Uma auditoria técnica encomendada pelo conselho de educação do estado norte-americano do Utah concluiu que mais de metade das aplicações de tecnologia educativa usadas nas escolas públicas recolhia dados de alunos que os próprios contratos de privacidade não permitiam, e que uma parte significativa enviava informação para entidades de publicidade. O trabalho, feito com análise real do tráfego de rede e não apenas com leitura de políticas de privacidade, levou o legislador estadual a aprovar uma lei nova. Para escolas, agrupamentos e empresas europeias, o caso é um aviso: aquilo que um fornecedor declara no contrato pode não corresponder ao que a aplicação faz quando o aluno inicia sessão.
Resposta rápida: Uma investigação conjunta do Utah State Board of Education, da Brigham Young University e da organização Internet Safety Labs analisou 100 aplicações educativas e concluiu que 52% das que tinham acordos de privacidade recolhiam pelo menos um dado não previsto no contrato e 36% partilhavam dados de alunos com entidades publicitárias. O relatório defende auditorias regulares ao tráfego de rede em vez de confiança nas declarações dos fornecedores. Em Portugal, escolas e entidades que contratam plataformas educativas devem exigir prova técnica de conformidade e revisitar os contratos de subcontratação ao abrigo do RGPD.
Uma auditoria que olhou para o tráfego, não para as promessas
O documento intitula-se Utah EdTech App Data Collection and Sharing: 2023-25 Investigation e resulta de uma parceria entre o Utah State Board of Education e investigadores da Brigham Young University e da Internet Safety Labs, com data de 20 de agosto de 2025. O objetivo declarado foi medir o estado da privacidade dos dados de alunos associada às aplicações usadas no estado, avaliando a lista de aplicações em uso, o cumprimento dos acordos de privacidade por parte das empresas que os assinaram e a recolha e partilha efetiva de dados por todas as aplicações, incluindo a investigação do tráfego de rede real com dados de alunos, pais e professores.
A metodologia é o ponto mais interessante para quem trabalha em cibersegurança. Os professores de sistemas de informação Mark Keith e Justin Giboney contrataram três investigadores estudantes e associaram-se à Internet Safety Labs para analisar o tráfego de rede gerado pelas 100 aplicações mais usadas nas escolas do estado, simulando 15 a 20 minutos de utilização em cada aplicação através de contas de teste de alunos. A seleção das 100 aplicações teve em conta a frequência de utilização, os requisitos de autenticação e a situação contratual.
Os números que interessam
| Indicador | Resultado |
|---|---|
| Aplicações testadas | 100 |
| Aplicações com acordo de privacidade que recolhiam pelo menos um dado não permitido no contrato | 52% |
| Aplicações testadas que partilhavam dados de alunos com entidades de publicidade | 36% |
| Duração da sessão simulada por aplicação | 15 a 20 minutos |
Segundo os dados divulgados, 52% das aplicações com acordos de privacidade de dados recolhiam pelo menos um elemento de dados não permitido contratualmente e 36% das aplicações testadas partilhavam dados de alunos com entidades publicitárias. No Utah, a lei estadual de proteção de dados de alunos obriga as entidades educativas locais a manter dicionários de metadados e a celebrar acordos formais de privacidade com os fornecedores tecnológicos terceiros, o que torna estes desvios um problema contratual, e não apenas ético.
A classificação dos fornecedores foi feita por níveis de conformidade. As empresas em violação tiveram oportunidade de trabalhar com a equipa de análise digital do conselho de educação num processo de reconciliação e, depois de corrigirem os problemas, os seus nomes foram removidos da lista de entidades identificadas como não conformes. Keith resumiu o retrato em três grupos: empresas totalmente seguras, empresas que não sabiam que estavam a violar a lei e empresas que sabiam o que estavam a fazer e ignoraram os pedidos dos investigadores.
A versão gratuita é o ponto cego
As explicações recolhidas junto dos fornecedores revelam um padrão que se repete em muitos contratos de software educativo na Europa. Vários fornecedores mantinham versões separadas para consumidores e para o contexto educativo e, em vários casos, o código de rastreio publicitário estava presente nos sítios comerciais gerais mas ausente nas interfaces com sessão de aluno iniciada; além disso, sete fornecedores esclareceram que os seus acordos de privacidade se aplicavam exclusivamente aos serviços pagos premium e não às camadas gratuitas das aplicações.
Traduzido para o dia a dia de um agrupamento escolar: o contrato pode ser irrepreensível e, ao mesmo tempo, o professor pode estar a usar a versão gratuita da mesma ferramenta, fora do perímetro contratual. O relatório recomendou apoio continuado do estado a testes regulares de tráfego de rede para monitorizar a conformidade dos fornecedores, e as autoridades de privacidade indicaram que pretendem distinguir com clareza serviços gratuitos e pagos nos futuros acordos, além de alterar os contratos-tipo para tratar explicitamente os identificadores únicos de utilizador. A recomendação dos investigadores para as escolas é uma abordagem de “confiar mas verificar”: validar resultados de tráfego de rede antes de adotar uma aplicação e repetir auditorias periodicamente.
Do relatório à lei: cronologia
| Data | Acontecimento |
|---|---|
| 20 de agosto de 2025 | Publicação do relatório de investigação preparado para o Utah State Board of Education |
| 16 de setembro de 2025 | Apresentação do relatório sobre partilha de dados de apps educativas na comissão de educação do parlamento estadual |
| Sessão legislativa de 2026 | Aprovação da HB55, patrocinada pela deputada Tiara Auxier |
| 1 de julho de 2026 | Entrada em vigor da HB55, que impõe termos de privacidade mais rigorosos nos contratos, dá às entidades educativas o direito de realizar auditorias e obriga à cessação do contrato se as violações não forem corrigidas em 30 dias |
O quadro legal estadual continua a apertar. Uma outra iniciativa, a SB 267, determina que o conselho de educação estude a utilização de software nas escolas públicas e publique orientações para as entidades educativas locais até julho de 2027. A lei estadual de proteção de dados de alunos já obrigava, entre outros pontos, à designação de um gestor de dados de alunos e estabelecia o direito de auditar as práticas de dados dos fornecedores.
