Cliente de Blumenau nos procurou porque a escolinha de futebol dele posta foto de treino toda semana no Instagram. Time sub-11, criança de 8, 9, 10 anos aparecendo com nome e uniforme visível. Ele achava que era só marketing. Não é. É tratamento de dado pessoal de criança, e a LGPD trata isso de forma diferente de qualquer outro dado que sua empresa coleta.
Falando sério: a maioria das empresas que lida com menor de idade (escola, ed-tech, academia, clínica pediátrica, loja de roupa infantil com clube de vantagens) nunca ajustou o processo pra essa realidade. Trata dado de criança do mesmo jeito que trata dado de adulto. É exatamente aí que mora o risco.
Criança e adolescente não são a mesma coisa pra LGPD
O art. 14 da LGPD separa dois grupos: crianças (até 12 anos incompletos) e adolescentes (12 a 18). Pra criança, a lei exige consentimento específico e em destaque de pelo menos um dos pais ou responsável legal. Pra adolescente, a régua já muda: o entendimento que vem prevalecendo é considerar a capacidade de discernimento do próprio adolescente pra certos tratamentos, sem eliminar a responsabilidade dos pais.
Na prática, isso significa que sua empresa não pode ter um único termo de uso pra usuário de 8 anos e usuário de 16 anos. São bases legais e níveis de proteção diferentes. Se seu produto ou serviço atende os dois públicos, o formulário de cadastro precisa perguntar idade antes de qualquer outra coisa.
"Melhor interesse da criança" não é frase de decisão judicial, é critério de compliance
O art. 14 fala explicitamente que o tratamento de dado de criança e adolescente deve ser feito no melhor interesse deles, não no melhor interesse da empresa. Isso muda a pergunta que você faz antes de coletar um dado. Não é "isso me ajuda a vender mais". É "isso protege ou expõe essa criança".
Exemplos concretos de tratamento que costuma falhar nesse teste:
- Geolocalização em tempo real de app infantil compartilhada com anunciante
- Biometria facial de criança usada pra treinar modelo de reconhecimento sem finalidade de segurança
- Histórico de navegação de adolescente vendido pra perfilamento publicitário
- Dado de saúde de aluno (alergia, laudo, medicação) circulando em planilha compartilhada por e-mail entre professores
Consentimento dos pais: check-box genérico não vale nada
Um clique em "aceito os termos" no rodapé do site não cumpre o art. 14. A lei pede consentimento específico e em destaque. Isso quer dizer: tela própria, linguagem clara sobre o que será feito com o dado da criança, e identificação de quem está consentindo (não basta um e-mail qualquer confirmando cadastro). Na nossa leitura, o jeito mais seguro pra empresa que atende menor é ter um fluxo separado: cadastro do responsável primeiro, com CPF ou outro dado que comprove vínculo, e só depois o cadastro da criança vinculado a esse responsável. Sem esse encadeamento, em auditoria da ANPD fica difícil provar que quem consentiu era realmente o pai ou a mãe.
Foto de aluno em rede social da escola: pode?
Pode, com consentimento específico dos pais e opção real de recusa, sem prejuízo pro aluno que não aparece. O problema que a gente vê em escola do Vale do Itajaí não é a foto em si, é a ausência de três coisas: termo assinado no início do ano letivo especificando as redes onde a imagem circula, canal fácil pra retirar o consentimento depois, e prática de não marcar nome completo junto com a foto. Se a escola contrata agência de marketing pra cuidar do Instagram, o contrato precisa deixar claro quem é o encarregado (art. 41) responsável por esse fluxo e quanto tempo o material fica armazenado nos servidores da agência.
Marketing direcionado pra criança: linha bem mais curta que você imagina
Publicidade voltada pra criança usando perfil comportamental dela é terreno perigoso, e a ANPD já sinalizou atenção especial pra isso desde que passou a aplicar sanções em agosto de 2021. Não existe "legítimo interesse" que justifique perfilar criança pra vender produto. O legítimo interesse como base legal do art. 7º simplesmente não se aplica quando o titular é menor de 12 anos. Pra adolescente a régua é um pouco mais flexível, mas ainda exige cautela: anúncio direcionado usando histórico de navegação de um jovem de 14 anos sem informação clara pra ele e pros pais é o tipo de prática que gera notificação extrajudicial rápido.
Plataforma educacional (ed-tech): a responsabilidade não é só do fornecedor
Escola que contrata sistema de ensino à distância, aplicativo de lição de casa ou plataforma de avaliação online continua sendo controladora do dado do aluno, mesmo que quem processe tecnicamente seja a ed-tech (operadora). Isso significa que se a plataforma vazar dado de 300 alunos, a escola responde junto, não só o fornecedor de tecnologia. Antes de assinar contrato com qualquer ed-tech, vale checar:
- Onde os dados dos alunos ficam hospedados (servidor no Brasil ou fora)
- Se existe cláusula de retenção e exclusão de dado ao fim do contrato
- Se a plataforma coleta dado além do estritamente necessário pra função pedagógica
- Se há relatório de incidente de segurança em até 48h no contrato de prestação de serviço
O que fazer nas próximas duas semanas
Se sua empresa lida com dado de menor de idade, seja escola, clínica, academia infantil ou app com público jovem, comece por três coisas concretas:
- Separe fisicamente o fluxo de consentimento de criança (com pai/responsável) do fluxo de adulto
- Revise contrato com toda ed-tech, agência de marketing ou fornecedor que tenha acesso a dado de aluno menor de idade
- Aplique o teste do "melhor interesse" em cada coleta de dado que hoje é automática (foto, biometria, geolocalização)
Empresa que se enquadra como microempresa, EPP ou startup pode usar o regime simplificado da Resolução CD/ANPD 02/2022 pra estruturar isso sem o mesmo custo de uma corporação grande. Mas simplificado não é dispensado: dado de criança continua exigindo o cuidado redobrado do art. 14, regime pequeno ou não.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
