Quando se fala em ECA Digital, é comum que o pensamento vá direto para as grandes plataformas de tecnologia: redes sociais, aplicativos de mensagem, serviços de streaming. Mas os impactos dessa nova legislação também chegam às escolas.
O chamado ECA Digital é a Lei nº 15.211/2025, sancionada em setembro de 2025 e em vigor desde 17 de março de 2026. A norma não substitui o Estatuto da Criança e do Adolescente (Lei nº 8.069/1990); ela o complementa, estendendo ao ambiente digital os mesmos princípios de proteção integral já consolidados no mundo físico. A lei dialoga diretamente com a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018) e se aplica a qualquer produto ou serviço de tecnologia da informação voltado a crianças e adolescentes ou de “acesso provável” por esse público, conforme estabelece seu art. 1º.
Esse critério de acesso provável, e não apenas de destinação expressa, é o que aproxima a legislação da rotina escolar. Ferramentas de comunicação com famílias, plataformas de ensino, aplicativos de gestão pedagógica e sistemas de reconhecimento facial usados para controle de acesso não foram criados pensando exclusivamente em crianças, mas são utilizados por elas, e isso já é suficiente para atrair a incidência da norma.
Um caso recente, direto do ambiente escolar
Em agosto de 2026, a Superintendência de Fiscalização da ANPD determinou a suspensão imediata do uso de reconhecimento facial para registro de frequência de estudantes da rede pública estadual do Paraná, por meio do Despacho Decisório nº 2/2026/SFI, fundamentado na Nota Técnica nº 4/2026/CPDP/CGF/SFI/ANPD. O caso é um alerta direto para qualquer instituição de ensino que utilize tecnologias semelhantes: ter uma finalidade legítima para tratar dados não dispensa a escola de justificar por que aquela tecnologia específica, e não uma alternativa menos invasiva, foi a escolha adotada.
A ANPD identificou, entre outras irregularidades, a ausência de uma hipótese legal adequada ao tratamento de dados biométricos, a falta de demonstração de que o reconhecimento facial seria efetivamente necessário diante de alternativas menos invasivas, como o próprio registro manual, que a regulamentação estadual continuava admitindo em determinadas situações, e a insuficiência da documentação apresentada para comprovar que o melhor interesse de crianças e adolescentes havia orientado, desde o início, a escolha pela tecnologia.
Esse último ponto merece destaque. O melhor interesse previsto no art. 14 da LGPD não é apenas um princípio a ser mencionado formalmente. No âmbito escolar, isso significa que a decisão de adotar reconhecimento facial, um aplicativo de monitoramento ou qualquer outra tecnologia voltada a alunos precisa vir acompanhada de um raciocínio documentado, capaz de explicar por que aquela tecnologia foi considerada a opção mais adequada diante dos riscos e das alternativas disponíveis.
Base legal: uma só hipótese, definida desde o início
Outro entendimento reforçado pela ANPD nesse mesmo caso, e igualmente relevante para escolas, é o de que o controlador deve definir apenas uma hipótese legal para cada finalidade de tratamento, e não alternar entre fundamentos diferentes ao longo do tempo conforme a conveniência do momento. Quando isso acontece, torna-se mais difícil para os titulares, no caso, os alunos e suas famílias, entenderem em que condições seus dados estão sendo tratados e quais direitos podem exercer.
A recomendação prática decorrente disso é simples de ser aplicada, ainda que exija disciplina para ser cumprida: antes de adotar qualquer nova tecnologia, a instituição deve identificar com clareza a base legal aplicável àquele tratamento específico e mantê-la documentada, evitando reconstruir a fundamentação depois que a operação já está em curso.
A tecnologia por si só não basta: é necessário segurança e prestação de contas
Quando a tecnologia envolve dados sensíveis, como imagens captadas por sistemas de reconhecimento facial, a exigência de segurança da informação se intensifica. A Nota Técnica da ANPD sobre o caso paranaense aponta parâmetros mínimos esperados para esse tipo de operação, incluindo a adoção de controles de acesso rigorosos aos dados biométricos, autenticação multifator para pessoas autorizadas, criptografia dos dados em repouso e em trânsito, registros que permitam rastrear acessos e operações realizadas, auditorias periódicas e uma política clara de retenção e eliminação.
