Acervo acadêmico digital e LGPD: guarda, acesso e segurança

Acervo acadêmico digital e LGPD se encontram em uma rotina que acompanha o estudante por muitos anos. Matrícula, histórico, aproveitamento de disciplinas, diploma, planos de curso e outros registros precisam continuar íntegros e disponíveis quando o aluno ou egresso solicitar uma comprovação. Ao mesmo tempo, esses documentos podem reunir identificação, informações de trajetória escolar e, conforme o caso, dados financeiros ou de saúde. Converter papel em arquivo eletrônico, portanto, é apenas uma parte do trabalho.

O Ministério da Educação explica que o acervo acadêmico reúne documentos produzidos e recebidos pelas instituições de educação superior para registrar a vida acadêmica e comprovar os estudos. A mesma orientação deixa claro que a conversão não é mera digitalização. Ela deve preservar integridade e autenticidade, permitir recuperação e ser controlada por sistema especializado de gerenciamento de documentos eletrônicos.

Essa exigência conversa diretamente com a proteção de dados. Uma IES pode ter arquivos tecnicamente válidos, mas ainda enfrentar problemas se conceder acessos amplos, conservar cópias sem critério, usar um fornecedor sem condições de saída ou não conseguir atender um pedido do titular. A governança precisa unir arquivo, secretaria acadêmica, tecnologia, segurança, jurídico e privacidade.

Por que acervo acadêmico digital e LGPD precisam do mesmo plano

A gestão documental procura preservar contexto, autenticidade, integridade, disponibilidade e destinação. A proteção de dados acrescenta perguntas sobre finalidade, necessidade, acesso, compartilhamento, transparência, segurança e direitos do titular. São perspectivas diferentes, mas aplicadas ao mesmo conjunto de registros.

Quando acervo acadêmico digital e LGPD são tratados em projetos separados, surgem lacunas previsíveis. A equipe de digitalização pode copiar tudo para um repositório sem classificar o conteúdo. A equipe de privacidade pode definir uma tabela genérica de retenção sem considerar normas arquivísticas. A TI pode implantar backup sem testar recuperação. A secretaria pode continuar baixando documentos para pastas locais porque o sistema oficial é lento.

O plano conjunto começa pela função de cada documento. Um histórico escolar não cumpre a mesma finalidade de uma gravação de atendimento. Um diploma não segue necessariamente a mesma destinação de um comprovante entregue para matrícula. A instituição deve vincular cada classe documental à sua finalidade, fundamento aplicável, prazo de guarda, acesso autorizado e evento que inicia a contagem da retenção.

Essa organização também evita uma leitura equivocada da LGPD. A lei não determina que todo registro seja apagado assim que o aluno conclui o curso. Há documentos necessários para comprovar a trajetória acadêmica e cumprir regras educacionais e arquivísticas. Em outras situações, uma cópia operacional ou um dado auxiliar pode perder a utilidade antes. A resposta depende da categoria documental e do contexto, não de uma ordem genérica de conservar ou eliminar tudo.

Conversão não é apenas escanear papel

A Portaria MEC nº 360/2022 dispõe sobre a conversão do acervo das IES do sistema federal de ensino para o meio digital. A Portaria MEC nº 613/2022 detalha procedimentos gerais de conversão e preservação. Entre outros pontos, ela remete aos padrões técnicos do Decreto nº 10.278/2020, exige metadados, trata de assinatura digital no padrão ICP-Brasil e prevê proteção contra alteração, destruição e, quando cabível, acesso ou reprodução não autorizados.

Para a instituição, isso exige um fluxo controlado. O documento precisa ser preparado, digitalizado, conferido, indexado, assinado quando aplicável e incorporado ao repositório correto. Erros nessa sequência podem comprometer localização ou confiabilidade. Uma página ausente, uma matrícula associada ao estudante errado ou um metadado inconsistente pode só ser descoberto anos depois, quando o egresso precisar provar um estudo.

O projeto de acervo acadêmico digital e LGPD deve registrar critérios de qualidade e responsabilidade pela conferência. Amostragem pode ser adequada para algumas etapas, enquanto documentos de maior impacto podem exigir validação específica. A escolha precisa considerar volume, risco, requisitos técnicos e possibilidade de correção, sempre com evidência do método adotado.

Também é necessário separar documento nato-digital de documento digitalizado. O primeiro já nasce em meio eletrônico. O segundo resulta da conversão de um original físico. Essa diferença afeta proveniência, assinatura, trilha de auditoria e eventual descarte do suporte original. A Portaria nº 613 ressalva documentos com temporalidade permanente ou contexto histórico, razão pela qual o descarte não deve ser automático após o escaneamento.

