Escolas sempre foram sinônimo de coletar, processar e armazenar dados pessoais. Matrículas, boletins, relatórios pedagógicos, atestados médicos, lista de transporte, fotos de eventos, imagens de câmeras... Tudo isso forma um enorme conjunto de informações sensíveis, muitas vezes de crianças e adolescentes. E é cada vez mais comum que esses dados circulem não só entre funcionários, mas também entre plataformas digitais, aplicativos e parceiros tecnológicos. Porém, uma simples pergunta tira o sono de muitos diretores: será que toda essa coleta de dados tem base legal adequada segundo a LGPD?
A Autoridade Nacional de Proteção de Dados (ANPD) já instaurou os primeiros processos administrativos sobre escolas. A preocupação já bateu nas portas dos colégios em Joinville e de todo o país. Conversando com mantenedores ou coordenadores, ouço perguntas recorrentes: "O que a escola precisa pedir de consentimento?", "A câmera de segurança exige aviso?", "O app de comunicação pode exigir dados dos responsáveis?".
No LMA Escritório de Advocacia, esse tema é urgente e recorrente. A escola que não se adequa hoje pode pagar multa amanhã — e a multa chega antes que o problema seja percebido. Por isso, resolvi traduzir a LGPD para a realidade escolar, principalmente quanto ao tratamento de dados de menores. Este artigo mostra, sem juridiquês, quais são as principais armadilhas e os passos iniciais para evitar dores de cabeça graves – como processos, multas milionárias e até ações civis públicas.
A escola, um "hub" de dados pessoais (e poucos sabem disso)
Os ambientes escolares são verdadeiros centros de manipulação de dados pessoais. Não importa se é uma escola tradicional ou uma instituição bilíngue com ensino integral. Desde o momento da matrícula até o último dia de aula, são inúmeras as situações em que dados dos alunos circulam e são tratados, inclusive por terceiros. Ainda assim, vejo contratos, formulários e termos de uso que sequer mencionam a Lei Geral de Proteção de Dados Pessoais.
Se você trabalha em escola ou é responsável por instituição de ensino, saiba: a LGPD não é um problema do futuro. Ela já está sendo aplicada e já impacta diretamente a gestão escolar. E há um agravante: quando os titulares dos dados são crianças e adolescentes, o cuidado precisa ser redobrado.
Dados de menores: regras especiais e consentimento reforçado
O artigo 14 da LGPD trouxe uma regra clara: dados pessoais de crianças e adolescentes (menores de 18 anos) requerem uma proteção reforçada. O tratamento só pode ocorrer com consentimento específico dos pais ou responsáveis legais, em linguagem clara e destacada.
Parece simples. Mas na rotina, percebo que a imensa maioria dos contratos de matrícula peca por excesso de generalidade. Um termo amplo e genérico, chamado de "autorização para uso de dados", não basta – cada objetivo requer seu próprio consentimento. Algumas práticas do dia a dia correm risco elevado de não ter base legal suficiente:
- Uso de imagens de alunos em redes sociais da escola ou material de divulgação;
- Compartilhamento de dados com plataformas de tecnologia educacional terceirizadas (como ambientes virtuais de aprendizagem);
- Monitoramento de desempenho por aplicativos integrados ao sistema escolar;
- Captura de imagem e áudio por câmeras de segurança nos corredores, refeitórios e salas de aula;
- Localização em tempo real de alunos durante excursões, via aplicativos próprios ou de parceiros.
Quando o dado é de menor, o consentimento padrão não serve — e o erro nessa área pode custar caro.
Já vi contratos de escolas renomadas em Joinville sem qualquer campo separado para autorizar o uso das fotos dos alunos em folders ou postagens. Depois, alguém posta no Instagram e, meses depois, chega a reclamação dos pais ou, no pior cenário, uma notificação da ANPD.
A diferença entre consentimento genérico e específico
O consentimento para tratamento de dados de crianças e adolescentes deve ser individualizado. Por exemplo:
- Um termo para uso de imagem em atividades pedagógicas e redes sociais;
- Outro termo para compartilhamento com plataformas digitais externas;
- Outro ainda para monitoramento por biometria ou rastreio geolocalizado.
Se a escola quer usar dados para mais de uma finalidade, cada uma exige uma autorização separada. Não há alternativa: ou segue assim, ou pode responder por tratamento ilegal de dados.
