O que diz o Art. 14 da LGPD para escolas
A LGPD consentimento responsável escola é regulada principalmente pelo Art. 14 da Lei 13.709/2018, que estabelece um regime especial para o tratamento de dados pessoais de crianças e adolescentes. O artigo é taxativo: "o tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado em seu melhor interesse".
Para fins da lei, criança é a pessoa até 12 anos de idade incompletos (conforme o ECA, Art. 2º), e adolescente é a pessoa entre 12 e 18 anos. Tanto em um caso quanto no outro, o padrão de proteção de dados é mais rigoroso do que para adultos — e escolas, por natureza, acumulam dados de ambas as categorias em larga escala.
O §1º do Art. 14 é onde está a grande mudança de comportamento exigida das escolas: o consentimento para o tratamento de dados de crianças deve ser dado "por pelo menos um dos pais ou pelo responsável legal". Não basta o consentimento genérico do aluno maior de 12 anos — no contexto escolar, o responsável continua sendo a parte que deve consentir, pois o menor está sob guarda e tutela de outra pessoa.
Segundo a ANPD, escolas particulares são o segundo segmento com maior volume de queixas por tratamento inadequado de dados de menores — atrás apenas de aplicativos infantis. O erro mais comum: consentimento coletado em bloco no contrato de matrícula, sem especificar finalidades.
Para entender o contexto mais amplo da regulação de dados nas escolas, consulte nosso guia definitivo de LGPD para escolas, que cobre DPO, ROPA, políticas de privacidade e auditoria. Este artigo se aprofunda especificamente na questão do consentimento de responsáveis.
Quais dados de alunos exigem consentimento e qual a base legal
Nem todo dado tratado pela escola exige consentimento — a LGPD prevê dez bases legais diferentes (Art. 7º). O ponto crítico é identificar qual base legal se aplica a cada tipo de dado e se assegurar de que ela está documentada.
| Tipo de dado | Classificação | Base legal principal | Precisa de consentimento? |
|---|---|---|---|
| Nome, CPF, data nascimento | Dado pessoal comum | Contrato (Art. 7º, V) | Não — mas deve constar no contrato |
| Notas e boletim | Dado pessoal comum | Contrato + obrigação legal | Não — obrigação pedagógica |
| Frequência e presença | Dado pessoal comum | Obrigação legal (LDB) | Não — exigido por lei |
| Fotos e vídeos (uso interno) | Dado pessoal comum | Legítimo interesse (Art. 7º, IX) | Uso limitado; publicação externa exige consentimento |
| Fotos publicadas em redes sociais | Dado pessoal (exposto) | Consentimento (Art. 7º, I) | Sim — consentimento específico |
| Dados biométricos (facial, digital) | Dado sensível (Art. 5º, II) | Consentimento (Art. 11, I) | Sim — consentimento explícito |
| Dados de saúde (laudos, alergias, medicação) | Dado sensível (Art. 5º, II) | Proteção da vida ou tutela da saúde (Art. 11, II, f) | Consentimento ou base específica documentada |
| Diagnósticos (TEA, TDAH, dislexia) | Dado sensível — saúde | Consentimento explícito ou base de saúde | Sim — consentimento explícito |
| Localização GPS (van escolar) | Dado pessoal comum | Consentimento ou contrato | Sim — consentimento recomendado |
| Dados compartilhados com franqueadora | Dado pessoal comum | Consentimento ou legítimo interesse | Sim — mencionado explicitamente |
A regra prática é: se o dado não é necessário para a execução do contrato de prestação de serviço educacional nem para cumprimento de obrigação legal, e vai além do mínimo necessário para a prestação do serviço, a escola precisará de consentimento ou de outra base legal robusta documentada.
O que invalida um consentimento escolar perante a ANPD
O Art. 8º da LGPD define que um consentimento válido deve ser livre, informado, inequívoco e específico. Na prática escolar, a maioria dos termos em uso até 2025 falhava em pelo menos um desses critérios. Veja os erros mais comuns que a gestão pedagógica e a secretaria precisam evitar:
6 formas de tornar o consentimento inválido
- Consentimento no corpo do contrato de matrícula: A ANPD considera que o responsável não tem escolha real — sem assinar o contrato, o filho não entra na escola. Isso compromete a voluntariedade.
- Autorização genérica ("para fins educacionais"): Viola o requisito de especificidade do Art. 8º. Cada finalidade deve ser listada separadamente.
- Opt-out em vez de opt-in: Colocar "marque aqui se NÃO autoriza" é inválido para dados sensíveis e inadequado para outros dados de menores. Deve ser opt-in explícito.
