高等教育机构的LGPD合规

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

高等教育机构每天都要处理成千上万条学生、教师和员工的敏感个人数据，因此，遵守LGPD（巴西《通用数据保护法》）不仅是一项法律义务，更是保障教学与科研活动持续开展的战略需要。

高等教育机构中的个人数据现状

只要看一看一所大学或学院里流转的信息量，就不难发现，这是巴西个人数据保护工作中最复杂的环境之一。从招生选拔到颁发毕业证书，中间还有注册入学、学业成绩记录、健康档案（针对教学诊所）、获资助学生的财务数据，以及用于门禁管理的生物识别信息，高等教育机构（IES）处理的个人数据种类繁多，其中包括受《通用数据保护法》（第13.709/2018号法律）保护的敏感数据。

数据尽职调查不是一次性的工作，而是一个持续的过程，必须随着教学活动的发展和监管环境的变化不断推进。

可以看到，许多高等教育机构至今仍在使用陈旧的遗留系统、分散管理的电子表格，以及几十年间逐步形成、从未考虑过“默认隐私设计”（privacy by design）的信息流转方式。结果是，学生数据在教务、财务、技术和人力资源等部门之间流转，既没有经过恰当的梳理，也没有确定的法律依据，往往连最基本的信息安全控制措施都缺乏。这种状况带来了相当大的法律风险，尤其是在巴西国家数据保护局（ANPD）监管力度不断加大、并可能给予行政处罚、损害机构声誉的情况下。

在这一背景下，数据尽职调查是对机构开展的全部数据处理活动进行的系统而细致的调查，目的是在合规缺口、运营风险和薄弱环节演变为安全事件或处罚程序之前，将其找出并加以纠正。

高等教育机构数据尽职调查的基本步骤

在高等教育机构开展数据尽职调查，需要采用覆盖组织各个部门的系统化方法。就分析工作而言，我们认为必须完成五个关键步骤，才能得出完整可靠的评估结论。

数据梳理与处理活动清单

第一步是全面梳理机构内部所有个人数据的流转路径。这包括：明确每项流程（注册入学、入学考试、实习、推广活动、科研）收集哪些数据；这些数据存放在何处（教务系统、ERP、云端、本地服务器、纸质档案）；谁可以接触这些数据；数据保存多长时间；以及数据用于哪些目的。在大型高等教育机构中，这一梳理可能会发现数百项各不相同的处理活动，其中不少连管理层自己都不知道。

确定适用的法律依据

对于梳理出的每一项处理活动，我们都需要依据LGPD第7条（涉及敏感数据时依据第11条）确定其法律依据。我们发现，许多高等教育机构会错误地把全部数据处理都建立在数据主体同意的基础上，而实际上，许多处理活动可以（也应当）依靠其他法律依据，例如履行合同（学生与机构之间的关系）、履行法律或监管义务（例如教育部MEC的要求），或在司法或行政程序中正当行使权利。

评估第三方合同

高等教育机构与数十家供应商存在合同关系，这些供应商会接触学生和员工的个人数据，包括：远程教学平台、教务管理系统、催收公司、实验室、教学医院、实习接收单位等。数据尽职调查要求逐一审查这些合同，核实是否有适当的数据保护条款、是否明确了各方角色（控制者与处理者）、是否约定了保密义务、事件通报程序，以及对向第三方共享数据的限制。

风险与影响分析

对于大规模处理敏感数据的高等教育机构，例如在教学诊所处理健康信息、使用生物识别数据进行门禁管理，或在平权行动项目中处理种族和族裔来源信息，编制《个人数据保护影响报告》（RIPD）尤为重要。这类报告应当说明数据处理流程，评估处理的必要性和相称性，并确定降低数据主体所面临风险的措施。

核查技术与管理措施

最后，数据尽职调查还应评估机构已实施的信息安全措施：访问控制政策、加密、漏洞管理、事件应对预案、意识培训，以及备份和灾难恢复程序。我们的分析表明，许多高等教育机构在技术上投入很多，却忽视了人的因素，而人的因素仍然是造成安全事件的首要原因。

