Criação de empresa após contrato do Smart Sampa levanta riscos de proteção de dados

A empresa responsável pela plataforma digital do programa Smart Sampa, cuja vulnerabilidade permitiu acessos indevidos, foi constituída cerca de um mês depois da celebração do contrato de prestação de serviços com a prefeitura — fato que acende alertas sobre adequação técnica, responsabilidade e governança de dados. (Matéria divulgada em 11/04/2026.)

Contexto

A controvérsia combina três vetores: contratação pública de serviços digitais, requisitos mínimos de segurança da informação aplicáveis a bens e serviços que lidam com dados pessoais e a transparência/controle sobre a capacidade técnica do contratado. Contratações públicas de soluções de tecnologia tendem a envolver fornecedores especializados, subcontratações e integrações com infraestrutura municipal. Divergências recentes em tribunais administrativos e judiciários têm girado em torno de até que ponto a Administração pode responder por falhas de fornecedores e qual o limite de responsabilização do próprio contratado frente ao dever de proteção de dados. No plano normativo, o caso toca a obrigatoriedade de medidas de segurança previstas na Lei Geral de Proteção de Dados (Lei 13.709/2018), o dever constitucional de eficiência da Administração Pública (art. 37, CF/88) e as regras e princípios aplicáveis à contratação pública — hoje regulados pela Lei nº 14.133/2021 (nova Lei de Licitações), além do regime civil de boa-fé e responsabilidade contratual previsto no Código Civil (Lei 10.406/2002).

O que foi decidido

Não há decisão judicial relatada na notícia original; o elemento factual central é a criação societária posterior à assinatura contratual e a identificação da empresa como responsável pela plataforma que apresentou vulnerabilidade. A análise jurídica deve partir desse quadro fático: a constituição tardia da pessoa jurídica que explora o sistema público suscita dúvidas sobre a capacidade técnica declarada no processo de contratação, eventual utilização de estrutura de fachada (empresa de fachada) e a eficácia das cláusulas contratuais de segurança e responsabilidade. Do ponto de vista operacional, essa sequência fática autoriza a Administração e autoridades de proteção de dados a investigar:

• se houve vício na habilitação ou simulação societária que tenha permitido a participação de uma empresa sem capacidade técnica comprovada;
• se os requisitos contratuais relativos a segurança da informação e proteção de dados foram efetivamente exigidos, fiscalizados e cumpridos;
• se houve falha na adoção de medidas técnicas e organizacionais previstas na LGPD que enseje responsabilidades administrativas, civis e, eventualmente, sanções pecuniárias previstas no texto legal.

Base normativa e precedentes

• Art. 37, CF/88 — princípio da eficiência e deveres da Administração Pública na contratação de serviços.
• Lei 13.709/2018 (LGPD), arts. 6 e 46 e art. 52 — princípios aplicáveis ao tratamento de dados pessoais; obrigação de adoção de medidas técnicas e organizacionais de segurança; previsão de sanções administrativas.
• Lei 14.133/2021 — regime das contratações públicas, exigência de qualificação técnica e possibilidade de responsabilização administrativa do contratado por inadimplemento.
• Código Civil (Lei 10.406/2002), art. 421 — princípio da função social do contrato e boa-fé objetiva, que orientam interpretação e execução contratual entre Administração e fornecedores.
• Jurisprudência consolidada do tribunal administrativo e dos tribunais superiores — entendimento majoritário reforça a responsabilidade da Administração em contratar empresas que comprovem capacidade técnica e a possibilidade de aplicação de sanções ao contratado por descumprimento de obrigações contratuais e normativas de proteção de dados.

Impacto prático

• Para advogados de Direito Público e contratos: exige revisão de cláusulas-padrão em editais e contratos de serviços tecnológicos, incluindo exigência expressa de demonstração de capacidade técnica anterior, auditorias de segurança e cláusulas de SLA com penalidades por falhas de segurança.
• Para profissionais de proteção de dados (DPOs, compliance): necessidade de verificar registros do tratamento, fluxos de dados, base legal usada e evidências das medidas de segurança implementadas; salvaguardas contratuais contra subcontratação sem anuência e obrigação de notificação de incidentes.
• Para municípios e gestores públicos: risco de responsabilização administrativa por falha na fiscalização de habilitação; recomendação de auditar processos de contratação recente e adotar medidas imediatas de contenção e mitigação do incidente.
• Para cidadãos e titulares de dados: potencial exposição de imagens, localizações e dados sensíveis usados em sistemas públicos; possibilidade de exigir responsabilização e reparação, nos termos da LGPD e do Código de Defesa do Consumidor quando aplicável.
• Para operadores econômicos (empresas prestadoras de serviço): reforço da dificuldade de operar serviços públicos sem estrutura pré-existente; risco de multas administrativas (art. 52 da LGPD) e de ações indenizatórias por danos morais e materiais.

O que observar

• Procedimentos de fiscalização e auditoria: se a Administração já requisitou auditoria técnica externa, perícia ou relatório de conformidade de segurança; se há cláusula contratual que prevê auditorias independentes.
• Instruções da Autoridade Nacional de Proteção de Dados (ANPD): possíveis recomendações, autuações e requisitos de mitigação que a ANPD venha a impor sob a LGPD.
• Questões processuais e recursal: eventuais medidas cautelares para indisponibilização do sistema, termos de ajustamento de conduta e ação civil pública podem surgir; a modulação de efeitos e a definição de responsabilidade entre contratante e contratado serão temas centrais em contenciosos futuros.
• Documentação contratual e processo de licitação: conferir datas, atestados de capacidade técnica, declarações de inexistência de fraude societária e histórico da empresa antes da assinatura.
• Risco reputacional e regulatório: fornecedores e administrações públicas devem atualizar programas de governança de TI e compliance para evitar sanções e ações reparatórias.

O que observar