Governança de Dados e Riscos de Privacidade na Assistência Estudantil: Evidências Empíricas em uma IFE

Fabiana Ferreira Cardoso; Eloisa Gonçalves da Silva Torlig; Virgínia de Melo Dantas Trinks; Rafael Rabelo Nunes

doi:10.20397/2177-6652/2026.v26i3.3379

Autores

Fabiana Ferreira Cardoso Universidade Federal de Pernambuco https://orcid.org/0009-0003-3700-1912
Eloisa Gonçalves da Silva Torlig Universidade de Brasilia https://orcid.org/0000-0003-2519-9805
Virgínia de Melo Dantas Trinks Universidade de Brasília https://orcid.org/0000-0003-0123-3458
Rafael Rabelo Nunes Universidade de Brasília https://orcid.org/0000-0002-1538-4276

DOI:

https://doi.org/10.20397/2177-6652/2026.v26i3.3379

Palavras-chave:

governança de privacidade, proteção de dados, conformidade regulatória

Resumo

Objetivo: Analisar de forma multidimensional os riscos de privacidade associados ao tratamento de dados pessoais nos processos de assistência estudantil em uma Instituição Federal de Ensino (IFE).

Metodologia/procedimentos metodológicos: Pesquisa aplicada de abordagem qualitativa e exploratória, com triangulação de dados por meio de análise documental, entrevistas semiestruturadas e grupo focal. A análise de conteúdo foi realizada com a técnica Bow Tie como núcleo analítico para modelagem causal.

Originalidade/Relevância: O estudo preenche uma lacuna na literatura sobre a implementação da LGPD em IFEs, ao aplicar a técnica Bow Tie para análise causal e multidimensional de riscos de privacidade, integrando dimensões técnica-operacional, organizacional-governamental, jurídica-contratual e humana-cultural.

Principais Resultados: Os riscos mostraram-se sistêmicos e multidimensionais. Para os titulares, verificam-se danos psicossociais e riscos de discriminação e estigmatização. Para a instituição, há exposição a sanções administrativas, litígios judiciais, danos reputacionais severos e sobrecarga operacional.

Contribuições: Os resultados validam a técnica Bow Tie como instrumento analítico para examinar as inter-relações técnicas e sociais que afetam a privacidade, ao propor uma matriz de controles integrados e alinhada ao Programa de Privacidade e Segurança da Informação (PPSI). Conclui-se que a mitigação eficaz dos riscos exige uma governança coordenada nas quatro dimensões, reafirmando a privacidade como base da confiança no ambiente educacional digital.

Palavras-chave: governança de privacidade, proteção de dados, conformidade regulatória

Biografia do Autor

Fabiana Ferreira Cardoso, Universidade Federal de Pernambuco

Mestre em Ciência da Computação pela Universidade Federal de Pernambuco. Tem experiência em Privacidade e Segurança da Informação, Governança e Gestão de TIC, Gestão de Projetos, Gerência de Infraestrutura de Redes e Aquisições de TIC.

Eloisa Gonçalves da Silva Torlig, Universidade de Brasilia

Pós-Doutora (2024) e Doutora em Administração pela Universidade de Brasília (2023) com ênfase em inovação, políticas públicas e acesso à justiça. Mestre em Administração Pública pela UnB (2018). Criadora do Método Vali-Quali para validação de instrumentos de pesquisa qualitativa, amplamente utilizado na comunidade acadêmica. Idealizadora e Coordenadora do Observatório de Acesso à Justiça (ObservAjus), iniciativa pioneira de democratização de dados judiciários. Professora-colaboradora do Departamento de Administração (ADM/UnB). Pesquisadora do grupo AJUS-UnB e membro da Comissão de Direitos Humanos da FACE/UnB. Especialista em metodologias qualitativas, inovação social e políticas públicas.

