Brasil 247
247 – Durante quase um ano, qualquer pessoa com acesso à internet pôde entrar no sistema de câmeras do Smart Sampa, o programa de vigilância da Prefeitura de São Paulo. A vulnerabilidade permitiu visualizar rostos de crianças em creches, acompanhar pacientes em hospitais e pesquisar nomes, CPFs e boletins de ocorrência de moradores da cidade. O acesso indevido ocorreu porque as credenciais do sistema ficaram expostas em um repositório público por cerca de 11 meses, sem nenhuma proteção.
Diante da gravidade do caso, a Coalizão Direitos na Rede e outras nove organizações atuantes nas áreas de direitos humanos, direitos digitais e saúde pública protocolaram um ofício na Agência Nacional de Proteção de Dados (ANPD). O documento exige a abertura de um processo de fiscalização e a aplicação de medidas sancionatórias contra a Prefeitura de São Paulo e a Sentinelx, empresa responsável pela tecnologia do programa.
“Não estamos falando apenas de uma falha de segurança, mas de um sistema que monitora crianças em creches, pacientes em hospitais e pessoas em situação de vulnerabilidade, expondo informações extremamente sensíveis. A segurança pública não pode servir de justificativa para afastar direitos fundamentais nem para permitir que tecnologias tão invasivas operem sem fiscalização. É urgente que a ANPD investigue as responsabilidades e adote medidas sancionatórias para impedir que essas violações continuem”, afirma Yasmin Rodrigues, pesquisadora do Centro de Estudos de Segurança e Cidadania (CESeC) e integrante da Coalizão.
A falha, revelada em reportagem do portal UOL, expôs 181 logins e senhas de usuários, dados de milhares de agentes de segurança e instruções técnicas suficientes para reproduzir o sistema inteiro em qualquer computador ou celular. O comprometimento atinge cerca de 58 mil câmeras, instaladas não apenas em vias públicas, mas no interior de creches, escolas, hospitais e centros de atendimento a dependentes químicos do município.
A matéria demonstrou que, a partir das credenciais vazadas, era possível visualizar em tempo real imagens de ambientes onde se espera privacidade absoluta. Além das câmeras, a plataforma da Sentinelx viabilizava buscas por nomes completos, CPFs e placas de veículos, além de permitir o acesso a boletins de ocorrência.
Contradições e justificativas da Prefeitura – A administração municipal confirmou o vazamento, atribuindo a responsabilidade a um servidor que já foi “identificado e afastado” e encontra-se sob investigação. A Prefeitura alegou, no entanto, que o repositório “não continha menção a senhas de acesso” — afirmação que contradiz diretamente as evidências expostas pela reportagem.
A situação é agravada pela postura institucional sobre a proteção de dados: em resposta a um pedido via Lei de Acesso à Informação, a Prefeitura declarou que não encaminha relatórios de impacto à ANPD por entender que não tem essa obrigação legal. O município invoca uma exceção da Lei Geral de Proteção de Dados (LGPD) destinada exclusivamente a tratamentos com finalidade de segurança pública.
As organizações contestam esse argumento, ressaltando que o escopo do Smart Sampa vai além da segurança pública. O sistema também é utilizado para localizar pessoas desaparecidas, capturar devedores de pensão alimentícia e monitorar o interior de escolas e hospitais. Além disso, a própria LGPD estabelece que, mesmo nos casos de exceção, a ANPD tem a prerrogativa de exigir relatórios de impacto.
O que as organizações exigem O ofício enviado à ANPD pede a abertura de processo de fiscalização contra a Prefeitura e a Sentinelx, visando a adoção de medidas preventivas e punitivas. Os principais pontos exigidos são:
Investigação detalhada sobre o incidente de segurança e a notificação aos titulares dos dados expostos.
Exigência formal do Relatório de Impacto à Proteção de Dados do Smart Sampa.
Apuração sobre o controle de algoritmos e bases de dados do poder público por parte de uma empresa privada.
Avaliação da legalidade do uso de vigilância no interior de equipamentos de saúde e educação.
Verificação do tratamento de dados de crianças e adolescentes sem a existência de um protocolo específico.
O ofício é assinado por 11 entidades: Coalizão Direitos na Rede; CESeC — Centro de Estudos de Segurança e Cidadania; Conectas Direitos Humanos; AqualtuneLab; Plataforma Brasileira de Política de Drogas; Coalizão pela Socioeducação; ANCED — Associação Nacional dos Centros de Defesa da Criança e do Adolescente; LAPIN — Laboratório de Políticas Públicas e Internet; Data Privacy Brasil; Centro de Convivência É de Lei; e Instituto Alana.
