dados de estudantes•

12 de agosto de 2026

•

Together Team

LGPD em pesquisa acadêmica: dados, comitês e responsabilidade

A LGPD em pesquisa acadêmica precisa ser discutida enquanto o projeto ainda define pergunta, fonte de dados, participantes e parceiros. Quando a análise começa apenas antes da publicação ou depois de uma solicitação de acesso, escolhas importantes já foram incorporadas ao formulário, ao banco, ao contrato e à rotina da equipe.

Pesquisa e proteção de dados não são objetivos opostos. A Lei Geral de Proteção de Dados reconhece a liberdade acadêmica, o desenvolvimento científico e hipóteses próprias para estudos por órgãos de pesquisa. Ao mesmo tempo, exige que o tratamento seja sustentado por finalidade, necessidade, segurança, transparência e respeito aos direitos das pessoas.

A solução não é aplicar uma regra única a todo projeto. Uma pesquisa clínica, uma entrevista de história oral, um estudo com dados administrativos e uma análise de postagens públicas têm riscos, agentes e padrões éticos distintos. A instituição precisa entender a jornada concreta do dado e coordenar pesquisador, orientação, comitê de ética quando aplicável, jurídico, TI, segurança e encarregado.

Como interpretar a LGPD em pesquisa acadêmica

A LGPD prevê aplicação parcial para tratamento realizado para fins exclusivamente acadêmicos, com aplicação dos arts. 7º e 11 nessa hipótese. Também estabelece bases específicas para a realização de estudos por órgão de pesquisa, garantindo, sempre que possível, a anonimização dos dados pessoais.

O Guia Orientativo da ANPD sobre fins acadêmicos, estudos e pesquisas oferece recomendações para interpretar esses regimes. O próprio documento informa que pode ser atualizado e delimita temas que não pretende resolver por completo. Portanto, ele deve orientar a análise, e não ser apresentado como obrigação absoluta ou resposta automática para qualquer desenho científico.

É preciso diferenciar fins exclusivamente acadêmicos da realização de estudos e pesquisas. A ANPD explica que os contextos podem se aproximar, mas a qualificação depende da atividade. Também convém separar produção acadêmica de operações administrativas da universidade, como matrícula, cobrança, biblioteca, gestão de pessoal ou marketing, que têm suas próprias finalidades e não se tornam acadêmicas apenas porque ocorrem em uma instituição de ensino.

Na prática, a LGPD em pesquisa acadêmica pede uma pergunta inicial: qual operação será realizada, por quem, com quais dados e para qual finalidade? A resposta orienta o regime aplicável, a hipótese legal, as salvaguardas e os direitos. O rótulo geral do projeto não substitui essa avaliação por operação.

Órgão de pesquisa não é sinônimo de qualquer pesquisador

A LGPD define órgão de pesquisa como órgão ou entidade da administração pública direta ou indireta, ou pessoa jurídica de direito privado sem fins lucrativos constituída no Brasil, com sede e foro no país, cuja missão institucional ou objeto social ou estatutário inclua pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico. Nesse enquadramento, a LGPD em pesquisa acadêmica exige verificar a natureza da instituição e seu papel efetivo no tratamento.

Essa definição não abrange automaticamente qualquer empresa, laboratório privado com fins lucrativos, pesquisador autônomo ou grupo informal. Também não significa que toda pessoa que trabalha em uma universidade se torna, individualmente, o agente de tratamento. Em geral, profissionais subordinados atuam sob a estrutura da organização, enquanto a definição de controlador e operador considera quem toma as decisões relevantes sobre o tratamento.

O guia da ANPD distingue estudos realizados por órgãos de pesquisa daqueles conduzidos por agentes que não se qualificam dessa forma. Os últimos também podem tratar dados para pesquisa, mas precisam avaliar outra hipótese legal aplicável ao caso concreto, como consentimento, legítimo interesse ou outra prevista nos arts. 7º ou 11, conforme a categoria de dado e os requisitos correspondentes.

Ao planejar LGPD em pesquisa acadêmica, a instituição deve documentar sua qualificação e não apenas presumir que o nome “centro” ou “instituto” resolve o tema. Estatuto, natureza jurídica, sede, missão e papel real na operação ajudam a sustentar a conclusão. Parcerias com empresas exigem análise própria, pois agentes diferentes podem tomar decisões distintas ou atuar sob instruções.

