O que mudou: da teoria à prática
Até 2023, falar de LGPD em escola era um exercício hipotético: todo mundo sabia que a lei existia, mas quase ninguém aplicava, porque a Autoridade Nacional de Proteção de Dados (ANPD) ainda estava em fase de estruturação e limitava-se a emitir advertências. Essa era acabou.
Desde 2024, a ANPD intensificou a fiscalização e começou a aplicar multas efetivas. Em 2025, publicou guias específicos sobre tratamento de dados de crianças e adolescentes, deixando claro que o setor educacional é alvo prioritário — pelo tipo de dado tratado (sensíveis, de menores) e pelo volume. Em 2026, escolas estão aparecendo na lista de autuações com frequência crescente.
Se você ainda não leu nosso guia completo sobre LGPD na escola, comece por lá. Este artigo pressupõe que você já conhece os conceitos básicos (consentimento, dados sensíveis, direitos dos titulares) e foca no que está acontecendo agora: sanções, auditorias, RIPD, DPO e plano de resposta a incidentes.
As sanções efetivas da ANPD
O Art. 52 da LGPD lista as sanções possíveis. Em 2026, todas elas são aplicadas, em intensidades diferentes, dependendo da gravidade do descumprimento:
| Sanção | Gravidade | Aplicável a |
|---|---|---|
| Advertência com prazo de adequação | Leve | Primeira infração, ausência de dano |
| Multa simples (até 2% do faturamento, máx R$ 50M) | Média | Infrações reiteradas ou com dano |
| Multa diária | Média | Descumprimento continuado |
| Publicização da infração | Alta | Casos de repercussão pública |
| Bloqueio dos dados pessoais | Alta | Risco iminente aos titulares |
| Eliminação dos dados pessoais | Alta | Tratamento em desacordo com a lei |
| Suspensão parcial do banco de dados | Severa | Descumprimento reiterado |
| Suspensão do exercício da atividade de tratamento | Severa | Casos graves |
| Proibição parcial ou total da atividade | Crítica | Não-adequação crônica |
⚠️ O dano reputacional é pior que a multa
Para uma escola, a publicização da infração pela ANPD é significativamente mais danosa do que a multa financeira. Famílias pesquisam o nome da escola no Google antes de matricular, e ter uma sanção por vazamento de dados de menores no topo dos resultados é morte comercial. A LGPD não é só sobre dinheiro — é sobre confiança.
Casos reais e padrões de fiscalização
Os padrões de fiscalização observados em 2025 e 2026 mostram alguns temas recorrentes que a ANPD tem priorizado em escolas:
Padrão 1 — Biometria sem RIPD
Escolas que implementaram reconhecimento facial para controle de acesso sem fazer o Relatório de Impacto à Proteção de Dados (RIPD). Como dados biométricos são categoria sensível, o tratamento exige base legal robusta e documentação específica. Em pelo menos 4 casos conhecidos, houve determinação de suspensão imediata do sistema de biometria.
Padrão 2 — Consentimento genérico no contrato
Cláusulas do tipo "autorizo o uso de dados do meu filho para fins pedagógicos e institucionais" no contrato de matrícula foram consideradas nulas. A ANPD exige consentimento específico, granular, revogável e destacado — como detalhamos no guia completo de LGPD.
Padrão 3 — Falta de DPO nomeado
Escolas que não haviam nomeado um encarregado (DPO) foram autuadas mesmo sem vazamento de dados. A ANPD considera a ausência de DPO uma infração autônoma, pois é um requisito estrutural da conformidade.
Padrão 4 — Retenção excessiva de dados
Escolas mantendo dados de ex-alunos indefinidamente sem base legal que justifique. O princípio da minimização (Art. 6°, III) exige que dados sejam mantidos apenas pelo tempo estritamente necessário. Fotos de crianças de 10 anos atrás, sem finalidade atual, são passivo puro.
Padrão 5 — Compartilhamento com franqueadora sem base legal
Redes de escolas franqueadas que compartilhavam dados com a franqueadora sem consentimento específico. A ANPD entende que a franqueadora é operador distinto, e o compartilhamento exige base legal própria e, na maioria dos casos, consentimento.
