教育领域的数据保护：学校与在线教育平台

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

学校和在线教育（EAD）平台大规模收集儿童和青少年的个人数据，需要格外重视LGPD（巴西《通用数据保护法》）的要求，否则教育机构将面临行政责任和司法责任。

教育环境中数据收集的现状

教育机构处理学生、家长和监护人个人数据的方式，正在经历一场深刻的变革。随着教育领域数字化进程加快，尤其是远程教学普及之后，公立和私立学校都开始依赖各类数字平台，这些平台收集、存储和处理着大量个人信息。在此背景下，本文将分析《通用数据保护法》（第13.709/2018号法律）如何直接适用于教育生态系统，以及各方主体需要承担哪些具体义务。

在线教学（EAD）平台、学校管理系统、学校与家庭之间的沟通应用，甚至教室里的监控摄像头，都构成对个人数据的处理活动。当这些数据属于儿童和青少年时，LGPD第14条规定了更为严格的保护制度。我们发现，许多教育机构仍不了解这些义务的范围，把LGPD合规当作一种单纯的行政手续，而实际上这是一项会产生真实后果的法律义务。

当我们把所涉及的技术供应商链条考虑进来时，问题就更加突出。学校聘用某个EAD平台后，并不能因此免除该第三方不当处理数据所带来的责任。根据LGPD，在控制者与处理者之间的关系中，教育服务合同必须包含有关数据保护的专门条款，明确处理目的、保存期限和安全措施。

儿童和青少年的数据：LGPD的特殊制度

LGPD第14条规定，处理儿童和青少年的个人数据必须以其最佳利益为出发点。这一规定与《儿童和青少年法》（第8.069/1990号法律）以及《儿童权利公约》直接呼应，形成了把未成年人保护置于绝对优先地位的规范框架。我们认为，这一特殊制度设定了具体的限制，直接影响学校和数字平台的运作。

处理儿童（12岁以下）的数据时，LGPD要求取得至少一位父母或法定监护人的具体且突出的同意。这种同意必须建立在充分知情的基础上，也就是说，机构需要以清晰易懂的方式说明将收集哪些数据、用于什么目的、保存多长时间，以及会与谁共享。入学登记表中那些含糊地写着“为教学目的使用数据”的通用条款，并不符合这一法律要求。

对于青少年（12至17岁），虽然LGPD没有明确要求取得父母的同意，但巴西国家数据保护局（ANPD）已经表示，最佳利益始终应当是指导标准。这意味着，处理数据所依据的法律基础应当逐案评估，综合考虑青少年的成熟程度、数据的性质以及所涉及的风险。收集青少年行为数据、地理位置数据或生物识别数据的平台，需要为这种处理提供充分有力的理由。

学校和EAD平台实现LGPD合规，不仅是一项法律义务，更是对这一代人的伦理承诺——他们的数据是最早暴露在数字环境中的。

我们还发现一个格外敏感的问题：在校园环境中收集生物识别数据。用于门禁管理的人脸识别系统，或用于记录出勤的指纹系统，处理的都是未成年人的敏感个人数据，这大大提高了法律合规的要求。在实施之前，必须严格评估此类收集的相称性和必要性。

EAD平台的数据尽职调查：需要核查什么

教育机构在选择EAD平台或任何用于教学的数字工具时，开展一项以数据保护为导向的尽职调查（due diligence）至关重要。这一过程是系统性地评估供应商如何处理其将接收的个人数据、采取了哪些安全措施，以及在多大程度上符合现行法律。我们认为，这一程序对于降低法律风险、切实保护数据主体而言不可或缺。

首先要核查的是平台的隐私政策。政策应当清楚说明收集哪些数据（姓名、年龄、学业表现、浏览数据、访问记录）、每项收集的具体目的、保存期限，以及数据主体行使权利可以采用的机制。政策含糊、过于笼统，或者措辞晦涩难懂，都是明显的警示信号。

其次，我们要评估信息安全基础设施。平台是否对传输中和静态存储的数据进行加密？是否设有基于角色的访问控制？是否定期进行渗透测试？是否保留处理操作的审计记录（日志）？这些技术问题对于核实学生数据能否切实免遭未经授权的访问、泄露和安全事件，至关重要。

