Extração de Dados de Alunos
em Conformidade com a FERPA: Um Guia para Admissões

O que torna um documento do aluno um "Registro Educacional" sob a FERPA

O ponto de partida não é se você pretende criar um registro do aluno — é se o documento que você está processando já atende à definição da FERPA. De acordo com 34 CFR § 99.3, um registro educacional é aquele que (1) está diretamente relacionado a um aluno e (2) é mantido por uma agência ou instituição educacional — ou por uma parte que atua em nome da agência ou instituição. Essa cláusula final é o que coloca as ferramentas de extração de documentos de terceiros no escopo da FERPA.

Um documento satisfaz o critério "diretamente relacionado" quando identifica expressamente um aluno por nome, número de identificação ou outro identificador — ou quando a identidade de um aluno pode ser deduzida de seu conteúdo em combinação com outras informações razoavelmente disponíveis. Um formulário de matrícula com o nome completo legal do aluno, data de nascimento e endereço é claramente um registro educacional no momento em que se torna parte dos registros mantidos pela instituição. Um histórico escolar é um. Uma carta de recomendação de professor com o nome de um aluno é uma.

E um formulário de inscrição de um aluno que acaba não se matriculando? A definição da FERPA depende se o registro é mantido pela instituição — não se o aluno eventualmente frequenta. Se um escritório de admissões digitaliza e armazena o arquivo de um candidato, esses documentos são registros educacionais sob § 99.3, independentemente do resultado da matrícula. O mesmo se aplica a inscrições adiadas para o próximo ciclo de admissões.

Se o documento nomeia um aluno e seu escritório o armazena — fisicamente, em um servidor ou em um aplicativo na nuvem — é quase certo que é um registro educacional sob § 99.3. O formato não importa. O regulamento cobre explicitamente "manuscrito, impressão, mídia de computador, videoteipe, audiotape, filme, microfilme e microficha." Um PDF digitalizado de um pacote de matrícula manuscrito tem o mesmo peso regulatório que o papel original.

Documentos que não são registros educacionais incluem anotações de posse exclusiva mantidas por um indivíduo e não compartilhadas, registros de unidades de aplicação da lei, registros de emprego para alunos-funcionários em sua capacidade como funcionários e registros de tratamento de um profissional de saúde (34 CFR § 99.3(b)). Nenhuma dessas isenções se aplica a documentos de matrícula, históricos escolares, cartas de recomendação ou formulários de auxílio financeiro — os documentos que os escritórios de admissões lidam todos os dias.

Para uma visão mais ampla de como a FERPA e outros regulamentos moldam os fluxos de trabalho de documentos na educação, consulte o guia OCR para educação, que aborda a FERPA juntamente com considerações operacionais para digitalização e digitalização de registros escolares.

O Momento do Upload — Por Que a Extração Automatizada é uma "Divulgação"

A regra central da FERPA, conforme o § 99.30, é direta: uma instituição educacional não pode divulgar informações pessoalmente identificáveis (PII) do registro educacional de um aluno sem o consentimento prévio por escrito do pai ou do aluno elegível. A definição de divulgação no § 99.3 significa "permitir o acesso ou a liberação, transferência ou outra comunicação de informações pessoalmente identificáveis contidas em registros educacionais a qualquer parte, por qualquer meio, incluindo meios orais, escritos ou eletrônicos."

Fazer upload de um documento de aluno para uma ferramenta de extração de IA de terceiros atende a todos os elementos dessa definição. O documento é transmitido eletronicamente da instituição para o provedor. A infraestrutura em nuvem do provedor recebe o arquivo. O modelo de IA do provedor processa o conteúdo para extrair dados. Cada uma dessas etapas é uma divulgação sob a FERPA — não apenas a final. A transmissão, o armazenamento, a inferência — todas são operações de processamento que exigem uma base legal.

Isso não é uma preocupação teórica. Uma discussão de junho de 2021 no r/k12sysadmin capturou o problema prático com precisão: um distrito queria uma solução de compartilhamento de arquivos que atendesse aos requisitos da FERPA para dados de alunos enviados externamente. A pergunta central do tópico — "este provedor está agindo sob nosso controle ou de forma independente?" — é exatamente a pergunta que todo escritório de admissões deve responder antes de fazer upload de um único documento de aluno para qualquer ferramenta em nuvem.

