LGPD na escola: o que a sua instituição é obrigada a fazer com dados de alunos

Toda escola trata dado pessoal — nome, CPF do responsável, boletim, frequência, endereço, às vezes informação de saúde. E trata dado de gente menor de idade, que a Lei Geral de Proteção de Dados (Lei 13.709/2018) e o Estatuto da Criança e do Adolescente colocam sob proteção redobrada. Isso não é um detalhe técnico para o jurídico resolver sozinho: afeta como a secretaria arquiva documento, como o financeiro guarda boleto, como o professor comenta sobre um aluno e como a escola responde quando um responsável pergunta “que dado vocês têm do meu filho?”.

Este post organiza o que a LGPD exige de uma escola na prática — e, na seção final, o que já existe hoje no EducaEinstein para apoiar esse trabalho.

Por que dado de aluno pede cuidado a mais

A LGPD trata dado de criança e adolescente como categoria que exige atenção especial: tratar esse dado depende, em regra, de consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal, e a lei espera que a informação sobre esse tratamento seja clara — não escondida em termo de uso genérico. Some a isso que escola lida com dado de várias pessoas ao mesmo tempo (aluno, responsável financeiro, responsável pedagógico) e o volume de exposição cresce.

Na prática, isso significa que a escola não pode tratar “cadastro de aluno” como um formulário qualquer. Precisa saber por que coleta cada dado, por quanto tempo guarda, quem dentro da escola acessa, e ter como responder quando alguém pergunta ou pede para corrigir, apagar ou exportar essa informação.

O que a LGPD exige na prática

• Base legal para cada tratamento. A escola não precisa de consentimento para tudo — matricular um aluno, por exemplo, normalmente se apoia em execução de contrato ou cumprimento de obrigação legal, não em consentimento. Mas quando o tratamento vai além do estritamente necessário (uso de imagem em rede social da escola, por exemplo), o consentimento específico costuma ser a base certa.
• Direitos do titular garantidos de verdade. A lei lista direitos como confirmação da existência de tratamento, acesso ao dado, correção de informação incompleta ou desatualizada, eliminação de dado tratado com consentimento (quando não há motivo legal para retenção), portabilidade e revogação do consentimento. Ter esses direitos no papel não basta — a escola precisa de um jeito real de alguém exercê-los.
• Encarregado de dados (DPO) definido. A lei exige um canal de comunicação identificado entre a escola e os titulares para dúvidas sobre o tratamento de dado.
• Minimização, inclusive com fornecedores e ferramentas de IA. Se a escola usa algum serviço externo que processa dado do aluno — incluindo inteligência artificial —, o mesmo cuidado de minimizar e proteger esse dado se aplica, e a escola continua responsável, mesmo terceirizando o processamento.

Passo a passo prático para a secretaria

1. Mapeie o que já coleta. Levante os formulários e cadastros ativos hoje e liste, para cada um, qual dado é pedido e por quê.
2. Defina um encarregado, mesmo que a função seja acumulada por alguém da direção — o importante é existir um canal claro.
3. Crie um fluxo para pedidos de titular. Alguém precisa poder pedir acesso, correção ou eliminação do próprio dado (ou do dado do filho) sem depender de e-mail avulso perdido na caixa de entrada.
4. Revise o consentimento onde ele é a base legal, principalmente uso de imagem — linguagem clara, em destaque, não escondida em termo de uso genérico.
5. Trate contrato com fornecedor como parte da conformidade, não como detalhe de TI — inclusive fornecedor de inteligência artificial, se a escola usar.

Como o EducaEinstein ajuda com isso

O EducaEinstein tem um módulo de compliance dedicado a isso, com dois pilares:

• Portal público de solicitação do titular — sem precisar de login, o responsável ou o próprio titular abre um pedido (acesso, correção, eliminação, anonimização, portabilidade ou revogação de consentimento), confirma por token de verificação, acompanha o status e baixa a resposta quando o encarregado conclui. É o canal exigido pela lei, já pronto, em vez de depender de e-mail avulso.
• Fluxo interno com encarregado designado no sistema, que assume cada solicitação, processa dentro do prazo e registra a decisão. Quando um pedido de eliminação é aceito, o sistema aplica anonimização real nos campos sensíveis — nunca apaga um registro que tenha motivo de retenção legal válido, e guarda um hash do dado original para fins de auditoria, sem manter a informação legível.
• Anonimização automática antes de qualquer chamada de IA. Como descrito no post sobre como reduzir a evasão escolar, todo recurso de inteligência artificial do sistema — incluindo o parecer descritivo da educação infantil — remove nome, CPF, telefone, e-mail e outros dados identificáveis do texto antes de enviar qualquer coisa a um provedor externo, e só devolve a informação original na resposta final, dentro do sistema. Isso não é uma configuração para a escola ligar; é o comportamento padrão. Para quem prefere que nenhum dado saia da própria infraestrutura, o sistema também aceita modelo de IA rodando localmente.

Nada disso substitui a análise jurídica da sua escola sobre o caso concreto — a LGPD tem nuances que dependem do porte, da rede (pública ou particular) e do tipo de dado tratado. O que o sistema faz é dar à secretaria e ao encarregado uma ferramenta para cumprir o processo — receber pedido, verificar identidade, responder no prazo, registrar a decisão — sem depender de planilha paralela ou memória de quem atendeu.

Antes de tratar isso como tarefa só do jurídico

LGPD na escola não é documento assinado uma vez e arquivado — é rotina: quem entra numa turma nova gera dado novo, quem sai da escola tem direito de pedir eliminação, e cada fornecedor novo (inclusive de IA) entra na mesma responsabilidade. Vale tratar como processo contínuo, não como projeto com data de entrega. Se a sua dúvida é sobre outro uso de IA que a escola já faz no dia a dia, vale ver também como isso aparece na página de planos e preços, onde os recursos de IA e compliance estão detalhados por plano.