Especialistas pedem explicação sobre app instalado sem permissão

Professores, alunos e pais de alunos da rede estadual de ensino de São Paulo foram sur­preendidos, na semana passada, com a instalação de um aplica­tivo, chamado de Minha Escola SP, em seus aparelhos celulares particulares sem autorização. Problema semelhante ocorreu no ano passado no Paraná que, na época, tinha à frente da Se­cretaria Estadual da Educação o atual titular da pasta em São Paulo, Renato Feder.

O Sindicato dos Professores do Ensino Oficial do Estado de São Paulo (Apeoesp) informou que foi procurado por um gran­de número de professores que relatavam a instalação do apli­cativo em seus celulares, “sem que tenham autorizado, como exige a Lei Geral de Proteção de Dados”, e que procurou a Secre­taria Estadual da Educação para esclarecer o caso, tendo sido in­formado de que “a empresa con­tratada instalou indevidamente o aplicativo por meio do chip corporativo enviado pelo gover­no aos servidores”.

A Secretaria da Educação (Seduc) disse que instaurou “processo administrativo para apurar todas as circunstâncias relativas à instalação involuntá­ria do aplicativo Minha Escola”. Segundo a pasta, “a falha ocor­reu durante um teste promovido pela área técnica em dispositivos específicos da Seduc”.

“Assim que identificou o equívoco que levou à instalação do app em dispositivos conec­tados às contas Google institu­cionais, a reversão foi acionada com o envio de solicitações para exclusão do aplicativo. O usuá­rio também pode excluir o app por conta própria, se preferir. A Seduc lamenta o ocorrido e reforça que as medidas cabíveis estão sendo adotadas”, diz nota divulgada pela secretaria.

Para especialistas, a Seduc precisa informar realmente como isso tudo ocorreu, que dados foram vazados e se al­gum tipo de informação privada pode ter sido acessada.

Em princípio, é possível di­zer que houve uma infração da Lei Geral de Proteção de Dados (LGPD), afirmou Carlos Co­ninck, especialista no assunto. “Quando falamos em instalação de aplicativos, é necessário ter um prévio consentimento do titular de dados”, disse Coninck, lembrando que isso está previs­to na LGPD, que está em vigor desde 2020. “A infração existe porque houve um acesso não autorizado para a instalação de um aplicativo que não teve pré­vio consentimento.”

No entanto, destacou Conin­ck, “ainda não é possível dizer se houve invasão de privacidade. É preciso entender melhor como foi realizada a operação e como o Estado conseguiu instalar esse aplicativo, se foi por meio de chip, se foi por meio do Google Institucional, se foi por meio de atualização do software.” A vio­lação de privacidade ocorreria se o aplicativo Minha Escola SP ti­ver dado acesso a outros aplicati­vos ou a pastas pessoais do usu­ário, tais como fotos e arquivos.

“Diante de um incidente como esse, que envolve dados pessoais, é importante a secreta­ria conduzir uma análise foren­se, uma auditoria, em que possa precisar para toda a sociedade, especialmente os professores e alunos, como se deu essa insta­lação, qual o período relaciona­do a ela, qual foi a metodologia empregada, se houve necessaria­mente o compartilhamento de dados pessoais, quantos dispo­sitivos foram envolvidos na atu­alização e, principalmente, quais dados pessoais foram transacio­nados”, disse o advogado e espe­cialista em crimes cibernéticos José Antonio Milagre.

De acordo com Milagre, ain­da não é possível afirmar como foi possível instalar o aplicativo nos celulares, inclusive particu­lares, sem autorização. O espe­cialista citou algumas possibi­lidades: atualização do sistema operacional dos dispositivos, contas institucionais vinculadas aos celulares e até compartilha­mento de informações entre a secretaria e o Google. “O que deve ser feito é uma investiga­ção. E, mesmo a secretaria sendo um órgão público, está sujeita à LGPD”, ressaltou o advogado.