Categorias de dados tratados e a base legal correta em cada caso
Diretores me consultam frequentemente para entender: "Quais dados a escola pode exigir, e qual a base legal correta para cada tipo?" De modo direto:
- Dados cadastrais do aluno e responsáveis (nome, endereço, data de nascimento, histórico escolar): A base legal é a execução do contrato de prestação de serviços educacionais, conforme art. 7º, V da LGPD. Não há necessidade de consentimento, pois o dado é indispensável.
- Dados de saúde (alergias, restrições alimentares, laudos médicos, medicação): São considerados dados sensíveis. Só podem ser tratados:
- Com consentimento específico dos responsáveis;
- Ou para proteção da vida ou incolumidade física do titular (em caso de emergência).
- Relatórios psicológicos e pedagógicos (avaliações especializadas, pareceres psicopedagógicos): Classificados como dados sensíveis, podem ser tratados em virtude da saúde do aluno e de obrigação legal da escola (regras do ECA).
- Imagens de câmeras de segurança (monitoramento interno): Podem ser fundamentadas em legítimo interesse para segurança dos alunos, mas só são permitidas se houver aviso visível em todos os ambientes monitorados.
- Localização de alunos em excursões via app: Só com consentimento prévio dos responsáveis.
- Dados biométricos para controle de acesso (digital, reconhecimento facial): É dado sensível, uso só pode ocorrer em hipóteses rigorosas (como consentimento muito específico e documentado ou exceção legal). O risco é alto.
Perceba: nem todo dado exige consentimento, mas tudo depende da finalidade. O erro mais comum é tratar todos os dados com a mesma base legal ou assumir que basta um "tick" na matrícula para se proteger.
Saiba mais sobre temas como contratos empresariais e responsabilidade civil escolar em nosso conteúdo sobre blindagem patrimonial e responsabilidade civil.
Exemplos práticos
- Se a escola usa câmeras no pátio "para segurança", precisa avisar os pais na matrícula e instalar placas em áreas monitoradas;
- Se quer alimentar um sistema terceirizado de diário eletrônico, tem que constar o tratamento desse dado no termo para os responsáveis;
- Ao criar grupos de WhatsApp de pais, terceiros jamais podem ter acesso à lista sem consentimento. Já vi casos de conflito sério por descuido nesse ponto.
O risco está, principalmente, no uso de tecnologia sem respaldo jurídico. Plataformas de tarefas online, integração de chatbots e aplicativos de controle de entrada muitas vezes armazenam dados fora do controle da escola. Se você não vislumbra onde isso pode dar problema, recomendo ler as novidades legislativas no blog LMA.
O que a escola precisa implementar para atender a LGPD?
Se for para resumir o "mínimo obrigatório", diria que a escola precisa de três eixos:
- Aviso de privacidade específico para alunos menores e responsáveis, em linguagem simples, apontando tudo o que a escola faz com os dados.
- Mapeamento de dados (também chamado de "ROPA"): consigna os tipos de dados armazenados, coleta, compartilhamento, finalidade, período de retenção. É nesse documento que surgem as brechas e excessos.
- Contratos com fornecedores de tecnologia com cláusula de DPA (Data Processing Agreement): a escola é a controladora dos dados e o fornecedor, o operador. O simples fato de terceirizar o software de gestão não transfere sua responsabilidade. Precisa existir esse contrato específico.
- Canal para atendimento dos direitos dos titulares: acesso, correção, anonimização, portabilidade e exclusão dos dados, mediante simples requerimento dos responsáveis legais.
Vi escolas pequenas atendendo de forma informal às solicitações dos pais ("apague os dados do meu filho do cadastro!"). Mas quando chega o primeiro pedido nos moldes da LGPD, a falta de um canal estruturado vira motivo de ansiedade. Negligenciar isso pode gerar, inclusive, sanções.
As consequências de não se adequar
Muitas escolas ainda acreditam que as multas só atingem grandes redes ou grupos. Engano — e um engano caro. A LGPD prevê penalidades seríssimas mesmo para escolas de pequeno porte:
- Multa administrativa da ANPD de até 2% do faturamento, limitada a 50 milhões de reais por infração;
- Ação civil pública (Ministério Público ou associações), com possível indenização por dano coletivo;
- Exposição negativa em caso de vazamento, o que afeta imagem e credibilidade diante da comunidade escolar.
Já acompanhei processos em que, por detalhe simples — ausência de termo de consentimento para fotos ou falta de aviso sobre câmeras —, a escola viu-se obrigada a pagar indenizações e ajustar rotinas às pressas. Não é questão de "se vai acontecer", mas de quando.