Defina controlador, operador e responsabilidades do projeto

A pergunta sobre agentes deve ser respondida por operação. Quem decide os objetivos e os elementos essenciais da coleta? Quem define critérios de inclusão, variáveis, acesso, compartilhamento e retenção? Quem apenas processa dados conforme instruções? Uma plataforma de questionário pode ser operadora em determinada atividade, enquanto uma entidade parceira pode ser controladora se define finalidades próprias. A definição de agentes na LGPD em pesquisa acadêmica precisa refletir quem decide e quem executa cada atividade.

Em projetos multicêntricos, a universidade coordenadora, hospitais, patrocinadores, fundações e laboratórios podem assumir papéis diferentes. O contrato precisa refletir a prática e distribuir responsabilidades por segurança, atendimento a titulares, incidentes, publicação, devolução e eliminação. Chamar todos de parceiros sem explicar decisões deixa lacunas quando surge uma solicitação.

O pesquisador principal costuma ter função operacional decisiva dentro da instituição, mas a responsabilidade legal não deve ser atribuída de forma simplista ao indivíduo se ele age sob a estrutura da pessoa jurídica. A organização precisa oferecer processo, infraestrutura e orientação. O pesquisador, por sua vez, cumpre regras institucionais, restringe acesso e comunica desvios.

O artigo da TOGETHER sobre LGPD e privacidade nas instituições de ensino apresenta a governança geral do setor. A LGPD em pesquisa acadêmica aprofunda um fluxo específico e deve conversar com o programa institucional, sem criar uma política paralela desconectada de segurança, contratos e canal do titular.

Mapeie a jornada do dado antes da coleta

O plano deve listar fontes, categorias, titulares e etapas. Dados podem vir diretamente de participantes, prontuários, bases administrativas, dispositivos, plataformas digitais, arquivos históricos ou parceiros. Para cada fonte, registre finalidade, variáveis, forma de acesso, responsáveis, ferramentas, local de armazenamento, transferências e destino ao fim do projeto. Esse mapa permite aplicar a LGPD em pesquisa acadêmica a cada fonte e etapa, em vez de tratar o projeto como um bloco único.

A classificação dos dados muda o cuidado necessário. Informações de saúde, genética, biometria, origem racial ou étnica, religião, opinião política, filiação sindical e vida sexual são sensíveis nos termos da LGPD. Dados de crianças e adolescentes exigem atenção ao melhor interesse. Mesmo dados não classificados como sensíveis podem causar impacto relevante quando combinados ou contextualizados.

Na preparação da LGPD em pesquisa acadêmica, questione se todas as variáveis são necessárias. Uma data completa pode ser substituída por faixa? A localização precisa de endereço ou basta região? O identificador deve permanecer em toda a análise? Reduzir campos no início costuma ser mais eficaz do que tentar controlar uma base excessiva depois.

Separe a chave de identificação dos dados de análise quando o método permitir. Restrinja acesso à chave, registre quem pode recombinar e use ambientes institucionais aprovados. Pseudonimização reduz exposição, mas não transforma automaticamente o conjunto em dado anonimizado, pois a pessoa ainda pode ser reidentificada com informação adicional.

Escolha a hipótese legal sem transformar consentimento em padrão único

Consentimento é uma das hipóteses possíveis, mas não a única. Para dados pessoais comuns e sensíveis, a LGPD traz listas diferentes de hipóteses. Órgãos de pesquisa dispõem de previsão específica para estudos, com anonimização sempre que possível. Outros agentes precisam avaliar a base adequada à operação concreta e cumprir seus requisitos.

O consentimento deve ser livre, informado e inequívoco e, no caso de dado sensível, específico e destacado para finalidades específicas. Em relações marcadas por dependência, pressão ou dificuldade de recusa, a liberdade precisa ser examinada. Também é necessário planejar como receber e executar eventual revogação dentro dos limites aplicáveis. Ao avaliar consentimento, a LGPD em pesquisa acadêmica também exige atenção às relações de dependência e à possibilidade real de recusa.

Não se deve confundir base legal de proteção de dados com consentimento ético para participar de pesquisa. O guia da ANPD ressalta que uma dispensa de consentimento sob a LGPD não afasta a necessidade de obtê-lo quando normas e padrões éticos aplicáveis exigirem. O inverso também merece cuidado: um termo de consentimento ético não resolve sozinho toda a governança de dados.

A análise da LGPD em pesquisa acadêmica deve registrar a hipótese por operação, não apenas por projeto. Coletar respostas, convidar participantes, reutilizar uma base, compartilhar com parceiro e divulgar resultados são tratamentos diferentes. Pode haver fundamentos e salvaguardas distintos, desde que o conjunto seja coerente e devidamente documentado.