Portanto, a divulgação em si não é ilegal — mas só é legal se uma das exceções da FERPA se aplicar. Para extração de documentos, a exceção relevante é a exceção do funcionário escolar. Sem ela, esse upload é uma divulgação não autorizada — e uma divulgação não autorizada de um registro educacional é, por definição, uma violação da FERPA.

A questão de conformidade não é se a extração automatizada pode ser feita legalmente — é se o provedor específico que você escolhe atende aos critérios da exceção do funcionário escolar. O upload em si cria a obrigação de divulgação; a exceção é o que a satisfaz.

Exceção de Oficial Escolar — Seu Caminho de Conformidade sob § 99.31(a)(1)

De acordo com 34 CFR § 99.31(a)(1)(i)(B), um contratante externo — incluindo um provedor de extração de documentos baseado em nuvem — pode ser considerado um "oficial escolar" autorizado a receber registros educacionais sem consentimento prévio do aluno, desde que três condições sejam atendidas. Cada condição é uma barreira de conformidade. Se qualquer uma das três falhar, a exceção não se aplica — e a divulgação não é autorizada.

O documento de orientação do PTAC de fevereiro de 2014, "Protegendo a Privacidade do Aluno ao Usar Serviços Educacionais Online", acrescenta que as escolas devem usar acordos por escrito mesmo quando a FERPA pode não exigi-los estritamente — e que o contrato deve especificar a propriedade dos dados (da escola, não do provedor), a finalidade do processamento e a devolução ou destruição dos dados ao final do contrato. Um modelo de Termos de Serviço publicado pelo PTAC em março de 2016 fornece linguagem contratual específica para cada uma dessas disposições.

Uma observação operacional: a instituição, não o provedor, determina quem se qualifica como oficial escolar. De acordo com § 99.7(a)(3)(iii), a notificação anual da FERPA da instituição aos alunos deve especificar os critérios para determinar quem constitui um oficial escolar e o que constitui um interesse educacional legítimo. Se a notificação da sua instituição não contempla provedores externos de processamento de documentos como oficiais escolares, atualize a notificação antes de fazer o upload.

Informação de Diretório vs. Registros Educacionais Completos — Por Que a Exceção Não Abrange Formulários de Matrícula

Algumas equipes de admissão perguntam: podemos tratar os dados de um formulário de matrícula como informação de diretório, ignorando completamente a exceção de oficial escolar? A resposta depende do que a FERPA realmente define como informação de diretório — e do que não define.

De acordo com 34 CFR § 99.3, informação de diretório é "informação contida em um registro educacional de um aluno que geralmente não seria considerada prejudicial ou uma invasão de privacidade se divulgada." Pode incluir o nome do aluno, endereço, listagem telefônica, endereço de e-mail, fotografia, data e local de nascimento, área de estudo principal, nível de ensino, status de matrícula, datas de frequência, participação em atividades reconhecidas, diplomas e prêmios, e a instituição educacional mais recente frequentada. De acordo com § 99.31(a)(11) e § 99.37, a informação de diretório pode ser divulgada sem consentimento — desde que a instituição tenha notificado os pais e alunos elegíveis sobre as categorias designadas e lhes dado a oportunidade de optar por não participar.

Portanto, o nome e endereço de um aluno, isoladamente, poderiam ser divulgados como informação de diretório. Mas um formulário de matrícula contendo esses campos mais o número de Seguro Social do aluno, data de nascimento, informações médicas, histórico disciplinar, notas de testes, idioma falado em casa, elegibilidade para merenda gratuita ou reduzida, ou status de imigração — qualquer um desses campos adicionais está fora da definição de informação de diretório. Um formulário de matrícula não é uma coleção de pontos de dados independentes que podem ser separados em baldes de "diretório" e "não diretório" quando enviados a uma ferramenta de extração. O documento como um todo contém campos protegidos, e a divulgação do documento como um todo aciona a FERPA — independentemente de quais campos você pretende extrair.

Além disso, a FERPA exclui especificamente o número de Seguro Social de um aluno e certos números de identificação de estudante da definição de informação de diretório (§ 99.3, parágrafo (c) da definição). Se seus formulários de matrícula coletam SSNs — como muitos fazem para verificação de auxílio financeiro — a exceção de informação de diretório não pode ser aplicada ao formulário como um todo. A exceção de oficial escolar continua sendo o caminho correto mesmo quando você está extraindo apenas um subconjunto de campos, como a extração de formulários de matrícula de alunos normalmente faz — visando colunas específicas como nome, endereço e contatos de emergência, ignorando campos não necessários para a importação do SIS.

