Um responsável manda uma mensagem pedindo "todos os dados que vocês têm da minha filha" e diz que quer que você apague tudo depois. No mesmo dia, você lembra que os cadastros dos alunos estão numa planilha aberta no computador da recepção, que qualquer pessoa da equipe abre, e que o backup disso, se existe, está num pen drive na gaveta. Bate aquela dúvida: a escola está fazendo certo? E se isso virar um problema?
A LGPD (Lei Geral de Proteção de Dados) não foi feita para perseguir escola pequena. Ela existe para proteger as pessoas cujos dados as empresas guardam. Só que escola guarda muito dado sensível: nome completo, CPF, endereço, telefone, dados financeiros e, com frequência, informações de crianças e adolescentes, que recebem proteção reforçada na lei. Isso coloca a sua escola dentro do jogo. A questão não é "se" a LGPD se aplica a você, é o quanto você já está em ordem.
Este post é um guia prático, de gestor para gestor. Não substitui orientação jurídica, e cada caso pode ter detalhes que pedem um especialista. Mas cobre o essencial que toda escola deveria ter resolvido.
Primeiro, entenda o que você tem
Você não consegue proteger o que não sabe que tem. O primeiro passo é o mais ignorado e o mais importante: mapear quais dados a escola coleta, onde eles ficam e quem tem acesso.
Faça um levantamento simples:
- Quais dados você pede na matrícula (do aluno e do responsável)?
- Onde esses dados moram hoje (sistema, planilha, papel, WhatsApp, e-mail)?
- Quem da equipe consegue acessar cada um deles?
- Para quê cada dado é usado de fato?
Esse exercício costuma revelar surpresas: dados espalhados em cinco lugares, cópias antigas que ninguém lembrava, planilhas que circulam por e-mail. Só de enxergar isso, você já sabe onde está o risco.
Colete só o necessário e diga para quê
A LGPD trabalha com a ideia de finalidade: você coleta um dado para um motivo específico e legítimo, e não para "ter ali, vai que precisa". Na prática, isso quer dizer pedir o que a escola realmente usa e ser transparente sobre o porquê.
Se você pede o CPF do responsável, é para emitir contrato e cobrança. Se pede o telefone, é para comunicar sobre as aulas e os pagamentos. Diga isso de forma clara, num aviso de privacidade simples, na matrícula. Não precisa ser um documento jurídico gigante: precisa ser honesto e compreensível, dizendo o que você coleta, para quê e por quanto tempo guarda.
E evite a tentação de pedir dado a mais "por garantia". Cada dado extra que você guarda é uma responsabilidade extra que você assume.
Tenha uma base legal para cada uso
A lei pede que todo tratamento de dado tenha uma base legal. Para escola, as mais comuns são duas, e dá para entender sem virar advogado:
- Execução de contrato: para tudo que é necessário para prestar o serviço que a família contratou. Cobrar a mensalidade, registrar presença, comunicar sobre as aulas. Isso normalmente já está amparado pelo próprio contrato de matrícula.
- Consentimento: para o que vai além do contrato, em especial marketing. Mandar campanha de matrícula, promoção, novidade. Aqui você precisa do "sim" explícito da pessoa, registrado, e com a opção de sair quando quiser.
A confusão mais comum é tratar tudo como se exigisse consentimento, ou o contrário, sair disparando campanha sem permissão. Separar essas duas situações resolve a maior parte das dúvidas do dia a dia.
Segurança não é luxo, é obrigação
A lei exige que você proteja os dados com medidas de segurança razoáveis. Aqui mora o maior risco de escola pequena, porque é justamente onde o improviso impera: planilha aberta, senha compartilhada, dados trafegando por WhatsApp pessoal, sem backup.
O básico que toda escola deveria ter:
- Acesso controlado: cada pessoa da equipe vê só o que precisa para o trabalho dela. O professor não precisa ver o financeiro da escola inteira.
- Senhas individuais e, de preferência, autenticação em duas etapas (2FA) para quem acessa o sistema.
- Dados trafegando de forma criptografada (o famoso cadeado, o TLS, na conexão).
- Backups regulares, para não perder tudo num problema de equipamento.
- Fim do dado vivendo solto em planilha que qualquer um abre.
Um sistema sério já entrega essa segurança pronta, e essa é uma das maiores vantagens de sair da planilha: você troca um ambiente exposto por um controlado, sem ter que virar especialista em tecnologia.
Cuidado redobrado com dados de crianças
Boa parte das escolas de idiomas, música e cursos livres atende menores de idade, e a LGPD dá proteção especial a esses dados. O consentimento, em geral, é dado pelos pais ou responsáveis, e o cuidado com o uso e a comunicação precisa ser ainda maior.
Na prática: avisos sobre o aluno menor devem chegar ao responsável, o consentimento para comunicações que vão além do contrato deve vir de quem responde pela criança, e a coleta de dados desses alunos pede o mesmo critério de "só o necessário", com atenção extra.
Olhe para os seus fornecedores
Esse ponto pega muita escola de surpresa. Quando você usa um sistema de gestão, uma ferramenta de cobrança ou um serviço de e-mail, você está compartilhando dados dos seus alunos com esses fornecedores. Eles passam a ser operadores dos dados, e você continua responsável pela escolha de com quem trabalha.
O que olhar num fornecedor:
- Ele declara conformidade com a LGPD?
- Os dados de cada cliente ficam isolados, ou tudo fica misturado num banco só?
- Existe criptografia, controle de acesso e backup?
- Há um contrato ou termo que define as responsabilidades de cada lado?
Escolher um fornecedor descuidado é assumir o risco dele junto com o seu. Por isso vale priorizar sistemas que tratam isso a sério desde o início.
Como o Aulla se encaixa nisso
O Aulla foi construído com a LGPD em mente e atua como operador dos dados que a sua escola trata. Na prática, isso aparece em coisas concretas: os dados de cada escola ficam isolados (cada escola opera em ambiente próprio, sem mistura com outras), a conexão é criptografada em trânsito (TLS), há autenticação em duas etapas (2FA), controle de acesso por papel (RBAC, em que cada pessoa vê só o que precisa) e backups regulares.
Isso não te isenta das suas obrigações como escola, mas resolve boa parte do trabalho pesado de segurança, que seria difícil e caro montar sozinho. Você fica responsável pelo que é seu (avisar, pedir consentimento, coletar só o necessário) e conta com uma base técnica que já vem em ordem.
Por onde começar
Não tente resolver a LGPD inteira num fim de semana. Comece pelo mapeamento: descubra que dados você tem e onde estão. Depois, tire o dado sensível da planilha aberta e leve para um ambiente controlado. Em seguida, ajuste o aviso de privacidade e o consentimento na matrícula. Esses três passos já colocam a sua escola num patamar muito melhor do que a média.
Para situações específicas, principalmente se a escola é grande ou trata dados em volume, vale procurar orientação especializada, porque a lei tem nuances que um post não cobre. Mas a maior parte do risco de uma escola pequena ou média vem do básico não feito, e o básico está ao seu alcance.
