O Smart Sampa é uma iniciativa relevante para a segurança pública de São Paulo. O uso de videomonitoramento, reconhecimento facial e inteligência artificial pode contribuir para localizar pessoas desaparecidas, identificar foragidos e apoiar a atuação dos órgãos de segurança. Segundo a prefeitura, o programa já colaborou para a captura de 3.628 foragidos e a localização de 284 pessoas desaparecidas. Esses resultados demonstram a importância do projeto e não devem ser ignorados no debate público.
A relevância do programa, entretanto, torna ainda maior a responsabilidade sobre a governança das informações tratadas. A proteção de dados pessoais não é um obstáculo à segurança pública. Desde a EC 115/22, ela constitui direito fundamental expressamente assegurado pelo art. 5º, inciso LXXIX, da Constituição Federal. Portanto, segurança pública e proteção de dados não são valores incompatíveis. Devem ser conciliados e protegidos no mesmo patamar constitucional, por meio de medidas necessárias, proporcionais e transparentes.
As informações internas eram mantidas em um repositório acessível pela internet e teriam permanecido expostas por aproximadamente 11 meses. O material divulgado teria incluído 181 credenciais de usuários, dados de mais de 6 mil agentes de segurança e instruções relacionadas ao funcionamento do sistema. Essas informações teriam possibilitado o acesso a imagens provenientes de uma rede composta por mais de 58 mil câmeras, inclusive equipamentos instalados em ruas, escolas, creches, hospitais e outros espaços públicos. É necessário fazer uma ressalva técnica, de que as 58 mil correspondem às câmeras conectadas à plataforma e potencialmente acessíveis, não necessariamente ao número de equipamentos efetivamente acessados por terceiros. A extensão real do incidente ainda depende de perícia, análise dos registros de acesso e investigação independente.
A prefeitura reconheceu a divulgação ilegal de informações, mas afirma que não houve fragilidade na plataforma. Segundo sua versão, o vazamento teria sido provocado por um agente autorizado, já identificado e afastado, cuja conduta está sendo investigada pela Corregedoria da Guarda Civil Metropolitana. O repositório teria sido retirado do ar e a segurança reforçada com senhas exclusivas, autenticação em dois fatores e códigos enviados por SMS. A Prefeitura também informou que o programa é fiscalizado pelo Tribunal de Contas do Município, conta com consultoria especializada e prevê auditorias, testes de segurança e relatórios de transparência.
A possível prática de um crime por agente interno deve ser rigorosamente investigada. Contudo, sob a perspectiva da proteção de dados e da cibersegurança, a condição de vítima do controlador não encerra a discussão sobre sua responsabilidade de governança. A ameaça interna é um risco conhecido e previsível, especialmente em sistemas críticos com milhares de usuários autorizados. A análise jurídica não se limita a identificar quem vazou as informações, mas deve verificar se existiam medidas adequadas para prevenir, detectar e limitar a conduta, ou seja, uma gestão efetiva de identidades e acessos, privilégio mínimo, segregação de funções, autenticação multifator, registros de auditoria, monitoramento de comportamento anômalo, revisão periódica de permissões, proteção de credenciais e mecanismos de prevenção contra exfiltração de dados.
A instalação ou o reforço da autenticação multifator após a descoberta é uma providência positiva, mas não substitui um programa estruturado de governança em privacidade e segurança. Em um sistema dessa dimensão, proteger dados pessoais exige atuação contínua, desde a concepção do projeto, e não apenas medidas corretivas posteriores. O caso também serve de alerta a empresas e organizações de todos os setores, no sentido de que a governança em proteção de dados precisa estar efetivamente implementada, testada e incorporada à rotina, e não apenas formalizada em políticas e documentos.
O nível de risco é particularmente elevado porque o programa envolve monitoramento em larga escala, imagens de cidadãos, tratamento automatizado, reconhecimento facial e dados biométricos utilizados para identificação. Segundo as informações divulgadas, há câmeras em escolas, creches e unidades de saúde, com possível captação de imagens de crianças, pacientes e pessoas em situações de vulnerabilidade. O acesso indevido a imagens em tempo real ou a registros de circulação também pode facilitar golpes e técnicas de engenharia social, permitir o acompanhamento de rotinas para a prática de sequestros e fornecer informações estratégicas ao crime organizado. Esses elementos exigem salvaguardas reforçadas, transparência e capacidade efetiva de prestação de contas.