Cenário real: vazamento em rede bilíngue
Uma rede bilíngue no Sudeste teve um incidente de segurança em 2025: o laptop de uma coordenadora com planilha contendo dados de 320 alunos foi roubado. Sem criptografia, sem plano de resposta, sem DPO nomeado. O incidente foi reportado tardiamente à ANPD (após 12 dias), sem comunicação aos titulares. Resultado: multa, advertência pública e dois processos movidos por famílias. Custo total estimado: R$ 180.000 — sem contar a perda de 11 matrículas no semestre seguinte por falta de confiança.
RIPD: o documento que ninguém faz (mas deveria)
O RIPD (Relatório de Impacto à Proteção de Dados) é um documento exigido pelo Art. 38 da LGPD quando o tratamento de dados apresenta alto risco aos direitos dos titulares. Escolas precisam fazer RIPD principalmente em 4 cenários:
- Biometria facial ou digital para controle de acesso
- Uso de IA em dados de menores (análise preditiva, classificação, recomendação)
- Compartilhamento com terceiros (franqueadora, órgãos pedagógicos, marketing)
- Monitoramento sistemático (câmeras, logs de navegação, rastreamento)
O RIPD deve conter: descrição do tratamento, finalidade, necessidade e proporcionalidade, riscos identificados, medidas de mitigação, e análise residual. É um documento técnico-jurídico que precisa ser atualizado sempre que o processo mudar.
O RIPD não é "papelada para ANPD". É o instrumento pelo qual a escola pensa antecipadamente sobre os riscos antes de implementar algo novo com dados pessoais. Ele protege os alunos e protege a escola.
Encarregado (DPO) na escola
O encarregado (Data Protection Officer) é a pessoa responsável por:
- Receber reclamações e comunicações dos titulares de dados
- Receber comunicações da ANPD e adotar providências
- Orientar funcionários sobre LGPD
- Executar outras atribuições definidas pelo controlador
A LGPD não exige que o DPO seja um profissional certificado em proteção de dados, nem que seja um funcionário exclusivo dessa função. Pode ser um sócio, um diretor, um prestador externo (escritório terceirizado). O que não pode é não ter.
O contato do DPO deve estar publicamente disponível no site da escola, em local visível — geralmente no rodapé ou na página "LGPD". É comum que escolas esqueçam desse ponto e deixem apenas um email genérico de contato, o que não cumpre o requisito.
ROPA e mapeamento de dados
O Registro de Operações de Tratamento de Dados Pessoais (ROPA) é exigido pelo Art. 37 da LGPD. É um inventário de todas as operações de tratamento que a escola realiza, documentando para cada uma:
- Finalidade específica
- Tipos de dados tratados
- Categorias de titulares (alunos, responsáveis, funcionários)
- Compartilhamentos previstos
- Período de retenção
- Base legal
- Medidas técnicas de segurança
Em uma escola típica, o ROPA terá entre 20 e 40 operações documentadas. Isso inclui desde a ficha de matrícula até o backup do servidor, passando por fotos em redes sociais, envio de comunicados por WhatsApp, uso de sistemas de gestão escolar, e assim por diante. É um trabalho que toma tempo — mas é o ponto zero de qualquer adequação séria.
Como é uma auditoria da ANPD em escolas
Uma auditoria da ANPD pode ser iniciada de três formas:
- De ofício, por iniciativa da própria autoridade
- Por denúncia de titular, responsável ou terceiro
- Por comunicação de incidente feita pela própria escola
O processo se desenrola da seguinte forma: a ANPD notifica a escola por correspondência oficial, estabelecendo prazo (normalmente 10 a 15 dias) para apresentação de documentação. A escola deve enviar: ROPA, política de privacidade, termo de consentimento utilizado, nomeação do DPO, evidências de treinamento da equipe, RIPD (quando aplicável), plano de resposta a incidentes, contratos com operadores, e qualquer outro documento específico solicitado.
A ausência de qualquer desses itens é registrada como descumprimento e pode agravar a sanção aplicada. Escolas que documentam tudo saem da auditoria com advertência (ou nada); escolas que não documentam saem com multa.
Vazamento de dados: plano de resposta em 72h
A Resolução ANPD 15/2024 estabelece que incidentes de segurança com dados pessoais devem ser comunicados à ANPD e aos titulares afetados em até 3 dias úteis do conhecimento, se houver risco aos direitos dos titulares.
