Sempre que a escola trata dado de aluno menor de idade, na matrícula, na aula experimental ou na rematrícula
O tratamento é feito no melhor interesse da criança e do adolescente — e não no interesse da campanha
O art. 14, caput, diz que "o tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado em seu melhor interesse, nos termos deste artigo e da legislação pertinente". O critério é o interesse do titular, não o da instituição.
Um campo que só serve à segmentação da campanha não se justifica pelo melhor interesse do aluno. O formulário da escola pergunta o que a atividade pedagógica precisa para matricular e acompanhar o aluno; o dado que serve apenas ao marketing é coletado, se for o caso, com base e finalidade próprias, e não como sobra do cadastro.
Quando a escola coleta dado da criança no formulário de matrícula, na aula experimental ou no cadastro de rematrícula
O consentimento do dado da criança é específico e em destaque, dado por pelo menos um dos pais ou responsável
O art. 14, § 1º, exige "o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal". Não é o checkbox único de aceite de termos de uso e política de privacidade que a maior parte dos formulários de captação usa.
O formulário da escola pede, para o dado da criança, um consentimento que nomeia o tratamento e aparece com destaque, dado pelo responsável. O aceite genérico de termos não cumpre essa exigência mais estrita, e o § 5º ainda pede que o controlador faça "todos os esforços razoáveis para verificar" que quem consentiu foi o responsável.
Quando a escola publica a política de privacidade e o aviso de tratamento de dados do site e do formulário
A escola mantém pública a informação sobre os dados coletados, o uso e os direitos do titular
O art. 14, § 2º, manda os controladores "manter pública a informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos a que se refere o art. 18 desta Lei". E o § 6º pede que essa informação seja dada "de maneira simples, clara e acessível", consideradas as características do usuário.
O aviso da escola não é um texto jurídico escondido no rodapé: ele diz, em linguagem acessível, o que é coletado da criança, para que é usado e como o responsável exerce os direitos. A régua de rematrícula que envia comunicação ao responsável aponta para esse aviso, em vez de assumir que o consentimento da matrícula cobre todo uso posterior.
Quando o formulário de aula experimental, gincana ou atividade pede mais dado do que a atividade precisa para acontecer
A participação na aula experimental não pode ser condicionada a dado além do estritamente necessário
O art. 14, § 4º, diz que "os controladores não deverão condicionar a participação dos titulares (...) em jogos, aplicações de internet ou outras atividades ao fornecimento de informações pessoais além das estritamente necessárias à atividade". O § 3º só admite coleta sem consentimento para contatar o responsável, "utilizados uma única vez e sem armazenamento", ou para proteção do menor.
Um formulário de aula experimental que exige CPF, renda, endereço completo ou dado de saúde para liberar a vaga condiciona a participação a dado que a atividade não precisa. O formulário da escola coleta o mínimo para agendar a aula e contatar o responsável; o resto entra depois, com base e finalidade próprias, se e quando fizer sentido.
Quando a escola recebe um contato de terceiro ou um formulário incompleto e precisa falar com o responsável antes de qualquer cadastro
Coletar sem consentimento só para contatar o responsável é exceção estreita — uma vez, sem armazenamento, sem repasse
O art. 14, § 3º, admite coletar dado da criança sem o consentimento do § 1º "quando a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso poderão ser repassados a terceiro sem o consentimento".
Essa porta serve para o primeiro contato com o responsável — não para montar base. O dado usado só para chamar o responsável não é armazenado nem entra no CRM como lead; se a escola quer manter o contato para nutrição, o consentimento do § 1º volta a ser exigido. O repasse a terceiro (ferramenta de mídia, parceiro) só acontece com esse consentimento.