LGPD na escola: como proteger dados de alunos, famílias e funcionários
Como a LGPD impacta o tratamento de dados na escola: critérios para coletar só o necessário, proteger informações sensíveis e garantir o melhor interesse das…
Profissionais da escola revisam dados com segurança
Uma ficha de matrícula pode reunir endereço, documentos, contatos e informações de saúde de uma criança. A LGPD na escola exige que esses dados pessoais sejam tratados para finalidades definidas, com acesso controlado e medidas de segurança adequadas. Isso não impede atividades pedagógicas: orienta a escola a coletar apenas o necessário e a justificar cada uso.
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) se aplica às instituições de ensino públicas e privadas. Ela também alcança dados de responsáveis, professores e funcionários, além de informações armazenadas em sistemas, formulários, e-mails e arquivos em papel.
O ponto de partida é mapear o que a escola coleta, por que precisa desses dados, quem pode acessá-los e por quanto tempo devem ser guardados. Consentimento é uma das bases legais possíveis, não uma autorização genérica para qualquer tratamento.
Pontos-chave
A escola deve associar cada tratamento de dados a uma finalidade e a uma base legal prevista na LGPD.
Informações de saúde são dados pessoais sensíveis e pedem controles mais rigorosos de acesso e compartilhamento.
O tratamento de dados de crianças deve observar seu melhor interesse, conforme a LGPD.
Planilhas e aplicativos podem ser usados quando a escola avalia finalidade, permissões de acesso, segurança e regras do fornecedor.
LGPD na Escola: O que Muda na Rotina
A LGPD determina como escolas, como controladoras de dados, devem coletar, usar, armazenar e compartilhar informações pessoais; em termos cotidianos, cada dado precisa ter uma razão legítima, acesso compatível com essa razão e proteção contra usos indevidos. A obrigação vale desde a inscrição do aluno até a gestão de funcionários, incluindo registros digitais e documentos físicos.
Isso afeta tarefas comuns: a secretaria confirma a identidade de responsáveis, a coordenação registra ocorrências, a enfermaria guarda informações de saúde e a equipe de comunicação seleciona imagens para divulgar eventos. Cada atividade tem finalidade e riscos próprios, por isso uma autorização ampla assinada na matrícula não resolve todos os usos.
A lei também estabelece princípios como necessidade, transparência, segurança e prevenção. A escola deve explicar o tratamento em linguagem compreensível e evitar pedir informações “por garantia” quando elas não são necessárias para prestar o serviço educacional.
Quais Dados Pessoais de Alunos Exigem Mais Cuidado?
Dados pessoais são informações relacionadas a uma pessoa identificada ou identificável. Nome, endereço, telefone e histórico escolar entram nessa categoria; dados biométricos e informações sobre saúde, por sua vez, são dados pessoais sensíveis e recebem proteção reforçada pela LGPD.
Na escola, registros sobre alergias, deficiência, medicação, laudos e atendimento psicológico podem ser necessários para proteger o estudante ou oferecer suporte pedagógico. O acesso deve ficar restrito às pessoas que precisam da informação para uma tarefa concreta. Uma lista de alergias, por exemplo, pode ser útil à equipe responsável por refeições e emergências, mas não precisa circular em grupos gerais de funcionários.
Também merecem atenção documentos de identificação, avaliações, relatórios de comportamento, dados financeiros da família e registros de acesso à escola. Mesmo quando não são sensíveis por definição legal, podem causar prejuízo se forem expostos ou usados fora de contexto.
A Escola Precisa de Consentimento para Tratar Dados de Alunos?
Anúncios
Não em todos os casos: a escola pode tratar dados de alunos com outras bases legais da LGPD, desde que escolha uma hipótese adequada à finalidade e cumpra os demais deveres da lei. Para dados de crianças, o tratamento deve atender ao melhor interesse; quando a base utilizada for consentimento, ele deve ser específico e destacado, dado por pelo menos um dos pais ou responsável legal.
A execução do contrato educacional pode justificar dados necessários à prestação do serviço, e obrigações legais podem exigir registros acadêmicos ou administrativos. Outras situações podem se enquadrar em bases como o exercício regular de direitos ou a proteção da vida, conforme o contexto. A escolha depende da finalidade e das circunstâncias, e não de uma preferência por formulários de autorização.
O erro comum é pedir um único aceite para matrícula, atendimento pedagógico, publicidade e divulgação de imagens. Isso mistura finalidades diferentes e dificulta que a família entenda o que está autorizando. A escola deve separar os usos opcionais dos necessários e informar como exercer direitos previstos na lei.
O artigo 14 da LGPD trata do uso de dados de crianças e adolescentes e prevê que o melhor interesse seja considerado. A Autoridade Nacional de Proteção de Dados (ANPD) publica orientações sobre proteção de dados; casos específicos podem exigir análise jurídica, sobretudo quando há dúvida sobre a base legal ou o alcance de uma obrigação.
Como Organizar Inventário, Acessos, Retenção e Fornecedores
Um inventário de dados transforma a lei em tarefas verificáveis. Para cada processo, a escola registra quais dados entram, de quem são, para que servem, onde ficam, quem acessa, com quem são compartilhados e qual regra determina sua conservação ou eliminação.
O levantamento costuma revelar cópias esquecidas: planilhas baixadas em computadores pessoais, listas antigas em pastas compartilhadas e documentos enviados a fornecedores que já não prestam serviço. A revisão deve incluir sistemas de matrícula, plataformas de aprendizagem, controle de acesso, armazenamento em nuvem e serviços de comunicação.
Defina permissões por função: a equipe financeira não precisa consultar relatórios de saúde, e um professor não deve acessar dados de todas as turmas sem motivo de trabalho.