另一个关键方面是与第三方共享数据。许多教育平台会借助合作企业的服务来实现数据分析（analytics）、云托管、发送通知和支付处理等功能。每一个合作方都意味着额外的风险点。尽职调查应当梳理整个次级处理者链条，并核查每个环节是否设有适当的合同保障。

数据的国际传输

当EAD平台把数据存储在位于巴西境外的服务器上时，就构成数据的国际传输，须适用LGPD第五章的规定。我们发现，巴西学校使用的平台大多把数据托管在美国或欧洲的服务器上。在这种情况下，需要评估目的地国家是否提供了适当的保护水平，或者是否存在合同保障（如标准条款）来确保所传输数据受到保护。

数据保护影响报告

对于大规模处理儿童和青少年数据的操作，建议编制《个人数据保护影响报告》（RIPD）。LGPD对该文件作了规定，其内容包括：可能对数据主体的公民自由和基本权利造成风险的处理流程，以及为降低风险而采取的措施和机制。在教育领域，RIPD是一项具有战略意义的工具，既能证明机构已尽审慎义务，也能为是否使用特定技术的决策提供依据。

教育机构的实际义务

教育领域的LGPD合规需要采取具体行动，而不仅仅是撰写文件。下面需要重点说明学校和教育机构为确保妥善处理学生及员工个人数据而应当遵守的主要义务。

指定数据保护官（DPO）是LGPD对数据控制者提出的要求。在学校环境中，这名专业人员是机构、数据主体与ANPD之间的联络人。他应当具备足够的法律和技术知识，能够就机构的义务提供指导，并在发生安全事件时主导应对工作。规模较小的学校可以指定现有的一名员工担任这一职务，前提是他接受了适当的培训。

数据映射（data mapping）是另一个重要步骤。其内容是梳理机构内部所有个人数据的流转情况：收集了哪些数据、在什么时候、通过什么方式、出于什么目的、存储在哪里、谁有权访问，以及何时删除。这种梳理往往会发现一些不必要或过度的处理，将其清除后，既能降低法律风险，也能减少运营成本。

对教师和职工的培训同样必不可少。如果教师随意在聊天群里分享学生信息，或者教务处通过不安全的渠道发送成绩单，那么再完善的数据保护政策也无济于事。结合各岗位实际情况定期开展的宣传培训，能让数据保护成为机构文化，而不仅仅是一套形式上的规则。

最后需要强调的是，必须建立清晰的程序来落实数据主体的权利。父母和监护人有权查阅其子女的数据、要求更正、请求删除不必要的数据，以及了解已发生的数据共享情况。机构应当做好准备，在法定期限内完整、透明地答复这些请求。

不合规的后果与监管趋势

违反LGPD规定的义务，可能招致ANPD作出的行政处罚，从警告到最高相当于法人营业额2%的罚款（每项违法行为以R$ 50 milhões为上限）不等。不过，后果并不限于行政层面。违规处理数据的教育机构，可能需要就给数据主体造成的物质损害和精神损害承担民事责任，还可能面临检察院（Ministério Público）开展的调查程序。

我们注意到，ANPD对儿童和青少年数据处理的关注日益增加。其发布的指导性文件以及就该主题开展的公开征求意见表明，未来几年这一领域的监督力度很可能会加强。提前顺应这一趋势、现在就投入建设完善合规体系的机构，将处于明显更有利的位置。

在国际上，欧盟的GDPR和美国的COPPA等法规，已经对不当收集未成年人数据的教育科技公司施以重罚。这些国际经验为巴西监管的日趋成熟提供了参照，也进一步说明，从系统设计之初（privacy by design）以及默认配置（privacy by default）起就采用高标准的保护，十分重要。

我们认为，教育领域的数据保护是LGPD适用中最具活力、也最为重要的领域之一。儿童和青少年的基本权利、技术创新以及教育机构的注意义务三者交汇，形成了一个复杂的监管环境，需要专业的法律咨询和持续的更新。把数据保护视为战略投资而非监管成本的机构，将在机构信任、法律安全和所提供教育环境的质量方面获得长久的回报。

这一主题与数据保护直接相关，我们已在专门的文章中进行了探讨。

为了帮助您进一步阅读，也请参阅本所关于完整指南的文章。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.