Se quiser cruzar esse tema com outros desafios do ambiente escolar, recomendo análise sobre direito do consumidor em escolas.
Por onde começar: 3 passos práticos para adequação à LGPD
Muitos gestores acham que a única solução é contratar uma consultoria robusta. Nem sempre é necessário. Existem passos estratégicos e acessíveis:
- Mapeie todos os dados coletados e tratados. Enumere tudo: nome, endereço, e-mail, laudo médico, foto, câmera do pátio, etc. Marque para que serve cada um e por quanto tempo ficam armazenados.
- Releia todos os seus contratos de matrícula, avisos e políticas escolares. Verifique se existe cláusula separada e explícita para cada hipótese de tratamento dos dados dos menores. Não há? Precisa implementar rapidamente.
- Implemente um canal simples para que os responsáveis possam pedir informações, correção ou exclusão de dados. Pode ser um e-mail exclusivo, formulário web ou atendimento presencial designado. O importante é ter registro e resposta padronizada.
Esse movimento já é suficiente para proteger a escola da maior parte dos riscos graves, enquanto se planeja um projeto completo de adequação. E, caso tenha dúvidas ou necessite apoio para interpretar situações específicas, o LMA Escritório de Advocacia pode auxiliar com diagnósticos pontuais, revisão contratual e treinamento para equipes escolares.
Conclusão
Cuidar de dados de menores em escolas não é apenas seguir uma "moda jurídica". É proteger alunos, comunidade e reputação institucional. Numa era de hiperconectividade, o risco está nos detalhes: um campo de matrícula sem consentimento expresso, uma foto postada sem autorização ou um app sem contrato DPA podem virar grandes problemas.
Quem incorpora práticas simples desde já dificilmente será surpreendido. E a ANPD já está aplicando sanções — a pergunta não é se a sua escola está na lista, mas se ela estará preparada quando chegar a vez. Faça seu mapeamento, revise contratos e estruture seu canal de atendimento agora, enquanto ainda é prevenção. Depois que a notificação chega, vira crise.
Quer saber como começar essa adequação, ou revisar contratos e políticas de maneira prática e segura? Entre em contato com o LMA Escritório de Advocacia e veja como podemos ajudar sua escola em Joinville ou região a se alinhar à LGPD, garantindo tranquilidade e segurança para toda a comunidade escolar.
Perguntas frequentes sobre LGPD, escolas e dados de menores
O que é LGPD nas escolas?
A LGPD nas escolas é a aplicação da Lei Geral de Proteção de Dados às rotinas de coleta, armazenamento e uso de informações pessoais de alunos, responsáveis e funcionários. Isso significa que toda escola precisa seguir regras sobre como tratar dados, especialmente de crianças e adolescentes, assegurando transparência, consentimento específico e respeito à privacidade dos titulares.
Quais dados de alunos menores são coletados?
As escolas costumam coletar dados como: nome, endereço, data de nascimento, histórico escolar, informações de saúde (alergias, medicação), fotos de eventos, imagens de câmeras de segurança, dados de desempenho, notas, avaliações pedagógicas, além de informações de localização em excursões e, em algumas situações, dados biométricos para controle de acesso.
Como proteger os dados dos estudantes?
A proteção dos dados dos estudantes começa pelo mapeamento de todas as informações coletadas, definição clara da base legal para cada dado, obtenção de consentimento específico dos responsáveis para usos sensíveis, contratos robustos com fornecedores de tecnologia e implementação de políticas de segurança e controle de acesso. Também é fundamental informar os pais sobre os direitos relacionados aos dados pessoais dos alunos.
É permitido armazenar dados de menores?
Sim, é permitido desde que a escola cumpra as bases legais adequadas. Para alunos menores de 18 anos, exige-se consentimento específico dos pais ou responsáveis para cada finalidade de uso, especialmente em casos sensíveis (imagem, saúde, localização). Também é necessário adotar as medidas de segurança previstas na LGPD, além de não reter dados por tempo maior que o necessário.
Como adequar a escola à LGPD?
A adequação passa por três etapas: (1) mapeamento dos dados tratados; (2) revisão e adaptação dos contratos e termos de consentimento para cobertura de todas as finalidades; (3) implantação de um canal para atender direitos dos titulares, como acesso, correção e exclusão de dados. Complementarmente, é importante envolver a equipe escolar em treinamentos e revisar contratos com fornecedores de tecnologia, como explicado neste artigo e aprofundado em nossos conteúdos sobre gestão escolar e compliance.
