O que a LGPD exige das escolas, na prática
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) vale para qualquer instituição que trate dados pessoais no Brasil, e escolas — públicas ou particulares — lidam com um volume grande desse tipo de dado: nome, CPF e endereço do responsável financeiro, notas e frequência do aluno, foto, e às vezes dados de saúde (alergias, laudos, necessidades especiais). Antes de qualquer outra coisa, a LGPD exige que a escola saiba, para cada dado que coleta, qual é a base legal que justifica esse tratamento — execução de contrato (matrícula), cumprimento de obrigação legal (censo escolar), legítimo interesse ou consentimento.
Dados de saúde e dados biométricos (como leitura facial em catracas) são considerados dados sensíveis pela LGPD e exigem cuidado redobrado: só podem ser tratados com consentimento específico ou outra hipótese legal expressamente prevista, nunca "porque sempre foi assim".
Consentimento dos pais: quando é obrigatório
O Artigo 14 da LGPD trata especificamente de dados de crianças e adolescentes e exige que o tratamento seja feito sempre no melhor interesse do menor. Na prática, isso significa:
- Consentimento específico e destacado de pelo menos um dos pais ou responsáveis é obrigatório para usos que vão além do estritamente necessário à relação com a escola — por exemplo, usar a foto do aluno em publicações nas redes sociais da escola ou em material de marketing.
- Sem consentimento à parte costuma bastar para o que é necessário à execução do contrato educacional — lançar nota, registrar frequência, emitir boletim — desde que informado com transparência no contrato de matrícula.
- Exceção de proteção: dados podem ser coletados sem consentimento quando o objetivo é contatar os pais ou proteger a criança, desde que usados uma única vez, sem armazenamento, e nunca repassados a terceiros sem autorização.
Isso muda a forma como o contrato de matrícula deve ser redigido: em vez de uma autorização genérica e única para "uso de imagem e dados", o ideal é separar claramente o que é necessário à prestação do serviço educacional do que depende de consentimento específico dos responsáveis — com opção real de recusar sem prejuízo à matrícula.
O papel do encarregado (DPO) na escola
O Artigo 41 da LGPD exige que toda instituição que trata dados pessoais indique um encarregado (também chamado de DPO, do inglês Data Protection Officer). Esse encarregado pode ser um funcionário da própria escola ou um profissional/empresa terceirizada — a lei não exige um cargo específico, mas exige que o contato dele seja divulgado publicamente (no site da escola ou no regulamento, por exemplo) e que a pessoa tenha condições de:
- Receber e responder solicitações de pais e responsáveis sobre os dados dos filhos.
- Orientar a equipe da secretaria sobre boas práticas no dia a dia.
- Ser o ponto de contato da escola com a ANPD (Autoridade Nacional de Proteção de Dados), se necessário.
Onde a escola mais lida com dados sensíveis no dia a dia
Alguns processos concentram a maior parte do risco de conformidade porque envolvem mais dados pessoais e mais pessoas com acesso a eles:
- Contrato de matrícula. CPF, endereço e dados financeiros do responsável, além dos dados do aluno.
- Boletim e frequência. Desempenho acadêmico é dado pessoal e deve ser visível apenas para quem tem necessidade legítima de acesso — professores da turma, coordenação, os próprios responsáveis.
- Comunicação com pais. Grupos de WhatsApp soltos por turma costumam expor o número de telefone de todos os responsáveis para todos os outros, sem necessidade nem consentimento para isso.
- Controle de acesso. Foto ou biometria na portaria são dados sensíveis e exigem justificativa de segurança clara, não coleta "por padrão".
- Transporte escolar. Rota e endereço residencial do aluno também são dados pessoais que precisam de tratamento cuidadoso ao serem compartilhados com terceiros (empresa de van, por exemplo).
O que fazer em caso de vazamento de dados
A LGPD (Art. 48) exige que a escola comunique à ANPD e aos titulares afetados, em prazo razoável, qualquer incidente de segurança que possa acarretar risco ou dano relevante — por exemplo, uma planilha com dados de alunos enviada por engano, ou acesso indevido ao sistema de gestão. Na prática, isso significa ter um plano simples pronto antes que o incidente aconteça:
- Conter o incidente assim que identificado (revogar acesso, corrigir a falha).
- Avaliar a gravidade e quantos titulares foram afetados.
- Acionar o encarregado (DPO) para decidir se é necessário notificar a ANPD e os responsáveis.
- Documentar o que aconteceu e o que foi feito — a ANPD avalia boa-fé e agilidade da resposta.
Checklist de conformidade LGPD para escolas
Um ponto de partida prático para avaliar onde a escola está hoje:
1. Nomeie um encarregado (DPO) e divulgue o contato dele
Sem essa nomeação formal, a escola já está em desacordo com o Artigo 41 da LGPD.
2. Atualize o contrato de matrícula com cláusula de consentimento específica
Separe o que é necessário à prestação do serviço do que depende de consentimento (uso de imagem em redes sociais, por exemplo), com opção real de recusa.
3. Documente a base legal de cada tipo de dado tratado
Mantenha um registro simples de quais dados a escola coleta, para quê, e qual base legal justifica cada um — isso facilita responder a qualquer solicitação ou fiscalização.
4. Limite o acesso aos dados dos alunos por perfil de usuário
Nem toda a equipe precisa ver dados financeiros do responsável, e nem todo professor precisa ver o histórico completo de um aluno de outra turma.
5. Tenha um plano de resposta pronto para incidentes de vazamento
Defina, por escrito, quem aciona quem e em quanto tempo, antes que um incidente real aconteça.
6. Revise os contratos com fornecedores que também tratam dados de alunos
Sistema de gestão escolar, câmeras de segurança, app de comunicação e empresa de transporte também são operadores de dados pessoais dos alunos — a responsabilidade da escola não termina quando o dado sai para um terceiro.
Como a Keyply ajuda nesse processo
A Keyply concentra financeiro, matrículas, boletim e comunicação com as famílias em um único sistema, com login individual por usuário — o que reduz o número de planilhas soltas e grupos de WhatsApp paralelos circulando dados de alunos fora de controle. Isso não substitui a adequação jurídica da escola à LGPD (o encarregado, o contrato de matrícula e a base legal continuam sendo responsabilidade da instituição), mas centralizar os dados em um só lugar facilita saber exatamente onde eles estão e quem acessou o quê.