Comece por um inventário documental que reflita a operação

Um inventário útil não é apenas uma lista de nomes de sistemas. Ele descreve documentos, pessoas envolvidas, origem, destino, finalidade e controles. No acervo acadêmico digital e LGPD, vale mapear pelo menos:

classes documentais e tipos de dados presentes;
origem do documento, inclusive portais, secretaria, parceiros e sistemas legados;
estudantes, egressos e outras pessoas a quem as informações se referem;
finalidade acadêmica, regulatória, administrativa ou de atendimento;
fundamento para o tratamento, analisado pela instituição;
sistema oficial, cópias, integrações e exportações;
perfis com acesso e justificativa funcional;
fornecedor, subcontratados e local de armazenamento;
temporalidade, destinação e regra para bloqueio ou descarte;
medidas de segurança, backup e recuperação;
canal para pedidos e correções;
responsável interno por cada decisão.

É comum encontrar versões espalhadas em e-mail, pastas de rede e computadores. O inventário de acervo acadêmico digital e LGPD deve incluir essas cópias paralelas e retratar a prática, não apenas a política escrita.

Acesso deve acompanhar a função de cada pessoa

Secretaria, coordenação de curso, arquivo, financeiro, atendimento, TI e prestadores podem precisar de acessos diferentes. Dar a todos uma visão completa parece facilitar a operação, mas aumenta a exposição e dificulta atribuir responsabilidade. O princípio da necessidade favorece perfis compatíveis com a função.

No acervo acadêmico digital e LGPD, uma matriz de acesso deve indicar sistema, perfil, ação permitida e aprovação necessária. Consultar um documento não é o mesmo que alterá-lo, exportá-lo ou excluí-lo. Contas administrativas merecem proteção reforçada e uso restrito. A instituição também deve revisar acessos em mudanças de função, afastamentos, desligamentos e encerramento de contratos.

Os registros de auditoria ajudam a investigar alterações e acessos indevidos. Como os logs também podem conter informações pessoais, precisam de finalidade, acesso e retenção definidos.

Retenção exige conciliar regras educacionais e proteção de dados

A tabela de temporalidade é uma peça central, mas precisa funcionar no sistema. Para cada documento, a IES deve saber qual evento inicia o prazo, quais hipóteses justificam preservação, qual é a destinação e quem aprova uma exceção. A simples indicação de “prazo legal” em uma planilha não orienta a equipe nem permite automatizar ações.

A Portaria MEC nº 613/2022 remete às tabelas de temporalidade e destinação aplicáveis e às diretrizes do Conselho Nacional de Arquivos. Isso exige leitura documental específica. Já a LGPD admite conservação em hipóteses previstas no art. 16, entre elas o cumprimento de obrigação legal ou regulatória pelo controlador. A análise deve considerar as duas frentes.

Acervo acadêmico digital e LGPD não justificam reter toda cópia encontrada. O documento oficial pode ter guarda prolongada ou permanente, enquanto uma cópia de conferência, um anexo temporário de atendimento ou uma exportação para ajuste pode ser descartado antes. Classificar principal, duplicata e derivado reduz volume e diminui a superfície de risco.

O descarte também precisa ser verificável. Em ambiente digital, apagar um arquivo da tela pode não removê-lo de lixeiras, réplicas ou backups. Em acervo acadêmico digital e LGPD, a política deve explicar como esse ciclo interfere na eliminação e nas respostas ao titular.

Integridade e disponibilidade protegem o direito do estudante

Um acervo inacessível pode prejudicar o egresso tanto quanto um acesso indevido. Por isso, segurança inclui confidencialidade, integridade e disponibilidade. O desenho deve prever falha de sistema, indisponibilidade do fornecedor, corrupção de arquivos, erro humano, ataque cibernético e desastre físico.

A Portaria nº 613 prevê Repositório Arquivístico Digital Confiável, o RDC-Arq, para IES do sistema federal e cópia de segurança externa à instituição para recuperação de desastres. Esse requisito deve entrar na arquitetura, nos contratos e nos testes. Não basta comprar espaço em nuvem e chamar qualquer pasta de repositório confiável.

Para operar acervo acadêmico digital e LGPD com consistência, a IES pode estabelecer testes periódicos de restauração, verificação de integridade, monitoramento de falhas, segregação de ambientes e revisão de privilégios. Os resultados precisam gerar correções, não apenas relatórios. Se a recuperação falha, a instituição deve registrar a causa, ajustar o procedimento e testar de novo.