Virgínia de Melo Dantas Trinks, Universidade de Brasília

Mestre em Engenharia Elétrica e graduação em Direito pela Universidade Federal do Rio Grande do Norte (2006). Atualmente é assessor na Secretaria Adjunta de Estado e Justiça da Casa Civil da Presidência da República. Tem experiência na área de Direito, com ênfase em Direito Internacional Público, Relações Internacionais, Segurança Cibernética e Direito Digital.

Rafael Rabelo Nunes, Universidade de Brasília

Profissional com sólida formação em TI e carreira docente ativa, que busca na sinergia entre tecnologia e pessoas, o motor de transformação das organizações. Atualmente é Professor Adjunto da Universidade de Brasília onde coordena o LabRisk - Laboratório de Riscos, Privacidade, Segurança da Informação e Gestão de Crises. Também atua na Gestão de Riscos de Segurança da Informação no Supremo Tribunal Federal, e como Professor no Centro Universitário UniAtenas. É Doutor em Engenharia Elétrica pela Universidade de Brasília. Graduado em Engenharia de Redes de Comunicação pela Universidade de Brasília, com algumas disciplinas cursadas na Universidade do Porto, Portugal; Graduação em Programa Especial de Formação de Docente pela Universidade Católica de Brasília; Mestrado em Engenharia Elétrica pela Universidade de Brasília. Possui mais de 20 anos de experiência em Tecnologia da Informação (TI), mantendo carreira acadêmica e profissional indissociáveis. Já atuou como Assessor Especial da Presidência; Gerente de Segurança da Informação; Gerente de Projetos de Desenvolvimento de Softwares; Analista de Infraestrutura; Analista de Desenvolvimento. Na área privada, foi Engenheiro de Redes na TIM e na Claro; e Professor no Centro Universitário Estácio de Brasília.

Referências

Associação Brasileira de Normas Técnicas. (2021). ABNT NBR ISO/IEC 31010:2021: Gestão de riscos. Técnicas para o processo de avaliação de riscos. Rio de Janeiro: ABNT, 2021.

Associação Brasileira de Normas Técnicas. (2023). ABNT NBR ISO/IEC 29134:2023. Tecnologia da informação: Técnicas de segurança. Diretrizes para avaliação de impacto à privacidade. Rio de Janeiro: ABNT, 2023.

Associação Brasileira de Normas Técnicas. (2025). ABNT NBR ISO/IEC 27701:2025. Segurança da informação, segurança cibernética e proteção à privacidade. Sistemas de gestão da segurança da informação - Requisitos. Rio de Janeiro: ABNT, 2025.

Associação Brasileira de Normas Técnicas. (2023a). ABNT NBR ISO/IEC 27005:2023. Segurança da informação, segurança cibernética e proteção à privacidade. Orientações para gestão de riscos de segurança da informação. Rio de Janeiro: ABNT, 2023.

Associação Brasileira de Normas Técnicas. (2023b). ABNT NBR ISO/IEC 27557:2023. Segurança da informação, segurança cibernética e proteção à privacidade. Aplicação da ABNT NBR ISO 31000: 2018 para gestão de riscos de privacidade organizacional. Rio de Janeiro: ABNT, 2023.

Alves, R. S., Georg, M. A. C., & Nunes, R. R. (2022). Judiciário sob ataque hacker: Riscos de negócio para segurança cibernética em tribunais brasileiros. Revista Ibérica de Sistemas e Tecnologias de Informação, 44, 344–357. https://doi.org/10.5281/zenodo.8032915

Alves, W. dos S. (2025). Vantagens, benefícios e riscos do ambiente digital para a educação. Revista Caderno Pedagógico, v. 22, n. 7. https://doi.org/10.54033/cadpedv22n7-175

Araújo, A., & Gomes, A. (2021). Gestão de riscos no setor público: desafios na adoção pelas universidades federais brasileiras. Revista Contabilidade & Finanças, São Paulo, v. 32, n. 86, p. 241-254, 2021. https://doi.org/10.1590/1808-057x202112300

Araújo, J. G. R. de & Callado, A. L. C. (2022). Concepção e Implementação de Práticas de Gestão de Riscos: Uma Análise em uma Instituição Federal de Ensino Superior Brasileira. Contabilidade, Gestão e Governança, vol. 25, special issue, pp. 308–330. https://doi.org/10.51341/cgg.v25iesp.2872

Bardin, L. (2016). Análise de conteúdo. Edição revista e ampliada. Lisboa: Edições 70.

