LGPD no Moodle: O Que a Instituição Precisa Fazer no AVA

A LGPD no Moodle não se resolve com um banner de cookies nem com um PDF de política de privacidade no rodapé. O AVA guarda nome, CPF, e-mail, notas, frequência, IP e cada clique do aluno, às vezes de menores de idade. Este guia mostra o que a instituição precisa configurar, documentar e operar no Moodle para responder à ANPD, aos alunos e aos pais sem travar a rotina acadêmica.

TL;DR

• O Moodle já traz as ferramentas desde a versão 3.5: Políticas (tool_policy), Privacidade de dados (pedidos de exportação e exclusão) e Registro de dados com prazos de retenção. Mas plugin instalado não é conformidade: falta base legal, prazo e rotina.
• Incidente com dados de alunos precisa ser comunicado à ANPD em 3 dias úteis (Resolução CD/ANPD nº 15/2024), contados em dobro para agentes de pequeno porte.
• Desde 17/03/2026 o ECA Digital (Lei 15.211/2025) está em vigor. Se o seu AVA atende menores, a régua subiu.
• O que mais vejo dar errado: log guardado para sempre, backup de ex-alunos sem prazo e planilha de notas exportada para o Drive pessoal do professor.

Por que a LGPD no Moodle virou assunto de diretoria em 2026

Em 2026 três coisas tiraram a LGPD da gaveta do jurídico para quem opera um AVA.

A primeira: a ANPD deixou de ser um órgão com estrutura enxuta. A Lei 15.352/2026, publicada em fevereiro, transformou a autoridade em agência reguladora, com autonomia financeira e 200 cargos novos de especialista em regulação e proteção de dados, segundo o Congresso em Foco. Mais fiscal, mais processo.

A segunda: o ECA Digital entrou em vigor em 17 de março de 2026 (Machado Meyer). Ele vale para serviços digitais direcionados a crianças e adolescentes ou com acesso provável por eles. Escola, cursinho e curso técnico com menores de 18 anos entram na conta.

A terceira: educação já está no radar. A ANPD sancionou a Secretaria de Educação do Distrito Federal com advertências depois que dados de alunos e responsáveis, coletados em formulários online, ficaram expostos. Órgão público não recebe multa em dinheiro (art. 52 da LGPD). Instituição privada, sim: a multa simples chega a 2% do faturamento, limitada a R$ 50 milhões por infração.

O que o AVA tem que outros sistemas não têm

Um CRM guarda contato. O Moodle guarda comportamento: que horas o aluno entrou, de qual IP, o que respondeu no fórum, que nota tirou na recuperação. Em cursos de saúde ou direito, tarefas podem conter dados sensíveis de terceiros. É por isso que a LGPD no Moodle exige mais cuidado do que a do site institucional.

O que a LGPD exige da instituição que opera o Moodle

Primeiro, quem é quem. A instituição é a controladora: decide por que e como os dados são tratados. Quem hospeda ou mantém o Moodle é operador: trata dados em nome dela, segundo instruções escritas no contrato.

As obrigações que mais pesam no dia a dia de um AVA:

• Base legal para cada tratamento (art. 7º). Matrícula e histórico se apoiam em contrato e obrigação legal. Newsletter e foto do aluno na divulgação exigem outra base, muitas vezes consentimento.
• Dados de crianças e adolescentes (art. 14). Tratamento no melhor interesse do menor e, para crianças, consentimento específico de pelo menos um dos pais ou responsável.
• Direitos do titular (art. 18). Acesso, correção, portabilidade e eliminação do que foi tratado com consentimento.
• Encarregado (art. 41). Um nome e um canal de contato públicos. A Resolução CD/ANPD nº 18/2024 detalha a função.
• Segurança (art. 46) e comunicação de incidentes (art. 48).
• Registro das operações (art. 37). Saber que dados entram, por onde passam e quando saem.

