Sanção imposta a uma instituição de ensino por utilizar o Google Workspace for Education
1. Questões fundamentais relacionadas com o incidente
O procedimento decorre de uma queixa apresentada à AEPD em abril de 2024 contra um estabelecimento de ensino privado relativa à utilização do Google Workspace for Education (GWE) na realização de actividades educativas.
Os alunos acediam ao GWE através de contas criadas pela própria escola e utilizando dispositivos Chromebook fornecidos pela escola. Através destas contas, os alunos podiam utilizar várias aplicações digitais para actividades educativas.
Durante o inquérito, a escola declarou que a ferramenta estava a ser utilizada desde o ano letivo de 2021-2022 e era utilizada por 531 alunos, dos quais 395 tinham menos de 14 anos.
A escola alegou que a utilização da plataforma estava limitada a fins educativos e que tinham sido adotadas algumas medidas técnicas para restringir o acesso a determinados serviços e monitorizar a utilização dos dispositivos pelos alunos.
A AEPD analisou vários aspectos relacionados com o tratamento de dados pessoais decorrentes da utilização das diferentes aplicações desta ferramenta e da criação de contas GWE e de dispositivos Chromebook, no que respeita ao cumprimento do dever de informação, à base legal para o tratamento, às medidas de proteção adoptadas pela escola, à realização de avaliações de impacto e às eventuais transferências internacionais de dados decorrentes da utilização dos serviços da Google.
2. Incumprimentos do RGPD
Com base nos factos descritos e nas investigações realizadas, a AEPD concluiu que a escola não cumpriu várias obrigações estabelecidas no Regulamento Geral de Proteção de Dados (RGPD).
1. Legitimidade do tratamento (artigo 6.º do RGPD)
A escola argumentou que o tratamento se justificava pelo cumprimento de obrigações legais no domínio da educação ou pela execução de tarefas de interesse público, de acordo com a vigésima terceira disposição adicional da Lei Orgânica da Educação (LOE), que permite o tratamento de dados pessoais necessários ao exercício de funções educativas.
No entanto, a AEPD reitera que esta autorização legal se limita exclusivamente ao tratamento necessário para a realização de actividades educativas e para a gestão do processo de ensino e aprendizagem. Consequentemente, qualquer tratamento de dados pessoais efectuado para fins distintos ou que excedam esta função educativa deve ter um fundamento jurídico autónomo que justifique o tratamento.
No caso em análise, a AEPD concluiu que a escola não tinha demonstrado suficientemente que todas as operações de tratamento decorrentes da utilização da plataforma tecnológica estavam efetivamente abrangidas por esta autorização regulamentar, uma vez que as investigações revelaram que mesmo os serviços básicos do GWE estavam a ser utilizados para fins que ultrapassavam os educativos.
2. Princípio da licitude, lealdade e transparência (artigo 5.1.a do RGPD)
No que diz respeito à informação prestada aos titulares dos dados sobre o tratamento dos seus dados pessoais, a AEPD concluiu que a escola não prestou adequadamente aos pais dos alunos as informações exigidas pela regulamentação relativa à utilização da plataforma tecnológica ou às caraterísticas do tratamento de dados pessoais associado, uma vez que não informou sobre todas as categorias de dados pessoais sujeitos a tratamento, nem existia qualquer registo de informação sobre transferências internacionais.
Por outro lado, a escola não conseguiu demonstrar que a informação foi comunicada aos titulares dos dados, uma vez que a plataforma não conservou qualquer registo que demonstre que tal comunicação ocorreu.
A AEPD considera que a falta de informação clara, completa e acessível sobre estas operações de tratamento constitui uma violação do princípio da equidade e transparência, que exige que os titulares dos dados sejam efetivamente informados sobre a forma como os seus dados pessoais são tratados, e evidencia, uma vez mais, a necessidade de cumprimento do princípio da responsabilidade pró-ativa, segundo o qual os responsáveis pelo tratamento de dados devem não só cumprir as obrigações estabelecidas na regulamentação, mas também ser capazes de demonstrar esse cumprimento.
