Poucas organizações guardam dados tão sensíveis quanto uma escola. Notas, frequência, ocorrências disciplinares, laudos de acompanhamento, informações de saúde, fotos, endereço e renda da família, e quem pode ou não buscar a criança na saída. Boa parte desses dados pertence a crianças e adolescentes, e a LGPD dá a esse público uma proteção específica.

Este artigo explica o que a lei exige, o que acontece quando há incidente e onde os sistemas acadêmicos costumam falhar na prática.

O que a LGPD diz sobre dados de crianças e adolescentes

O art. 14 da LGPD estabelece que o tratamento de dados pessoais de crianças e adolescentes deve ser realizado em seu melhor interesse. Para crianças, a lei exige consentimento específico dado por pelo menos um dos pais ou pelo responsável legal.

Para a escola, isso tem consequências concretas:

• O consentimento não pode ficar escondido numa cláusula genérica do contrato de matrícula. Ele precisa ser específico para a finalidade.
• O "melhor interesse" é critério para decidir o que coletar, por quanto tempo guardar e com quem compartilhar. Dado que não serve ao aluno não deveria estar no sistema.
• A escola precisa saber, sistema por sistema, quais dados de menores guarda, onde e quem acessa.

Segurança não é opcional: o art. 46

O art. 46 obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

A lei não diz "faça pentest". Ela exige medidas de segurança adequadas. O teste de intrusão entra como evidência: é a forma de demonstrar que os controles foram verificados na prática, e não apenas descritos numa política. Esse é o papel de um pentest para LGPD.

Quando algo dá errado: art. 48 e o prazo da ANPD

O art. 48 determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15/2024 fixa o prazo dessa comunicação em, em regra, 3 dias úteis.

Três dias úteis passam rápido. Nesse período a escola precisa entender o que aconteceu, quais dados foram afetados, quantos alunos estão envolvidos e como avisar as famílias. Sem logs, inventário de dados e um plano ensaiado, o prazo vira improviso. Por isso vale estruturar a resposta a incidentes antes de precisar dela.

E o MEC?

Não há norma do MEC específica sobre segurança cibernética para instituições de ensino. Na ausência de regra setorial, a referência é a LGPD, que se aplica normalmente a escolas públicas e privadas, faculdades e universidades.

Instituições de ensino já são alvo

Ataques cibernéticos a instituições de ensino no Brasil são públicos e documentados. Alguns exemplos:

• UFGD, 2021: a universidade informou que o ataque cibernético sofrido em maio de 2021 foi investigado pela Polícia Federal, e que sistemas ficaram suspensos por semanas (fonte: UFGD).
• UFMS, 2023: segundo o Baguete, a universidade teve servidores invadidos, com sites, portais de matrícula e ambiente virtual de aprendizagem fora do ar (fonte: Baguete).
• UnB, 2025: segundo o Metrópoles, um ataque cibernético deixou o site e os sistemas da universidade fora do ar (fonte: Metrópoles).

Universidades federais têm equipes de TI próprias. Escolas particulares de pequeno e médio porte, que muitas vezes dependem de um fornecedor de sistema e de um técnico terceirizado, não estão em posição melhor.

Onde os sistemas acadêmicos costumam falhar

Controle de acesso quebrado

É a falha mais perigosa num portal escolar. O responsável acessa o boletim do filho por um endereço que contém o número de matrícula. Se ele troca esse número e o sistema mostra o boletim de outro aluno, todos os dados acadêmicos da escola estão expostos a qualquer família logada. Essa categoria de falha é conhecida como IDOR e só aparece com teste manual.

Vínculo entre aluno e responsável

Pais separados, guarda compartilhada, medidas de proteção. O sistema precisa refletir quem pode ver o quê. Falhas no cadastro ou na lógica de vínculo podem dar acesso a quem não deveria tê-lo.

Perfis internos com acesso excessivo

Professor que vê dados de saúde e renda de todas as turmas, estagiário com perfil de secretaria, conta de ex-funcionário ainda ativa. O princípio do menor privilégio raramente é revisado depois da implantação.

Integrações e APIs

Aplicativo da escola, plataforma de ensino, catraca, cantina, sistema financeiro. Cada integração é uma API que pode devolver mais dados do que a tela mostra ou aceitar requisições sem autenticação adequada.

Exportações, planilhas e ambientes de teste

Relatórios exportados para planilhas compartilhadas por link aberto, e ambientes de homologação alimentados com cópia da base real de alunos, sem os controles da produção.

Contas administrativas sem autenticação multifator

Uma senha da secretaria capturada por phishing dá acesso direto ao sistema acadêmico inteiro.

A maior parte dessas falhas está no portal, no aplicativo e nas APIs, e é o foco de um pentest web.

Um plano prático para a escola

• Inventário: quais sistemas guardam dados de alunos e quais desses dados são de menores.
• Revisão de consentimentos e finalidades, à luz do art. 14.
• Teste do portal e do aplicativo, com contas de responsável, aluno, professor e secretaria.
• Revisão de perfis e desativação de contas antigas.
• Autenticação multifator para todas as contas administrativas.
• Plano de incidente compatível com o prazo da ANPD, incluindo modelo de comunicação às famílias.

Quer verificar se um responsável consegue ver dados de outro aluno no seu sistema? Conheça o nosso pentest para instituições de ensino.

Perguntas Frequentes

A LGPD exige consentimento dos pais para tratar dados de alunos?

Para crianças, o art. 14 exige consentimento específico dado por pelo menos um dos pais ou pelo responsável legal. Para crianças e adolescentes, o tratamento deve sempre atender ao melhor interesse deles.

Qual o prazo para a escola comunicar um vazamento de dados?

Pela Resolução CD/ANPD nº 15/2024, a comunicação de incidente que possa acarretar risco ou dano relevante deve ser feita, em regra, em 3 dias úteis, à ANPD e aos titulares, conforme o art. 48 da LGPD.

Existe norma do MEC sobre segurança cibernética nas escolas?

Não há norma do MEC específica sobre segurança cibernética. A referência para escolas públicas e privadas é a LGPD, incluindo o dever de adotar medidas de segurança do art. 46.

A LGPD obriga a escola a fazer pentest?

Não com essa palavra. A lei exige medidas de segurança técnicas e administrativas. O pentest é a forma de comprovar que essas medidas funcionam, gerando evidência documentada do que foi testado e corrigido.