教育行业面临的特殊挑战

在为高等教育机构开展合规项目时，我们发现了一些教育行业特有的挑战，在其他行业中很难找到直接对应的情形。首先是机构同时承担多种角色：对于学生和员工的数据，机构是控制者；但当机构依照教育部MEC或监管机关的要求处理数据时，则可能是处理者。这种双重身份需要逐案进行审慎分析。

另一项重要挑战涉及学术研究。开展涉及个人数据的研究（尤其是在健康、社会科学和心理学领域）的大学，需要使LGPD的要求与CEP/CONEP体系的规则以及宪法保障的学术自由相协调。LGPD第7条第IV项允许研究机构为开展研究而处理数据，但同时设定了具体条件，例如只要可能就应对数据进行匿名化处理。

对于开设与高中教育相结合的技术课程，或在入学考试中接收未满18周岁考生的高等教育机构来说，未成年人数据的管理同样是一个特别需要关注的问题。LGPD第14条对儿童和青少年数据的处理规定了专门规则，在某些情形下，要求取得父母一方或法定监护人的特别同意。

此外，大学历来推崇开放共享信息的学术文化，这可能与LGPD规定的最小化原则和目的原则发生冲突。要让教师和研究人员认识到，数据的访问范围应当严格限定在每项目的所必需的限度之内，这是一项文化转变的工作，需要时间、培训和机构领导层的推动。

构建数据合规计划

根据数据尽职调查的结果，机构需要建立一套稳健且符合自身实际的合规计划。根据我们的经验，最有效的计划都具备若干基本要素，下面逐一说明。

治理架构与数据保护官

依据LGPD第41条，指定个人数据处理负责人（Encarregado，即数据保护官，DPO）是一项强制性要求。在高等教育机构中，建议由一个多学科委员会协助数据保护官工作，成员应包括法律、信息技术、教学和行政等部门的代表。该委员会应定期开会，评估计划的推进情况，就安全事件作出决议，并批准内部政策。

内部政策与程序

合规计划至少应当包括：面向外部公众（学生、考生、网站访客）的隐私政策；面向员工和教师的内部数据保护政策；响应数据主体权利（访问、更正、删除、可携带）的程序；安全事件应对预案；以及对代表机构处理数据的供应商和第三方进行评估的程序。

培训与意识提升

如果没有日常实际处理数据的人员的参与，任何合规计划都无法发挥作用。教务秘书、课程协调员、使用数字平台的教师和IT人员，都需要了解自己的责任，并知道遇到涉及个人数据的情形时该如何处理。定期培训、宣传教育活动，以及便于咨询疑问的沟通渠道，都是能够显著降低事件风险的投入。

监测与持续改进

LGPD合规并不会随着计划的初步实施而结束。定期的内部审计、在聘用新供应商时审查合同、在设立新流程时更新数据梳理结果，以及跟进ANPD发布的指引和规定，都应当成为机构的日常工作。建议高等教育机构为该计划设定绩效指标（KPI），例如响应数据主体请求的平均时间、报告的事件数量、已接受培训的员工比例，以及第三方合同的合规整改状态。

不合规的后果与主动合规的益处

LGPD规定的处罚种类多样，可能对高等教育机构造成严重影响。除警告和单纯罚款（最高可达营业额的2%，每次违法行为以R$ 50 milhões为限）之外，ANPD还可以决定公开违法行为、封存或删除相关个人数据，甚至部分或全部暂停数据库的运行。对于高等教育机构而言，数据被封存可能意味着无法颁发毕业证书、办理注册入学或开展选拔程序，使核心业务陷入停摆。

另一方面，主动投入合规的机构所获得的收益，远不止于满足法律要求。恰当的数据保护能够增强学生及其家庭的信任，使机构在竞争日益激烈的市场中脱颖而出，便利与国际院校的合作（这些院校往往要求很高的数据保护标准），并降低个人诉讼和集体诉讼的风险。在再认证和机构评估程序中，具备完善的数据保护计划，表明机构组织成熟，并致力于良好的治理实践。

可以看到，那些把LGPD合规视为战略投资（而不是单纯的监管成本）的高等教育机构，能够更自然、更可持续地将数据保护融入机构文化，把一项法律义务转化为竞争优势。

这一主题与LGPD实务直接相关，我们已在专门的文章中进行了探讨。

这一主题与LGPD下数据泄露的民事责任直接相关，我们已在专门的文章中进行了探讨。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.