EdTech, e-learning e plataformas escolares

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 8
• Regulation (EU) 2024/1689 — AI Act, Annex III education
• Directive 2002/58/EC — ePrivacy
• Regulation (EU) 2022/2065 — DSA where content is hosted

Quem tem de designar

Provedores estabelecidos fora da União que oferecem plataformas de aprendizagem, ferramentas de avaliação ou software de sala de aula para escolas, universidades ou alunos na UE. As escolas geralmente são controladoras e o fornecedor um processador, mas fornecedores que usam dados para melhoria de produtos ou publicidade tornam-se controladores para esses fins e precisam de seu próprio representante.

Limiares e isenções

Sem limite de RGPD. Sob a Lei de IA, sistemas usados para determinar o acesso à educação, avaliar resultados de aprendizagem, atribuir alunos ou monitorar comportamentos proibidos durante testes são de alto risco sob o Anexo III, com obrigações aplicáveis a partir de 2 de agosto de 2026.

O que deve constar do rótulo

A identidade do representante no aviso de privacidade e na documentação contratual fornecida às escolas. Onde a IA é usada para avaliação, as informações de transparência exigidas pela Lei de IA, e a divulgação aos alunos de que estão interagindo com um sistema de IA.

Campos nos marketplaces

A contratação pública na educação é onde isso é aplicado na prática: ministérios e autoridades escolares em vários estados membros bloquearam ou restringiram plataformas devido a transferências, telemetria e publicidade, e questionários de contratação agora perguntam pelo representante, a análise de transferência e a classificação de IA.

Documentação a conservar

Registros do Artigo 30, termos de processamento do Artigo 28 com escolas, a designação do Artigo 27, uma avaliação de impacto sobre a proteção de dados cobrindo dados de crianças, documentação do mecanismo de transferência, e uma clara separação entre dados processados sob as instruções da escola e dados usados para os próprios fins do fornecedor. Para IA de alto risco: documentação técnica, gestão de riscos, governança de dados e a avaliação de conformidade.

Normas e ensaios

Não aplicável à plataforma, mas sistemas de monitoramento levantam questões de precisão e discriminação que devem ser evidenciadas, e a Lei de IA exige que níveis de precisão, robustez e cibersegurança sejam declarados e testados.

Requisitos linguísticos

Informações de privacidade em uma forma que as crianças possam entender, na língua dos alunos, que o Artigo 12 exige explicitamente para informações dirigidas a uma criança.

A partir de quando

O representante antes do início do processamento. Obrigações de alto risco da Lei de IA a partir de 2 de agosto de 2026.

Prazo de conservação

Dados dos alunos apenas pelo período acordado com a escola, com exclusão na rescisão. A retenção de dados após o término de um contrato para melhoria de produtos é uma constatação recorrente.

Em caso de incumprimento

Até €20 milhões ou 4% do faturamento, e este é um setor onde as autoridades agiram de forma decisiva porque os titulares dos dados são crianças e o consentimento não é dado livremente em uma sala de aula. Penalidades da Lei de IA se aplicam além para sistemas de alto risco, até €15 milhões ou 3%.

Quem fiscaliza

Autoridades de proteção de dados, ministérios da educação como tomadores de decisão em compras, e autoridades de vigilância de mercado da Lei de IA a partir de 2026.

Onde está a fronteira

A linha entre processador e controlador é onde os casos são perdidos: telemetria, análises de produtos e qualquer publicidade tornam o fornecedor um controlador para esses fins, independentemente do acordo de processamento. Monitoramento que observa o rosto, o ambiente ou as teclas de um aluno é IA de alto risco e, em alguns designs, um sistema de reconhecimento de emoções, que é proibido na educação sob o Artigo 5.

Perguntas frequentes

A escola é a controladora — ainda precisamos de um representante?

Se você processa dados pessoais de alunos na União como processador sob o Artigo 3(2), você precisa de seu próprio representante. E para qualquer finalidade que você determinar, você é um controlador.

O monitoramento por IA é permitido?

O monitoramento durante testes é de alto risco sob o Anexo III. Sistemas que inferem emoções em ambientes educacionais são proibidos de forma absoluta sob o Artigo 5, portanto, o design determina se é regulado ou banido.