Central LGPD

Antes de instalar

Princípios aplicados ao ProxyEdu

Roteiro de governança

1. Mapeie o fluxo: estação → Client → Server → painel/banco → internet, incluindo backups, suporte e atualização.
2. Faça o registro das operações: categoria, titular, finalidade, hipótese legal, acesso, compartilhamento, retenção e controles.
3. Escolha e documente a hipótese legal: avalie os arts. 7º, 11 e 14 da LGPD no contexto da instituição; não presuma que consentimento resolve uma relação assimétrica.
4. Prepare um RIPD quando apropriado: descreva riscos, salvaguardas e balanceamento, especialmente com monitoramento sistemático de menores.
5. Aprove a política de uso da rede: defina condutas, responsáveis, escalonamento, revisão humana e limites disciplinares.
6. Configure minimização: retenção curta, acesso por função, grupos necessários e regras proporcionais.
7. Informe antes de começar: entregue aviso em linguagem simples e adequada à idade; mantenha versão detalhada disponível.
8. Teste segurança e operação: credenciais, firewall, segmentação, HTTPS, certificados, backup, restauração, atualização e desinstalação.
9. Abra canal de direitos: valide identidade, registre prazos e encaminhe solicitações ao responsável.
10. Revise periodicamente: remova estações, contas e dados vencidos; reavalie a necessidade a cada mudança de finalidade ou versão.

Crianças e adolescentes: melhor interesse primeiro

O tratamento pode se apoiar nas hipóteses legais dos arts. 7º ou 11, mas o Enunciado CD/ANPD nº 1/2023 exige que o melhor interesse seja observado e prevaleça no caso concreto. A análise não se resume a obter uma assinatura.

• Explique o monitoramento em linguagem que o estudante consiga compreender.
• Informe responsáveis nos casos cabíveis e mantenha um canal para dúvidas.
• Limite o sistema à rede, equipamentos, horários e atividades autorizadas.
• Evite capturar dados de contas pessoais, saúde, religião, orientação sexual ou vida familiar por URLs e buscas.
• Impeça que uma ocorrência isolada gere decisão automática ou punição sem revisão.
• Não reutilize registros para publicidade, marketing, ranqueamento comportamental ou finalidade incompatível.

Fluxo recomendado para direitos dos titulares

1. Receba a solicitação por canal institucional divulgado.
2. Confirme a identidade de modo proporcional e proteja dados de terceiros.
3. Localize registros por estação, identificador, IP, período e grupo, considerando possíveis erros de associação.
4. Avalie acesso, correção, anonimização, bloqueio, eliminação, oposição, informação e revisão conforme o pedido e a base usada.
5. Responda de forma clara, registre a decisão e informe fundamento quando um pedido não puder ser integralmente atendido.
6. Comunique operadores envolvidos e confirme a execução em cópias e backups conforme a política aplicável.

A instituição deve definir os prazos internos de triagem com margem suficiente para atender os prazos legais e regulamentares aplicáveis.

Resposta a incidentes

A comunicação deve usar linguagem simples, descrever natureza e categorias afetadas, riscos, medidas de proteção e mitigação, data de conhecimento e canal de contato. Registros de incidentes devem ser conservados pelo período regulamentar.

Pacote mínimo de documentos

• inventário e registro das operações de tratamento;
• aviso de privacidade para estudantes, responsáveis e profissionais;
• política de uso aceitável e monitoramento da rede;
• matriz de acesso e termo de responsabilidade dos administradores;
• política de retenção, backup e descarte;
• avaliação de melhor interesse e, quando cabível, RIPD;
• contrato ou aditivo com operadores e prestadores;
• procedimento para direitos dos titulares;
• plano de resposta e comunicação de incidentes;
• registro de treinamento, revisões e auditorias.

Os documentos devem refletir a prática. Copiar um modelo sem executar os controles aumenta o risco de uma transparência apenas formal.

Leis e fontes oficiais

Normas podem mudar e outras regras federais, estaduais, municipais, contratuais ou setoriais podem ser aplicáveis. Valide o cenário concreto antes da implantação.