Escola e creche: por que o consentimento dos pais não basta na LGPD

Toda semana uma escola ou creche do Vale do Itajaí nos liga com a mesma dúvida: "a mãe autorizou a foto na matrícula, isso resolve tudo?" Não resolve. A LGPD trata dado de criança e adolescente com um filtro extra, e a maioria das instituições de ensino trata como se fosse só mais um termo pra assinar em fevereiro e esquecer o ano inteiro.

O problema aparece quando a foto da formatura vai pro Instagram da escola, quando o app de comunicação com os pais muda de fornecedor sem aviso, ou quando o plano de saúde pede a lista de alunos com alergia. Nessas horas, o termo genérico assinado na matrícula não cobre nada. Vamos direto ao que muda na prática.

Dado de criança não é dado comum: o que a LGPD exige diferente

O art. 14 da LGPD diz que o tratamento de dados de criança e adolescente deve ser feito no melhor interesse deles, sempre. Não é frase de efeito: na prática, significa que a escola não pode usar dado de aluno pra qualquer finalidade que ache conveniente, mesmo com consentimento assinado.

O consentimento tem que ser dado por pelo menos um dos pais ou responsável legal, de forma específica e destacada, conforme o art. 14, §1º. "Aceito os termos da escola" genérico, aquele bloco de duas páginas na ficha de matrícula, não cumpre esse requisito. Cada finalidade de uso, foto em mural, foto em rede social, compartilhamento com terceiro, precisa de autorização separada.

Foto e vídeo em sala de aula: o que pode e o que não pode

Foto de criança é dado pessoal. Vídeo de apresentação de teatro também. A regra não é "não pode fotografar", é "precisa de base legal e finalidade definida" antes de apertar o botão.

• Foto pra álbum da turma, uso interno, arquivo pedagógico: exige consentimento específico na matrícula, renovado a cada ano letivo.
• Foto ou vídeo pro Instagram, Facebook ou site da escola: exige autorização separada, porque a finalidade de marketing é diferente do uso pedagógico.
• Vídeo de aula gravado por plataforma de ensino remoto: precisa constar no contrato com a família se o vídeo fica armazenado, por quanto tempo e quem acessa.
• Pai que pede pra remover foto do filho de uma publicação: a escola tem até 15 dias pra atender, prazo do art. 19 pra resposta ao titular.

Na prática, a saída mais simples é separar dois formulários na matrícula: um pro uso pedagógico interno, outro pra divulgação externa. Quem não autorizar o segundo, a escola simplesmente não posta. Não existe meio-termo juridicamente seguro aqui.

Rede social da escola: o print que vira problema

Escola posta foto de evento, aniversário, saída pedagógica. Bonito, engajador, e arriscado se ninguém documentou a autorização daquela criança específica. Se um pai contesta depois, o ônus de provar o consentimento é da escola, não da família.

Nossa leitura: mantenha uma planilha simples, turma por turma, com quem autorizou uso de imagem externo e quem não autorizou. Antes de postar qualquer conteúdo com rosto de aluno identificável, alguém confere essa lista. Cinco minutos de checagem evitam meses de reclamação na ANPD.

Plataforma de ensino: a escola é controladora, o app é operador

Google Classroom, sistema de boletim online, app de comunicação com os pais: nenhum desses fornecedores é dono do dado. A escola continua sendo a controladora, conforme o art. 5º, VI, responsável final por como aquele dado é tratado, mesmo com o servidor em nuvem de outra empresa.

Isso muda a checklist na hora de contratar fornecedor de tecnologia educacional. Não basta perguntar preço e funcionalidade. É preciso perguntar onde o dado é armazenado, se existe contrato de operação de dados assinado (art. 39), e o que acontece com o dado do aluno quando ele sai da escola.

Falando sério: já vimos escola descobrir, um ano depois de contratar uma plataforma, que o fornecedor sublicenciava dados de uso pra terceiro fazer analytics educacional. Isso é incidente de segurança que a escola comunica à ANPD, mesmo não tendo sido ela quem vazou.

Plano de saúde e dado de aluno: a combinação mais sensível de todas

Lista de alergia, laudo de TEA, ficha de medicamento controlado, plano de saúde exigindo informação médica do aluno pra cobertura de convênio da escola: tudo isso é dado pessoal sensível, na definição do art. 5º, II, porque envolve saúde.

Dado sensível de saúde não circula com a mesma base legal de um dado comum. "Legítimo interesse" não serve aqui. A base correta normalmente é tutela da saúde, art. 11, II, "g", ou consentimento específico e destacado só pra essa finalidade, separado de qualquer outro termo da matrícula.

Na prática: se a secretaria manda planilha de alunos com alergia pro plano de saúde por e-mail sem senha, sem contrato de compartilhamento assinado entre as partes, esse é exatamente o fluxo que gera notificação de incidente e, em caso de vazamento, multa calculada sobre 2% do faturamento da escola no Brasil, limitada a R$ 50 milhões por infração.

Quem é o encarregado dessa escola?

Toda escola e creche, mesmo pequena, é controladora de dados e precisa indicar encarregado, o DPO, conforme o art. 41. Não existe exceção "porque é pequena" na letra da lei.

O que existe é o regime simplificado da Resolução CD/ANPD nº 2/2022, que reduz a burocracia de documentação pra microempresa, EPP e negócio de pequeno porte, incluindo boa parte das creches e escolas particulares de bairro em Blumenau e no Vale do Itajaí. Reduz papelada, não reduz a obrigação de ter alguém respondendo pelos dados.

Esse encarregado não precisa ser advogado interno nem cargo caro. Pode ser a própria coordenação pedagógica ou administrativa, desde que tenha canal de contato publicado e saiba o que fazer quando um pai perguntar "quem tem acesso ao dado do meu filho".

O que fazer nas próximas duas semanas

• Separar, na ficha de matrícula, autorização de uso pedagógico interno e autorização de divulgação externa em dois campos distintos.
• Levantar todo fornecedor de tecnologia que trata dado de aluno e verificar se existe contrato de operação de dados assinado.
• Revisar o fluxo de envio de dado de saúde pro plano de saúde da escola: e-mail sem proteção sai da lista, entra canal com controle de acesso.
• Publicar o nome e contato do encarregado de dados no site ou mural da secretaria.
• Checar se o regime simplificado da ANPD se aplica ao porte da escola, isso já reduz parte da papelada exigida.

Nenhum desses itens exige virar a operação da escola do avesso. Exige alguém sentar, olhar os fluxos reais de dado de aluno, e fechar as três ou quatro brechas que aparecem quase sempre: foto sem autorização separada, fornecedor sem contrato, e dado de saúde circulando sem cuidado.