Plataformas educacionais externas e dados de alunos: quem responde quando algo dá errado

Nos últimos anos, o ambiente educacional migrou para o digital de forma acelerada. Plataformas de gestão escolar, sistemas de comunicação com responsáveis, ambientes virtuais de aprendizagem, aplicativos de frequência, ferramentas de videoconferência para aulas remotas, a lista de tecnologias que uma escola média utiliza hoje seria irreconhecível há dez anos.

Cada uma dessas plataformas acessa dados de alunos. Nomes, documentos, históricos acadêmicos, registros de frequência, comunicações entre professores e responsáveis, gravações de aulas, avaliações e desempenho individual. Dados pessoais, e em muitos casos, dados de menores de idade, com proteção reforçada sob a LGPD.

A pergunta que a maioria das instituições de ensino nunca fez de forma sistemática é: quando um desses fornecedores usa indevidamente os dados dos meus alunos, ou quando ocorre um incidente de segurança na plataforma deles, quem responde?

A resposta da LGPD é clara, e frequentemente surpreende gestores escolares: na ausência de contrato adequado, a responsabilidade recai integralmente sobre a instituição de ensino.

O uso de plataformas educacionais e LGPD tornou-se um dos principais desafios de conformidade para escolas e instituições de ensino.

A LGPD distingue duas figuras centrais no tratamento de dados pessoais: o controlador e o operador.

O controlador é quem decide como e por que os dados são tratados. No caso de uma escola, é a própria instituição, ela decide quais dados coletar dos alunos, para qual finalidade e com quem compartilhar.

O operador é quem trata os dados em nome do controlador, seguindo suas instruções. As plataformas educacionais externas são operadoras: elas acessam e processam dados de alunos a pedido da escola, para prestar o serviço contratado.

Essa distinção tem uma consequência jurídica direta: quando um operador causa dano por descumprir as instruções do controlador ou por violar a LGPD, o controlador pode ser responsabilizado solidariamente perante os titulares afetados.

E quando não existe contrato formal regulando a relação, fica impossível demonstrar que o operador agiu fora das instruções, porque não havia instruções formais.

A LGPD estabelece que o contrato entre controlador e operador deve conter cláusulas específicas para garantir a conformidade no tratamento dos dados.

Para plataformas educacionais, os elementos essenciais são:

Cada plataforma que a escola usa é um ponto de acesso a dados de alunos. Cada ponto de acesso sem contrato adequado é um ponto de responsabilidade da escola sem cobertura.

Concentram o maior volume e a maior variedade de dados acadêmicos, financeiros, de saúde, disciplinares, de responsáveis. São o núcleo do ambiente de dados da escola.

Contratos com esses fornecedores frequentemente são longos, com renovação automática e cláusulas que favorecem o fornecedor. A revisão jurídica antes da renovação é essencial.

Aplicativos de agenda digital, sistemas de comunicação escola-família, plataformas de boletim online. Acessam dados de responsáveis, adultos e de alunos menores.

Qualquer comunicação sobre o aluno é dado pessoal. A base legal para esse tratamento e as restrições de uso pelos fornecedores precisam estar definidas.

Google Classroom, Microsoft Teams for Education, Moodle e similares. Armazenam atividades, avaliações, interações entre alunos e professores, e frequentemente gravações de aulas.

As políticas de privacidade dessas plataformas são complexas e precisam ser analisadas em conjunto com os termos contratuais para uso educacional.

Sistemas de avaliação adaptativa, ferramentas de monitoramento de engajamento, plataformas de exercícios e gamificação.

Essas plataformas geram dados comportamentais e de desempenho que podem ser altamente sensíveis, especialmente quando usados para criar perfis de alunos que vão além do ambiente escolar.

Zoom, Google Meet, Microsoft Teams, usadas para aulas remotas e reuniões com responsáveis. Quando as aulas são gravadas, as gravações contêm dados pessoais de alunos menores.

A política de retenção dessas gravações, quem pode acessá-las e por quanto tempo precisam estar definidos.

Cada plataforma que a escola usa é um ponto de acesso a dados de alunos. Cada ponto de acesso sem contrato adequado é um ponto de responsabilidade da escola sem cobertura.

Uma parcela significativa das ferramentas usadas em escolas é gratuita, ou tem versão gratuita amplamente utilizada. Google for Education, ferramentas de comunicação freemium, aplicativos de produtividade sem custo.

O modelo de negócio de plataformas gratuitas frequentemente envolve o uso dos dados dos usuários para finalidades além da prestação do serviço, analytics, treinamento de modelos, personalização.

Para dados de adultos, isso já levanta questões de conformidade. Para dados de alunos menores, as restrições são ainda mais severas.

Isso não significa que plataformas gratuitas não possam ser usadas em escolas, significa que o contrato e as políticas precisam ser analisados com mais cuidado.

Muitos fornecedores oferecem termos específicos para uso educacional com proteções adicionais para dados de menores. Esses termos precisam ser avaliados e, quando necessário, negociados antes da adoção da plataforma.

A maioria das escolas contrata plataformas educacionais sob pressão, no início do ano letivo, durante uma migração de sistema, em resposta a uma necessidade emergencial. Nesses momentos, os contratos são assinados rapidamente, muitas vezes sem análise jurídica.

O momento ideal para revisão é antes da renovação, quando a escola ainda tem poder de negociação. Fornecedores que querem manter o contrato têm incentivo para incluir as cláusulas exigidas pela LGPD.

Fornecedores que se recusam a incluir essas cláusulas são um sinal de alerta sobre o tratamento que fazem dos dados.

Para plataformas já em uso sem contrato adequado, a revisão deve ser feita o quanto antes, não na próxima renovação, mas agora. O risco existe independentemente de quando o contrato vence.

As ações prioritárias para instituições de ensino em relação às plataformas externas:

• Mapear todas as plataformas em uso que acessam dados de alunos ou responsáveis, incluindo as gratuitas e as usadas informalmente por professores
• Verificar se existe contrato formal com cada uma dessas plataformas
• Analisar os contratos existentes quanto às cláusulas de proteção de dados exigidas pela LGPD
• Revisar as políticas de privacidade das plataformas, especialmente para identificar usos de dados além da prestação do serviço
• Negociar termos específicos para uso educacional com fornecedores que não têm cláusulas adequadas
• Estabelecer critério interno para avaliação de novas plataformas antes da adoção
• Treinar a equipe pedagógica sobre quais plataformas podem ser adotadas e quais procedimentos seguir

Essas ações não eliminam toda a exposição, mas reduzem significativamente o risco e, o que é igualmente importante, demonstram diligência em caso de fiscalização.