O RGPD na educação: o que as escolas realmente precisam providenciar

Para uma instituição de ensino, o GDPR, conhecido na Holanda como AVG, resume-se a um princípio: só é permitido utilizar os dados dos alunos para a finalidade para a qual foram coletados, só é permitido mantê-los pelo tempo que forem necessários e é preciso comprovar que eles são tratados com cuidado. Isso pode parecer burocracia, mas, na prática cotidiana, trata-se principalmente de uma questão de comportamento: quem compartilha qual arquivo com quem, por qual canal, e quem ainda tem acesso a um sistema do qual saiu há dois anos.

A seguir, analisamos quais dados as escolas realmente tratam, quem é o responsável por isso, o que deve ser acordado com os fornecedores de suas ferramentas de aprendizagem digital, como as violações de dados realmente ocorrem em uma escola e como tudo isso se relaciona com o Normenkader IBP, que as escolas estão buscando implementar.

Quais dados as instituições de ensino tratam e por que são sensíveis

As escolas detêm mais dados pessoais do que a maioria das organizações do mesmo porte, e grande parte desses dados diz respeito a menores de idade. É exatamente por isso que as regras são mais rigorosas nesse caso do que em uma empresa com o mesmo número de funcionários.

• Registros básicos dos alunos. Nomes, endereços, datas de nascimento, números de identificação civil e dados dos pais ou responsáveis. Aparentemente comuns, mas valiosos para quem estiver montando um perfil.
• Progresso e resultados na aprendizagem. Notas, resultados de provas, boletins e anotações no sistema de acompanhamento dos alunos. Informações confidenciais, pois acompanham a criança ao longo de vários anos.
• Arquivos de assistência e apoio. Declarações sobre dislexia, laudos médicos, relatórios das equipes de apoio. Trata-se de dados de categoria especial e, por isso, devem ser tratados com o máximo de cuidado em todo o prédio.
• Imagens e gravações. Fotografias no site da escola, vídeo de uma excursão escolar, gravações de uma aula. O consentimento, nesse caso, é específico, revogável e, muitas vezes, esquecido.
• Comunicação com os pais. E-mails e mensagens sobre alunos específicos, incluindo conflitos e situações difíceis em casa.

O que diferencia isso de uma empresa é a combinação de fatores: os dados são confidenciais, os envolvidos são crianças que não conseguem avaliar as consequências e as pessoas que lidam com eles são professores cuja função é ensinar, e não proteger dados.

Quem é responsável pelo GDPR em uma escola?

Formalmente, o conselho escolar é o responsável pelo tratamento. É ele quem determina por que e como os dados pessoais são tratados, e é a ele que a Autoriteit Persoonsgegevens se dirigirá caso ocorra algum problema. Muitos conselhos nomeiam um encarregado da proteção de dados e, na área da educação, geralmente há também um coordenador do IBP, responsável por garantir, na prática, a segurança da informação e a privacidade.

A lacuna que causa mais problemas é aquela entre essa responsabilidade formal e a realidade cotidiana. O conselho é responsável perante as autoridades, mas o processo em si ocorre na sala de aula e na secretaria: um professor que exporta uma lista de alunos, um administrador que encaminha um prontuário, um professor substituto que faz login com uma conta compartilhada. Uma política que nunca chega às mãos dessas pessoas não é conformidade, é mera documentação.

Acordos de processamento com seus fornecedores

As escolas utilizam ferramentas externas: o sistema de acompanhamento dos alunos, materiais didáticos digitais, um aplicativo de comunicação para os pais e um serviço de armazenamento em nuvem. Cada fornecedor que lida com os dados dos alunos em seu nome é um subcontratado, e essa relação exige um contrato de subcontratação que defina o que eles podem fazer com os dados, como os protegem, por quanto tempo os mantêm e o que acontece quando o contrato termina.

Duas observações práticas. Primeiro, verifique se esse acordo realmente existe para todas as ferramentas em uso, incluindo aquelas que um único professor entusiasmado introduziu sem avisar ninguém. Segundo, lembre-se de que assiná-lo não transfere sua responsabilidade: se um fornecedor vazar dados, a escola continua sendo a responsável pelo tratamento dos dados e ainda precisa informar as pessoas afetadas.

Como as violações de dados realmente ocorrem nas escolas

Quase nunca por meio de um ataque cibernético espetacular. Os relatos que chegam à Autoriteit Persoonsgegevens vindos do setor educacional são, em sua grande maioria, de natureza rotineira, e isso é uma boa notícia, pois são justamente as causas rotineiras que podem ser evitadas por meio de treinamento.

1. Destinatário errado. Uma lista de alunos, um resumo das notas ou um boletim escolar enviado por e-mail para o endereço errado, ou para todo um grupo de pais no campo “Para” em vez de “CCO”. A violação mais comum no setor educacional.
2. Logins compartilhados. Uma única conta para o sistema de acompanhamento dos alunos, usada por toda a equipe, pois criar contas separadas demorava muito. Depois, ninguém consegue saber quem acessou o quê.
3. Dispositivos e meios de armazenamento que acabam se perdendo. Um laptop no carro, um pen drive com um backup dos resultados, um celular particular com fotos da escola.
4. Phishing direcionado a contas escolares. Os invasores sabem que uma caixa de e-mail escolar dá acesso a uma grande quantidade de dados sobre menores. Basta um único clique em uma página de login falsa.
5. Acesso que nunca foi revogado. O substituto da última primavera, que ainda tem uma conta ativa; o colega que se desligou da empresa, cujo acesso à unidade compartilhada ninguém desativou.

