Falha em nuvem do Smart Sampa expõe 17 mil câmeras e reforça riscos à LGPD

Uma nova vulnerabilidade em infraestrutura de nuvem associada ao sistema Smart Sampa possibilitou acesso a aproximadamente 17 mil câmeras conveniadas, além da falha já conhecida que atingiu mais de 89 mil dispositivos, com repercussões imediatas sobre proteção de dados e segurança pública. A descoberta reabre debate sobre governança, responsabilidades contratuais e cumprimento das obrigações de segurança previstas na legislação brasileira.

Contexto

O Smart Sampa é a plataforma de vigilância urbana do município de São Paulo que integra câmeras públicas e privadas com tecnologias de análise — inclusive reconhecimento facial — para fins de segurança e monitoramento. Recentemente a plataforma veio a público por vulnerabilidades que permitiram acessos indevidos a um número muito expressivo de câmeras; a notícia agora indica uma falha distinta em provedor de nuvem que afetou 17 mil câmeras conveniadas. A controvérsia insere-se num campo já sensível: tratamento de dados pessoais e biométricos por entes públicos, terceirização de processamento para provedores privados e adequação às normas de proteção de dados. Há divergência prática entre operadores sobre até que ponto a responsabilidade direta recai sobre o controlador público, sobre o provedor de nuvem ou sobre os responsáveis pelas câmeras conveniadas.

A matéria interessa porque envolve dados de alta sensibilidade — imagens e padrões biométricos — cujo vazamento pode ensejar danos individuais e coletivos, interferir em investigação policial e gerar responsabilidades administrativas, civis e políticas.

O que foi decidido

Não se trata de uma decisão judicial, mas da verificação jornalística de nova falha técnica na cadeia de processamento ligada ao Smart Sampa. A constatação pública da existência dessa vulnerabilidade impõe efeitos práticos imediatos: obrigação de investigação técnica e forense, comunicação de incidentes, revisão de contratos com provedores e eventual adoção de medidas emergenciais para mitigação do risco. Em termos normativos, o reconhecimento do vazamento ativa deveres legais do controlador (no caso, o poder municipal ou a autoridade pública que opera o sistema) quanto à adoção de medidas de segurança, à comunicação do incidente e à responsabilização daqueles que tenham agido com negligência.

Tecnicamente, o fato de a falha ocorrer em provedor de nuvem reforça a necessidade de avaliar a cadeia de tratamento de dados (controlador + operadores/terceiros) e a existência de controle efetivo sobre acessos, logs, segregação de ambientes e políticas de autenticação e autorização.

Base normativa e precedentes

• Art. 5, CF/88 — proteção da intimidade, da vida privada, da honra e da imagem, fundamento constitucional que sustenta a tutela de dados pessoais e biometria por entes públicos.
• Lei 13.709/2018 (LGPD) — disciplina o tratamento de dados pessoais no Brasil; princípios e dispositivos relevantes:
  • Art. 46, LGPD — imposição de medidas técnicas e administrativas aptas a proteger dados pessoais; obrigação de segurança.
  • Art. 48, LGPD — dever de comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares acerca de incidentes de segurança que possam acarretar risco ou dano relevante.
  • Art. 42, LGPD — responsabilidade civil objetiva pelo tratamento de dados que causar dano, com obrigação de indenizar.
  • Art. 52, LGPD — sanções administrativas aplicáveis à violação injustificada da lei, que vão de advertência a multa diária.
• Lei 8.429/1992 (Improbidade Administrativa) — possibilidade de atuação em caso de conduta que viole princípios da administração pública e cause prejuízo ao erário ou benefícios indevidos, no contexto de negligência na gestão de sistemas de segurança pública.
• Jurisprudência e orientações da ANPD — instruem sobre boas práticas, obrigação de relatórios de impacto e critérios para valoração de riscos e sanções; a jurisprudência consolidada dos tribunais tem reforçado a aplicabilidade da LGPD em relações envolvendo entes públicos e operadores privados.

Impacto prático

• Para administradores públicos: necessidade imediata de diligência técnica (auditoria forense, correção de vulnerabilidades), atualização de contratos com cláusulas de segurança, definição clara de responsabilidades e aplicação de planos de resposta a incidentes.
• Para provedores de nuvem e operadores: aumento da exposição contratual e regulatória; obrigação de demonstrar cumprimento de medidas de segurança (logs, criptografia, segmentação, controles de acesso) e de cooperar com investigação.
• Para titulares (cidadãos): risco de exposição de imagens e dados biométricos, com potencial para violação de direitos fundamentais e exigência de comunicação, possibilitando exercício de direitos previstos na LGPD (acesso, exclusão, anonimização quando aplicável).
• Para advogados e litigantes: novas demandas civis por danos morais e materiais, pedido de produção de prova técnica, além de possíveis ações de improbidade ou de controle em face da autoridade municipal por omissão.
• No âmbito penal e de segurança pública: a divulgação de falhas pode comprometer métodos investigativos e exige protocolos de preservação de cadeias de custódia e impacto probatório.

O que observar

• Procedimentos de comunicação: acompanhar se a autoridade municipal notificou a ANPD e os titulares, nos termos do Art. 48 da LGPD, e o conteúdo dessas comunicações.
• Contratos e cláusulas técnicas: verificar se contratos com provedores de nuvem contemplam obrigações de segurança, auditoria, responsabilidade e indenização; exigir cláusulas de SLA e direito de auditoria.
• Prova pericial: exigir perícia que descreva vetor de ataque, escopo do acesso indevido e mitigação; essencial para demandas civis e administrativas.
• Medidas emergenciais: segregação de ambientes, rotinas de rotação de credenciais, autenticação multifator e revisão dos acessos administrativos.
• Riscos regulatórios: possibilidade de autos e sanções pela ANPD, assim como investigação por improbidade administrativa; atenção à modulação de danos e à necessidade de políticas públicas que equilibrem segurança e proteção de dados.
• Monitoramento da jurisprudência: acompanhar decisões que definam o grau de responsabilidade atribuível ao controlador público versus operadores privados, bem como parâmetros de quantificação de dano em casos envolvendo biometria e vigilância.