Plataformas educacionais na mira da ANPD após novos decretos

Contexto

O segmento de educação digital cresceu de forma acelerada na última década. Plataformas de ensino a distância, aplicativos de aprendizagem, sistemas de gestão escolar (LMS) e marketplaces de cursos livres operam hoje com bases de dados que combinam, simultaneamente, dados de crianças e adolescentes, dados financeiros de responsáveis, dados de desempenho acadêmico e dados comportamentais gerados por algoritmos de recomendação de conteúdo. Essa combinação é, do ponto de vista da proteção de dados, uma das mais sensíveis que existem.

Em maio de 2026, dois decretos presidenciais publicados no Diário Oficial da União atualizaram a regulamentação do Marco Civil da Internet e conferiram à Autoridade Nacional de Proteção de Dados competência expressa para avaliar a atuação sistêmica de plataformas digitais. O escopo não é pequeno: fiscalizar se as plataformas atuam de forma proativa para prevenir a circulação massiva de conteúdos criminosos, fraudes digitais, anúncios enganosos e disseminação de golpes, além de exigir canais de denúncia permanentes e de fácil acesso.

O caso analisado neste estudo não é de uma empresa específica. É, precisamente, o cenário que qualquer plataforma educacional de médio ou grande porte passa a enfrentar a partir da vigência desses decretos. O objetivo é fazer o leitor calcular a própria exposição antes que o regulador o faça.

A falha

A leitura apressada dos decretos pode induzir um erro estratégico: tratar a competência da ANPD como um problema de “moderação de conteúdo”, tema que pertenceria ao time de Trust and Safety, e não como um problema de governança de dados pessoais. Esse erro é caro.

A ANPD não vai analisar posts individuais. Vai analisar sistemas. E sistemas, no vocabulário regulatório da LGPD, são processos de tratamento de dados. Plataformas educacionais que não conseguirem demonstrar governança robusta sobre como tratam dados de usuários em idade escolar, como exibem anúncios segmentados, como operam algoritmos de recomendação e como respondem a denúncias de uso indevido estarão expostas em múltiplas frentes da LGPD simultaneamente.

Falha 1: ausência de base legal adequada para tratamento de dados de menores (art. 7º e art. 14 da LGPD)

O art. 14 da LGPD é categórico: o tratamento de dados pessoais de crianças e adolescentes deve ser realizado no melhor interesse do menor. Para crianças (até 12 anos incompletos), o consentimento deve ser coletado de pelo menos um dos pais ou responsável legal. Plataformas educacionais frequentemente operam com contas criadas pelo próprio aluno ou pela escola, sem um fluxo formal de consentimento parental verificável. Quando os decretos de maio de 2026 mencionar explicitamente o ECA Digital como marco normativo que a ANPD deve implementar, o regulador sinaliza que esse ponto deixou de ser uma zona cinzenta interpretativa e tornou-se uma prioridade de fiscalização.

A pergunta operacional é direta: sua plataforma consegue demonstrar, registro a registro, que coletou consentimento parental válido para cada usuário com menos de 12 anos? E para adolescentes entre 12 e 18 anos, consegue demonstrar que o tratamento está no melhor interesse deles e não apenas no interesse comercial da plataforma?

Falha 2: algoritmos de recomendação e publicidade sem avaliação de impacto (art. 5º, X; art. 10, §3º; art. 37 e art. 38 da LGPD)

O escopo de fiscalização dos decretos inclui expressamente anúncios enganosos e golpes disseminados por meio de plataformas. Para plataformas educacionais que monetizam com publicidade ou com recomendação de cursos pagos, isso implica uma questão de governança interna: o algoritmo de recomendação que direciona conteúdo pago para um adolescente passou por uma avaliação de impacto à proteção de dados (DPIA)? Está documentado no registro de operações de tratamento exigido pelo art. 37?

A ausência dessa documentação não é só uma lacuna processual. É evidência, para um auditor da ANPD, de que a plataforma não tem controle sobre os próprios processos de tratamento, o que sustenta a abertura de um processo administrativo por infração sistêmica, e não pontual.

