Em outubro de 2025, um invasor obteve mais de 3 milhões de registros e 100 mil credenciais ativas de alunos e funcionários de 11 instituições de ensino superior brasileiras — nomes, CPF, datas de nascimento, e-mails corporativos e telefones (DPONET, 2025). Diante disso, o episódio expõe um ponto que muitas escolas e faculdades ainda tratam como secundário: a LGPD em avaliações online não é um detalhe jurídico distante, é um requisito operacional todas as vezes que um aluno faz login, responde uma prova ou tem seu comportamento monitorado por uma ferramenta de proctoring. Neste guia, portanto, você vai entender quais dados de avaliação são protegidos por lei, quais obrigações recaem sobre a sua instituição e um checklist prático para reduzir o risco de sanção.
O Que é a LGPD e Por Que Ela Se Aplica a Avaliações Online
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) regula como qualquer organização brasileira coleta, armazena e usa dados pessoais — por isso, uma plataforma de avaliação online lida com dados pessoais o tempo todo. Sempre que um sistema registra nome, CPF, e-mail, respostas de prova, tempo de resposta ou imagem de webcam de um aluno, a instituição de ensino passa a ser, na prática, controladora desses dados perante a lei (BRASIL, 2018). Ou seja, isso vale tanto para escolas de educação básica quanto para instituições de ensino superior aplicando vestibulares, provas de certificação ou processos seletivos digitais.
Quais Dados de Provas Online Contam Como Dados Pessoais
Nem todo dado coletado em uma avaliação tem o mesmo peso jurídico. Por isso, três categorias merecem atenção redobrada:
- Dados de identificação: nome completo, CPF, RG, e-mail, telefone — usados para autenticar quem está fazendo a prova.
- Dados de desempenho: respostas, notas, tempo de resposta e histórico de tentativas — considerados dados pessoais mesmo sem valor identificador isolado, porque se conectam diretamente ao aluno.
- Dados sensíveis: imagem facial, gravação de tela e áudio captados por ferramentas de monitoria de prova online (o chamado proctoring) entram na categoria de dados biométricos, que a LGPD trata com exigências mais rígidas de base legal e segurança (BRASIL, 2018).
Consequentemente, quanto mais sensível o dado, maior a exigência de cuidado — e é justamente aí que ferramentas de monitoria de prova mal configuradas costumam expor a instituição a risco.
Quais São as Obrigações Legais da Escola ou IES
A LGPD não proíbe a coleta desses dados — no entanto, ela exige que a coleta tenha justificativa e controle. As obrigações centrais para quem aplica avaliações online são:
| Obrigação | O que significa na prática |
|---|---|
| Base legal definida | Justificar juridicamente por que aquele dado é coletado (ex.: execução de contrato educacional, cumprimento de obrigação legal) |
| Transparência | Informar ao aluno, em linguagem clara, quais dados são coletados e com qual finalidade |
| Minimização | Coletar apenas o dado necessário para aplicar e corrigir a prova — não armazenar além do necessário |
| Segurança técnica | Criptografia, controle de acesso e políticas de senha para proteger os dados armazenados |
| Direitos do titular | Permitir que o aluno solicite acesso, correção ou exclusão dos seus dados |
| Notificação de incidente | Comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares em caso de vazamento |
Além disso, instituições de ensino superior lidam com volumes de dados ainda maiores em vestibulares e processos seletivos em larga escala, o que aumenta a superfície de risco e a atenção que a ANPD tende a dar ao setor.
Os Riscos Reais de Não Cumprir a LGPD em Avaliações Online
O descumprimento não é apenas uma questão reputacional. Na verdade, a LGPD prevê multa de até 2% do faturamento da organização, limitada a R$ 50 milhões por infração, além de sanções administrativas (BRASIL, 2018). O caso das 11 instituições de ensino superior citado na abertura deste post mostra, por exemplo, como falhas simples — senhas fracas, ausência de controle de acesso e falta de governança de dados — abrem brecha para vazamentos em grande escala (DPONET, 2025). Para o coordenador pedagógico ou diretor de IES, isso significa que a conformidade com a LGPD deixou de ser tarefa exclusiva do jurídico e passou a fazer parte da escolha de qualquer plataforma de avaliação.