Quando NÃO pedir consentimento

É o erro mais comum que encontro. A instituição põe um checkbox "Concordo com o tratamento dos meus dados" no cadastro e acha que resolveu. Criou um problema: consentimento pode ser revogado, e você teria que apagar notas que a lei manda guardar.

Para o núcleo acadêmico (matrícula, notas, frequência, certificado), a base é contrato ou obrigação legal. Consentimento fica para o que é realmente opcional. Para a LGPD no Moodle isso se traduz em políticas obrigatórias (termo de uso) e opcionais (que o aluno recusa sem perder o curso).

Os recursos nativos de LGPD no Moodle

Desde a versão 3.5, o Moodle traz no core dois componentes criados para o GDPR europeu: Políticas e Privacidade de dados. Como as duas leis têm estrutura parecida, eles servem bem à LGPD no Moodle também. Quase todo AVA que audito tem os dois instalados e nenhum dos dois configurado.

Políticas (tool_policy)

Em Administração do site > Usuários > Privacidade e políticas > Configurações de política, troque o "Manipulador de política do site" para Políticas (tool_policy). Esse é o primeiro ajuste de LGPD no Moodle que faço em qualquer AVA. A partir daí você cadastra políticas do tipo site, privacidade, terceiros ou outras, cada uma com versões.

O que esse recurso entrega na prática:

• Versionamento. Quando você publica uma versão nova que não é "alteração menor", todos os usuários precisam aceitar de novo no próximo login.
• Relatório de aceites. A tela de acordos dos usuários mostra quem aceitou qual versão e quando, com filtro e exportação. É a sua prova se a ANPD perguntar.
• Aceite em nome de menores. Um responsável pode receber a permissão no contexto do aluno e aceitar por ele. Você também pode impedir que o próprio menor aceite, bloqueando a capacidade de concordar com políticas.

Privacidade de dados (tool_dataprivacy)

É aqui que mora o trabalho de verdade. O plugin oferece:

1. Pedidos de dados. O aluno pede exportação ou exclusão pelo perfil, e o encarregado aprova ou nega. A exportação reúne os dados de todo componente que implementa a Privacy API.
2. Registro de dados. Você cria finalidades (com prazo de retenção) e categorias e aplica padrões a site, usuários, cursos e atividades.
3. Exclusão de dados. Com o prazo vencido, o contexto aparece para revisão. Depois de confirmado, a tarefa agendada "Delete expired contexts" apaga os dados.
4. Registro de privacidade dos plugins. Mostra o que cada plugin guarda. Plugin de terceiro sem provedor de privacidade é um alerta vermelho para a LGPD no Moodle da instituição.

Detalhe pouco conhecido: em atividades, a retenção conta da data de fim do curso; em usuários, do último acesso de quem não está mais inscrito. Curso sem data de fim nunca expira.

O papel de encarregado

O Moodle recomenda criar um papel próprio com a capacidade tool/dataprivacy:managedatarequests e atribuí-lo à pessoa responsável. Nas configurações de privacidade, ative o contato com o responsável pela privacidade, que coloca um link no perfil do usuário. Sem isso, os pedidos caem no administrador do site, que costuma ser o técnico.

Passo a passo: como configurar a LGPD no Moodle

É a sequência que usamos nos AVAs que mantemos. Cabe numa janela de manutenção, sem parar o semestre.

1. Inventário antes de clique

Todo projeto de LGPD no Moodle começa por uma lista do que entra no AVA e de onde: cadastro manual, matrícula via integração com sistema acadêmico, SSO do Google ou Microsoft, gateway de pagamento, campos de perfil personalizados. Cada campo extra (RG, data de nascimento, endereço) precisa de uma finalidade. Se ninguém sabe dizer por que o campo existe, ele sai.

2. Configurações de exposição

Ajustes simples que reduzem muito o risco:

• Forçar login e login para ver perfis, para perfis não ficarem abertos a buscadores.
• Campos de usuário ocultos: último IP, acessos e cidade só para quem precisa.
• Lista de participantes: aluno não precisa ver o e-mail de todos os colegas.
• Autenticação multifator, nativa no core desde o Moodle 4.3, ao menos para administradores, coordenadores e professores.

