Dados dos alunos vazaram do sistema da escola: o que os pais podem fazer

O melhor interesse da criança no art. 14 da LGPD

O art. 14 da Lei 13.709/2018 determina que o tratamento de dados de crianças e adolescentes deve ser realizado em seu melhor interesse, com consentimento específico e destacado de pelo menos um dos pais ou responsável legal para dados de criança. Essa exigência mais rigorosa de base legal, combinada com a vulnerabilidade do titular, tende a agravar a análise de qualquer incidente que exponha esse tipo de dado.

Além do consentimento do art. 14, a LGPD permite que dados de crianças e adolescentes sejam tratados com base nas demais hipóteses legais previstas nos arts. 7 ou 11, sempre que isso atender ao melhor interesse da criança e do adolescente.

Por que o vazamento escolar costuma ser tratado com mais rigor

Dados de aluno frequentemente incluem informações sobre rotina, endereço residencial e, em escolas que atendem necessidades especiais, dados de saúde. A combinação de dado sensível, titular vulnerável e possibilidade de risco físico, não apenas patrimonial, coloca esse tipo de incidente num patamar de gravidade distinto do vazamento de cadastro comum de adulto.

O dever de comunicação também se aplica à escola

Como qualquer controlador, a escola está sujeita ao art. 48 da LGPD e deve comunicar à ANPD e aos responsáveis legais incidentes com risco ou dano relevante, dentro do prazo de três dias úteis fixado pela Resolução CD/ANPD nº 15/2024. O fato de ser instituição de ensino, pública ou privada, não afasta essa obrigação.

Documentos que sustentam a cobrança dos pais

Reúna o comunicado da escola, se houver, prints de mensagens ou telas do sistema que mostrem os dados expostos, e qualquer prova de repercussão concreta, como contato estranho recebido pela família mencionando informação escolar do filho. Registrar boletim de ocorrência também é recomendável quando há indício de uso indevido dos dados.

Da reclamação na escola até o Judiciário

Antes de qualquer ação, vale formalizar reclamação junto à direção da escola e, se necessário, à ANPD. Se a resposta não for satisfatória, a via judicial cabível passa pelo Juizado Especial Cível ou pela Justiça Comum, conforme o valor do prejuízo e a complexidade da prova técnica necessária para demonstrar a falha de segurança do sistema escolar.

Quando o caso enfrenta mais resistência

Se a escola comprovar que adotou medidas de segurança adequadas e que o incidente resultou de falha isolada e rapidamente corrigida, sem repercussão concreta na vida do aluno, o argumento de indenização se enfraquece. Ainda assim, a natureza vulnerável do titular tende a manter a análise mais rigorosa do que em casos envolvendo apenas adultos.

Um exemplo hipotético de vazamento no sistema de matrícula

Imagine que uma escola particular usa uma plataforma terceirizada de matrícula que, por falha de configuração, deixou acessível a qualquer pessoa da internet uma planilha com nome, endereço, CPF do responsável e informação sobre necessidade de acompanhamento pedagógico especial de dezenas de alunos. Semanas depois, uma das famílias recebe ligação de suposto "serviço de apoio escolar" tentando confirmar dados bancários para cobrar uma "taxa extra".

Nesse cenário, a família tem dois pontos de apoio: a natureza sensível do dado de acompanhamento pedagógico, que reforça a gravidade, e a tentativa de golpe documentada, que demonstra risco concreto. Ambos os elementos juntos tornam o caso mais robusto do que a simples alegação de exposição.

A escola pública segue outro regime de responsabilidade

Quando a instituição é pública, aplica-se a responsabilidade objetiva do art. 37, § 6º, da Constituição Federal, o que dispensa a comprovação de culpa e direciona a cobrança à Fazenda Pública responsável pela rede de ensino, seguindo o mesmo caminho processual usado em vazamentos de outros sistemas estatais.