ANPD vai analisar pedido de investigação após vazamento no Smart Sampa

Resumo A ANPD (Agência Nacional de Proteção de Dados) recebeu um ofício que pede investigação do órgão sobre o vazamento de dados de mais de 58 mil câmeras do sistema Smart Sampa, da Prefeitura de São Paulo. O que aconteceu A ANPD confirmou ao UOL que recebeu o ofício pela investigação e vai avaliar o caso. A autarquia foi acionada ontem por onze organizações da sociedade civil que alegaram que a falha de segurança expôs dados pessoais de milhões de pessoas. A agência vai avaliar se abre investigação a partir do ofício da Coalizão Direitos na Rede. Caso aceita, a ANPD vai avaliar se houve falha da Prefeitura de São Paulo e da empresa que presta serviço para o Smart Sampa, a SentinelX. Ofício pede apuração do incidente e notificação aos titulares dos dados que possam ter sido expostos. As organizações também solicitam medidas preventivas e sancionatórias contra os responsáveis pelo tratamento das informações. Multas e indenizações também podem ser aplicadas. Entidades pedem que a ANPD exija um Relatório de Impacto à Proteção de Dados do Smart Sampa. Elas contestam a posição da prefeitura de que não teria obrigação de enviar esse tipo de documento por entender que o programa se enquadra em exceção da Lei Geral de Proteção de Dados (LGPD) para segurança pública. Organizações dizem que o Smart Sampa não tem finalidade exclusivamente de segurança pública e apontam outros usos do sistema. Entre eles, a captura de devedores de pensão alimentícia, a localização de pessoas desaparecidas e o monitoramento do interior de equipamentos públicos de saúde e educação. Pedido também cobra avaliação sobre a legalidade da vigilância dentro de creches, escolas e serviços de saúde, além de regras para dados de crianças e adolescentes. As entidades querem apuração sobre protocolos específicos, controle privado de bases de dados e algoritmos e medidas para reduzir riscos de violação de direitos. Também assinam o ofício CESeC (Centro de Estudos de Segurança e Cidadania), Conectas Direitos Humanos e Data Privacy Brasil, entre outras entidades. O grupo inclui ainda organizações ligadas a direitos de crianças e adolescentes e a políticas de saúde e drogas. ANPD não foi comunicada sobre vazamentos O documento é assinado por onze organizações, incluindo a Coalizão Direitos na Rede, que reúne mais de 40 entidades desde 2018. A articulação atua na defesa de direitos digitais como parte dos direitos humanos, com foco em temas como privacidade, proteção de dados, inclusão digital e regulação democrática de plataformas. A ANPD disse que a prefeitura não entrou em contato para avisar sobre o incidente dos vazamentos. Em nota, a entidade explicou que a LGPD estabelece que o controlador dos dados deve comunicar à ANPD, no prazo de três dias úteis, os incidentes que possam colocar em risco os titulares. A Agência Nacional de Proteção de Dados (ANPD) informa que, até o momento, não recebeu comunicação pela Prefeitura de São Paulo sobre incidente de segurança envolvendo a plataforma Smart Sampa. A Lei Geral de Proteção de Dados Pessoais (LGPD) e o Regulamento de Comunicação de Incidentes de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, estabelecem, de maneira geral, que o controlador dos dados dados deve comunicar à ANPD, no prazo de três dias úteis contados do conhecimento do fato, os incidentes que possam acarretar risco ou dano relevante aos titulares ANPD, em nota O vazamento Uma reportagem do UOL publicada na terça-feira (20) revelou que informações sigilosas do Smart Sampa ficaram expostas em um repositório público da internet por cerca de 11 meses. A falha permitiu acesso indevido a imagens de mais de 58 mil câmeras do sistema de vigilância e reconhecimento facial da Prefeitura de São Paulo. O Smart Sampa é o sistema de videomonitoramento e reconhecimento facial da Prefeitura de São Paulo. Ele integra câmeras públicas e privadas, compara rostos com imagens de procurados e desaparecidos e identifica veículos por placas, incluindo carros roubados, furtados ou com possível clonagem. A reportagem mostrou que a exposição poderia permitir que pessoas não autorizadas acompanhassem imagens de espaços sensíveis e acessassem informações de agentes e usuários do sistema. Registros de creches, unidades de saúde e locais de atendimento a dependentes químicos, por exemplo, estavam expostos. Em um teste presencial feito em 7 de outubro pelo colunista Artur Rodrigues, a reportagem acompanhou e gravou a própria imagem em oito câmeras de totens privados conveniados ao Smart Sampa no centro de São Paulo. Também foi possível obter registros em creches, postos de saúde e outros equipamentos públicos. O que diz o prefeito O prefeito Ricardo Nunes disse que a sua gestão já sabia do vazamento de senhas do Smart Sampa que permitiu acesso indevido a imagens do sistema de monitoramento por câmeras por quase um ano. A prefeitura, porém, só agiu após contato da reportagem do UOL, que revelou a falha de segurança nesta terça-feira (20). Segundo o prefeito, um guarda municipal é suspeito de ter disponibilizado publicamente 181 logins e senhas de acesso ao sistema do Smart Sampa. A manifestação aconteceu em uma entrevista para a rádio TMC após a reportagem. A matéria (do UOL) traz uma situação onde a prefeitura já vinha monitorando. De que tinha um funcionário, um GCM, que entrou no concurso de 2023, havia acumulado senhas num site. A gente vinha monitorando isso num sistema, inclusive, de isca, para saber quem poderia acessar e ter algum uso indevido. Não houve nenhum uso indevido, o que aconteceu foi isso Ricardo Nunes O servidor apontado como responsável pelo vazamento foi exonerado. Ele está sendo investigado pela Corregedoria da Guarda Civil Metropolitana, segundo a prefeitura. A prefeitura negou que haja fragilidade nos mecanismos de segurança da plataforma. Depois de ser informada de que as senhas eram frágeis e não havia autenticação em dois fatores, a prefeitura também implementou mudanças. No entanto, pessoas que tiveram acesso ao repositório anteriormente conseguiriam continuar acessando o Smart Sampa mesmo sem os logins e senhas tirados do ar, uma vez que o documento trazia informações que permitiam espelhar o sistema. Veja também Deixe seu comentário O autor da mensagem, e não o UOL, é o responsável pelo comentário. Leia as Regras de Uso do UOL.