Em resumo
Dois documentos, o mesmo dia, a mesma matéria. A diferença está nos rastreadores: proibidos em princípio na escola, desaconselhados na universidade. O estudante é maior de idade mas está em situação de subordinação, pelo que continua a ser pessoa vulnerável para efeitos de AIPD e o consentimento continua a não funcionar como fundamento.
A única diferença verdadeira
No texto escolar a CNIL escreve que o responsável tem de se assegurar de que a ferramenta não recorre a rastreadores publicitários, «em princípio proibidos» face à neutralidade do serviço público de educação, que inclui a neutralidade comercial. Se existirem, têm de ser desativados.
No texto do ensino superior a mesma autoridade, no mesmo dia, «recomenda privilegiar ferramentas que não impliquem, da parte do fornecedor, o uso de rastreadores ou dispositivos de seguimento para fins de exploração publicitária, de definição de perfis ou de reutilização comercial dos dados, ou para as quais tais funcionalidades possam ser desativadas pelo estabelecimento». Recomenda: não proíbe. E o princípio da neutralidade do serviço público de educação não é invocado.
Não é um lapso. A proibição escolar assenta num princípio relativo ao serviço público do ensino escolar; o ensino superior tem um quadro próprio. Para um EPD a consequência prática é concreta: a conclusão sobre rastreadores escrita na AIPD de um liceu não se copia para a de uma universidade, porque a premissa jurídica não é a mesma.
O estudante é maior de idade, e continua vulnerável
Quanto à vulnerabilidade a CNIL não recua. No texto universitário fundamenta a recomendação de proteger os dados contra o risco de divulgação a autoridades de países terceiros precisamente com «a vulnerabilidade dos titulares, em especial os estudantes, colocados numa situação de subordinação».
A subordinação produz dois efeitos. Na análise do fundamento afasta o consentimento, que tem de ser livre e não influenciado pela posição de autoridade do responsável: o estudante tem de poder recusar sem consequências negativas, e não pode. Na análise da AIPD aciona o critério das pessoas vulneráveis, tal como os menores.
O que não muda
- Fundamento: exercício de funções de interesse público, para estabelecimentos públicos e privados.
- Informação concisa, transparente, compreensível e facilmente acessível (artigos 12.º, 13.º e 14.º), disponível antes do início do tratamento e repetida no início de cada ano.
- AIPD obrigatória quando se verificam dois critérios do CEPD, e provável na maioria dos casos.
- Garantias do subcontratante nos termos do artigo 28.º e contrato com as menções obrigatórias, incluindo as de fim de contrato sobre reversibilidade e eliminação.
- Transferências ao abrigo do capítulo V, com o SecNumCloud citado como exemplo de sujeição exclusiva ao direito europeu.
O que falta na universidade
Dois elementos presentes no texto escolar não constam do universitário: a referência ao artigo L.131-2 do código da educação, relativo ao serviço público do digital educativo escolar, e o decreto n.º 2025-1165, de 5 de dezembro de 2025, que condiciona as escolhas técnicas dos collèges e lycées públicos. As universidades ficam livres desse lado e mais expostas do outro: a escolha tem de ser fundamentada na AIPD, não delegada no fornecedor.
O erro a não cometer
Tratar os dois documentos como um só. São gémeos em oitenta por cento e divergem exatamente onde costuma decidir-se a compra: se uma ferramenta com rastreadores publicitários é admissível. Na escola a resposta é não. Na universidade é «melhor não, e se existirem têm de poder ser desativados».
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
