A LGPD na escola não é um projeto que começa e termina no jurídico, nem uma tarefa restrita à tecnologia. Proteção de dados faz parte da rotina escolar: da matrícula ao financeiro, da comunicação com as famílias ao controle de acesso, da gestão pedagógica à contratação de fornecedores. A escola lida com dados pessoais todos os dias e em praticamente todas as áreas da gestão:
nome;
endereço;
telefone;
CPF de responsáveis;
registros de frequência;
avaliações;
informações de saúde;
documentos;
imagens;
dados financeiros;
biometria;
acessos digitais.
A Lei Geral de Proteção de Dados Pessoais, a Lei nº 13.709/2018, estabelece princípios, direitos e regras para o tratamento de dados. A fiscalização cabe à ANPD, que em 2026 passou de Autoridade a Agência Nacional de Proteção de Dados (Lei nº 15.352/2026), agora com status de agência reguladora.
🔎 Resposta rápida
O que a escola precisa fazer para proteger dados?
Aplicar a LGPD na escola exige saber quais dados a instituição trata, por que precisa deles, qual fundamento autoriza cada tratamento, quem pode acessá-los, com quem são compartilhados, por quanto tempo permanecem armazenados e como serão protegidos ao longo de todo o ciclo.
A adequação depende, portanto, de processos, contratos, tecnologia, treinamento e governança; não apenas de um termo de consentimento.
O que a LGPD considera dado pessoal?
Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável. Por exemplo, nome, telefone, endereço, e-mail, documentos e imagens que permitam identificar alguém aparecem na rotina escolar.
A lei também define os dados pessoais sensíveis como uma categoria com proteção reforçada. Entre eles estão informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual e dados genéticos ou biométricos vinculados a uma pessoa.
Dessa forma, na escola esse cuidado alcança informações de saúde, registros que revelem condições protegidas e biometria usada em recursos de identificação, entre outras situações.
O ponto central está em tratar apenas o que tem finalidade definida, com fundamento adequado e acesso compatível com a função de cada pessoa.
LGPD na escola: crianças e adolescentes exigem cuidado reforçado
De fato, a escola trabalha, por natureza, com um público que recebe proteção especial. O artigo 14 da LGPD determina que o tratamento de dados de crianças e adolescentes observe o seu melhor interesse.
Em 2023, a ANPD consolidou o entendimento de que esse tratamento pode se apoiar nas hipóteses legais dos artigos 7º e 11 da LGPD, desde que o melhor interesse da criança e do adolescente seja observado e prevaleça no caso concreto.
Essa interpretação ajuda a superar uma simplificação frequente: consentimento não é a única base possível para todo tratamento de dado de crianças e adolescentes. Ou seja, a instituição de ensino deve analisar a finalidade, a natureza do dado, a hipótese legal aplicável e, sobretudo, considerar os riscos e o melhor interesse.
Além disso, desde 17 de março de 2026, o Brasil conta com o Estatuto Digital da Criança e do Adolescente, o ECA Digital (Lei nº 15.211/2025), regulamentado pelo Decreto nº 12.880/2026. A legislação estabelece regras próprias para produtos e serviços de tecnologia da informação direcionados a crianças e adolescentes ou de acesso provável por esse público, e passou a ser regulada e fiscalizada pela ANPD. Para a gestão, isso acrescenta um critério importante na avaliação das tecnologias que entram na rotina de estudantes e famílias.
1 Comece pelo inventário dos dados
É difícil proteger aquilo que a escola não sabe que possui. Assim, o primeiro passo é mapear os fluxos de informação:
matrícula e rematrícula;
cadastro de estudantes e responsáveis;
documentos acadêmicos;
frequência;
avaliações;
ocorrências;
saúde;
financeiro;
cobrança;
imagens;
controle de acesso;
profissionais;
comunicação;
marketing;
sistemas;
fornecedores.