3. Políticas e idade de consentimento

Cadastre termos de uso e política de privacidade no tool_policy. Com autocadastro de menores, ative a verificação de idade digital de consentimento: ela pergunta idade e país e orienta o menor a procurar o responsável.

4. Registro de dados com prazos reais

Crie finalidades com prazos que o jurídico consiga defender. Um exemplo que funciona como ponto de partida:

Dado no Moodle	Finalidade	Base legal típica	Prazo sugerido para discussão
Cadastro, notas e conclusão	Execução do curso e emissão de certificado	Contrato / obrigação legal	Segue a regra de guarda do acervo acadêmico
Logs de acesso e atividade	Segurança, frequência, auditoria	Legítimo interesse / obrigação legal	12 a 24 meses, salvo exigência específica
Fóruns e mensagens	Interação pedagógica	Contrato	Até X meses após o fim do curso
Fotos e depoimentos para marketing	Divulgação	Consentimento	Até a revogação
Dados de pagamento	Cobrança	Contrato / obrigação legal	Prazo fiscal aplicável

Não é recomendação jurídica: é o ponto de partida que levamos ao encarregado. No ensino superior, o acervo acadêmico tem regra própria do MEC (Portaria MEC nº 315/2018), e ela prevalece.

5. Logs e backups

Nas configurações do log padrão (Standard log), o prazo de guarda vem como Nunca apagar. São anos de IP e navegação sem prazo. Ajuste conforme a tabela aprovada e faça o mesmo com o backup automático: quantas cópias, onde ficam, se incluem usuários.

Armadilhas comuns da LGPD no Moodle (e como evitar)

Estas aparecem em quase toda auditoria que fazemos.

Dados que vazam por fora do Moodle

O AVA pode estar impecável e o problema estar na planilha de notas que o professor baixou ou no grupo de WhatsApp pessoal do tutor com os telefones da turma. A LGPD no Moodle termina na borda do sistema; a da instituição, não. Defina quem pode exportar relatórios e treine coordenadores.

Plugins sem provedor de privacidade

Plugin que guarda dado pessoal sem implementar a Privacy API fica fora da exportação e da exclusão. O pedido do aluno sai incompleto sem ninguém perceber.

Backup com ex-alunos para sempre

A exclusão apaga do banco, não do backup de 2021 num bucket esquecido. Retenção que não alcança backup é meia política.

Homologação com dados reais

Copiar a produção para testar atualização sem anonimizar cria uma segunda cópia completa dos dados, quase sempre menos protegida. No guia sobre migrar o Moodle de servidor sem perder dados, esse ponto entra no plano desde o início.

Incidente de segurança no AVA: o que fazer nos primeiros 3 dias úteis

Vazamento acontece até em instituição séria. O que separa incidente controlado de problema regulatório é a rotina pronta antes dele.

Pela Resolução CD/ANPD nº 15/2024, quando o incidente pode causar risco ou dano relevante aos titulares, a comunicação à ANPD deve ser feita em 3 dias úteis a partir do conhecimento de que dados pessoais foram afetados. Dá para enviar uma comunicação preliminar e complementar depois, em até 20 dias úteis. Agentes de pequeno porte têm os prazos contados em dobro. Todo incidente, comunicado ou não, deve ficar registrado por no mínimo 5 anos.

O roteiro que mantemos para os AVAs sob nossa gestão:

1. Conter: trocar credenciais, isolar o servidor, desativar o plugin ou a conta comprometida.
2. Preservar evidências: logs do Moodle, do servidor e do banco antes de limpar.
3. Dimensionar: quantos usuários, quais dados, se há menores ou dados sensíveis.
4. Decidir com o encarregado se há risco relevante e obrigação de comunicar.
5. Corrigir a causa e registrar tudo.