- Linguagem inacessível: Cláusulas com termos técnicos como "tratamento de dados biométricos para fins de identificação multimodal" sem explicação simples violam o requisito de consentimento informado.
- Sem registro de coleta: A escola precisa provar que o consentimento foi dado, quando, por quem e de qual forma. Consentimento verbal ou "no grupo de WhatsApp" é impossível de comprovar.
- Não prever revogação: Todo termo deve informar expressamente que o responsável pode revogar o consentimento a qualquer momento — e indicar o canal para isso.
Como estruturar o termo de consentimento LGPD correto para escolas
Um termo de consentimento escolar válido é um documento independente do contrato de matrícula, com estrutura específica. Abaixo está o modelo de estrutura recomendado pela literatura especializada em LGPD educacional e alinhado com as orientações da ANPD:
| Seção do termo | Conteúdo obrigatório | Por quê é essencial |
|---|---|---|
| Identificação das partes | Nome e CNPJ da escola (controladora) + DPO/encarregado com contato | Transparência sobre quem trata os dados |
| Dados do menor | Nome do aluno, turma, ano letivo | Vincula o consentimento à pessoa específica |
| Finalidades (por finalidade) | Uma seção por finalidade com caixa de marcação individual | Especificidade exigida pelo Art. 8º |
| Dados coletados por finalidade | Quais dados exatamente são usados em cada finalidade | Transparência e minimização de dados |
| Destinatários / compartilhamento | Quem recebe os dados: franqueadora, sistema de gestão, fotógrafo contratado | Obrigação do Art. 9º, IV |
| Prazo de armazenamento | Quanto tempo cada dado é mantido e critério de exclusão | Princípio da necessidade (Art. 6º, III) |
| Direitos do titular | Acesso, correção, portabilidade, eliminação, revogação — com canal de exercício | Art. 18 da LGPD |
| Canal de revogação | Email ou formulário específico, prazo de resposta da escola | Art. 8º, §5º — revogação fácil e gratuita |
| Assinatura com identificação | Nome completo, CPF, grau de parentesco com o aluno | Prova de autoria |
| Data e registro | Data, hora, IP (se eletrônico), meio de coleta | Prova de momento e forma do consentimento |
A estrutura por finalidade é o ponto que mais escolas erram na prática. O ideal é que o responsável visualize algo assim:
Modelo de finalidades com opt-in por item
- ☐ Uso de imagem em atividades pedagógicas internas — fotos e vídeos usados em relatórios e portfólio do aluno, não publicados externamente.
- ☐ Publicação de imagem em redes sociais da escola — Instagram, Facebook e site institucional. Imagens são identificadas com o primeiro nome do aluno.
- ☐ Biometria facial para controle de acesso — cadastro de face no sistema iDFace para identificação na entrada/saída. Dados armazenados por 2 anos após desligamento.
- ☐ Compartilhamento de dados com a franqueadora — dados de desempenho acadêmico e frequência enviados à rede franqueadora para fins de padronização curricular.
- ☐ Envio de comunicações de marketing — informações sobre eventos, campanhas e novidades da escola por WhatsApp e email. Revogável a qualquer momento.
Cada item marcado gera uma entrada de consentimento individualizada no sistema de gestão escolar, com registro de data, horário e meio de coleta. Cada item não marcado é tratado como recusa e a escola não processa aquele dado para aquela finalidade.
Biometria e reconhecimento facial: as regras mais rígidas
O dado biométrico é classificado como dado sensível pelo Art. 5º, II da LGPD, e isso muda completamente o padrão de exigência. Para dados pessoais comuns, existem dez bases legais possíveis. Para dados sensíveis, o Art. 11 reduz isso a seis hipóteses muito específicas — e a principal para o contexto escolar de biometria é o consentimento explícito do responsável.
"Explícito" vai além do opt-in comum. Ele exige que o responsável saiba exatamente: que dado está sendo coletado (imagem facial e os pontos biométricos extraídos), para qual sistema vai (ex.: Control ID iDFace), quanto tempo fica armazenado, e o que acontece com o dado quando o aluno sai da escola.
Checklist de consentimento para biometria escolar
- Termo de consentimento separado e específico para biometria — não pode estar junto com outros consentimentos
- Descrição técnica acessível: "imagem do rosto convertida em código numérico (template biométrico) armazenado no dispositivo iDFace"
- Informar que o template biométrico é diferente da foto — é um vetor matemático, não uma imagem
- Prazo de exclusão do template: no máximo 30 dias após desligamento do aluno
- Indicar que o não consentimento não prejudica a matrícula — o aluno usa crachá ou código numérico para acesso
- Consentimento assinado pelo responsável legal com documento de identificação
- Armazenar o consentimento com hash de integridade para provar que não foi alterado
Este último ponto é fundamental: a escola não pode tornar o cadastro biométrico obrigatório para frequentar a escola. Precisar de biometria para entrar no edifício viola o Art. 7º, §3º da LGPD, que proibee que o fornecimento de serviço seja condicionado ao fornecimento de dados além do necessário à prestação.
