Antes de tudo: por que ter isso escrito com antecedência
Como já mostrado em análise anterior deste portal sobre a Resolução CD/ANPD nº 15/2024, a lei brasileira não fixa um número exato de horas para comunicar um incidente — fixa "prazo razoável" por gravidade. Isso não reduz a urgência de agir rápido; move o foco de "cumprir um prazo numérico" para "conseguir demonstrar que a escola agiu com diligência assim que soube do problema". Um protocolo escrito com antecedência é o que permite demonstrar essa diligência depois — decidir processo durante a crise real é o pior momento possível para isso.
As seis etapas
A ordem importa: conter antes de comunicar, documentar em paralelo a tudo. Arte: Escolas Inteligentes.
1. Conter. Assim que houver suspeita razoável de incidente — não é preciso certeza absoluta —, a prioridade imediata é limitar o alcance: revogar acesso comprometido, isolar sistema afetado, e não apagar registro nenhum que possa ajudar a apurar o que aconteceu depois.
2. Registrar o que se sabe, no momento em que se sabe. Data e hora da descoberta, como foi descoberto, sistemas e dados aparentemente envolvidos. Esse registro inicial, ainda incompleto, é mais valioso do que uma reconstrução posterior da memória de quem descobriu o problema.
3. Avaliar gravidade. Usando o critério da Resolução 15/2024 — volume de titulares, natureza do dado, risco de dano relevante —, decidir se o incidente exige comunicação à ANPD e aos titulares afetados. Dado de aluno menor de idade deve pesar para o lado de maior gravidade nessa avaliação, como discutido no artigo complementar sobre a resolução.
4. Identificar a origem. Ferramenta própria da escola, fornecedor terceiro, ou uso não autorizado de IA por um funcionário — o "shadow IT pedagógico" já tratado em reportagem anterior deste portal é uma origem comum e frequentemente subestimada.
5. Comunicar, se a avaliação de gravidade indicar necessidade. À ANPD, quando aplicável, e aos titulares (responsáveis legais do aluno), com linguagem clara sobre o que aconteceu, quais dados foram envolvidos e o que a escola está fazendo — evitando tanto minimizar quanto alarmar sem necessidade.
6. Documentar a decisão e revisar o processo. Mesmo quando a conclusão for "não há necessidade de comunicar à ANPD", essa decisão deve ficar registrada com sua justificativa. Depois do incidente resolvido, revisar o que falhou — inclusive se a origem foi uma ferramenta de IA não autorizada, o que deveria acelerar a etapa de mapeamento e aprovação de ferramentas descrita em análise anterior.
Quem faz o quê
| Etapa | Responsável sugerido |
|---|---|
| 1. Conter | TI/responsável técnico |
| 2. Registrar | Quem descobriu + TI |
| 3. Avaliar gravidade | Direção + responsável por proteção de dado (se houver) |
| 4. Identificar origem | TI |
| 5. Comunicar | Direção |
| 6. Documentar e revisar | Direção + TI |
Escola sem estrutura formal de TI ou de encarregado de dado (DPO) pode concentrar essas funções em menos pessoas — o que não dispensa nenhuma das seis etapas, apenas concentra a responsabilidade.
Erros comuns que agravam o incidente
Apagar log ou sistema comprometido antes de registrar o que aconteceu, por reflexo de "limpar a bagunça", destrói evidência necessária para a etapa de avaliação. Esperar certeza total antes de agir na etapa de contenção custa tempo que amplia o alcance do incidente. Comunicar à família antes de ter uma avaliação mínima de gravidade pode gerar alarme desproporcional ou, no sentido oposto, sub-comunicar um risco real por excesso de cautela. E tratar a origem do incidente como irrelevante quando ela é uma ferramenta de IA não autorizada — sem revisar a causa raiz — tende a gerar recorrência.
Em resumo
- O protocolo tem seis etapas: conter, registrar, avaliar gravidade, identificar origem, comunicar (se necessário) e documentar/revisar.
- A prioridade imediata é conter o incidente, não decidir sobre comunicação à ANPD — isso vem depois, na etapa 3.
- Dado de aluno menor de idade deve pesar para maior gravidade na avaliação, sem que isso seja um número fixo de horas na lei.
- Mesmo a decisão de não comunicar a ANPD deve ficar documentada e justificada.
- Ferramenta de IA não autorizada ("shadow IT pedagógico") é origem comum de incidente e deve ser tratada na etapa de revisão pós-incidente.
Perguntas frequentes
Por onde a escola começa, ao suspeitar de um incidente de dado?
Pela contenção — limitar o alcance do problema — mesmo antes de ter certeza total sobre o que aconteceu.
É preciso ter certeza do incidente antes de agir?
Não. Suspeita razoável já justifica início da contenção; esperar certeza absoluta amplia o risco.
Toda escola precisa comunicar a ANPD ao sofrer um incidente?
Não. Apenas quando a avaliação de gravidade indicar risco ou dano relevante ao titular, segundo o critério da Resolução CD/ANPD nº 15/2024.
O que fazer se a origem do incidente for uma ferramenta de IA usada sem autorização por um funcionário?
Tratar como uma origem legítima de investigação (etapa 4) e, na etapa 6, revisar e acelerar o mapeamento de ferramentas usadas informalmente, para reduzir recorrência.
A decisão de não comunicar a ANPD precisa ser registrada?
Sim. Mesmo a decisão de não comunicar deve ficar documentada com sua justificativa, para eventual necessidade de demonstrar diligência depois.
Escola pequena, sem TI própria, consegue seguir esse protocolo?
Sim, concentrando funções em menos pessoas. Nenhuma das seis etapas deve ser pulada por falta de estrutura — a responsabilidade apenas se concentra em quem está disponível.
Esse guia substitui orientação jurídica?
Não. É um protocolo operacional de referência; casos concretos podem exigir avaliação jurídica específica.
Fontes e metodologia
Fonte consultada em 10 de setembro de 2026.
- ANPD — Resolução CD/ANPD nº 15, de 24 de abril de 2024. Texto lido diretamente. gov.br/anpd
Metodologia. O critério de avaliação de gravidade (etapa 3) é baseado na leitura direta do texto da Resolução 15/2024. As seis etapas do protocolo, a tabela de responsáveis e a lista de erros comuns são elaboração original da redação, estruturando prática de resposta a incidente de segurança da informação (área consolidada de gestão de TI) aplicada especificamente ao contexto escolar brasileiro — não são texto extraído de norma ou de guia de mercado específico do setor educacional, que não foi encontrado nesta apuração.
O que não foi possível apurar. Não foi encontrado guia de mercado específico para resposta a incidente em instituição de ensino brasileira — o protocolo apresentado é adaptação de prática geral de segurança da informação ao contexto normativo brasileiro (LGPD/ANPD) e ao caso de dado de menor de idade.
Nota editorial
Este conteúdo é um guia operacional informativo e não substitui orientação jurídica especializada para caso concreto. Nenhum dado identificável de aluno é tratado.
Redação Escolas Inteligentes · Publicado em 15 de setembro de 2026 · Atualizado em 15 de setembro de 2026
Leia também