Isso significa que a hora de pensar em plano de resposta a incidentes é antes do incidente. Uma vez que ele aconteça, os prazos são apertadíssimos. O plano deve conter:
Componentes mínimos do plano de resposta
- Definição de quem integra a equipe de resposta (DPO, TI, direção, jurídico)
- Canais de comunicação entre a equipe (grupo dedicado, não WhatsApp pessoal)
- Modelo de notificação à ANPD já pronto para preencher
- Modelo de comunicação aos titulares afetados
- Procedimento de contenção técnica (isolar sistemas, trocar senhas, revogar acessos)
- Log de tudo que for feito durante o incidente, para auditoria posterior
- Contato do escritório jurídico de prontidão
- Revisão pós-incidente obrigatória
Checklist definitivo de LGPD para 2026
Governança
- DPO nomeado e contato publicado no site
- Política de Privacidade publicada e atualizada
- Termo de Consentimento granular implementado
- Política interna de proteção de dados aprovada pela direção
- Treinamento de LGPD aplicado a todos os funcionários
- Quiz de conformidade aplicado anualmente
Documentação
- ROPA completo e atualizado
- RIPD feito para biometria, IA e compartilhamento com terceiros
- Contratos com operadores contendo cláusulas de LGPD
- Registro de consentimentos recebidos e revogados
- Audit log das operações de tratamento
Direitos dos titulares
- Canal público de atendimento aos titulares (email, formulário, telefone)
- Processo definido para responder solicitações em até 15 dias
- Capacidade técnica de exportar dados em formato estruturado
- Capacidade técnica de excluir ou anonimizar dados
- Capacidade técnica de revogar consentimento
Segurança
- Criptografia em trânsito (HTTPS) e em repouso
- Controles de acesso baseados em papel (RBAC)
- Autenticação forte (senhas fortes + 2FA recomendado)
- Backup regular e testado
- Plano de resposta a incidentes pronto
- Monitoramento de acessos suspeitos
Como o Lumied cobre tudo isso
O Lumied foi construído com LGPD compliance nativo desde o primeiro dia. Não é um módulo opcional — faz parte da arquitetura. Na prática isso significa:
- Consentimento granular configurável pela escola, com registro imutável e revogação pelo app dos pais
- Audit log completo de toda operação de tratamento (quem acessou, quando, qual dado, para qual finalidade)
- Exportação de dados em 1 clique para atender solicitações de acesso
- Anonimização e exclusão dedicadas, respeitando obrigações legais de retenção
- Controles de acesso por papel (RBAC com 7 papéis e 25 módulos)
- Criptografia em trânsito (TLS 1.3) e em repouso (PostgreSQL + Supabase)
- RIPD-ready: a arquitetura documentada facilita a elaboração do RIPD pelo DPO
- Painel LGPD dedicado com solicitações, consentimentos e audit log
- Plano de resposta a incidentes integrado via Sentry e monitoramento contínuo
Perguntas frequentes sobre LGPD na escola
A ANPD já aplicou multas a escolas?
Sim. Desde 2024, instituições educacionais entraram formalmente no radar da autoridade. Casos recentes incluem advertência, publicização e multas iniciais, especialmente por falta de consentimento granular e biometria sem RIPD.
O que é RIPD e toda escola precisa fazer?
RIPD é o Relatório de Impacto à Proteção de Dados, obrigatório para operações de alto risco. Escolas precisam em: biometria facial, uso de IA em dados de menores, compartilhamento com terceiros e monitoramento sistemático.
Como funciona uma auditoria da ANPD em escolas?
A escola é notificada e tem prazo para apresentar: ROPA, política de privacidade, termos de consentimento, RIPD, nomeação do DPO e evidências de treinamento. A ausência de qualquer desses itens é considerada descumprimento.
Toda escola precisa ter um DPO?
Sim. A LGPD exige que todo controlador de dados nomeie um encarregado, independente do porte. O DPO pode ser um funcionário, sócio ou prestador externo, e seu contato deve estar publicamente no site da escola.
Qual o prazo para notificar um vazamento de dados à ANPD?
A Resolução ANPD 15/2024 estabelece até 3 dias úteis após o conhecimento do incidente, se houver risco aos direitos dos titulares. Escolas precisam ter plano de resposta pronto antes do incidente.
Posso terceirizar o DPO?
Sim. O DPO pode ser um prestador externo, e essa é uma solução viável para escolas que não têm um profissional específico. O contrato deve prever responsabilidades claras e disponibilidade para atendimento.
Proteja sua escola contra sanções da ANPD
O Lumied oferece compliance LGPD nativo com consentimento granular, audit log, anonimização e painel LGPD dedicado. Veja como em uma demonstração personalizada.
Agende uma Demonstração →