PUC‑SP e EducaOpen: riscos jurídicos do uso de Open Finance em bolsas

Estudantes da PUC‑SP se mobilizaram contra a adoção da plataforma EducaOpen pela mantenedora Fundasp para gerir concessão e renovação de bolsas, denunciando riscos de privacidade e de decisões automatizadas. A controvérsia traz à tona questões centrais da Lei Geral de Proteção de Dados (Lei 13.709/2018) e da necessidade de controles processuais e técnicos antes da implantação de sistemas baseados em dados financeiros.

Contexto

A incorporação de soluções de Open Finance e análise de dados pessoais em políticas educacionais é parte de uma tendência mais ampla de digitalização da gestão universitária. Open Finance prevê o compartilhamento padronizado de informações financeiras mediante consentimento entre instituições, viabilizando decisões de crédito e avaliação de risco com maior granularidade. Aplicado à concessão de bolsas, esse instrumento promete maior eficiência e personalização, mas também suscita problemas de privacidade, vieses algorítmicos, transparência e proporcionalidade.

No plano normativo, a LGPD regula o tratamento de dados pessoais no Brasil e impõe limites quanto às bases legais, finalidades, direitos dos titulares e medidas de segurança. Paralelamente, o princípio constitucional da dignidade da pessoa humana e o direito à intimidade e à vida privada (art. 5º da Constituição Federal) oferecem fundamento constitucional ao controle sobre informações sensíveis de estudantes. A controvérsia importa porque decisões automáticas sobre acesso a benefício educacional podem internalizar exclusões e criar efeitos substantivos sobre o projeto acadêmico e social de indivíduos.

O que foi decidido

Embora a matéria ainda seja um debate em curso, o fato público é que estudantes protestaram contra a implementação imediata do EducaOpen pela Fundasp/PUC‑SP, argumentando falta de transparência, risco de discriminação e insuficiência de garantias legais. A mobilização indica resistência à adoção sem esclarecimentos sobre os tipos de dados a serem coletados, a base jurídica do tratamento, as regras de compartilhamento com terceiros e os critérios algoritmos utilizados para concessão e renovação de bolsas.

Do ponto de vista jurídico-prático, essa reação pressiona a instituição a adotar medidas antes da operacionalização: definição clara de base legal, políticas de acesso e retenção de dados, relatórios de impacto à proteção de dados (DPIA), mecanismos efetivos de revisão humana de decisões automatizadas e transparência quanto a perfis e modelos usados. Em suma, a implementação imediata sem essas salvaguardas expõe a universidade a riscos de responsabilização administrativa perante a Autoridade Nacional de Proteção de Dados (ANPD) e a litígios civis.

Base normativa e precedentes

• Art. 5º, CF/88 — tutela constitucional da intimidade, vida privada e dignidade da pessoa humana, fundamento para limitação de usos de dados sensíveis ou pessoais.
• Lei 13.709/2018 (LGPD) — regula o tratamento de dados pessoais, impondo princípios, bases legais, direitos dos titulares e responsabilidades do controlador e operador.
• Art. 7º, LGPD — enumera as hipóteses de tratamento lícito, entre as quais o consentimento e o cumprimento de obrigação legal ou regulatória; essencial avaliar qual base será invocada para o uso de Open Finance na seleção de bolsistas.
• Art. 18, LGPD — direitos do titular (confirmação, acesso, correção, eliminação, portabilidade e informação sobre compartilhamento), relevantes para estudantes conhecerem e exercerem seus direitos.
• Normas e atos da ANPD — diretrizes e autorizações da autoridade administrativa são parâmetros para execução de DPIAs, tratamentos sensíveis e práticas de accountability; a ANPD tem competência para fiscalização e aplicação de sanções previstas na LGPD.
• Jurisprudência consolidada do tribunal — a jurisprudência administrativa e judicial tem acentuado a necessidade de transparência, consentimento informado e mitigação de vieses nos processos decisórios automatizados (aplicável por analogia às decisões sobre benefícios educacionais).

Impacto prático

• Para estudantes: risco de exposição de informações financeiras e possíveis decisões automatizadas que afetem concessão de bolsa; necessidade de ser informado sobre quais dados serão compartilhados e com que finalidade; direito de solicitar revisão humana e acesso aos critérios de decisão.
• Para a universidade e a mantenedora (Fundasp): obrigação de demonstrar base legal adequada, realizar avaliação de impacto e implementar medidas técnicas e organizacionais para reduzir riscos; possível obrigação de celebrar contratos claros com provedores da plataforma e limitar transferência internacional de dados.
• Para advogados e defensores públicos: oportunidade para reclamações administrativas à ANPD, demandas judiciais em defesa de direitos de personalidade e pedidos de tutela de urgência para suspender tratamentos até a implementação de garantias.
• Para provedores de tecnologia e parceiros de Open Finance: exigência de compliance robusto com a LGPD, documentação de fluxos de dados, testes de equidade algorítmica e cláusulas contratuais de accountability.

O que observar

• Base jurídica invocada: esclarecer se o tratamento se ampara em consentimento livre e informado (Art. 7º, LGPD) ou em outra hipótese; o uso de consentimento como fundamento para vínculo institucional suscita questões sobre voluntariedade.
• Avaliação de impacto (DPIA): recomendável conduzir e publicar o relatório de impacto para demonstrar diligência e mitigar riscos de sanções pela ANPD.
• Decisões automatizadas e revisão humana: estabelecer mecanismos efetivos para contestação e reanálise humana das decisões que resultem em negativa ou alteração de benefícios.
• Transparência e minimização: documentar quais dados são estritamente necessários e limitar compartilhamentos; políticas claras de retenção e eliminação.
• Possíveis medidas processuais: ações civis públicas, petições cautelares e reclamações à ANPD podem ser caminhos viáveis caso não haja ajustes.
• Risco reputacional e de responsabilização: além de penalidades administrativas, a instituição enfrenta repercussões reputacionais e risco de indenizações por danos morais caso tratamentos inadequados causem prejuízos.

Conclusão: a controvérsia em torno do EducaOpen ilustra o choque entre inovação administrativa e proteção de direitos fundamentais. A adoção de Open Finance em políticas de bolsas só se sustenta juridicamente se acompanhada de fundamentos legais claros, medidas técnicas de proteção, transparência extensiva e garantias de revisão humana — elementos que deverão ser demonstrados pela PUC‑SP/Fundasp para reduzir riscos regulatórios e judiciais.