Revogação do consentimento: direitos e obrigações práticas
O Art. 8º, §5º da LGPD é claro: "O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado." Isso cria obrigações concretas para as escolas que muitas ainda não estruturaram.
Na prática, quando um responsável revoga o consentimento para uso de imagem em redes sociais, por exemplo, a escola deve:
- Remover imagens já publicadas do aluno identificado — dentro de prazo razoável (a ANPD sugere até 15 dias)
- Parar imediatamente de publicar novas imagens que identifiquem aquele aluno
- Confirmar por escrito ao responsável que a revogação foi processada
- Registrar a revogação no sistema de gestão com data e hora
- Não penalizar o aluno de nenhuma forma pela decisão do responsável
Caso prático: revogação de biometria durante o ano letivo
Em março de 2026, o responsável de um aluno do 3° ano de uma escola bilíngue de 180 alunos em Caxias do Sul enviou email para o DPO escolar revogando o consentimento para o cadastro biométrico facial. A coordenação pedagógica acionou o sistema de gestão, que automaticamente desativou o template do aluno no dispositivo iDFace e gerou um crachá NFC alternativo. Em 72 horas, o aluno já estava usando o novo método de acesso — sem nenhuma interrupção na frequência. O sistema registrou a revogação com timestamp e a confirmação enviada ao responsável. Quando a ANPD realizou inspeção documental seis meses depois, a escola apresentou o log completo e recebeu apenas uma recomendação sobre o prazo de exclusão definitiva do template (que estava em 45 dias; a ANPD sugeriu reduzir para 30).
Sanções da ANPD para escolas com consentimento irregular
A ANPD (Autoridade Nacional de Proteção de Dados) publicou em 2025 o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, que estabelece como as multas são calculadas. Para escolas particulares, os fatores que aumentam a penalidade incluem:
- Dados de menores envolvidos (fator agravante automático)
- Dados sensíveis (biometria, saúde) sem consentimento explícito
- Reincidência após advertência
- Volume de pessoas afetadas (uma escola com 300 alunos = 300 titulares)
- Obtenção de vantagem comercial com o tratamento irregular (venda de listas, marketing)
Tabela de sanções da ANPD aplicáveis a escolas (Art. 52 LGPD)
- Advertência: com indicação de prazo para adoção de medidas corretivas. Sanção mais comum na primeira fiscalização.
- Multa simples: até 2% do faturamento anual do grupo econômico, limitada a R$ 50 milhões por infração.
- Multa diária: para cada dia de descumprimento após notificação, no mesmo teto de R$ 50 milhões.
- Publicização da infração: o nome da escola e a infração são publicados no site da ANPD — efeito reputacional grave.
- Bloqueio de dados: proibição de tratar os dados até regularização — pode afetar operações críticas como controle de acesso.
- Eliminação de dados: determinação de excluir todos os dados coletados sem base legal adequada.
Para uma escola com faturamento de R$ 3 milhões ao ano, a multa máxima seria de R$ 60.000 por infração (2% de R$ 3 milhões). Mas o impacto reputacional de aparecer no site da ANPD como "escola autuada por uso irregular de dados de menores" pode custar muito mais em matrículas perdidas.
Para entender como se preparar para uma eventual fiscalização da ANPD, consulte nosso guia completo sobre como a escola deve se preparar para fiscalização da ANPD.
Como automatizar o consentimento LGPD na escola com tecnologia
Gerir consentimentos em papel é inviável para escolas com mais de 50 alunos — e praticamente impossível garantir rastreabilidade e revogação eficiente sem sistema. O Lumied incorpora o módulo de consentimento LGPD granular como parte nativa da plataforma, com funcionalidades que a gestão escolar precisa:
Coleta digital com opt-in por finalidade
No portal do responsável (app e web), cada item de consentimento aparece como uma decisão independente: o responsável marca ou desmarca cada finalidade individualmente. O sistema registra cada escolha com timestamp e IP, gerando um log de auditoria que pode ser exportado em PDF para qualquer fiscalização.
Gestão de revogação em tempo real
Quando um responsável revoga um consentimento, o sistema propaga a mudança automaticamente: desativa o template biométrico no dispositivo, adiciona o aluno à lista de exclusão de publicações externas, notifica a secretaria via alerta interno. Nenhuma ação manual da equipe é necessária para garantir a conformidade imediata.
