Dados de alunos menores de idade: o que a LGPD exige das instituições de ensino

Toda instituição de ensino trata dados pessoais. Nomes, endereços, documentos, históricos acadêmicos, registros disciplinares, informações financeiras de responsáveis, dados de saúde quando relevantes para o atendimento. O fluxo de dados numa escola é contínuo, a cada matrícula, a cada boletim, a cada comunicado enviado aos pais.

O que diferencia as instituições de ensino de outros setores regulados pela LGPD não é o volume de dados, é o perfil dos titulares. Escolas de educação básica tratam dados de crianças e adolescentes. E a LGPD reserva para esses titulares o mais alto nível de proteção previsto em toda a lei.

Não é uma questão de gradação, é uma distinção estrutural. As obrigações aplicáveis ao tratamento de dados de menores são mais rigorosas, as bases legais disponíveis são mais restritas e a responsabilidade em caso de violação é mais severa.

Instituições de ensino que não conhecem essas especificidades operam com exposição regulatória que raramente percebem.

A proteção reforçada de dados de crianças e adolescentes na LGPD não é uma escolha do legislador brasileiro, é um reflexo de um consenso internacional sobre vulnerabilidade e capacidade de consentimento.

Crianças e adolescentes não têm a mesma capacidade que adultos de compreender as implicações do uso de seus dados, avaliar riscos de privacidade ou tomar decisões informadas sobre o que compartilhar. Por isso, a lei estabelece salvaguardas específicas que transferem para os responsáveis legais, e para os agentes de tratamento, a responsabilidade por garantir que essa proteção seja efetiva.

Para instituições de ensino, essa responsabilidade é especialmente relevante porque o vínculo com o aluno é contínuo, o volume de dados tratados é expressivo e a variedade de dados: acadêmicos, disciplinares, de saúde, financeiros, cobre dimensões sensíveis da vida familiar.

Dentre as diversas exigências estabelecidas pela legislação e pela Autoridade Nacional de Proteção de Dados (ANPD), destacam-se:

As instituições de ensino tratam diferentes categorias de dados pessoais, cada uma com características, níveis de sensibilidade e riscos específicos. Identificar essas categorias é fundamental para definir os possíveis riscos e as medidas adequadas de proteção e conformidade com a LGPD.

Notas, frequência, histórico escolar, relatórios de desenvolvimento, avaliações pedagógicas. São os dados mais óbvios e os mais diretamente ligados à atividade educacional.

A base legal mais adequada para esse tratamento é geralmente o cumprimento de obrigação legal ou o legítimo interesse, não o consentimento, que pode ser revogado.

Registros de ocorrências disciplinares, advertências, suspensões. Esses dados têm caráter sensível porque podem afetar a vida do aluno além do ambiente escolar, em transferências, em processos seletivos e em outros contextos.

O acesso a esses dados deve ser restrito e o prazo de retenção deve ser definido.

Informações sobre condições de saúde relevantes para o atendimento escolar: alergias, condições crônicas, necessidades especiais, medicamentos em uso. São dados de saúde, categoria sensível, e exigem proteção reforçada e base legal específica.

O acesso deve ser limitado estritamente às pessoas que precisam dessa informação para garantir o bem-estar do aluno.

Informações sobre pagamento de mensalidades, inadimplência, condições de bolsa. São dados financeiros de adultos, responsáveis legais, que precisam ser tratados com as salvaguardas aplicáveis a qualquer dado financeiro pessoal.

Fotos e vídeos de alunos em eventos, em sala de aula, em atividades extracurriculares. Imagens de menores são dados pessoais sensíveis.

A publicação em redes sociais da escola, no site institucional ou em materiais de comunicação exige autorização específica dos responsáveis para cada finalidade de uso. 

Uma foto de aluno publicada na rede social da escola sem autorização específica do responsável é uma violação à LGPD, mesmo que a intenção seja apenas divulgar um evento.

Plataformas educacionais externas sem contrato adequado

Google Classroom, Microsoft Teams, plataformas de EAD, aplicativos de comunicação com responsáveis, todas recebem dados de alunos. Sem contrato formal de operador de dados com essas plataformas, a instituição de ensino responde integralmente por qualquer uso indevido dos dados pelos fornecedores.

Sistemas de gestão escolar com acesso irrestrito

O sistema de gestão escolar concentra dados acadêmicos, disciplinares, financeiros e de saúde de todos os alunos. Quando o acesso não é controlado por função, quando qualquer colaborador pode acessar qualquer dado de qualquer aluno, a exposição é proporcional ao tamanho da base de dados.

Câmeras em ambientes escolares sem política definida

Câmeras de segurança em corredores, salas de aula, refeitórios e áreas externas capturam imagens contínuas de menores de idade. Sem política de uso, prazo de retenção e controle de acesso às gravações, a instituição opera em desconformidade com a LGPD.

Compartilhamento de dados com ex-alunos e entidades externas

Quando um aluno se transfere, quando um histórico escolar é enviado para outra instituição, quando dados são compartilhados com sistemas externos de avaliação educacional, cada um desses momentos exige base legal adequada e, frequentemente, contrato de operador ou cláusula contratual específica.

Equipe sem treinamento sobre privacidade

Professores, coordenadores, recepcionistas, auxiliares administrativos, todos acessam dados de alunos menores no dia a dia. Sem treinamento específico sobre o que podem e o que não podem fazer com esses dados, o risco de violação por ação humana, o mais comum, permanece elevado independentemente de qualquer documentação.

Para uma escola particular, o impacto de uma violação à LGPD vai muito além das sanções administrativas da ANPD. O ativo mais sensível de uma instituição de ensino é a confiança dos responsáveis, a certeza de que o ambiente escolar é seguro não apenas fisicamente, mas também do ponto de vista da privacidade dos filhos.

Uma notícia de vazamento de dados de alunos, especialmente dados de menores, tem impacto direto e imediato nas matrículas. Em mercados locais e regionais, onde a reputação circula por indicação entre pais, o dano reputacional pode ser irreversível.

Existe ainda a responsabilidade civil direta perante os responsáveis pelos alunos afetados e, nos casos mais graves, a possibilidade de representação perante o Ministério Público pela violação de direitos de crianças e adolescentes.

Os elementos prioritários para uma adequação à LGPD que funcione em instituições de ensino:

• Mapeamento de todos os dados de alunos tratados — por sistema, por processo e por responsável
• Revisão das bases legais utilizadas para cada tipo de tratamento — especialmente onde o consentimento é utilizado como base universal
• Contratos de operador de dados com todas as plataformas educacionais externas
• Implementação de controle de acessos por função nos sistemas de gestão escolar
• Política de privacidade clara e compreensível para responsáveis
• Política de uso de imagens com autorização específica por finalidade
• Política de câmeras com prazo de retenção e controle de acesso definidos
• Treinamento de toda a equipe sobre práticas de privacidade no ambiente escolar
• Canal formal para recebimento de solicitações de responsáveis sobre dados de seus filhos
• Designação de Encarregado de Dados com atribuições reais

Esses elementos formam a base de uma adequação que protege os alunos, tranquiliza os responsáveis e resiste a uma fiscalização da ANPD.

Sua instituição trata dados de alunos menores com a proteção que a LGPD exige?

Instituições de ensino que tratam dados de crianças e adolescentes têm obrigações específicas e reforçadas sob a LGPD. Uma reclamação de responsável ou uma fiscalização da ANPD pode chegar sem aviso, e o que ela encontra determina as consequências.

Um diagnóstico jurídico de conformidade para instituições de ensino identifica onde está a exposição real e o que precisa ser estruturado para uma adequação que funciona na prática.