Falha 3: canais de denúncia que não atendem ao novo padrão regulatório (art. 18 e art. 48 da LGPD)

Os decretos exigem que plataformas digitais disponibilizem canais de denúncia permanentes e de fácil acesso. A LGPD, pelo art. 18, já garantia ao titular o direito de peticionar contra o controlador perante a ANPD. O art. 48 exige comunicação de incidentes à autoridade e aos titulares afetados.

Na prática, a maioria das plataformas educacionais possui um formulário de “fale conosco” que não distingue uma denúncia de uso indevido de dados de um pedido de suporte técnico. Não há SLA definido, não há rastreabilidade do atendimento e não há escalada para o DPO. Quando a ANPD avaliar a atuação sistêmica da plataforma, a ausência de um canal estruturado de denúncia será interpretada como ausência de governança, não como uma questão de UX.

Falha 4: medidas de segurança insuficientes para o perfil de risco do dado tratado (art. 46 da LGPD)

O art. 46 exige que o controlador adote medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. Plataformas educacionais que armazenam histórico de desempenho acadêmico, laudos de necessidades especiais, gravações de aulas e comportamento de navegação de menores precisam de um nível de segurança que vai muito além de criptografia básica e senha. A nova competência da ANPD sobre atuação sistêmica inclui verificar se a plataforma tem capacidade de detectar e conter a circulação massiva de conteúdos criminosos, o que pressupõe monitoramento ativo e logs auditáveis, controles que custam, mas que custam menos que um processo administrativo.

A consequência

Quadro de impacto financeiro

A seguir, a distinção entre parâmetros legais fixos, derivados da LGPD e dos decretos, e premissas de cenário hipotético, rotuladas explicitamente para que o leitor projete nos próprios números.

Nota metodológica. Os decretos presidenciais nº 12.975/2026 e nº 12.976/2026, publicados em 21 de maio de 2026, não estabelecem multas próprias: ampliam o escopo de fiscalização da ANPD, que aplica sanções com base na LGPD (art. 52). Não há, nos fatos travados deste caso, um valor de multa já aplicado ou uma ação judicial com valor pedido. O quadro acima modela a exposição máxima derivada da combinação dos novos decretos com os parâmetros do art. 52 da LGPD, como exercício de projeção para o leitor, não como número da empresa analisada.

Impacto operacional e reputacional

O impacto que não aparece na tabela é muitas vezes o mais destrutivo. Plataformas educacionais competem por contratos com redes de ensino privadas, prefeituras e governos estaduais. Processos de credenciamento e licitação no setor público já incluem, com frequência crescente, cláusulas de conformidade com a LGPD como requisito de habilitação.

Uma notificação da ANPD, mesmo que não resulte em multa imediata, é um fato público que aparece em due diligence de qualquer parceiro institucional. Para uma plataforma que depende de contratos B2B com mantenedoras de colégios ou secretarias de educação, o custo reputacional de uma fiscalização em curso pode ser mais imediato que a multa em si.

Há ainda o componente de seguro: o mercado brasileiro de cyber insurance começa a segmentar empresas que tratam dados de menores como categoria de risco diferenciado. Uma plataforma sem governança estruturada pode ver o prêmio do seguro aumentar ou ver coberturas específicas excluídas, exatamente quando o risco regulatório aumenta.

O custo da inação

Compõe-se o custo total da inação somando as linhas que tendem a ser invisíveis até virarem crise:

Deixe claro o que é real e o que é projeção: todos os valores acima são premissas de cenário para o exercício do leitor. O único parâmetro fixo é o teto de R$ 50 milhões por infração e o percentual de 2% sobre faturamento, definidos no art. 52, I, da LGPD. A perda de contratos e o desconto de valuation são estimativas analíticas deste estudo, sem base em fato concreto do caso.

Espelhe na sua operação

Cinco perguntas para o próximo board review de governança de dados:

1. Qual percentual dos seus usuários ativos tem menos de 18 anos? Se você não souber de cabeça, o ANPD pode saber antes de você, ao examinar os logs da plataforma.

2. Você consegue apresentar, em menos de 48 horas, o registro de tratamento (art. 37) de todos os processos que envolvem dados de menores? Se a resposta for não, você não tem controle sobre o que sua plataforma faz com esses dados.