O que o Contrato Deve Incluir — Construindo o "Controle Direto" no Papel

A exceção do funcionário escolar exige que o provedor esteja "sob o controle direto" da instituição. Como uma empresa independente não está na hierarquia organizacional da instituição, o único mecanismo para estabelecer controle direto é um contrato por escrito. Aqui está o que a orientação do PTAC e as melhores práticas institucionais dizem que esse contrato deve abordar.

Um ponto estrutural que merece destaque: aceitar os termos de serviço padrão de um fornecedor em um site não satisfaz o requisito contratual. Os contratos de adesão (TOS) geralmente são apresentados no modelo "aceite ou deixe" e raramente contêm as restrições específicas de tratamento de dados exigidas pela FERPA. Um acordo institucional dedicado — seja um contrato independente, um Acordo de Processamento de Dados ou uma ordem de compra com cláusulas específicas da FERPA anexadas — é o padrão de prática para instituições preocupadas com a conformidade. Essa é a mesma estrutura aplicável em setores com regulação semelhante — o guia de extração de documentos jurídicos aborda acordos análogos de tratamento de dados por terceiros no contexto de escritórios de advocacia, onde a confidencialidade do cliente impõe requisitos paralelos de controle.

Retenção, Exclusão e a Questão do Treinamento de Modelos

Três questões operacionais surgem em toda discussão nos escritórios de admissões sobre extração automatizada: por quanto tempo o fornecedor mantém nossos documentos? Podemos solicitar a exclusão quando terminarmos? E — a questão que separa ferramentas em conformidade das não conformes — os documentos dos alunos serão usados para treinar a IA do fornecedor?

Retenção: Minutos, Não Meses

A FERPA não especifica um prazo máximo de retenção para dados mantidos por um oficial escolar. No entanto, as diretrizes do Modelo de Termos de Serviço do PTAC recomendam que os fornecedores devolvam ou destruam os registros educacionais ao final do contrato — e, como boa prática, que retenham os dados apenas pelo tempo necessário para executar o serviço contratado. Para extração de documentos, o serviço contratado geralmente é concluído em minutos após o upload e processamento do arquivo. Um fornecedor que retém documentos enviados por dias, semanas ou indefinidamente após a extração não está mais mantendo os dados para a finalidade autorizada — e essa lacuna entre a conclusão do processamento e a exclusão é onde o risco de conformidade se acumula.

A arquitetura é importante aqui. Uma ferramenta projetada para processamento transitório — documentos enviados, IA extrai os dados, resultados devolvidos, originais excluídos dentro de uma janela definida — satisfaz o princípio de retenção no nível do sistema. Uma ferramenta que armazena documentos em cache indefinidamente, os retém em pipelines de inferência para execuções futuras ou os armazena para análises ou melhoria do produto cria uma obrigação correspondente de documentar e justificar essa retenção. Quanto mais curta e claramente definida for a janela de retenção, menor será a área de exposição regulatória.

Exclusão: Obtenha por Escrito

De acordo com as regulamentações da FERPA, uma instituição não perde sua conformidade apenas porque um provedor detém dados. Mas quando um pai ou aluno elegível exerce o direito de solicitar a exclusão, ou quando o contrato termina, o provedor deve ser capaz de executá-la. Solicite uma confirmação por escrito da exclusão — não uma declaração genérica, mas um reconhecimento específico cobrindo seus arquivos enviados. Registre essa confirmação em sua documentação de conformidade. Se o provedor não puder produzi-la sob demanda, o requisito de controle direto sob § 99.31(a)(1)(i)(B)(2) fica em questão.

Treinamento de Modelo: A Linha Dura

Esta é a questão onde ambiguidade não é aceitável. Se seu provedor de extração usa documentos de alunos enviados para treinar seus modelos de IA, isso constitui um uso além da finalidade de processamento autorizada. A orientação do PTAC adverte especificamente contra provedores que usam dados de alunos para "melhoria de produto" ou "mineração de dados", a menos que explicitamente autorizado. Usar o formulário de matrícula de um aluno para melhorar um modelo de IA não é a função institucional para a qual os dados foram divulgados — é um uso secundário que requer autorização separada.

Pergunte diretamente ao provedor: vocês usam documentos enviados pela minha instituição para treinar, ajustar ou melhorar seus modelos de IA? Se a resposta for sim — ou ambígua — a exceção de oficial escolar não cobre esse uso. Obtenha um compromisso por escrito. A resposta defensável do ponto de vista de conformidade com a FERPA é um claro não.

