Pense na ficha de matrícula da sua escola.
Nome completo da criança, data de nascimento, CPF, endereço, foto, nome e telefone dos responsáveis, situação familiar, restrição alimentar, alergia, medicação de uso contínuo, laudo médico, autorização de imagem, quem pode buscar na saída, quem não pode chegar perto.
Agora some a isso o boletim, o registro de ocorrência disciplinar, o histórico de pagamento, as fotos do passeio no Instagram da escola, o áudio que a professora mandou no grupo e a planilha que a secretaria compartilhou com a coordenação.
Poucas organizações no Brasil acumulam esse volume de dado sensível sobre menores de idade. E poucas dedicam tão pouco tempo de gestão a decidir o que fazer com ele.
O que mudou em 2026
Dois movimentos alteraram o cenário este ano, e nenhum deles é assunto de departamento de TI. É assunto de direção.
O primeiro é o Estatuto Digital da Criança e do Adolescente, a Lei nº 15.211/2025, que entrou em vigor em 17 de março de 2026. Ele trabalha com a lógica de responsabilidade compartilhada e traz a ideia de proteção desde o desenho do serviço digital. Na prática, isso alcança decisões que a escola toma toda semana: qual plataforma contratar, que dados coletar nela, quais configurações deixar ligadas, como moderar interações e o que fazer quando algo dá errado.
O segundo é a Lei nº 15.352/2026, sancionada em 25 de fevereiro, que transformou a ANPD em agência reguladora, com autonomia funcional, técnica, decisória e financeira, e criou 200 cargos de especialista em regulação de proteção de dados a serem preenchidos por concurso.
Traduzindo: o órgão que fiscaliza a LGPD acabou de ganhar estrutura de fiscalização de verdade.
E a LGPD já previa, desde sempre, multa simples de até 2% do faturamento da empresa no Brasil, limitada a cinquenta milhões de reais por infração.
Por que a escola é um caso à parte
O artigo 14 da LGPD trata especificamente de crianças e adolescentes. O tratamento precisa observar o melhor interesse do menor. E, no caso de crianças, a lei exige consentimento específico e em destaque de pelo menos um dos responsáveis, com transparência sobre quais dados são usados e para quê.
“Específico e em destaque” é o oposto do que a maioria dos contratos de matrícula faz hoje.
O modelo mais comum ainda é a cláusula guarda-chuva: uma autorização ampla, assinada uma vez, na matrícula, cobrindo comunicação, imagem, marketing, redes sociais e o que mais aparecer, sem finalidade delimitada, sem prazo, sem forma clara de revogar e sem registro de quem autorizou o quê.
Funcionou por anos porque ninguém foi verificar. O ponto é que o cenário de verificação mudou.
Três frentes que a gestão consegue endereçar
Nenhuma delas exige um projeto de dois anos. Exige decisão de direção e alguém com nome e sobrenome responsável por tocar.
1. Inventário e minimização. Antes de proteger, é preciso saber o que existe. Liste o que a escola coleta, em que documento, por qual motivo e por quanto tempo guarda. E faça a pergunta desconfortável em cada linha: a escola precisa mesmo disso para prestar o serviço, ou coleta por hábito e por precaução? Dado que não é coletado não vaza, não é mal usado e não gera passivo.
2. Autorização por finalidade, não por bloco. Separe os usos. Registro pedagógico interno é uma coisa. Comunicado institucional é outra. Foto no perfil da escola em rede social é outra bem diferente. Cada finalidade com sua autorização, com possibilidade de a família revogar depois, e com trilha do que foi autorizado, quando e por quem. Dá trabalho no primeiro ano. Depois vira rotina de secretaria.
3. Fornecedores e protocolo de incidente. A escola responde pelos dados mesmo quando eles estão dentro do sistema de um terceiro. Vale revisar o que os contratos com plataformas, sistemas de gestão e aplicativos dizem sobre segurança, sobre uso dos dados para outras finalidades e sobre o que acontece no fim do contrato. E vale ter escrito, em uma página, o que a escola faz nas primeiras 48 horas se um dado vazar. Quem avisa, quem decide, quem fala com a família.
O ponto cego: o caminho informal do dado
A maior parte do risco não está no sistema de gestão. Está no caminho paralelo.
O celular pessoal da professora com trinta fotos da turma. O grupo onde alguém compartilha a lista com telefone de todo mundo. A planilha de bolsistas que circula por e-mail. O laudo que foi digitalizado e ficou no computador da coordenação.
Não é má intenção. É improviso operacional em uma rotina apertada. Mas do ponto de vista de responsabilidade institucional, improviso e política valem a mesma coisa: zero.
Definir canal oficial, dizer com clareza o que não circula por canal informal e treinar a equipe, com registro de que o treinamento aconteceu, resolve boa parte do problema sem nenhum investimento em tecnologia.
O que isso tem a ver com a confiança da família
Tudo.
Proteção de dados parece assunto jurídico, mas o efeito prático é de relacionamento. A família que percebe que a escola sabe explicar por que pede cada informação, e o que faz com ela, confia mais. E confiança pesa na rematrícula tanto quanto qualquer outro fator.
Há ainda um efeito pedagógico que costuma passar despercebido. A escola que trata dado com cuidado tem autoridade para ensinar o aluno a fazer o mesmo com os dados dele, com a privacidade dele e com as decisões que ele toma na tela do celular. Coerência entre o que a instituição pratica e o que ela ensina é o que sustenta qualquer proposta pedagógica.
É nesse ponto que a assessoria pedagógica da FORME costuma entrar junto com as escolas parceiras, apoiando também projetos paralelos da instituição, e não apenas o conteúdo em sala. Porque gestão e pedagogia raramente são problemas separados.
Educar para transformar começa por dentro da própria escola.