Este conjunto, sem dúvida, forma um bom ponto de partida. Para cada fluxo, responda:
Qual é a finalidade? Quais dados são usados? Quem acessa? Existe compartilhamento? Onde ficam armazenados? Por quanto tempo ainda são necessários?
Dessa forma, esse inventário cria a base para revisar formulários, contratos, permissões e políticas de retenção. E costuma revelar algo importante: dados coletados anos atrás podem permanecer armazenados sem que a instituição saiba explicar por que ainda precisa deles.
2 Aplique o princípio da necessidade
A LGPD estabelece, entre seus princípios, a necessidade: o tratamento deve se limitar ao mínimo necessário para a finalidade, com dados pertinentes, proporcionais e não excessivos.
Antes de incluir um novo campo em uma ficha ou formulário, portanto, vale perguntar:
Precisamos dessa informação para qual processo? Quem realmente precisa enxergá-la? Podemos cumprir a mesma finalidade com menos dados? Por quanto tempo precisamos mantê-la?
Ou seja, a qualidade de uma base de dados não depende da quantidade de informações acumuladas, mas de ter os dados certos, para finalidades compreensíveis e pelo tempo necessário. Menos coleta desnecessária também significa menos exposição e, especialmente, uma governança mais simples de sustentar.
3 Organize perfis, permissões e acessos
Secretaria, coordenação, direção, financeiro, docentes e portaria têm responsabilidades diferentes e, portanto, a arquitetura de acesso precisa refletir essas diferenças.
Entre as boas práticas, incluem-se contas individuais, perfis por função, autenticação adequada, revisão periódica das permissões e retirada de acessos quando alguém deixa a instituição. Quando a solução permite registrar ações relevantes, a rastreabilidade ajuda a entender o que ocorreu diante de uma dúvida ou incidente.
Compartilhar a mesma senha entre várias pessoas pode parecer conveniente, mas enfraquece controle e rastreabilidade. Na LGPD na escola, o acesso institucional acompanha a necessidade da função. Assim, a pergunta deixa de ser “quem pode entrar no sistema?” e passa a ser:
Quais informações esta pessoa precisa consultar para cumprir sua responsabilidade?
4 Revise fornecedores e plataformas digitais
Escolas utilizam serviços de tecnologia, pagamentos, nuvem, comunicação, marketing, assinatura eletrônica, segurança e outras soluções que podem participar do tratamento de dados.
Além disso, a LGPD diferencia papéis como controlador e operador. Em linhas gerais, essa análise observa quem decide sobre as finalidades do tratamento e quem realiza operações com os dados em nome de outro agente.
Ao contratar ou revisar um fornecedor, portanto, a instituição deve avaliar:
finalidade;
responsabilidades;
medidas de segurança;
subcontratações relevantes;
procedimentos em incidentes;
atendimento aos direitos dos titulares;
retenção das informações;
regras para o encerramento da relação.
No caso de tecnologias direcionadas a crianças e adolescentes ou de acesso provável por esse público, o ECA Digital acrescenta exigências específicas. Privacidade e segurança, portanto, entram na escolha da tecnologia desde o início. Afinal, devem ser critérios de gestão e contratação, não apenas cláusulas conferidas depois que a decisão já foi tomada.
5 Comunicação institucional não é exposição
Em geral, a comunicação escolar movimenta fotos, vídeos, listas, boletins, autorizações e mensagens. O risco aumenta quando esse conteúdo deixa os canais previstos e passa a circular em grupos abertos, contas pessoais ou ambientes sobre os quais a escola tem pouco ou nenhum controle.
Uma imagem que permite identificar uma pessoa é um dado pessoal, e o uso precisa estar ligado a uma finalidade, fundamento adequado e contexto definido. Ainda assim, convém cuidado com a lógica do “já temos autorização”: uma manifestação dada para determinada finalidade não deve virar permissão irrestrita para usos futuros diferentes.