3. Avaliação do impacto sobre a proteção de dados (artigo 35.º do RGPD)
O estabelecimento de ensino apresentou uma avaliação de impacto sobre a proteção de dados (AIPD) realizada antes da implementação da ferramenta. No entanto, a AEPD considerou que esta avaliação era insuficiente.
A este respeito, a AEPD salienta que não foram tidos em conta todos os elementos essenciais do tratamento (mais uma vez, no que diz respeito às categorias de dados tratados e às transferências internacionais), o que significa que não foram analisados todos os riscos existentes; não foi incluída uma análise da proporcionalidade do tratamento; e não há provas de que os procedimentos e medidas que a instituição tinha identificado como recomendações de melhoria tenham sido implementados.
3. Conclusões
Esta decisão evidencia a atenção crescente que as autoridades de proteção de dados estão a prestar à utilização de ferramentas digitais e plataformas tecnológicas no sector da educação, especialmente quando se trata do tratamento de dados pessoais de menores.
A AEPD recorda que, embora os estabelecimentos de ensino disponham de uma autorização legal específica para o tratamento de dados pessoais no âmbito do desenvolvimento das suas actividades educativas, essa autorização não abrange qualquer tratamento de dados pessoais efectuado dentro do ambiente escolar.
Assim, sempre que a utilização de ferramentas tecnológicas implique um tratamento que ultrapasse as finalidades estritamente educativas ou introduza novos riscos para os direitos e liberdades das pessoas em causa, os estabelecimentos de ensino devem identificar corretamente a base jurídica aplicável, prestar informações de forma transparente e acessível e, por último, avaliar os riscos associados - através de uma avaliação de impacto adequada - com o objetivo de adotar as medidas técnicas e organizativas necessárias para garantir o cumprimento da regulamentação em matéria de proteção de dados.
Nota informativa do Departamento de Proteção de Dados da ECIJA Madrid.
Profissionais relacionados
ATUALIDADE #ECIJA
A iniciativa alarga a cobertura da ECIJA em Navarra e integra uma equipa de especialistas em fiscalidade, direito do trabalho, direito comercial, consultoria financeira e assuntos internacionais.
Dez anos após a entrada em vigor do RGPD, os mecanismos de certificação previstos nos artigos 42.º e 43.º estão a revelar-se ferramentas avançadas para demonstrar a conformidade regulamentar de forma verificável e estruturada.
A ECIJA Brasil foi reconhecida pela Leaders League como uma das principais sociedades na área da proteção de dados em 2026, consolidando a sua posição no mercado brasileiro nos domínios da inovação, da tecnologia e das telecomunicações.
O presidente da Agência Espanhola de Proteção de Dados salienta que a inteligência artificial não deve ser vista como uma barreira ao emprego, mas que devemos aceitar que o trabalho evoluirá para um modelo híbrido que combinará pessoas e sistemas inteligentes.
A implementação do Sistema de Informação Interno levantou questões práticas em muitas organizações no que diz respeito à atribuição de responsabilidades internas e, em particular, à forma como estas se enquadram no papel do Responsável pela Proteção de Dados.
Este acórdão é particularmente significativo em duas perspectivas - proteção de dados e direito do trabalho - uma vez que define os limites do controlo dos empregadores sobre os dispositivos pessoais e reforça os requisitos de conformidade para as empresas com políticas BYOD (Bring Your Own Device).
A AEPD multou uma empresa por obrigar os trabalhadores a instalar aplicações nos seus telemóveis pessoais, violando assim os princípios da minimização dos dados, da base legal e da informação ao trabalhador.
A AEPD aplicou uma coima de 6000 euros à Fundação Trilema por ter publicado nas redes sociais imagens de um menor e da sua mãe sem consentimento válido e por não ter respeitado o princípio dos limites de conservação dos dados.
A Agência Espanhola de Proteção de Dados (AEPD) multou um estabelecimento de ensino por várias violações da regulamentação em matéria de proteção de dados.