Vale um alerta adicional para escolas que considerem o uso de hash ou outras técnicas para tratar dados biométricos: a impossibilidade de reconstruir visualmente a imagem original não equivale à efetiva anonimização do dado. Um identificador derivado da face pode deixar de parecer com a pessoa e, ainda assim, continuar apto a identificá-la ou a ser comparado com novas amostras, o que caracteriza pseudonimização, não anonimização, e mantém a informação sujeita às regras de proteção de dados pessoais.
Mapeamento de dados, políticas e RIPD como documentos vivos
É por isso que documentos como o mapeamento de dados, as políticas internas e o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) não podem ser tratados como formalidades que, uma vez elaboradas, ficam paradas no tempo. A crítica da ANPD ao RIPD apresentado no caso do Paraná reforça este ponto: o documento havia sido elaborado anos antes, sem demonstração que as medidas de segurança adotadas eram proporcionais aos riscos atribuídos ao tratamento de dados biométricos no ambiente escolar, e concentrava-se, principalmente, em riscos operacionais de vazamento ou acesso indevido, sem dar a mesma atenção aos riscos que a operação representava para os direitos dos próprios alunos.
Uma escola que adota um novo aplicativo de comunicação, contrata uma plataforma de ensino híbrido ou passa a utilizar reconhecimento facial na portaria está alterando seus fluxos de tratamento de dados pessoais. Se o mapeamento de dados e as políticas da instituição não acompanham essa mudança, esses documentos deixam de cumprir sua função: a de retratar, com fidelidade, o que de fato acontece com os dados dos alunos dentro da instituição, e de permitir que, se questionada, a escola consiga reconstruir o raciocínio que a levou a considerar determinado tratamento adequado.
Responsabilidade compartilhada, mas não diluída
Um ponto que merece atenção das escolas é que a responsabilidade pela proteção de crianças e adolescentes no ambiente digital, segundo o desenho do ECA Digital, é compartilhada entre plataformas, famílias, poder público e instituições de ensino. Compartilhada não significa, porém, diluída: cada agente responde pela sua parcela de atuação, e o fato de um fornecedor de tecnologia declarar estar em conformidade com a legislação não exime a escola de verificar e documentar essa conformidade internamente, inclusive em relação aos operadores que processam dados em seu nome. O próprio caso do Paraná reforça essa leitura: contratar terceiros para operar a tecnologia não transfere a responsabilidade da escola de saber, e de conseguir demonstrar, como os dados de seus alunos estão sendo protegidos.
Privacidade e proteção da infância: uma pauta só
Não se trata apenas de conformidade com a LGPD e com o ECA Digital. Trata-se da confiança que pais e responsáveis depositam na instituição ao entregar a ela algo que não pode ser negligenciado: a segurança e a privacidade de seus filhos.
Para as escolas, proteção de dados e proteção da criança e do adolescente caminham juntas. E esse cuidado começa com uma estrutura de governança capaz de acompanhar, na mesma velocidade, a evolução tecnológica incorporada ao ambiente escolar, avaliando cada nova ferramenta antes de sua adoção, com base em necessidade, proporcionalidade e melhor interesse, e não apenas corrigindo eventuais falhas depois que os riscos já se materializaram.
Vale registrar que o ECA Digital entrou em vigor há pouco tempo, e parte de sua regulamentação ainda está em curso, inclusive por meio de decretos e atos normativos da ANPD. Instituições de ensino que estejam estruturando ou revisando sua governança de proteção de dados fazem bem em acompanhar essas discussões, já que alguns pontos da aplicação da lei ao ambiente escolar ainda podem ser objeto de orientações específicas dos órgãos competentes.
Autora: Giovanna Xavier Andrade do Vale.
Referências
BRASIL. Lei nº 8.069, de 13 de julho de 1990. Estatuto da Criança e do Adolescente.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD).
BRASIL. Lei nº 15.211, de 18 de setembro de 2025. Estatuto Digital da Criança e do Adolescente (ECA Digital).
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Superintendência de Fiscalização. Despacho Decisório nº 2/2026/SFI. Processo nº 00261.007049/2024-06.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Nota Técnica nº 4/2026/CPDP/CGF/SFI/ANPD. Processo nº 00261.007049/2024-06.