Por isso, quanto menos dispersa estiver a comunicação institucional, maior a capacidade da escola de administrar destinatários, acessos, histórico e informação.
6 Dados sensíveis pedem proteção reforçada
Por vezes, algumas informações têm potencial de causar impactos especialmente relevantes quando expostas ou usadas de forma inadequada. Nesse sentido, a própria LGPD estabelece regras específicas para os dados sensíveis.
De fato, informações de saúde e dados biométricos são exemplos muito presentes no contexto educacional. Por isso, o acesso deve permanecer restrito às pessoas que realmente precisam da informação para cumprir uma finalidade legítima e definida.
Uma pergunta ajuda nessa análise:
Por que precisamos deste dado, em que contexto ele será usado, qual fundamento sustenta o tratamento e como vamos protegê-lo?
Essa pergunta é mais útil do que acumular documentos “por segurança”.
7 Crie um procedimento para incidentes de segurança
Incidente de segurança não é apenas a invasão sofisticada de um servidor. Por exemplo, um arquivo enviado à família errada, uma conta comprometida, um equipamento perdido, uma planilha com permissão aberta ou a exposição indevida de uma informação também podem exigir resposta.
Por isso, a escola precisa definir previamente:
quem será acionado;
como conter o problema;
como preservar evidências;
como identificar os dados e titulares atingidos;
quando os fornecedores participam da resposta.
Desde 2024, o Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) estabelece que, quando o incidente puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a Agência e os titulares afetados no prazo de três dias úteis, ressalvada a existência de prazo específico em outra legislação. Claro, existe a possibilidade de complementação posterior, porém, deve ocorrer em até vinte dias úteis e ser devidamente fundamentada.
A LGPD na escola depende, portanto, também de velocidade organizacional. Ou seja, no momento do incidente, a instituição precisa saber quem decide, quem aciona, quem comunica e onde estão os dados necessários para avaliar a situação.
O encarregado e a cultura de proteção de dados
A ANPD regulamentou a atuação do encarregado pelo tratamento de dados pessoais por meio da Resolução CD/ANPD nº 18/2024. Entre suas funções estão atuar como canal de comunicação com titulares e a Agência e orientar funcionários e contratados sobre práticas de proteção de dados.
No entanto, mesmo com responsáveis definidos, sob a perspectiva da LGPD na escola, privacidade funciona melhor quando deixa de pertencer a uma única mesa. A cultura de proteção precisa alcançar o envio de arquivos, as senhas, o uso de dispositivos, a impressão, o descarte, o atendimento às famílias e os registros do cotidiano. Treinamento recorrente importa justamente porque muitos incidentes começam em ações comuns da rotina, e não em ataques cinematográficos.
LGPD na escola: tecnologia ajuda, mas a governança transforma recurso em proteção
Em primeiro lugar, um sistema com perfis de acesso, permissões, histórico e organização das informações pode reduzir a dispersão e facilitar controles. Sem dúvida, esse é um cuidado e um ganho concreto. Contudo, a adequação à LGPD também envolve decisões da própria instituição sobre finalidades, fundamentos legais, pessoas, contratos, configurações, retenção de informações, segurança e atendimento aos titulares. Ou seja, a tecnologia é uma parte da estrutura, mas é a governança dá sentido a essa estrutura.
No supersistema Diário Escola, diferentes áreas da gestão trabalham em um ambiente institucional integrado, com organização das informações e recursos de controle de acesso. Assim, ao reduzir a dependência de ferramentas e controles dispersos, o Diário Escola é um grande aliado, pois cria condições melhores para a instituição de ensino administrar quem acessa cada informação e onde os dados da rotina estão registrados.
Isso não torna a escola automaticamente adequada à LGPD, mas ajuda a construir uma base tecnológica organizada para aplicar as decisões de governança.
Conheça as soluções integradas do supersistema Diário Escola.
Checklist prático de LGPD na escola
Mapear dados pessoais e fluxos de tratamento.
