O RGPD no setor da educação: o que as escolas têm mesmo de fazer

Para uma escola, o RGPD, conhecido na Holanda como AVG, resume-se a um princípio: só podes usar os dados dos alunos para o fim para o qual os recolheste, só podes guardá-los enquanto precisares deles e tens de conseguir provar que os tratas com cuidado. Isso pode parecer burocracia, mas, na prática, tem mais a ver com o comportamento: quem partilha que ficheiro com quem, por que canal, e quem ainda tem acesso a um sistema que deixou para trás há dois anos.

A seguir, vamos ver que dados as escolas tratam realmente, quem é o responsável, o que é preciso acertar com os fornecedores das tuas ferramentas de aprendizagem digital, como é que as violações de dados acontecem mesmo numa escola e como é que tudo isto se relaciona com o Normenkader IBP, que as escolas estão a tentar cumprir.

Que tipo de dados as escolas tratam e por que razão são sensíveis

As escolas têm mais dados pessoais do que a maioria das organizações do mesmo tamanho, e grande parte desses dados diz respeito a menores. É precisamente por isso que as regras são mais rigorosas neste caso do que numa empresa com o mesmo número de funcionários.

• Dados básicos dos alunos. Nomes, moradas, datas de nascimento, números de identificação fiscal, dados dos pais ou tutores. À primeira vista, parecem coisas normais, mas são valiosos para quem estiver a montar um perfil.
• Progresso e resultados da aprendizagem. Notas, resultados de testes, boletins, anotações no sistema de acompanhamento dos alunos. São dados sensíveis porque acompanham uma criança ao longo de vários anos.
• Arquivos de cuidados e apoio. Declarações de dislexia, atestados médicos, relatórios das equipas de apoio. Trata-se de dados de categoria especial e merecem o tratamento mais rigoroso de todo o edifício.
• Imagens e gravações. Fotografias no site da escola, vídeo de uma visita de estudo, gravações de uma aula. O consentimento, neste caso, é específico, revogável e muitas vezes esquecido.
• Comunicação com os pais. E-mails e mensagens sobre alunos específicos, incluindo conflitos e situações difíceis em casa.

O que distingue isto de uma empresa é a combinação de fatores: os dados são sensíveis, os sujeitos são crianças que não conseguem avaliar as consequências e as pessoas que lidam com eles são professores cuja função é ensinar e não proteger dados.

Quem é o responsável pelo RGPD numa escola?

Formalmente, o conselho escolar é o responsável pelo tratamento. É ele que determina por que e como os dados pessoais são tratados, e é a ele que a Autoriteit Persoonsgegevens se dirige se algo correr mal. Muitos conselhos nomeiam um responsável pela proteção de dados e, no setor da educação, costuma haver também um coordenador do IBP que garante que a segurança da informação e a privacidade funcionem na prática.

A discrepância que causa mais problemas é aquela entre a responsabilidade formal e a realidade do dia-a-dia. O conselho de administração é responsável, mas o trabalho prático acontece na sala de aula e na secretaria: um professor que exporta uma lista de alunos, um administrador que encaminha um processo de acompanhamento, um substituto que inicia sessão com uma conta partilhada. Uma política que nunca chega às mãos dessas pessoas não é conformidade, é apenas documentação.

Acordos de processamento com os teus fornecedores

As escolas utilizam ferramentas externas: o sistema de acompanhamento dos alunos, materiais didáticos digitais, uma aplicação de comunicação para os pais, um serviço de armazenamento na nuvem. Cada fornecedor que trata os dados dos alunos em teu nome é um subcontratante, e essa relação requer um acordo de subcontratação que defina o que podem fazer com os dados, como os protegem, durante quanto tempo os guardam e o que acontece quando o contrato termina.

Duas questões práticas. Primeiro, verifica se esse acordo existe mesmo para todas as ferramentas que estão a ser utilizadas, incluindo aquelas que um único professor entusiasmado introduziu sem avisar ninguém. Segundo, lembra-te de que assinar o acordo não te isenta de responsabilidade: se um fornecedor divulgar dados, a escola continua a ser a responsável pelo tratamento dos dados e tem de informar as pessoas afetadas.

Como é que as fugas de dados acontecem mesmo nas escolas

Quase nunca por causa de um ataque informático espetacular. Os relatos que chegam à Autoriteit Persoonsgegevens vindos do setor da educação são, na sua grande maioria, bem comuns, e isso é uma boa notícia, porque as causas comuns são aquelas que se conseguem evitar com formação.

1. O destinatário errado. Uma lista de alunos, um resumo das notas ou um relatório escolar enviado por e-mail para o endereço errado, ou para todo um grupo de pais no campo «Para», em vez de «CCO». A violação mais comum no setor da educação.
2. Inícios de sessão partilhados. Uma conta única para o sistema de acompanhamento dos alunos que toda a equipa usa, porque criar contas separadas demorava demasiado tempo. Depois, já ninguém consegue saber quem viu o quê.
3. Dispositivos e meios de armazenamento que se perdem. Um portátil no carro, uma pen USB com uma cópia de segurança dos resultados, um telemóvel pessoal com fotos da escola.
4. Phishing direcionado a contas escolares. Os atacantes sabem que uma caixa de correio escolar dá acesso a imensos dados sobre menores. Basta um único clique numa página de login falsa.
5. Um acesso que nunca foi revogado. O substituto da primavera passada que ainda tem uma conta ativa, o colega que já se foi e cujo acesso à unidade partilhada ninguém desativou.