Quando algo dá errado, o tempo é fundamental. Uma violação de dados que represente risco para as pessoas envolvidas deve ser comunicada à Autoriteit Persoonsgegevens sem demora injustificada e, em princípio, no prazo de 72 horas; além disso, as pessoas afetadas devem ser informadas quando o risco para elas for elevado. Esse prazo só é viável se um professor que suspeite de algo comunicar o fato na mesma manhã, o que é uma questão de cultura, e não de procedimento. Manter o assunto em pauta ajuda: a conscientização sobre privacidade, quando apresentada em pequenas doses, funciona melhor do que uma reunião anual, e um formato descontraído, como jogos de treinamento sobre o GDPR, atrai mais participação em uma sala de equipe movimentada do que um documento de política.

A relação com o Normenkader IBP

A privacidade e a segurança da informação chegam às escolas como um todo. O Normenkader IBP para o ensino fundamental e médio reúne ambas em requisitos concretos, e as escolas estão trabalhando nesse sentido, tendo como prazo-limite 1º de janeiro de 2027. Grande parte do que o marco exige coincide com o que o RGPD já previa: saber quais dados você mantém, organizar o acesso de forma adequada, firmar acordos com fornecedores e ser capaz de demonstrar que sua equipe sabe o que fazer.

Vale a pena aproveitar essa sobreposição. Uma instituição de ensino que leva a sério a parte de conscientização do Normenkader está, ao mesmo tempo, cumprindo suas obrigações relacionadas ao GDPR, e vice-versa. Tratar os dois como projetos separados faz com que os conselhos acabem realizando o mesmo trabalho duas vezes, com dois conjuntos diferentes de documentação.

Como a Guardey ajuda as escolas no aspecto humano

O treinamento de conscientização em segurança da Guardey foi desenvolvido para equipes que não têm tempo a perder: desafios semanais de cerca de três minutos, gamificação com tabelas de classificação e sequências de dias consecutivos, além de conteúdo que acompanha as ameaças que realmente estão em circulação. Para as escolas, isso significa cenários reconhecíveis, desde um e-mail de phishing direcionado a uma conta da escola até a questão de qual foto pode ser publicada no site.

A KONOT, uma organização educacional, utiliza o Guardey para aprimorar a conscientização sobre segurança de seus professores, e nosso treinamento de conscientização sobre segurança para escolas foi desenvolvido especificamente para esse contexto. Os professores realizam o treinamento pelo aplicativo móvel para iOS e Android ou simplesmente pelo navegador; simulações integradas de phishing mostram se o reconhecimento se transforma em comportamento, e os relatórios fornecem ao conselho algo concreto a apresentar para o Normenkader IBP. A configuração leva apenas alguns minutos.

Perguntas frequentes sobre o GDPR no setor educacional

Uma escola pode publicar fotos dos alunos?

Somente com consentimento válido — o que, no caso de crianças mais novas, significa o consentimento dos pais ou responsáveis —, e esse consentimento deve especificar claramente onde a imagem será utilizada e pode ser revogado a qualquer momento. Na prática, o problema raramente é o formulário de consentimento em si, mas sim acompanhar quem se recusou e garantir que o colega que for publicar nas redes sociais esteja ciente disso.

Por quanto tempo uma escola pode manter os dados dos alunos?

Apenas pelo tempo necessário para a finalidade, com prazos legais de retenção para partes do registro. A questão prática não é o prazo exato, mas se alguém realmente exclui alguma coisa: muitas escolas mantêm arquivos antigos de anos a fio simplesmente porque ninguém foi designado para eliminá-los.

Um professor é pessoalmente responsável por uma violação de dados?

Quase nunca. O conselho escolar é o órgão responsável e assume a responsabilidade. Vale a pena deixar isso bem claro na sala da equipe, pois o medo de ser culpado é a principal razão pela qual um erro é relatado tardiamente, e o relato tardio é o que transforma um pequeno incidente em um problema de supervisão.

Precisamos de um responsável pela proteção de dados?

As autoridades e órgãos públicos devem indicar um responsável, e as escolas geralmente se enquadram nessa categoria, embora a forma de organização varie: alguns conselhos indicam o próprio responsável, enquanto outros compartilham um único responsável entre um grupo de escolas. O que importa mais é que essa função esteja realmente acessível às pessoas que têm dúvidas no dia a dia.

As escolas que têm o GDPR em dia raramente são aquelas com a pasta de políticas mais volumosa. São aquelas em que um professor sabe o que fazer ao receber um e-mail suspeito, em que uma conta é desativada na mesma semana em que alguém se desliga da instituição e em que relatar um erro é algo normal, e não algo constrangedor. Isso é uma cultura, e as culturas são construídas aos poucos.