3. Seu algoritmo de recomendação de conteúdo pago passou por uma DPIA documentada? Se não, cada recomendação exibida a um menor é uma operação de tratamento sem avaliação de risco registrada.

4. Seu canal de denúncia distingue operacionalmente uma reclamação de proteção de dados de um ticket de suporte? Se não, você não tem canal de denúncia no sentido exigido pelos decretos.

5. Qual é a sua exposição máxima calculada? Use a fórmula: faturamento bruto no Brasil (último exercício, sem tributos) × 2% = multa máxima por infração. Multiplique pelo número de infrações autônomas identificáveis na sua operação.

Mini cálculo para o leitor:

“` Exposição máxima por infração = Faturamento bruto × 2% Exposição agregada = Exposição por infração × nº de infrações identificadas Custo de prevenção estimado = R$ 400.000 a R$ 700.000 (24 meses, programa estruturado) Razão exposição/prevenção = Exposição agregada ÷ Custo de prevenção “`

Se a razão for superior a 5, o programa de governança se paga em menos de um processo administrativo.

O aprendizado

Os decretos de maio de 2026 não criaram obrigações novas do ponto de vista da LGPD. Criaram um regulador com mais dentes e um escopo de fiscalização mais explícito sobre plataformas digitais. Para o setor educacional, isso significa que a ANPD passou a ter um mandato formal para examinar se a atuação sistêmica da plataforma protege seus usuários, sendo que a maioria desses usuários é menor de idade, ou seja, a categoria de maior proteção prevista na lei.

O programa de governança contínua oferecido pela LGPD2U para plataformas educacionais endereça precisamente as quatro falhas descritas neste estudo:

Mapeamento e registro de tratamento (art. 37): inventário de todos os fluxos de dados de menores, com base legal documentada para cada operação.

DPIA para algoritmos de recomendação e publicidade: avaliação estruturada de impacto, com documentação auditável, antes que o regulador peça.

Canal de denúncia estruturado: fluxo operacional com SLA, rastreabilidade e escalada formal para o DPO, atendendo ao padrão dos decretos e ao art. 18 da LGPD.

Monitoramento contínuo e resposta a incidentes: capacidade de detectar e reportar incidentes dentro dos prazos do art. 48, com simulações periódicas de resposta.

A diferença entre uma plataforma que atravessa uma fiscalização da ANPD com documentação em ordem e uma que improvisa a resposta é, em termos financeiros, a diferença entre o custo de prevenção e o custo total da inação calculado acima. Em termos estratégicos, é a diferença entre uma empresa que demonstra maturidade regulatória a investidores e parceiros e uma que aparece em due diligence como risco não precificado.

Governança de dados não é um projeto. É uma capacidade operacional contínua. Os decretos de maio de 2026 apenas tornaram o custo de não tê-la mais visível e mais imediato.

Fontes

• LGPD, art. 7º (bases legais para tratamento de dados pessoais): Lei nº 13.709/2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
• LGPD, art. 14 (tratamento de dados de crianças e adolescentes): idem.
• LGPD, art. 37 (registro de operações de tratamento): idem.
• LGPD, art. 46 (segurança e sigilo de dados): idem.
• LGPD, art. 48 (comunicação de incidentes): idem.
• LGPD, art. 52 (sanções administrativas, teto de R$ 50 milhões por infração e percentual de 2% sobre faturamento): idem.
• Decreto nº 12.975/2026 e Decreto nº 12.976/2026, assinados em 20/05/2026 e publicados no Diário Oficial da União em 21/05/2026, atualizando a regulamentação do Marco Civil da Internet e conferindo à ANPD competência para avaliação sistêmica de plataformas digitais. Consulta ao DOU disponível em: https://www.in.gov.br
• Marco Civil da Internet: Lei nº 12.965/2014. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm
• Regulamentação da ANPD como agência reguladora: Lei nº 14.460/2022. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2022/lei/l14460.htm
• Dosimetria de sanções da ANPD (metodologia de cálculo de multas): Resolução CD/ANPD nº 4/2023. Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/resolucao-cd-anpd-n-4-de-24-de-fevereiro-de-2023.pdf