Identificar finalidade e fundamento de cada tratamento relevante.
Revisar formulários e eliminar coleta excessiva.
Organizar perfis, permissões e contas individuais.
Revisar acessos periodicamente.
Avaliar contratos e práticas de fornecedores.
Definir critérios de retenção e descarte.
Manter canal para titulares e encarregado ou responsável, conforme aplicável.
Treinar as equipes.
Criar e testar um procedimento de resposta a incidentes.
Revisar periodicamente processos e tecnologias.
A adequação funciona melhor quando deixa de ser força-tarefa eventual e passa a integrar a gestão. Em síntese, a LGPD na escola é rotina de qualidade, responsabilidade e confiança.
Perguntas frequentes sobre LGPD na escola
A LGPD vale para escolas públicas e privadas?
Sim. De fato, a LGPD nas escolas alcança pessoas jurídicas de direito público e privado que tratam dados pessoais dentro do seu âmbito de aplicação. Escolas e redes lidam diariamente com informações de estudantes, famílias e profissionais e precisam organizar esse tratamento conforme a legislação.
A escola precisa de consentimento para todo dado de estudante?
Não. Afinal, a LGPD prevê diferentes hipóteses legais, e a ANPD reconhece que as bases dos artigos 7º e 11 podem fundamentar o tratamento de dados de crianças e adolescentes, desde que o melhor interesse prevaleça no caso concreto. O consentimento segue como uma hipótese possível quando for adequado à finalidade.
Foto de estudante é dado pessoal?
Quando permite identificar a pessoa, sim. Por isso, a escola precisa definir finalidade, fundamento, público e contexto de uso, evitando transformar uma autorização específica em permissão genérica para qualquer divulgação futura.
Dado biométrico é sensível?
Sim. Conforme a LGPD, o dado biométrico vinculado a uma pessoa natural é classificado como dado pessoal sensível.
Em quanto tempo um incidente precisa ser comunicado à ANPD?
Quando puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a ANPD e os titulares afetados em até três dias úteis, salvo prazo específico previsto em outra legislação. A avaliação do caso concreto deve fazer parte do procedimento de resposta da instituição.
Um sistema em conformidade resolve sozinho a LGPD da escola?
Não. Um bom sistema oferece controles importantes, mas a adequação também envolve finalidades, hipóteses legais, contratos, pessoas, treinamento, segurança, governança e revisão contínua dos processos.
LGPD na escola: fontes oficiais
Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018
Lei nº 15.352/2026 — transforma a ANPD em Agência Nacional de Proteção de Dados
ANPD — Enunciado CD/ANPD nº 1/2023 (dados de crianças e adolescentes)
ANPD — Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança)
ANPD — Resolução CD/ANPD nº 18/2024 (atuação do encarregado)
Estatuto Digital da Criança e do Adolescente — Lei nº 15.211/2025
Importante: este conteúdo é informativo e não substitui orientação jurídica específica para a realidade de cada instituição.
Cantina Escola: o lanche mais fácil, prático e seguro!
Cantina Escola é um aplicativo de carteira digital integrado ao supersistema de gestão Diário Escola que transforma e facilita a hora do lanche nas cantinas escolares de todo o Brasil.
Agora, sua instituição poderá oferecer ainda mais vantagens e benefícios com um único superApp e ao alcance de um toque.
Pais e responsáveis adicionam créditos em segundos e acompanham o movimento na carteira digital dos filhos.
Cantineiros cobram com agilidade e simplificam a gestão das cantinas.
Cantina Escola é sinônimo de praticidade e eficiência.
Controle diário dos gastos dos filhos.
Incentiva uma alimentação mais equilibrada.
Elimina o uso de cartões ou dinheiro no ambiente escolar.
Agilidade na cobrança e na operação da cantina.
Cantina Escola: simplicidade, segurança e inovação na hora do lanche! Pais tranquilos, alunos satisfeitos e cantinas mais eficientes.