Barros, P., & Vilela, A. (2025) Privacy and Personal Data Protection in Educational Ecosystems: Challenges in the Application of the GDPR and LGPD. In: Proceedings of the 17th International Conference on Digital Transformation. SCITEPRESS, 2025 https://www.scitepress.org/Papers/2025/134269/134269.pdf

Brasil. (2016). Conselho Nacional de Saúde. Resolução nº 510, de 07 de abril de 2016. Brasília-DF.

Brasil. (2018). Presidência da República. Secretaria-Geral. Subchefia para Assuntos Jurídicos. Lei nº 13.709, de 14 de agosto de 2018: Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília-DF.

Brasil. (2022). Tribunal de Contas da União. Acordão 1384/2022. Relatório de auditoria para avaliar as ações governamentais e os riscos à proteção de dados pessoais.

Brasil. (2025). Tribunal de Contas da União. Acordão 1372/2025: Auditoria de conformidade nos controles implementados por organizações públicas federais para adequação à Lei Geral de Proteção de Dados Pessoais (LGPD).

Candiani, I. F. & Pereira, O. J. (2024). Lei Geral de Proteção de Dados (LGPD) nas instituições de ensino: desafios normativos para sua aplicação e gestão. Cadernos da Fucamp, v. 27, p.31-52, 2024. https://revistas.fucamp.edu.br/index.php/cadernos/article/view/3405/2128

Couldry, M. & Mejias, U. A. (2019) The costs of connection: how data is colonizing human life and appropriating it for capitalism. Stanford: Stanford University Press. https://www.jstor.org/stable/26931941

Dantas, D. & Dodt, C. (2025). Ciclo de vida dos dados pessoais de acordo com a LGPD. Exame, 2025. https://exame.com/bussola/ciclo-de-vida-dos-dados-pessoais-de-acordo-com-a-lgpd/

Doneda, D. (2021). Da privacidade à proteção de dados Pessoais. (3ª ed.). Thomson Reuters Brasil.

Freitas, C. O. de A. (2022). Riscos e proteção de dados pessoais. Revista Rede de Direito Digital, Intelectual & Sociedade, Curitiba, v.2, n.4, p. 225-247, 2022. https://revistas.ufpr.br/rrddis/article/download/93531/50795

Future of Privacy Forum. (FPF). (2025). Student Privacy Pledge. https://fpf.org/student-privacy-pledge/

Gil, A. C. (2019). Métodos e técnicas de pesquisa social. 7ª edição. São Paulo: Atlas.

Gonçalves, E., Silva, I. R. B. da, Zottmann, C. E. M., Souza Neto, J., & Nunes, R. R. (2025). Universidades sob ataque hacker: riscos de negócio para segurança cibernética em universidades brasileiras. UNB. http://ppee.unb.br/wp-content/uploads/2025/04/Artigo_ataque_hacker_IES_UnB.pdf

Khalil, M., Shakya, R., & Liu, Q. (2025). Towards privacy-preserving data-driven education: the potential of federated learning. Cornell University arXiv preprint, 2503.13550. https://doi.org/10.48550/arXiv.2503.13550

Kruse, C. S., Smith, B., Vanderlinder, H. (2017). Security techniques for the eletronic health records. https://doi.org/10.1007/s10916-017-0778-4

Lyon, D. (2001). Surveillance society: monitoring everyday life. Buckingham: Open University Press.