Comitê de ética, encarregado e jurídico têm funções diferentes

Comitês de ética protegem participantes e avaliam requisitos éticos conforme as normas aplicáveis ao tipo de pesquisa. O encarregado atua como canal e pode orientar práticas de proteção de dados. Jurídico interpreta obrigações e contratos. Segurança e TI desenham controles. Nenhum desses atores deve presumir que a aprovação do outro substitui sua própria análise.

O fluxo institucional pode integrar as avaliações para evitar pedidos repetidos. Um formulário único pode coletar descrição, participantes, dados, riscos, bases, ferramentas, parceiros e retenção. A partir dele, cada área analisa o que lhe compete e compartilha condicionantes. Projetos simples recebem caminho proporcional; os de maior risco ganham aprofundamento.

Para LGPD em pesquisa acadêmica, a coordenação deve começar cedo. Uma exigência de hospedagem institucional ou redução de campos pode alterar orçamento e método. Descobrir isso depois da coleta coloca a equipe entre descartar dados, redesenhar o estudo ou aceitar um risco evitável.

Também é útil criar critérios de encaminhamento. Projetos com dados sensíveis, grupos vulneráveis, grande escala, combinação de bases, IA, dados públicos com potencial de reidentificação ou transferência internacional podem exigir análise específica. Os critérios organizam prioridade, mas não eliminam a avaliação do contexto.

Transparência e recrutamento de participantes

Avisos e termos precisam explicar em linguagem compatível com o público quais dados serão usados, para quê, por quem, por quanto tempo, com quem podem ser compartilhados e quais canais estão disponíveis. A quantidade de detalhe pode ser organizada em camadas para não transformar transparência em um texto que ninguém compreende. A transparência da LGPD em pesquisa acadêmica deve acompanhar o projeto quando fontes, parceiros ou usos previstos mudarem.

No recrutamento, use apenas dados e canais compatíveis com a origem e a finalidade. Ter acesso administrativo a uma lista de alunos ou pacientes não significa poder empregá-la livremente para convidar participantes. A área que mantém a base pode fazer o primeiro contato ou adotar outra salvaguarda, conforme o contexto e as regras aplicáveis.

Em pesquisa com crianças e adolescentes, linguagem e processo devem considerar idade, compreensão, responsáveis e melhor interesse. Em populações vulneráveis, recompensas, relação de autoridade e dependência de serviços podem afetar liberdade. Essas questões exigem coordenação entre privacidade e ética, sem respostas automáticas.

A transparência na LGPD em pesquisa acadêmica não deve prometer anonimato quando haverá apenas confidencialidade ou pseudonimização. Explique com precisão. Se citações de entrevista puderem identificar a pessoa pelo contexto, isso também deve ser avaliado e comunicado conforme o desenho.

Compartilhamento, acesso e colaboração científica

Compartilhar uma base exige saber quem receberá, com qual finalidade, quais variáveis, sob qual papel e em que ambiente. A instituição cedente precisa avaliar se o acesso é compatível com a coleta original e quais salvaguardas são necessárias. O guia da ANPD sugere instrumentos como termo de ciência e responsabilidade em determinados contextos, mas o documento adequado depende da relação e não substitui contrato quando este é necessário. No compartilhamento, a LGPD em pesquisa acadêmica pede finalidade definida, acesso proporcional e responsabilidades documentadas.

Acesso remoto controlado, ambiente seguro, dados reduzidos e revisão de saída podem permitir colaboração sem entregar uma cópia integral. Em outros casos, o projeto exige transferência. A escolha deve equilibrar método, risco, custo e capacidade das partes. A expressão “somente para pesquisa” precisa virar regra verificável de uso, acesso e proibição de tentativas de reidentificação.

Dados publicamente acessíveis continuam podendo ser pessoais. Coletar postagens, perfis ou decisões disponíveis na internet não elimina finalidade, necessidade, expectativa e impacto. A possibilidade técnica de baixar uma base não responde quem pode usá-la, para qual pergunta e com quais cuidados.

Na LGPD em pesquisa acadêmica, transferências internacionais também precisam ser mapeadas quando dados ficam em nuvem estrangeira, são acessados por colaborador de outro país ou enviados a parceiro externo. Avalie o mecanismo aplicável, contratos, suboperadores, segurança e transparência. A conta pessoal gratuita de uma ferramenta não deve ser o padrão por conveniência.