O passo 3 só é rápido com logs confiáveis. E versão sem patch complica a defesa: atualizar faz parte da LGPD no Moodle também. Para ver como uma falha vira exposição em escala, leia a análise do vazamento de dados no Reino Unido e as lições de LGPD.

Custos e prazos: quanto custa adequar a LGPD no Moodle

O custo varia mais com a bagunça acumulada do que com o tamanho do AVA. Um Moodle grande e organizado se adequa mais rápido que um pequeno com dez anos de plugins abandonados.

Na nossa experiência, um projeto de LGPD no Moodle se divide assim:

• Configuração técnica (políticas, registro de dados, papéis, MFA, logs): poucos dias de trabalho num AVA saudável.
• Saneamento (plugins sem Privacy API, cursos sem data de fim, backups antigos): é onde o prazo estica.
• Parte jurídica (bases legais, textos, contrato com o operador, encarregado): é da instituição e do advogado dela. O técnico traduz a decisão em configuração.
• Operação contínua (pedidos de titulares, exclusões, atualizações): é onde a conformidade se mantém ou morre.

Quando não vale fazer sozinho

Se a sua TI é uma pessoa dividida entre rede, impressora e AVA, não comece pelo registro de dados. Exclusão mal configurada apaga notas de curso em andamento, sem "desfazer". Faça o inventário e a exposição e deixe retenção para quem já fez isso antes.

Quando não precisa de projeto grande

Curso livre pequeno, só adultos, sem dado sensível e sem integração externa: o plugin de políticas bem preenchido, MFA para administradores, log com prazo e um encarregado nomeado já cobrem o essencial.

Faça junto com acessibilidade

A revisão de LGPD no Moodle passa pelos mesmos lugares que a de acessibilidade: tema, campos de perfil, comunicação com aluno. Quando fazemos a adequação de acessibilidade no Moodle com LBI e WCAG 2.2, a lista de pendências de privacidade sai praticamente junto. Projeto isolado é pagar duas vezes.

Como a Agathas Web resolve isso

Moodle é o centro do nosso trabalho há mais de 15 anos. Temos a Moodle Developer Certification, da Moodle Academy, e mantemos AVAs de escolas, universidades, escolas de governo e treinamento corporativo. A adequação de LGPD no Moodle entra no nosso serviço de Moodle como parte do pacote de segurança, não como consultoria jurídica.

O que está incluso na prática:

• Diagnóstico: versão, plugins sem Privacy API, campos de perfil, logs, backups, homologação e integrações.
• Configuração técnica: tool_policy, registro de dados com os prazos definidos pela instituição, papel de encarregado, MFA e exposição de perfis.
• Saneamento: cursos sem data de fim, backups antigos e anonimização da homologação.
• Operação contínua: atualizações de segurança, backup verificado, monitoramento e apoio técnico em pedidos de titulares e incidentes.
• Hospedagem dedicada com servidor ajustado para Moodle e contrato de operador claro, se fizer sentido.
• Comunicação pela API oficial do WhatsApp, integrada ao AVA: mensagem sai do número da instituição, com opt-in registrado, e não do celular pessoal do tutor.

Como se contrata: pela página de Moodle da Agathas Web, você conta o tamanho do AVA e o que já existe, e devolvemos diagnóstico e proposta com escopo fechado. A decisão jurídica segue com o seu encarregado; nós entregamos a parte que exige alguém dentro do Moodle.

Conclusão: LGPD no Moodle é configuração mais rotina

O Moodle já tem quase tudo o que a LGPD pede. Falta à maioria das instituições decidir bases legais e prazos, ligar os recursos e manter a rotina rodando com o sistema atualizado.

Comece por três coisas esta semana: nomeie o encarregado no Moodle, ative o tool_policy com uma política de privacidade real e tire o log do "Nunca apagar". Se quiser que alguém faça o diagnóstico completo e assuma a parte técnica, o time de Moodle da Agathas Web faz isso todo mês.