Estabeleça prazos de guarda: considere obrigações legais, necessidades acadêmicas e defesa de direitos antes de eliminar registros.
Avalie fornecedores: verifique quais dados recebem, como protegem as informações, quem pode acessá-las e o que ocorre no encerramento do contrato.
Não existe um prazo único de retenção para todo registro escolar. A tabela de temporalidade deve considerar a legislação aplicável a cada documento e a finalidade do tratamento; apagar cedo demais pode prejudicar a comprovação de obrigações, enquanto guardar sem necessidade amplia o risco.
Planilhas por E-mail ou WhatsApp São Permitidas?
Podem ser usadas em determinadas situações, mas a LGPD não dá aprovação automática a uma ferramenta: a escola precisa avaliar finalidade, necessidade, pessoas com acesso e segurança do compartilhamento. Uma planilha com nomes e horários de uma atividade pode representar risco menor que um arquivo com laudos, contatos familiares e informações financeiras.
Antes de enviar, a equipe deve conferir destinatários, limitar permissões, evitar links públicos e escolher um canal autorizado pela instituição. Também convém definir se o arquivo pode ser baixado, encaminhado ou mantido no celular pessoal de funcionários. Grupos de WhatsApp não são bons repositórios para documentos que exigem controle de acesso e histórico de consulta.
Considere uma turma que organiza uma saída pedagógica. A coordenação compartilha com os acompanhantes apenas a lista necessária para conferir presença e contatos de emergência; informações médicas detalhadas ficam disponíveis somente para quem precisa agir diante de uma necessidade específica. Assim, a equipe executa a atividade sem distribuir dados além do necessário.
O risco de um arquivo escolar depende do que ele contém, de quem consegue abri-lo e do que essas pessoas podem fazer com a informação.
O que Fazer Diante de um Vazamento de Dados na Escola?
Ao identificar exposição ou acesso indevido, a escola deve conter o incidente, preservar informações para apuração e avaliar se houve risco ou dano relevante aos titulares. A comunicação à ANPD e às pessoas afetadas pode ser exigida nos termos da regulamentação aplicável; a decisão depende da análise do caso, e não de um prazo inventado ou de uma regra igual para todo evento.
O plano de resposta deve indicar quem recebe o alerta, quem bloqueia acessos, quem avalia o impacto e quem decide as comunicações. Registre o que ocorreu, quais dados foram afetados, quantas pessoas podem estar envolvidas, as medidas tomadas e a justificativa das decisões. A página da ANPD sobre incidentes de segurança reúne informações oficiais para orientar essa avaliação.
Se uma planilha foi enviada ao destinatário errado, por exemplo, a equipe pode solicitar que ele interrompa o compartilhamento e apague o arquivo, revogar o link e verificar se houve novos acessos. Se o incidente envolver credenciais, deve bloquear ou redefinir os acessos afetados. A contenção técnica não substitui a análise sobre impactos e deveres de comunicação.
Quem Responde Pela Proteção de Dados e Pelo Uso de Imagens?
A instituição que decide as finalidades e os meios do tratamento costuma atuar como controladora; fornecedores que tratam dados em nome dela podem atuar como operadores. A escola deve definir responsáveis internos, treinar equipes e manter um canal para solicitações de titulares. A indicação de encarregado deve seguir a LGPD e as regras da ANPD, que preveem condições e hipóteses específicas para essa obrigação.
O uso de imagem de alunos merece avaliação própria. Uma autorização para fotografar uma atividade não deve ser interpretada como permissão automática para publicar a imagem em redes sociais, campanhas ou materiais promocionais. A escola precisa definir a finalidade, informar onde a imagem será divulgada e considerar a idade do aluno, o melhor interesse e as regras aplicáveis ao caso.
Para reduzir falhas, a política interna pode separar fotografia para registro pedagógico, comunicação com famílias e divulgação pública. A equipe também precisa saber como localizar restrições, evitar identificar alunos em situações delicadas e retirar conteúdo quando houver fundamento para isso. Uma autorização genérica, sem finalidade clara, oferece pouca transparência.
A escola pode começar escolhendo um processo de alto risco, como o envio de dados de saúde ou a publicação de imagens, e documentar finalidade, base legal, acessos e medidas de segurança. Depois, deve repetir o método nos demais processos e conferir as orientações da Lei Geral de Proteção de Dados Pessoais e da ANPD. Este guia não substitui análise jurídica: a base adequada pode mudar conforme o serviço, a idade do estudante e a obrigação legal envolvida.
Uma Escola Pequena Também Precisa Cumprir a LGPD?
Sim. O porte da instituição não elimina os deveres de proteção de dados, embora a ANPD possa estabelecer regras diferenciadas para agentes de pequeno porte em determinadas situações. A escola ainda precisa avaliar quais dados trata, reduzir riscos e cumprir as obrigações aplicáveis ao seu contexto.
É Necessário Guardar uma Autorização para Cada Atividade Escolar?
Não necessariamente. A necessidade de autorização depende da finalidade e da base legal pertinente; atividades previstas no serviço educacional podem ter tratamento justificado por outra hipótese legal. Para usos opcionais, como certas divulgações de imagem, a escola deve informar a finalidade e obter a manifestação adequada quando essa for a base escolhida.
Os Alunos Podem Pedir Acesso ou Correção dos Próprios Dados?
Os titulares têm direitos previstos na LGPD, que incluem solicitar confirmação e acesso a dados pessoais e pedir correção de informações incompletas ou desatualizadas. No caso de crianças e adolescentes, a escola deve considerar sua condição e os representantes legais, sempre com atenção ao melhor interesse do estudante.