Fornecedores precisam permitir continuidade e saída

Empresas de digitalização, sistemas acadêmicos, armazenamento, assinatura, suporte e descarte podem tratar documentos por conta da IES. O contrato deve refletir o serviço real e definir instruções, confidencialidade, segurança, incidentes, subcontratação, retenção, devolução, exclusão e apoio a pedidos de titulares.

A classificação como controlador ou operador depende das decisões efetivamente tomadas em cada operação. Um fornecedor que executa conversão conforme instruções pode atuar como operador nesse fluxo. Ele pode ser controlador em tratamentos próprios, como gestão de seus trabalhadores ou obrigações fiscais. O rótulo geral no contrato não substitui a análise das atividades.

No acervo acadêmico digital e LGPD, a saída do fornecedor é um teste importante. A IES consegue exportar documentos, metadados, assinaturas e trilhas em formato utilizável? Quanto tempo leva? Há custo? O contrato impede a retenção após a migração? A equipe sabe validar se o novo repositório recebeu tudo? Essas respostas protegem a continuidade acadêmica e reduzem dependência técnica.

A Portaria nº 613 traz condições específicas para contratação externa de RDC-Arq. No projeto de acervo acadêmico digital e LGPD, a cláusula precisa ser conferida no serviço contratado, não apenas repetida em um anexo padrão.

Transparência e direitos do titular na prática

O estudante deve entender quais registros a instituição mantém, para quais finalidades, com quem os compartilha e como pedir acesso ou correção. Isso não exige publicar detalhes que comprometam a segurança. Exige uma explicação coerente com a operação e um canal preparado para encaminhar a demanda.

Correções pedem cuidado porque a instituição não deve alterar silenciosamente um documento oficial sem preservar contexto e autorização. O fluxo pode exigir conferência acadêmica, validação do responsável e registro da mudança. A resposta ao titular deve diferenciar dado cadastral simples, nota contestada, informação documental e pedido de eliminação sujeito a dever de conservação.

O artigo da TOGETHER sobre o caso Illuminate e a retenção de dados de estudantes mostra como dados antigos, fornecedores e credenciais podem ampliar o impacto de um incidente. No acervo acadêmico digital e LGPD, essa lição se traduz em inventário, acesso restrito, revisão contratual e eliminação de cópias que perderam a finalidade.

Atendimento, secretaria e encarregado precisam usar critérios alinhados. Respostas contraditórias aumentam retrabalho e insegurança para o estudante. Modelos de resposta ajudam, desde que permitam analisar particularidades e não prometam apagar um documento que a IES precisa preservar.

Como a TOGETHER pode apoiar

A TOGETHER pode estruturar uma frente de consultoria em LGPD integrada à gestão documental. O trabalho pode mapear jornadas, classificar dados e documentos, revisar finalidades e fundamentos, desenhar perfis de acesso, avaliar retenção, revisar fornecedores e organizar evidências para decisões da mantenedora e da IES.

Com DPO as a Service, a TOGETHER pode acompanhar pedidos de estudantes e egressos, mudanças em sistemas, incidentes, contratos e revisões periódicas. A atuação contínua ajuda a manter acervo acadêmico digital e LGPD alinhados depois da migração inicial, quando novos cursos, integrações e prestadores modificam o fluxo.

O apoio não substitui a responsabilidade das áreas acadêmicas, arquivísticas ou técnicas. Ele conecta essas competências em uma rotina comum, com responsáveis, critérios de escalonamento e documentação suficiente para demonstrar por que cada decisão foi tomada.

Checklist para a instituição

Antes de encerrar o projeto, verifique:

o inventário diferencia documento oficial, duplicata e arquivo temporário;
os requisitos das Portarias MEC nº 360/2022 e nº 613/2022 foram incorporados;
a conversão tem critérios de qualidade, conferência e autenticidade;
metadados permitem localizar e gerenciar os documentos;
perfis de acesso seguem a função e são revistos;
temporalidade e destinação foram validadas por competência arquivística;
backups e restauração são testados;
o contrato permite exportação, continuidade e encerramento seguro;
pedidos de acesso, correção e eliminação têm fluxo claro;
incidentes incluem comunicação entre IES, mantenedora e fornecedores;
decisões e exceções deixam evidências;
acervo acadêmico digital e LGPD entram na revisão de novos projetos.

A maturidade em acervo acadêmico digital e LGPD aparece quando a instituição consegue localizar um documento, comprovar sua integridade, explicar por que o conserva e mostrar quem teve acesso. Esse resultado depende da conexão entre pessoas, regras, sistemas e rotinas de revisão.