Embora o art. 4º, inciso III, da LGPD estabeleça regime específico para tratamentos realizados com finalidade exclusiva de segurança pública, a própria lei determina que essas atividades observem medidas proporcionais e estritamente necessárias, o devido processo legal, os princípios gerais de proteção e os direitos dos titulares. A LGPD também atribui à ANPD a competência para emitir recomendações e solicitar relatórios de impacto nesses casos. Além disso, é necessário avaliar se todas as utilizações do sistema possuem finalidade exclusivamente ligada à segurança pública, especialmente quando as câmeras alcançam diferentes equipamentos e políticas públicas.
O primeiro Relatório de Transparência do Smart Sampa contém um RIPD - Relatório de Impacto à Proteção de Dados, e edições posteriores indicam sua atualização. A publicação representa um avanço, mas, por si só, não permite aferir a suficiência material do documento. É necessário verificar se o RIPD acompanha a expansão para mais de 58 mil câmeras e os novos usos da plataforma, se abrange todo o ecossistema tecnológico e seus fornecedores e se apresenta, de forma verificável, a relação entre cada risco identificado, os controles correspondentes, as evidências de sua implementação e o risco residual. Também importa saber se foram examinados adequadamente a ameaça interna, os vieses e erros do reconhecimento facial, os prazos de retenção, os compartilhamentos e a necessidade e proporcionalidade do monitoramento em ambientes sensíveis. Um RIPD não deve ser tratado como documento meramente formal, pois precisa acompanhar o ciclo de vida do sistema, ser revisto diante de mudanças relevantes e demonstrar a adoção concreta e a efetividade das salvaguardas.
Caso se confirme o envolvimento de dados pessoais, a avaliação do incidente deverá considerar também a resolução CD/ANPD 15/24. O regulamento considera especialmente relevantes fatores como dados sensíveis, dados de crianças e adolescentes, credenciais de acesso, grande escala e possibilidade de impacto significativo sobre direitos fundamentais. O controlador deve documentar a avaliação de risco, as categorias de dados, o número de titulares potencialmente afetados, as medidas de contenção e as razões que fundamentem eventual decisão de comunicar ou não a ANPD e os titulares.
A discussão, portanto, não deve ser reduzida à oposição entre “crime de um servidor” e “falha do sistema”. Um ato individual pode coexistir com deficiências de governança, assim como um controlador pode demonstrar que adotou medidas adequadas e foi vítima de uma ação que não poderia razoavelmente evitar. Essa conclusão exige, além da investigação técnica e da preservação das evidências, sindicância interna rigorosa para apurar as responsabilidades funcionais e de governança que possam ter permitido a falha, com transparência sobre seus resultados.
Para o cidadão que suspeite ter sido afetado, a providência inicial é solicitar ao poder público confirmação sobre o tratamento e eventual comprometimento de seus dados, informações sobre a natureza, a extensão e as consequências do incidente e as medidas adotadas, preservando protocolos, comunicações, registros de fraude ou de uso indevido e demais evidências. Se a resposta for inexistente ou insuficiente, poderá recorrer à ANPD, aos órgãos de controle e, conforme o caso, ao Ministério Público ou à Defensoria Pública, sem prejuízo da tutela judicial. A jurisprudência atual do STJ afasta, em regra, a presunção automática de dano moral pelo simples vazamento de dados pessoais comuns e exige demonstração de prejuízo concreto; isso não elimina os direitos de informação, acesso e correção nem impede medidas preventivas ou reparação quando houver exposição de dados sensíveis, fraude, discriminação, uso indevido ou outro abalo efetivamente comprovado.
O Smart Sampa é importante demais para que segurança pública e proteção de dados sejam colocadas em lados opostos. Quanto maior e mais sensível for o sistema de vigilância, maior deve ser a governança que o acompanha. A confiança da população dependerá não apenas dos resultados operacionais alcançados, mas também da capacidade do poder público de demonstrar que os dados dos cidadãos são tratados com segurança, proporcionalidade, transparência e respeito aos direitos fundamentais.