Alguns provedores oferecem infraestrutura dedicada ou processamento sem retenção especificamente para evitar esse problema. A vantagem de conformidade é estrutural: se a ferramenta processa transitoriamente e nunca retém documentos além da janela de extração, o treinamento de modelo em seus dados é arquiteturalmente impossível, não apenas contratualmente proibido. Essa é uma posição mais forte do que uma promessa contratual isolada — e auditores e oficiais de conformidade reconhecem a diferença. Para um tratamento mais amplo de como ferramentas de extração lidam com documentos em ambientes altamente regulamentados, o guia de OCR para educação aborda arquiteturas de tratamento de dados em diferentes fluxos de trabalho institucionais.

O Que Isso Significa para Arquivos de Admissão Já no Seu SIS

Muitos escritórios de admissão processam três categorias de documentos: inscrições recebidas, pacotes de matrícula verificados e registros já armazenados no sistema de informações do aluno. A análise da FERPA difere sutilmente entre essas categorias — e a distinção é relevante para o contrato que você negocia com um provedor de extração.

Inscrições recebidas. Documentos que chegam de fora — inscrições do Common App, históricos escolares enviados por correio, cartas de recomendação por e-mail — tornam-se registros educacionais no momento em que a instituição os "mantém". Se um escritório de admissão digitaliza um histórico escolar enviado por correio e o salva antes de processá-lo, essa ação de digitalização cria um registro educacional. Se o escritório o envia diretamente para uma ferramenta de extração sem primeiro criar uma cópia interna, a transmissão ao provedor de extração é o primeiro ato de manutenção — e simultaneamente uma divulgação que exige a exceção de funcionário escolar.

Arquivos de matrícula verificados. Documentos que já foram validados e inseridos no SIS (PowerSchool, Infinite Campus, Skyward, Banner) são, sem dúvida, registros educacionais. Extrair campos adicionais desses documentos — complementando o registro do SIS com novos dados — é uma operação de processamento que exige a mesma exceção de funcionário escolar. A ferramenta está executando uma função que a instituição, de outra forma, realizaria com sua própria equipe.

Registros já no SIS. Exportar dados do aluno do SIS e alimentá-los em uma ferramenta de extração para enriquecimento, deduplicação ou referência cruzada é uma divulgação do SIS para o provedor de extração. A exportação do SIS é a fonte; a ferramenta de extração é o destinatário. A cadeia de custódia é importante. Documente-a — quais registros foram exportados, para qual provedor, com qual finalidade, sob qual autoridade contratual.

Esse fluxo de dados — do papel para a ferramenta de extração para o SIS — não é exclusivo da educação. Empresas de administração de propriedades enfrentam as mesmas questões de cadeia de custódia ao digitalizar contratos de locação, conforme abordado no guia de extração de contratos de locação em escala. A estrutura regulatória é diferente (direito imobiliário vs. FERPA), mas o padrão operacional — papel-entrada, controle de contrato, dados-estruturados-saída — espelha o fluxo de trabalho do escritório de admissão.

Lista Prática de Conformidade com a FERPA para Processamento Automatizado de Documentos

Cada etapa abaixo corresponde a uma referência regulatória específica, permitindo que você documente a conformidade antes mesmo de enviar um único arquivo.

Perguntas Frequentes

Posso extrair apenas campos de informações de diretório e evitar acionar a FERPA completamente?

Em teoria, sim — se o documento contiver apenas campos de informações de diretório. Na prática, a maioria dos documentos de admissão — formulários de matrícula, históricos escolares, cartas de recomendação — contém pelo menos um campo que não é de diretório (data de nascimento junto com nome e endereço, CPF em formulário de auxílio financeiro, notas de testes em histórico escolar). O documento como um todo é divulgado quando enviado, não os campos individuais. Se qualquer campo do documento estiver fora da definição de informações de diretório, a divulgação aciona as proteções da FERPA. Para fins práticos, considere que todo documento de admissão exige a exceção de funcionário escolar. A exceção de informações de diretório raramente é suficiente para fluxos de extração.

E se meu provedor de extração oferecer termos de serviço por clique em vez de um contrato assinado?

