refletir o uso real.
Bases legais aplicáveis à LGPD nas escolas
Consentimento não é a única base possível. O Enunciado CD/ANPD nº 1/2023 admite as hipóteses dos arts. 7º e 11 da LGPD para crianças e adolescentes, desde que o melhor interesse prevaleça.
Na rotina escolar, a base pode decorrer de obrigação legal ou regulatória, execução do contrato, exercício regular de direitos, proteção da vida, tutela da saúde ou outra hipótese aplicável. A instituição deve fazer essa escolha por finalidade, e não para todo o banco de dados de uma só vez.
Por exemplo, a escola mantém históricos porque normas educacionais exigem essa conservação. Já uma campanha publicitária com a imagem do aluno não integra necessariamente a prestação pedagógica. Assim, o fundamento e o período de retenção podem ser diferentes.
Quando o consentimento dos responsáveis faz sentido
Quando a escola usa consentimento para dados de criança, deve obtê-lo de forma específica e destacada de pelo menos um dos pais ou responsável legal, nos termos do art. 14. O aviso precisa explicar finalidade, compartilhamentos e forma de revogação.
Fotos em publicidade, participação opcional em pesquisa ou uso não essencial de determinada tecnologia podem exigir análise de consentimento. Porém, esconder um tratamento obrigatório dentro de uma autorização genérica cria falsa escolha.
A recusa a uma atividade opcional não deve prejudicar matrícula, nota ou acesso ao serviço essencial. Além disso, a escola deve registrar quem consentiu, quando ocorreu e qual versão do aviso estava vigente.
Como implementar a LGPD nas escolas
O primeiro passo consiste em mapear o ciclo de vida dos dados. A instituição deve identificar coleta, acesso, compartilhamento, armazenamento, retenção e descarte. Planilhas soltas, aplicativos informais e grupos de mensagens também entram no levantamento.
- Crie o inventário: relacione dados, titulares, finalidades, sistemas, responsáveis e fornecedores.
- Defina bases legais: vincule cada finalidade à hipótese aplicável e ao melhor interesse.
- Revise acessos: professores, secretaria, saúde, financeiro e tecnologia precisam de permissões diferentes.
- Organize retenção: mantenha registros pelo prazo necessário e descarte cópias sem finalidade.
- Prepare avisos: comunique pais e alunos com texto simples, adequado à idade e fácil de localizar.
- Treine a equipe: estabeleça regras para e-mail, impressão, mensagens, fotos e atendimento de titulares.
- Teste incidentes: simule perda de dispositivo, envio ao destinatário errado e acesso indevido.
O guia sobre como cumprir a LGPD apresenta os princípios gerais que sustentam esse programa. Na escola, esses princípios devem aparecer em decisões verificáveis.
LGPD nas escolas e fornecedores de tecnologia
Plataformas de ensino, sistemas de matrícula, câmeras, catracas e serviços em nuvem tratam dados em nome da escola ou para finalidades próprias. Por isso, o contrato deve definir papéis, instruções, segurança, subcontratação, transferências internacionais, suporte a direitos e eliminação de dados.
A instituição não deve presumir conformidade porque o fornecedor exibe um selo ou um texto genérico. Em vez disso, solicite documentação técnica, lista de subprocessadores, localização dos dados e procedimento de incidente.
O Estatuto Digital da Criança e do Adolescente também deve integrar a análise quando o produto ou serviço tecnológico se dirige a menores ou provavelmente será acessado por eles. Logo, privacidade e segurança precisam existir desde a concepção.
Imagens, câmeras e grupos de mensagens
Registrar um evento pedagógico não autoriza automaticamente o uso promocional da imagem. A escola deve separar finalidades acadêmicas, segurança, comunicação interna e marketing. Cada finalidade pede transparência e fundamento próprios.
Câmeras exigem posicionamento proporcional, acesso restrito e prazo de retenção definido. Banheiros, vestiários e outros espaços de intimidade demandam proteção absoluta. Já gravações de aula devem seguir regra clara sobre acesso e reutilização.
Nos grupos de mensagens, evite compartilhar laudos, cobranças, listas com dados excessivos ou informações disciplinares. Prefira canais individuais quando o assunto revelar condição pessoal do aluno.
Direitos de alunos na LGPD nas escolas
Pais, responsáveis e alunos, conforme capacidade e autonomia progressiva, podem solicitar informações sobre tratamento, acesso, correção e outros direitos previstos na LGPD. A escola precisa confirmar identidade sem criar barreiras desnecessárias.
O pedido de exclusão não obriga a apagar registros que a instituição deva conservar por lei ou para exercício regular de direitos. Nesse caso, responda com clareza, informe o fundamento da retenção e restrinja usos incompatíveis.
A LGPD nas escolas também exige comunicação adaptada ao público. Um aviso destinado a adolescentes não deve reproduzir o mesmo texto técnico do contrato firmado pelos responsáveis.
Incidente de segurança com dados escolares
Ao identificar vazamento, perda, envio indevido ou acesso não autorizado, a equipe deve conter o evento, preservar evidências e avaliar os impactos. Em seguida, precisa documentar decisões e adotar medidas para reduzir o risco.
A página da ANPD sobre comunicação de incidentes de segurança reúne o regulamento e o procedimento aplicável. Quando o incidente puder causar risco ou dano relevante, o controlador deve observar os prazos e requisitos de comunicação à Autoridade e aos titulares.
Como estudantes podem enfrentar exposição, discriminação, fraude ou risco físico, a avaliação não deve considerar apenas o número de pessoas afetadas. Natureza dos dados, idade, contexto e possibilidade de reversão também importam.
Perguntas frequentes sobre LGPD nas escolas
A escola precisa pedir consentimento para toda matrícula?
Não. Várias atividades educacionais encontram fundamento em obrigação legal, contrato ou outras bases. Mesmo assim, a instituição deve cumprir os princípios e o melhor interesse.
A escola pode publicar fotos de alunos?
Depende da finalidade e do fundamento. Uso promocional normalmente exige uma autorização específica e destacada. A escola deve oferecer escolha real e controlar reutilizações.
Escola pequena precisa de encarregado?
A análise considera a LGPD e as regras da ANPD para agentes de pequeno porte. Tratamentos de alto risco podem afastar flexibilizações. Portanto, verifique o volume, a tecnologia e o público envolvido antes de aplicar uma dispensa.
O fornecedor responde por um vazamento?
Ele pode responder conforme seu papel e sua conduta. Contudo, terceirizar o sistema não elimina o dever da escola de selecionar, contratar e supervisionar adequadamente o prestador.
Conclusão: proteção de dados como rotina escolar
Aplicar a LGPD nas escolas exige governança contínua. A instituição precisa conectar decisões pedagógicas, administrativas e tecnológicas ao melhor interesse, à minimização e à segurança.
Se sua escola precisa mapear dados, revisar contratos, estruturar avisos ou preparar resposta a incidentes, conheça a atuação da Rocco & Canonica em adequação à LGPD.
