Vazamento do Smart Sampa ficou 11 meses no ar e prefeitura culpa servidor, mas especialistas veem falha de controle

Um repositório na internet manteve, por cerca de 11 meses, credenciais de acesso ao Smart Sampa, sistema de videomonitoramento com reconhecimento facial da Prefeitura de São Paulo. O vazamento foi revelado em reportagem do UOL na terça-feira (20) e reunia 181 credenciais de usuários e dados de mais de 6 mil agentes de segurança.

A prefeitura atribui o episódio a um servidor, que foi afastado, e nega falha de segurança na plataforma. O Times Brasil – Licenciado Exclusivo CNBC ouviu especialistas em segurança digital e em direito para avaliar o que o caso revela sobre os controles do programa.

Reportagem acessou imagens de creches, escolas e hospitais

A partir das informações do repositório, a reportagem abriu imagens de câmeras integradas ao programa, entre elas as de escolas, creches e hospitais. Também foi possível consultar nomes, CPFs, placas de veículos e boletins de ocorrência. Os acessos testados não exigiam autenticação em dois fatores.

Segundo o Tecnoblog, que detalhou os dados do UOL, as câmeras identificadas em equipamentos públicos somam 2.243, sendo 1.157 em UBSs, 424 em EMEIs, 396 em EMEFs, 118 em CAPS, 80 em hospitais e 68 em UPAs. O número de 58 mil corresponde ao total de câmeras da plataforma.

Ainda de acordo com a reportagem, a equipe montou uma interface própria, com auxílio de inteligência artificial, a partir das instruções contidas no repositório.

Depois da denúncia, a prefeitura tirou os dados do ar e afastou o servidor apontado como responsável. Em seguida, anunciou senhas exclusivas, autenticação em dois fatores e envio de SMS para a criação de novas senhas. A administração contesta que houvesse senhas no arquivo.

Prefeitura culpa servidor pelo vazamento e cita resultados do programa

A gestão do prefeito Ricardo Nunes (MDB) sustenta que o sistema é seguro e responde às críticas com números de operação. Entre eles estão aprovação superior a 89%, 3.628 foragidos capturados e 284 desaparecidos localizados.

Segundo o Metrópoles, Nunes também anunciou biometria facial para o acesso dos servidores e disse que o vazamento funcionava como uma “isca” para identificar acessos irregulares. A versão não pôde ser verificada de forma independente.

Leia também: Prefeitura de São Paulo prevê entregar R$ 3,8 bilhões em obras até o fim de 2028

Especialistas em segurança veem falha de arquitetura

Para Luiz Claudio, CEO e fundador da LC SEC, a origem do incidente deve ser separada da capacidade do sistema de impedir que ele cresça. “A segurança de um sistema não pode depender exclusivamente do comportamento correto de seus usuários”, afirma. Ele classifica como janela de risco uma credencial exposta por 11 meses e diz que a autenticação em dois fatores, implantada só após a denúncia, é um mecanismo básico.

Por sua vez, Glauco Sampaio, CEO da Beephish, explica que o princípio do “need-to-know” prevê que cada usuário acesse apenas o que precisa para a sua função. Segundo ele, um acesso amplo fica mais seguro com camadas como autenticação multifator e acesso condicional. Sem conhecer os detalhes internos, afirma não ser possível julgar se o nível de acesso era necessário.

Sampaio diz ainda que os alertas de prevenção contra perda de dados nem sempre disparam por lacunas de configuração e cobertura. Já as ferramentas de análise comportamental, afirma, detectam em minutos ou horas um acesso fora do padrão, mesmo com senha válida.

Marcelo Branquinho, CEO da TI Safe, aponta como principal lacuna a distância entre permitir o acesso e controlar o que cada pessoa faz. “Uma única credencial não deveria concentrar tamanho poder de exposição”, diz. Ele ressalta que ver imagens não significa, automaticamente, conseguir desligar câmeras ou alterar registros, e que cada capacidade precisa ser verificada separadamente.

Em leitura favorável ao programa, Rony Vainzof, sócio do VLK Advogados, afirma que o Smart Sampa tem resultados operacionais e não deve ser desqualificado por causa de um incidente. Ele observa que não há comprovação pública de exploração criminosa, mas que a reportagem demonstrou acesso indevido e que a conduta de um servidor não elimina a necessidade de avaliar os controles.

Advogados afirmam que município responde por servidor

Siga o Times | CNBC no Google e receba as principais notícias do Brasil e do Mundo.