Nascimento, E. A. do; Dantas, Ahirton, J. F., Sousa, R. L. de; Elias, V. F., Menezes, T. L. P., Costa, M. do N. da; Silva, Denise, B. da., & Nascimento, T. do. (2024). Educação digital: riscos e desafios nas instituições escolares. Revista Tópicos. https://doi.org/10.5281/zenodo.11516675

National Institute of Standards and Technology (NIST). (2020). Privacy framework: a tool for improving privacy through enterprise risk management. Versão atualizada. Gaithersburg: NIST, 2020. https://doi.org/10.6028/NIST.CSWP.01162020

Nissenbaum, H. (2009) Privacy in context: technology, policy, and the integrity of social life. Stanford: Stanford University Press.

Noble, S. U. (2018). Algorithms of oppression: how search engines reinforce racism. New York: New York University Press.

Organisation for Economic Co-operation and Development (OECD). (2026). OECD Digital Education Outlook 2026: exploring Effective Uses of Generative AI in Education. Paris: OECD, 2026. https://www.oecd.org/en/publications/oecd-digital-education-outlook-2026_062a7394-en.html

Reis, S. R. F. (2024). Desafios da LGPD quanto à privacidade em ambientes educacionais: um mapeamento sistemático. Revista de Gestão e Secretariado, v. 15, n. 3, e 3292. https://ojs.revistagesec.org.br/secretariado/article/view/3292

Santos, P. P. R. (2025). Estatuto Digital da Criança e do Adolescente: desafios regulatórios e de fiscalização. Revista Ibero-Americana de Humanidades, Ciências e Educação – REASE. https:// doi.org/10.51891/rease.v11i10.20972

Saunders, M., Lewis, P., Thornhill, A. (2018). Research methods for business students. 7. ed. Harlow: Pearson, cap. 7, p. 200-240.

Selwyn, N. (2020). Re-imagining ‘learning analytics’…: a critical proposal for ensuring higher education students are not ‘educated by data’. British Journal of Educational Technology, v. 51, n. 3, p. 520-538, 2020. https://www.sciencedirect.com/science/article/abs/pii/S109675162030021X

Souza, L. L. de, Santos, G. J. F., Oliveira, J. G. de; Silva, M. V. A. da; Vasco, S. C. S., & Vieira, V. E. L. (2025). Vazamento de dados em ambiente escolar. Revista Brasileira de Estudos Jurídicos, v. 19, n.3. Edição Especial - Enade: itinerários formativos e avaliação no ensino superior, 2025.https://portalunifipmoc.emnuvens.com.br/rbej/article/view/274

Steve E. (2025). Cyber threats facing the education sector in 2025. https://www.bitsight.com/blog/top-10-cyber-threats-facing-education-sector

Tomaz, L. B. P., Nunes, R. R., Silva, I. R. B. da. (2025). Rede federal em alerta: riscos de negócio para segurança cibernética na educação profissional, científica e tecnológica. https://ppee.unb.br/wp-content/uploads/2025/09/Artigo-2-2.pdf

UNESCO. (2022). Minding the data: protecting learners’ privacy and security. Unesco, 2022. https://doi.org/10.54675/NNAA4843

UNICEF. (2021) The state of the World’s Children 2021: on my mind – promoting, protecting and caring for children’s mental health. Nova Iorque: UNICEF. https://www.unicef.org/reports/state-worlds-children-2021

Zottmann, C. E. M., Georg, M. A. C., Alves, R. S., Silva, M. A., & Nunes, R. R. (2023). Proposta de metodologia para avaliação de riscos de privacidade para órgãos do poder judiciário no Brasil. ENAJUS. Encontro de Administração da Justiça, Brasília-DF, 2023. https://enajus.org.br/anais/assets/papers/2023/sessao-7/proposta-de-metodologia-para-avaliacao-de-riscos-de-privacidade-para-orgaos-do-poder-judiciario-no- art.pdf

Zuboff, S. (2019). The age of surveillance capitalism: the fight for a human future at the new frontier of power. New York: PublicAffairs.