Não é um caso isolado
A mesma organização que participou nesta auditoria já tinha publicado um estudo nacional nos Estados Unidos com conclusões duras. Nesse trabalho, a Internet Safety Labs concluiu que quase todas as aplicações analisadas (96%) partilhavam informação pessoal de crianças com terceiros, em 78% dos casos com entidades de publicidade e de análise de dados, tipicamente sem conhecimento ou consentimento dos utilizadores ou das escolas. O universo testado envolveu 1357 aplicações educativas, cobrindo 455 mil alunos em 663 escolas. A organização observou ainda que 68% das aplicações enviavam dados para a Google. À escala internacional, uma análise da Human Rights Watch a 164 produtos de tecnologia educativa em 49 países concluiu que 89% colocavam em risco a privacidade das crianças por incorporarem rastreadores que reportavam à indústria publicitária.
Vale a pena sublinhar um detalhe importante para evitar leituras injustas: as escolas do Utah usam milhares de aplicações, incluindo nomes muito conhecidos como Canvas, Duolingo, Khan Academy, Quizlet ou YouTube, e a maioria dos pais, professores e administradores assume que os alunos estão a usar versões adequadas a menores. A auditoria não afirma que todas estas ferramentas estavam em incumprimento; identifica um problema sistémico de verificação.
Porque é que isto importa em Portugal
Em Portugal, não existe um equivalente direto à lei do Utah, mas o enquadramento é mais exigente do que muitos responsáveis escolares assumem. Ao contratar uma plataforma educativa, o agrupamento ou a instituição privada é responsável pelo tratamento e o fornecedor é subcontratante, com todas as obrigações do RGPD: minimização, limitação da finalidade, base legal válida e proibição de utilizações secundárias não previstas. Dados de menores exigem proteção reforçada, e a publicidade comportamental dirigida a crianças é um dos usos mais difíceis de justificar.
A Comissão Nacional de Proteção de Dados já sinalizou a sensibilidade do tema no contexto escolar. Na Deliberação n.º 1495/2016, de 6 de setembro, a CNPD definiu orientações precisas para as escolas sobre os limites legais da disponibilização e do tratamento de dados pessoais dos alunos, num documento em que a autoridade sublinha a ausência de previsão legal para determinadas divulgações e a falta de necessidade desse tratamento para o cumprimento das atribuições das escolas. O princípio subjacente aplica-se por analogia às aplicações: se o tratamento não é necessário para a finalidade educativa, não deve acontecer.
Há também um ângulo de gestão de risco na cadeia de fornecimento. O Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) coloca a segurança da cadeia de fornecimento e a gestão de risco de terceiros no centro das obrigações das entidades abrangidas, com o CNCS e o CERT.PT como referências nacionais para reporte e apoio. Muitas escolas não são entidades essenciais ou importantes, mas os municípios, prestadores de serviços de TI e fornecedores de software que as servem podem sê-lo — e nesse caso a diligência sobre subcontratantes deixa de ser boa prática para passar a ser requisito.
O que fazer, na prática
- Inventariar as aplicações efetivamente em uso, incluindo as adotadas informalmente por professores, e distinguir versões gratuitas de versões contratadas.
- Exigir por escrito que o acordo de proteção de dados cobre todos os planos do serviço, e não apenas o plano pago.
- Verificar tecnicamente o comportamento das aplicações: análise de tráfego de rede em ambiente de teste, inventário de SDK de terceiros e revisão de identificadores únicos de dispositivo.
- Incluir nos contratos direito de auditoria, prazos de correção e cláusula de cessação em caso de incumprimento, à imagem do modelo adotado no Utah.
- Informar encarregados de educação sobre que ferramentas são usadas e com que finalidade, e registar essa informação no inventário de tratamentos.
Perguntas frequentes
Quem realizou esta auditoria e quando?
O relatório resultou de uma parceria entre o Utah State Board of Education e investigadores da Brigham Young University e da Internet Safety Labs, e tem data de 20 de agosto de 2025. As conclusões foram posteriormente apresentadas ao parlamento estadual e deram origem a legislação.
Que percentagem de aplicações partilhava dados com anunciantes?
Segundo os resultados divulgados, 52% das aplicações com acordos de privacidade recolhiam pelo menos um dado não permitido contratualmente e 36% partilhavam dados de alunos com entidades de publicidade.
Isto significa que as aplicações usadas nas escolas portuguesas são inseguras?
Não é possível extrapolar diretamente: o estudo analisou aplicações usadas num estado norte-americano, com um enquadramento legal diferente. O que é transponível é o método, ou seja, verificar tecnicamente o comportamento das aplicações em vez de confiar apenas nas políticas de privacidade e nos contratos.
O que podem fazer os encarregados de educação?
Podem pedir à escola a lista de plataformas usadas e a informação sobre finalidades e prazos de conservação, exercer os direitos previstos no RGPD junto do responsável pelo tratamento e, em caso de suspeita de utilização indevida, apresentar reclamação à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Utah State Board of Education, pela Brigham Young University, pela Internet Safety Labs, pelo parlamento do estado do Utah e pela Comissão Nacional de Proteção de Dados.