Termos por clique não atendem ao requisito de controle direto sob § 99.31(a)(1)(i)(B)(2) por dois motivos. Primeiro, geralmente não são negociáveis — a instituição não pode impor as restrições específicas exigidas pela FERPA. Segundo, a orientação do PTAC distingue especificamente entre um contrato negociado e os termos padrão de um provedor, recomendando o primeiro. Se seu provedor não puder oferecer um acordo institucional assinado com disposições específicas de tratamento de dados da FERPA, a lacuna de conformidade é estrutural, não contratual.

As anotações do conselheiro de admissões em uma inscrição são um registro educacional?

Não, se elas se qualificarem como registros de posse exclusiva sob § 99.3(b)(1) — registros mantidos na posse exclusiva do criador, usados apenas como auxílio de memória pessoal e não acessíveis ou revelados a qualquer outra pessoa, exceto um substituto temporário. Mas, no momento em que essas anotações são compartilhadas com um comitê de admissões, inseridas em um sistema compartilhado ou divulgadas a uma ferramenta externa, elas perdem o status de posse exclusiva e se tornam registros educacionais. Escritórios de admissão que usam ferramentas de extração para digitalizar anotações de conselheiros devem tratar as versões digitalizadas como registros educacionais e aplicar a exceção de funcionário escolar.

O que acontece com os dados dos nossos alunos se trocarmos de provedor de extração?

O provedor atual deve devolver ou destruir todos os registros educacionais conforme a cláusula de rescisão do seu contrato. Solicite uma exportação documentada dos dados extraídos de que precisa e, em seguida, uma confirmação por escrito da exclusão. Guarde essa confirmação. Se o provedor atual usou um subprocessador para inferência de IA, confirme que as cópias do subprocessador também foram excluídas. Trata-se de uma questão de cumprimento contratual, não de conformidade com a FERPA — mas a instituição que divulgou os registros continua responsável por garantir o tratamento adequado mesmo após o fim da relação contratual.

Quais são as penalidades por usar uma ferramenta de extração não conforme?

A FERPA não impõe multas financeiras diretas às instituições. O mecanismo de fiscalização é a perda de financiamento federal do Departamento de Educação dos EUA — para instituições que recebem recursos do Título IV, isso é uma consequência existencial. O Escritório de Políticas de Privacidade de Estudantes (SPPO) do Departamento investiga reclamações e pode exigir ações corretivas. Além do mecanismo regulatório, uma divulgação não autorizada de registros educacionais de alunos acarreta risco de reputação, possível responsabilidade sob leis estaduais (muitos estados têm suas próprias leis de privacidade de dados estudantis com penalidades separadas) e o ônus operacional da notificação obrigatória de violação. Para uma ferramenta de extração não conforme, o caminho de fiscalização mais provável é uma reclamação de um pai ou aluno elegível que desencadeie uma investigação do SPPO — e a primeira pergunta que o investigador fará é se a exceção do oficial escolar foi aplicada corretamente.

As leis estaduais de privacidade de dados estudantis acrescentam requisitos além da FERPA?

Sim — e a variação é significativa. A AB 1584 da Califórnia exige nove cláusulas contratuais específicas em todo acordo entre uma escola e um fornecedor de tecnologia, incluindo propriedade de dados, restrições de publicidade e requisitos de exclusão. Mais de 20 estados aprovaram leis do tipo SOPIPA que restringem como os provedores de tecnologia educacional podem usar os dados dos alunos. A Lei de Educação § 2-d de Nova York impõe prazos de notificação de violação e requisitos de segurança de dados além da linha de base da FERPA. Se sua instituição estiver na Califórnia, Nova York, Illinois, Colorado, Connecticut ou em qualquer um dos estados com leis abrangentes de privacidade de dados estudantis, o contrato com seu provedor deve satisfazer tanto a FERPA quanto a lei estadual. A conformidade com a FERPA é o piso, não o teto.

Um pai pode acessar os dados que nossa ferramenta de extração produziu sobre seu filho?

Sim. De acordo com 20 U.S.C. § 1232g(a)(1)(A) e 34 CFR § 99.10, pais e alunos elegíveis têm o direito de inspecionar e revisar registros educacionais. Dados extraídos de um formulário de matrícula ou histórico escolar fazem parte do registro educacional do aluno — o pai tem o mesmo direito de acesso aos dados estruturados em planilha que teria ao formulário original em papel. Seu fluxo de extração deve preservar a capacidade de produzir um registro completo mediante solicitação. Se os dados extraídos forem integrados ao SIS, o SIS continua sendo a fonte oficial para solicitações de acesso dos pais.