Dashboard de status de consentimento por aluno
A secretaria e a coordenação visualizam, em um painel único, quais consentimentos cada responsável deu — e quais ainda estão pendentes. Alunos com consentimento biométrico expirado aparecem em destaque para renovação. Consentimentos coletados mais de 2 anos atrás são sinalizados para reatualização.
Assinatura eletrônica com validade legal
O Lumied usa o modelo de assinatura eletrônica simples com verificação por código de 6 dígitos enviado ao email do responsável — equivalente funcional ao que a escola usaria com assinatura física, com a vantagem de rastreabilidade completa. O documento assinado recebe hash SHA-256 e código LUM-XXXXXXXX único para verificação pública.
Perguntas frequentes sobre LGPD e consentimento na escola
O que a LGPD exige sobre consentimento para dados de crianças na escola?
A Lei 13.709/2018 (LGPD), em seu Art. 14, exige que o tratamento de dados pessoais de crianças (até 12 anos) e adolescentes (12 a 18 anos) seja realizado em seu melhor interesse, com consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal. A escola precisa de autorização individualizada para cada finalidade de uso dos dados — uso de imagem em redes sociais, biometria facial, compartilhamento com fornecedores, entre outros — e não pode substituir esse consentimento por uma cláusula genérica no contrato de matrícula.
Uma cláusula genérica no contrato de matrícula basta para a LGPD?
Não. A ANPD e os tribunais brasileiros consideram inválido o consentimento em bloco ou genérico para dados de menores. O Art. 8º da LGPD exige que o consentimento seja livre, informado, inequívoco e específico para cada finalidade. Uma cláusula do tipo "autorizo o uso de dados do meu filho para fins educacionais" não atende à lei — a escola precisa de um termo separado do contrato, com cada finalidade descrita claramente e marcada individualmente pelo responsável.
Quais dados de alunos requerem consentimento específico obrigatório?
Dados sensíveis exigem consentimento explícito: dados biométricos (reconhecimento facial, impressão digital), dados de saúde (laudos, alergias, medicamentos, condições como TEA e TDAH), dados religiosos e de origem racial. Para dados pessoais comuns — fotos publicadas externamente, localização GPS, compartilhamento com terceiros — o consentimento é a base legal mais segura, embora existam alternativas como legítimo interesse devidamente documentado.
Como deve ser o termo de consentimento LGPD para pais de alunos?
O termo de consentimento deve ser um documento separado do contrato de matrícula, com linguagem clara, listando cada finalidade de tratamento individualmente com opt-in independente por finalidade. Deve informar destinatários dos dados, prazo de armazenamento, direitos do titular, canal de revogação e ser assinado com identificação do responsável — eletronicamente com registro de data, hora e IP, ou fisicamente com cópia arquivada.
O responsável pode revogar o consentimento e quais são os efeitos para a escola?
Sim. O Art. 8º, §5º garante ao responsável o direito de revogar o consentimento a qualquer momento, de forma gratuita e facilitada. A escola deve parar imediatamente o tratamento para aquela finalidade, remover dados ou imagens já publicados quando aplicável, confirmar a revogação ao responsável e não penalizar o aluno. O processo deve ser simples — um email ou formulário — e executado em prazo razoável (até 15 dias para remoção de conteúdos externos).
O que é o princípio do melhor interesse do menor na LGPD?
O Art. 14 da LGPD incorpora o princípio do melhor interesse do menor, oriundo do ECA (Art. 4º). Na prática escolar, significa que a escola deve avaliar se o tratamento dos dados realmente beneficia o aluno, dar preferência à coleta mínima de dados, não usar dados de menores para fins comerciais sem justificativa clara do benefício ao menor, e garantir medidas de segurança reforçadas. A ANPD pode questionar qualquer tratamento que não demonstre benefício direto ao menor.
Quais são as multas e sanções por descumprir a LGPD no tratamento de dados de menores?
A ANPD pode aplicar: advertência, multa simples de até 2% do faturamento limitada a R$ 50 milhões por infração, multa diária, publicização da infração (grave dano reputacional), bloqueio dos dados e eliminação dos dados. Para dados de menores — categoria especialmente protegida — a ANPD aplica as sanções mais severas. Em 2026, após as primeiras rodadas de fiscalização, escolas já foram autuadas por consentimento inadequado de responsáveis.
Seu consentimento LGPD está em conformidade?
O Lumied automatiza a coleta de consentimento granular, gestão de revogações em tempo real e audit log completo para fiscalização da ANPD. Veja como funciona em uma demonstração para sua escola.
Agende uma Demonstração →