Checklist de Conformidade LGPD em Avaliações Online
Use os passos abaixo como ponto de partida para auditar a sua operação de provas online:
- Mapeie os dados coletados em cada etapa da avaliação — cadastro, aplicação, correção e armazenamento de resultados.
- Defina a base legal de cada tipo de dado coletado, documentando a justificativa.
- Revise o consentimento e os termos de uso exibidos ao aluno antes da prova, garantindo linguagem clara e acessível.
- Audite fornecedores e plataformas de aplicação de provas quanto a criptografia, controle de acesso e política de retenção de dados.
- Estabeleça um fluxo de resposta a incidentes, incluindo prazos de notificação à ANPD e aos titulares.
- Treine a equipe pedagógica e administrativa sobre os direitos do titular e como atendê-los, com apoio de políticas claras de integridade acadêmica.
Ainda assim, colocar esse checklist em prática costuma esbarrar em um problema estrutural: sistemas de avaliação montados de forma improvisada, sem criptografia nativa nem controle de acesso centralizado. Por isso, é exatamente esse tipo de lacuna que a Exametric foi desenhada para fechar, com infraestrutura própria de segurança e suporte dedicado para instituições que precisam aplicar provas e certificações em conformidade com a LGPD, do vestibular ao processo seletivo interno.
Conclusão
Em resumo, a LGPD em avaliações online não é uma camada extra de burocracia — é a estrutura que evita que um sistema de provas vire, sem que ninguém perceba, um repositório de dados sensíveis mal protegidos. Como resultado, instituições que mapeiam os dados que coletam, definem a base legal correta e escolhem fornecedores tecnicamente preparados reduzem de forma real o risco de sanção e de dano reputacional. O próximo passo prático é simples: rode o checklist deste guia na sua operação atual antes que um incidente force essa revisão.
Perguntas Frequentes sobre LGPD em Avaliações Online
A LGPD (Lei nº 13.709/2018) é a lei brasileira que regula a coleta, o armazenamento e o uso de dados pessoais. Assim, ela se aplica a avaliações online porque toda prova digital coleta dados do aluno, como nome, CPF, respostas e, em alguns casos, imagem facial — o que torna a instituição de ensino responsável legal por esses dados.
Contam como dados pessoais o nome, CPF, e-mail e telefone do aluno, além das respostas e do tempo de resposta na prova. Além disso, imagem facial, gravação de tela e áudio captados por ferramentas de monitoria de prova online são considerados dados sensíveis, com exigências de proteção ainda mais rígidas.
Nem sempre o consentimento é a base legal aplicável — muitas vezes a coleta se justifica pela execução do contrato educacional ou pelo cumprimento de obrigação legal. Mesmo assim, a instituição deve informar de forma clara quais dados coleta e com qual finalidade, independentemente da base legal escolhida.
A LGPD prevê multa de até 2% do faturamento da organização, limitada a R$ 50 milhões por infração. Além disso, há sanções administrativas e possível dano reputacional em caso de vazamento de dados de alunos.
Não necessariamente, mas exige cuidados extras. Como imagem facial é dado biométrico sensível, a plataforma de proctoring precisa ter base legal clara, criptografia adequada e política de retenção definida para não colocar a instituição em risco de não conformidade.
Fontes de Referência
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 18 ago. 2026.
MERCADANTE, Renata. Vazamento em universidades: o alerta à LGPD. Blog DPOnet, 5 nov. 2025. Disponível em: https://dponet.com.br/blog/vazamento-universidades-seguranca-lgpd-setor-educacional/. Acesso em: 18 ago. 2026.
AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Sobre a ANPD. Brasília: ANPD, 2026. Disponível em: https://www.gov.br/anpd/pt-br. Acesso em: 18 ago. 2026.
Claudio é entusiasta e gestor de novos produtos na área de Tecnologia e Educação.
