Mais de 50 mil câmeras em creches e hospitais, além de CPFs e boletins de ocorrência expostos: organizações pedem investigação sobre vazamento do Smart Sampa

Durante quase um ano, qualquer pessoa com acesso à internet poderia ter entrado no sistema de câmeras do Smart Sampa,  o programa de vigilância da Prefeitura de São Paulo, e visto rostos de crianças em creches, acompanhado pacientes em hospitais e pesquisado nomes, CPFs e boletins de ocorrência de moradores da cidade. Isso porque as credenciais de acesso ao sistema ficaram expostas em um repositório público na internet por cerca de 11 meses, sem nenhuma proteção.

A Coalizão Direitos na Rede e outras nove organizações de direitos humanos, digitais, e saúde pública apresentaram um ofício à Agência Nacional de Proteção de Dados (ANPD) pedindo a abertura de processo de fiscalização e a adoção de medidas sancionatórias contra a Prefeitura de São Paulo e a empresa Sentinelx, responsável pela tecnologia do programa. 

“Não estamos falando apenas de uma falha de segurança, mas de um sistema que monitora crianças em creches, pacientes em hospitais e pessoas em situação de vulnerabilidade, expondo informações extremamente sensíveis. A segurança pública não pode servir de justificativa para afastar direitos fundamentais nem para permitir que tecnologias tão invasivas operem sem fiscalização. É urgente que a ANPD investigue as responsabilidades e adote medidas sancionatórias para impedir que essas violações continuem”, afirma Yasmin Rodrigues, pesquisadora do Centro de Estudos de Segurança e Cidadania, integrante da Coalizão Direitos na Rede.

A falha, revelada em reportagem do UOL, expôs 181 logins e senhas de usuários, dados de mais de milhares de agentes de segurança e instruções técnicas suficientes para reproduzir o sistema inteiro em qualquer computador ou celular. As câmeras comprometidas chegam a 58 mil, instaladas não apenas em vias públicas, mas também dentro de creches, hospitais, escolas e centros de atendimento a dependentes químicos da Prefeitura. 

A matéria demonstrou, ainda, que, a partir das credenciais vazadas, era possível acessar o sistema e visualizar, em tempo real, imagens de câmeras espalhadas pela cidade, incluindo ambientes onde se espera privacidade absoluta, como salas de creches, corredores de hospitais e centros de atendimento a pessoas em situação de vulnerabilidade por uso de drogas. Além das imagens, a plataforma da Sentinelx permitia pesquisar nomes completos, CPFs e placas de veículos de qualquer pessoa, além de acessar boletins de ocorrência. 

A Prefeitura confirmou o vazamento, atribuindo-o a um servidor que teria sido “identificado, afastado” e está sob investigação, e afirmou que o repositório “não havia nele menção a senhas de acesso”, contradizendo diretamente o que a reportagem demonstrou. A situação, porém, é agravada por um posicionamento da própria Prefeitura: em resposta a pedido de acesso à informação, a administração municipal afirmou que não encaminha relatórios de impacto à ANPD por entender que não tem obrigação legal de fazê-lo — invocando uma exceção da Lei Geral de Proteção de Dados (LGPD) destinada a tratamentos com finalidade exclusiva de segurança pública.

As organizações contestam esse argumento, tendo em vista que o Smart Sampa não tem finalidade exclusivamente de segurança pública, ele é usado, também, para capturar devedores de pensão alimentícia, localizar pessoas desaparecidas e monitorar o interior de escolas e hospitais. Além disso, a própria LGPD determina que, mesmo nas exceções, a ANPD deve solicitar relatórios de impacto. 

O que as organizações pedem

O ofício à ANPD pede a abertura de processo de fiscalização contra a Prefeitura de São Paulo e a Sentinelx, com adoção de medidas sancionatórias e preventivas. Entre os pontos levantados:

• Investigação sobre o incidente de segurança e notificação aos titulares dos dados expostos

• Exigência de Relatório de Impacto à Proteção de Dados do Smart Sampa

• Apuração sobre o controle privado das bases de dados e algoritmos por pessoa jurídica de direito privado

• Avaliação sobre a legalidade da vigilância dentro de equipamentos de saúde e educação

• Verificação do tratamento de dados de crianças e adolescentes sem protocolo específico

O pedido à ANPD é assinado por onze organizações: Coalizão Direitos na Rede, CESeC — Centro de Estudos de Segurança e Cidadania, Conectas Direitos Humanos, AqualtuneLab, Plataforma Brasileira de Política de Drogas, Coalizão pela Socioeducação, ANCED — Associação Nacional dos Centros de Defesa da Criança e do Adolescente, LAPIN — Laboratório de Políticas Públicas e Internet, Data Privacy Brasil, Centro de Convivência É de Lei e Instituto Alana.

Sobre a Coalizão Direitos na Rede

A Coalizão Direitos na Rede (CDR) é uma articulação de mais de 40 organizações da sociedade civil brasileira que, desde 2018, atua na defesa dos direitos digitais como parte essencial dos direitos humanos. Com forte incidência em políticas públicas, a CDR promove ações de advocacy, mobilização e produção de conhecimento sobre temas como liberdade de expressão, privacidade, proteção de dados, inclusão digital e regulação democrática das plataformas digitais. Seu trabalho visa fortalecer a democracia e combater desigualdades no ambiente digital, especialmente entre grupos mais vulnerabilizados. Saiba mais em: https://direitosnarede.org.br