Na última sexta-feira (11), as deputadas federais Erika Hilton e Luciene Cavalcante, do PSOL, protocolaram representação no Ministério Público para que o caso seja investigado. “Como a secretaria teve acesso a esses dispositivos sem autorização? O que aconteceu com os da­dos dessas pessoas? Para quem foram repassadas essas infor­mações? São perguntas para as quais exigimos resposta”, escre­veu a deputada Erika Hilton em suas redes sociais.

Proteção de dados
Especialistas destacam que os professores e alunos que se sen­tirem violados podem acionar a Autoridade Nacional de Prote­ção de Dados (ANPD). “O titu­lar que sentir que teve infração à Lei Geral de Proteção de Dados, à sua privacidade e ao tratamen­to de dados pode, e deve, buscar a ANPD, que é responsável pela aplicação e fiscalização da lei em território nacional. É ela quem vai instaurar um inquérito ad­ministrativo para verificar aquela irregularidade e aplicar a sanção que é cabível”, disse Coninck.

As pessoas também podem buscar uma resposta judicial. “Tendo algum prejuízo efetivo, a pessoa pode vir a buscar isso na esfera judicial, mas o que se determina, desde já, é que se instaure um processo na ANPD para que sejam investigadas quais foram as causas, como isso se deu, quais dados foram acessados, quais dados tiveram tratamento e como foi feita essa instalação”, ressaltou.

“A lei não exclui um eventual processo judicial. [Para] aquelas pessoas que comprovarem da­nos a partir desses vazamentos de dados, a lei não exclui a possi­bilidade de uma busca judicial”, confirmou Milagre.

Entre as sanções possíveis que a Seduc pode enfrentar es­tão, por exemplo, advertência, publicização da infração, blo­queio dos dados pessoais refe­rentes à infração, eliminação dos dados pessoais referentes à infração e suspensão ou proibi­ção do exercício de tratamento dos dados pessoais, entre outros.

“Se for comprovado que, para essa instalação, houve comparti­lhamento ou tratamento irregu­lar dos dados desses professores e pais de alunos, isso pode carac­terizar uma violação da LGPD. Embora seja um órgão público e não esteja sujeito a uma ação pecuniária, nada impede que a secretaria sofra outras sanções previstas na Lei de Proteção de Dados”, disse Milagre.

Google
“A partir do momento em que as pessoas tiveram os apli­cativos instalados, elas merecem informações. Elas merecem in­formações da secretaria e me­recem explicações do Google. Hoje, pela LGPD, essas pessoas têm o direito de tensionar, de questionar. Elas podem, por meio dos encarregados de pro­teção de dados, fazer um ques­tionamento sobre como isso ocorreu, o que foi armazenado, como isso se deu, que medidas pode fazer para preservar sua segurança e o que mais ela deve saber sobre seus dados. Essas empresas ou agentes de trata­mento têm dever de responder a esse titular dos dados”, acrescen­tou Milagre.

Em nota, a empresa Google informou que “o Google Works­pace for Education é uma pla­taforma utilizada por diversas instituições de ensino no Brasil e no mundo” e que “os termos de serviço da plataforma estão de acordo com a Lei Geral de Pro­teção de Dados”.

Segundo a empresa, os ges­tores das instituições de ensino são os responsáveis pela admi­nistração, configuração e ges­tão dos dados dos usuários e dos aparelhos cadastrados. “O Google não opera e não exerce qualquer ingerência nos coman­dos escolhidos e implementados pelos parceiros”, informou.

“Além disso, como também previsto na LGPD, a plataforma oferece uma central de trans­parência para que os usuários possam monitorar o uso, veri­ficar as configurações de segu­rança e fazer escolhas relevantes para a proteção de seus dados. É importante ressaltar que não participamos do desenvolvi­mento, dos testes e nem da ins­talação do aplicativo citado pela reportagem”, disse a empresa, por meio de nota.