Segurança, anonimização e risco de reidentificação

A LGPD e o guia da ANPD tratam anonimização como medida relevante e a exigem sempre que possível em hipóteses específicas de estudo por órgão de pesquisa. Ao mesmo tempo, o guia reconhece que anonimização ou pseudonimização não são medidas impositivas em todo caso e que alguns projetos precisam identificar participantes. A decisão deve considerar método e risco.

Anonimizar não é apenas remover nome e CPF. Combinações de idade, município, diagnóstico raro, cargo ou datas podem permitir reidentificação. Dados genéticos e imagens têm desafios próprios. A equipe deve considerar meios técnicos razoáveis disponíveis e o contexto de quem terá acesso. Uma tabela anônima para o público pode exigir mais redução que uma base pseudonimizada em ambiente restrito.

Controles básicos incluem contas individuais, autenticação adequada, menor privilégio, registros, criptografia quando cabível, cópias de segurança e procedimento para perda ou envio incorreto. A LGPD em pesquisa acadêmica também precisa cobrir notebooks, gravações, formulários em papel, aplicativos de mensagem e dispositivos de campo, não apenas o servidor principal.

Incidentes devem seguir o processo institucional. Pesquisadores precisam saber como reportar rapidamente e preservar informações. O controlador avaliará o caso e eventual risco ou dano relevante segundo a regulamentação. O projeto não deve improvisar uma mensagem externa isolada sem coordenar segurança, encarregado, jurídico e instituição responsável.

Publicação, retenção e encerramento do projeto

Antes de publicar, verifique tabelas, anexos, repositórios, trechos de entrevista, imagens e metadados. Pequenos grupos e combinações raras podem identificar participantes. Dados suplementares que permitem replicação científica também precisam de análise. Ciência aberta não exige exposição irrestrita de dados pessoais. Na publicação, a LGPD em pesquisa acadêmica requer revisão do risco de identificação em todos os materiais divulgados.

Defina retenção antes da coleta. Considere finalidade científica, padrões éticos, integridade da pesquisa, obrigações institucionais, prestação de contas e defesa de direitos. Evite prazo indefinido sem justificativa. Ao mesmo tempo, não prometa eliminação imediata se normas aplicáveis exigem conservação de registros do estudo.

O encerramento da LGPD em pesquisa acadêmica deve incluir revogação de acessos, destino da chave de identificação, tratamento de cópias de trabalho, arquivamento autorizado, exclusão em fornecedores e atualização do registro institucional. Pesquisadores que deixam a equipe não devem levar bases para contas pessoais ou manter acesso por inércia.

Se houver intenção de reutilizar dados em estudos futuros, descreva e avalie esse uso com cuidado. O guia da ANPD reconhece possibilidade de tratamento posterior para pesquisa em determinadas condições, mas não concede autorização irrestrita. Natureza dos dados, expectativas, compatibilidade, impactos, princípios, segurança e padrões éticos continuam relevantes.

Como a TOGETHER pode apoiar

A TOGETHER pode oferecer consultoria em LGPD para mapear a jornada do dado, qualificar agentes, revisar hipóteses legais, termos, contratos, fornecedores, transferências, retenção e controles. O trabalho pode integrar fluxo de privacidade à avaliação ética e à gestão de projetos sem confundir as responsabilidades de cada instância.

Com DPO as a Service, a TOGETHER pode manter um canal de orientação para pesquisadores, apoiar solicitações de titulares, acompanhar incidentes e organizar evidências institucionais. O serviço também ajuda a criar formulários e critérios proporcionais para que projetos simples avancem com clareza e casos de maior risco recebam análise aprofundada.

Na implantação de LGPD em pesquisa acadêmica, a TOGETHER pode formar equipes e revisar processos com universidade, fundação, hospital, parceiro tecnológico e patrocinador. O objetivo é permitir pesquisa responsável com decisões documentadas, acesso controlado e responsabilidades compreendidas por todos.

Próximos passos

Selecione um projeto em fase de desenho e faça um mapa simples: fontes, dados, titulares, agentes, hipóteses, ferramentas, acessos, compartilhamentos, retenção e publicação. Leve esse mapa às instâncias jurídica, ética e técnica aplicáveis antes da coleta. Registre condicionantes e responsáveis.

Depois, transforme a experiência em fluxo institucional. A LGPD em pesquisa acadêmica funciona melhor quando a universidade oferece critérios, infraestrutura e apoio, em vez de deixar cada pesquisador interpretar sozinho temas que atravessam método, direitos, segurança e contratos.