Siga o Times | CNBC

Na avaliação de Jefferson Leão Pires, advogado do Poliszezuk Advogados, atribuir o vazamento a um servidor não afasta a responsabilidade do município. Ele cita o artigo 37, parágrafo 6º, da Constituição, que prevê responsabilidade objetiva do poder público por danos causados por seus agentes. Cita também o Tema 940 do Supremo Tribunal Federal, segundo o qual a ação deve ser dirigida ao ente público, com cobrança posterior do agente em caso de dolo ou culpa.

Pires lembra que, pela Lei Geral de Proteção de Dados (LGPD), o município é o controlador e deve adotar medidas técnicas e administrativas de segurança. “Dizer que a culpa é de um servidor não é uma defesa. É a admissão de que o controle de acesso falhou”, afirma.

Quanto à indenização, o advogado recorda que o Superior Tribunal de Justiça decidiu em 2023 que o vazamento de dados comuns não gera dano moral presumido. Para ele, as imagens de crianças e de pessoas em unidades de saúde aproximam o caso de dados sensíveis e fortalecem a tese de dano presumido ou, no mínimo, de dano moral coletivo.

Na esfera do servidor, Pires aponta processo disciplinar, ação regressiva e possível responsabilização criminal por violação de sigilo funcional, prevista no artigo 325 do Código Penal.

Comunicação à ANPD e sanções possíveis após vazamento

A LGPD obriga o controlador a comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares sobre incidentes que possam causar risco ou dano relevante. O prazo é de três dias úteis, conforme a Resolução CD/ANPD nº 15/2024. Segundo Pires, se a comunicação não ocorreu, há infração autônoma, somada ao próprio vazamento.

Para órgãos públicos, a ANPD não aplica multa, mas pode impor advertência, publicização da infração, bloqueio e eliminação dos dados e suspensão do tratamento, de acordo com o advogado.

Já a prefeitura afirmou, em resposta via Lei de Acesso à Informação, que não envia Relatório de Impacto à ANPD por invocar a exceção de segurança pública prevista na LGPD. Onze entidades pediram à autoridade fiscalização e a suspensão das câmeras em creches, escolas e unidades de saúde. Elas rebatem que o programa atende também a outras finalidades, como localizar desaparecidos e devedores de pensão.

Pires acrescenta que credenciais de agentes e imagens internas de creches e hospitais dificilmente se enquadram como tratamento exclusivo de segurança pública. Vainzof lembra que, mesmo nos tratamentos excepcionados, o artigo 4º, parágrafo 3º, da LGPD prevê atuação da ANPD por meio de opiniões técnicas, recomendações e solicitação de relatórios de impacto.

Prefeitura admite que não há auditoria independente no contrato

O contrato do Smart Sampa é estimado em R$ 588 milhões em cinco anos. Em resposta pela Lei de Acesso à Informação, a prefeitura admitiu que não tem acesso ao código-fonte, aos modelos de inteligência artificial nem às bases de treinamento, e que não há auditoria independente.

Além disso, a Sentinelx foi criada um mês depois da assinatura do contrato de 2023 e entrou formalmente no consórcio por aditivo de dezembro de 2025. A empresa não se manifestou.

Pires afirma que o contrato original, de número 032/SMSU/2023, prevê comunicação de ocorrências anormais ao fiscal em 24 horas e responsabilidade da contratada pela segurança dos sistemas. Segundo ele, os anexos técnicos e os termos de tratamento de dados raramente são conhecidos. O advogado defende cláusulas como definição do fornecedor como operador, privilégio mínimo de acesso, trilha de auditoria, notificação de incidentes em horas e auditoria independente periódica.

Relatórios da prefeitura registram 75 conduções por erro de reconhecimento

Documentos da própria prefeitura apontam 268 conduções a delegacias que terminaram em liberação. Desse total, 75 decorreram de erro do reconhecimento facial.

Ministério Público abre Notícia de Fato sobre vazamento e vereadora pede CPI

O Ministério Público abriu uma Notícia de Fato, procedimento que ainda não é inquérito, segundo a Folha de S.Paulo. Em paralelo, a vereadora Amanda Paschoal (PSOL) protocolou pedido de CPI, que precisa de 19 assinaturas para ser instalada.

Há ainda um processo no Tribunal de Contas do Município que acompanha o contrato.

Siga o Times Brasil - Licenciado Exclusivo CNBC no