Quando algo corre mal, o tempo é essencial. Uma violação de dados que represente um risco para as pessoas envolvidas tem de ser comunicada à Autoriteit Persoonsgegevens sem demora injustificada e, em princípio, no prazo de 72 horas, e as pessoas afetadas têm de ser informadas quando o risco para elas for elevado. Esse prazo só é realista se um professor que suspeite de algo o comunicar ainda nessa mesma manhã, o que é mais uma questão de cultura do que de procedimento. Manter o tema em destaque ajuda: a sensibilização para a privacidade, quando feita em pequenas doses, funciona melhor do que uma sessão informativa anual, e um formato leve, como jogos de formação sobre o RGPD, atrai mais participação numa sala de equipa atarefada do que um documento de políticas.

A ligação com o Normenkader IBP

A privacidade e a segurança da informação chegam às escolas como um todo. O quadro normativo IBP para o ensino básico e secundário reúne ambas num conjunto de requisitos concretos, e as escolas estão a trabalhar nesse sentido, tendo como prazo o dia 1 de janeiro de 2027. Muito do que o quadro exige coincide com o que o RGPD já previa: saber quais os dados que deténs, organizar o acesso de forma adequada, celebrar acordos com os fornecedores e ser capaz de demonstrar que o teu pessoal sabe o que fazer.

Vale a pena aproveitar essa sobreposição. Uma escola que leva a sério a parte de sensibilização do Normenkader está, ao mesmo tempo, a cumprir os requisitos do RGPD, e vice-versa. Tratar estes dois aspetos como projetos separados é o que leva os conselhos de administração a acabar por fazer o mesmo trabalho duas vezes, com dois conjuntos diferentes de documentação.

Como é que a Guardey ajuda as escolas na vertente humana

A formação em sensibilização para a segurança da Guardey foi concebida para equipas que não têm tempo a perder: desafios semanais de cerca de três minutos, gamificação com tabelas de classificação e séries de dias consecutivos, e conteúdos que acompanham as ameaças que andam realmente por aí. Para as escolas, isso significa cenários familiares, desde um e-mail de phishing direcionado a uma conta da escola até à questão de saber qual a fotografia que pode ser publicada no site.

A KONOT, uma organização escolar na área da educação, usa o Guardey para melhorar a sensibilização para a segurança dos seus professores, e a nossa formação em sensibilização para a segurança destinada a escolas foi concebida a pensar nesse contexto. Os professores fazem a formação na aplicação móvel para iOS e Android ou simplesmente no navegador; as simulações de phishing integradas mostram se o reconhecimento se traduz em comportamento, e os relatórios dão ao conselho de administração algo concreto para apresentar no âmbito do Normenkader IBP. A configuração demora apenas alguns minutos.

Perguntas frequentes sobre o RGPD no setor da educação

Uma escola pode publicar fotografias dos alunos?

Só com um consentimento válido, o que, no caso das crianças mais novas, significa o consentimento dos pais ou tutores, e esse consentimento tem de ser específico quanto ao local onde a imagem vai ser utilizada e pode ser revogado a qualquer momento. Na prática, o problema raramente é o formulário de consentimento em si, mas sim acompanhar quem disse «não» e garantir que o colega que publica nas redes sociais fica a saber disso.

Durante quanto tempo é que uma escola pode guardar os dados dos alunos?

Apenas durante o tempo necessário para o fim a que se destinam, com períodos de conservação previstos na lei para algumas partes do registo. A questão prática não é o prazo exato, mas sim se alguém apaga mesmo alguma coisa: muitas escolas guardam ficheiros antigos de vários anos simplesmente porque ninguém ficou encarregado de os eliminar.

Um professor é pessoalmente responsável por uma violação de dados?

Quase nunca. O conselho escolar é quem controla tudo e quem assume a responsabilidade. Vale a pena dizer isto em voz alta na sala da equipa, porque o medo de ser culpado é a principal razão pela qual um erro é comunicado tarde, e é essa demora na comunicação que transforma um pequeno incidente num problema de supervisão.

Precisamos de um responsável pela proteção de dados?

As autoridades e organismos públicos têm de nomear alguém para esse cargo, e as escolas, em geral, enquadram-se nessa categoria, embora a forma como isso funciona varie: alguns conselhos nomeiam o seu próprio responsável, outros partilham um único responsável entre um grupo de escolas. O que importa mais é que essa função esteja realmente acessível às pessoas que têm dúvidas do dia a dia.

As escolas que têm o RGPD em ordem raramente são aquelas com a pasta de políticas mais volumosa. São aquelas em que um professor sabe o que fazer com um e-mail suspeito, em que uma conta é desativada na semana em que alguém sai e em que comunicar um erro é algo normal, em vez de ser constrangedor. Isso é uma cultura, e as culturas constroem-se aos poucos.