ANPD: prefeitura de SP admite padrão de senha para 178 contas do Smart Sampa

A Prefeitura de São Paulo comunicou à ANPD que 178 usuários do sistema Smart Sampa utilizavam o mesmo padrão de senha, reconhecendo acesso não autorizado ao programa de videomonitoramento e apontando a adoção de medidas de segurança após a identificação do incidente em 11/03/2026.

Contexto

O caso envolve um sistema municipal de videomonitoramento cujo acesso é gerido pela Prefeitura de São Paulo. A notícia revela que uma parcela de usuários — 178 contas — apresentava um padrão uniforme de senha, situação que precedeu ou facilitou um acesso não autorizado relatado pela gestão municipal. A controvérsia se insere no campo da proteção de dados pessoais e da segurança da informação no setor público, tema que tem gerado debates sobre deveres de proteção, transparência e responsabilização administrativa desde a vigência da Lei Geral de Proteção de Dados (Lei 13.709/2018).

A relevância jurídica decorre de duas dimensões: (i) quais obrigações a administração pública possui ao operar bancos de dados e soluções de monitoramento, especialmente quanto a medidas técnicas e comunicacionais em incidentes; e (ii) como a ANPD vem interpretando e aplicando sanções e medidas corretivas a agentes públicos que sofrem ou provocam vazamentos. A tensão entre a operacionalidade de sistemas de segurança pública (videomonitoramento) e garantias fundamentais de privacidade e intimidade também alimenta o debate, já que imagens e metadados eventualmente constituem dados pessoais sensíveis no entendimento doutrinário e doutrina administrativa.

O que foi decidido

Não houve, na matéria consultada, uma decisão jurisdicional: o fato reportado é a comunicação formal da Prefeitura à ANPD admitindo que 178 contas tinham mesmo padrão de senha e informando ter havido acesso não autorizado ao Smart Sampa, bem como ter implementado mudanças nos mecanismos de segurança. Do ponto de vista prático, trata-se do início do procedimento fiscalizatório ou de supervisão pela autoridade nacional de proteção de dados — a ANPD — que receberá as explicações e poderá determinar diligências, recomendações técnica-administrativas ou aplicar sanções previstas na legislação, caso identifique violação das obrigações legais.

Em termos jurídicos, a administração municipal reconheceu a ocorrência de vulnerabilidade operacional e a existência de prática de segurança inadequada (uso de senhas padronizadas por 178 contas), o que, por si só, pode configurar falha no dever de segurança e gerar responsabilização administrativa, incluindo a aplicação de medidas corretivas exigidas pela ANPD e eventual imposição de penalidades previstas na lei.

Base normativa e precedentes

• Art. 5º, X, CF/88 — proteção à intimidade, vida privada, honra e imagem, fundamentos constitucionais que informam a tutela de dados pessoais.
• Lei 13.709/2018 (LGPD) — art. 48 — obrigação do controlador de comunicar a ANPD e, em alguns casos, os titulares sobre incidente de segurança que possa acarretar risco ou dano relevante.
• Lei 13.709/2018 (LGPD) — art. 52 — previsão de possibilidade de aplicação de sanções administrativas pela ANPD, incluindo advertência, multa e outras medidas previstas na norma.
• LGPD — princípios (arts. 6º e 7º) — exigem adequação, necessidade, segurança e responsabilização, que orientam a avaliação de medidas técnicas adotadas por controladores públicos.
• Jurisprudência e orientações da ANPD — a autoridade tem consolidado entendimento sobre necessidade de medidas técnicas coerentes com o risco dos tratamentos e de comunicação tempestiva em incidentes; a autoridade também tem aplicado fiscalização e exigido planos de remediação a entes públicos em casos análogos.

Impacto prático

• Para a administração pública: reforço da obrigação de implementar controles de acesso efetivos (políticas de senha, autenticação multifator, gestão de contas e logs) e de formar rotina de resposta a incidentes alinhada à LGPD; falhas podem ensejar fiscalizações e sanções administrativas.
• Para advogados e consultores de compliance: imperativo de revisar contratos, políticas de segurança e rotinas operacionais, inclusive cláusulas de responsabilização e planos de contingência; orientação para atuação imediata em auditorias e na interlocução com a ANPD.
• Para titulares de dados e cidadãos: potencial necessidade de avaliação do impacto para direitos fundamentais (privacidade e intimidade) e do direito à informação sobre incidentes, conforme art. 48 da LGPD; podem haver efeitos práticos se imagens ou dados pessoais foram expostos.
• Para ações em curso: a comunicação à ANPD inaugura procedimento que pode culminar em medidas administrativas (determinações de mitigação, acompanhamento técnico) e em eventual imposição de penalidades, além de abrir espaço para ações civis ou pedidos de reparação, dependendo do alcance do vazamento.

O que observar

• Escopo do acesso não autorizado: é essencial acompanhar as informações que a Prefeitura e a ANPD trocarem sobre quais dados ou imagens foram acessados e se houve exposição de terceiros, pois a gravidade do incidente depende do conteúdo efetivamente comprometido.
• Fundamentação das medidas adotadas: avaliar se as mudanças apontadas pela gestão municipal (políticas de senha, autenticação, auditoria de acessos) atendem aos requisitos de segurança previstos na LGPD e em boas práticas do setor; medidas paliativas não afastam responsabilização se inadequadas.
• Procedimento da ANPD: acompanhar notificações, autos de infração ou recomendações; a autoridade pode determinar auditorias técnicas, exigir provas de mitigação e, eventualmente, aplicar sanções administrativas previstas na Lei 13.709/2018.
• Risco contencioso: litígios individuais ou coletivos podem surgir, especialmente se houver demonstração de prejuízo concreto a titulares; assessores jurídicos devem preparar estratégias de defesa que contemplem demonstração de diligência e correção tempestiva das falhas.
• Precedentes e evolução normativa: monitorar decisões e orientações públicas da ANPD e eventuais atualizações de normas técnicas ou guias setoriais que definam o padrão mínimo de segurança para sistemas de videomonitoramento geridos por entes públicos.