Smart Sampa: senhas expostas desde 2024 e riscos legais

Especialista em cibersegurança identificou que credenciais de acesso à plataforma do Smart Sampa ficaram disponíveis online desde 2024, o que permite acesso não autorizado às câmeras do sistema e aciona responsabilizações administrativas, civis e penais, além de exigir medidas corretivas imediatas pelos operadores do serviço.

Contexto

O Smart Sampa é o maior programa de vigilância urbana com tecnologia de reconhecimento facial no país e reúne câmeras distribuídas pela cidade integradas a uma plataforma de controle. Sistemas desse tipo combinam processamento de imagens, armazenamento de dados pessoais sensíveis e integração com bases de dados estatais, o que os coloca no centro de debates sobre segurança, privacidade e governança de dados. A exposição de credenciais — logins e senhas — é uma das falhas de segurança mais recorrentes em incidentes que afetam plataformas públicas e privadas, porque oferece acesso direto a funcionalidades e dados sem necessidade de exploração técnica sofisticada.

A controvérsia jurídica envolve intersecções entre proteção de dados pessoais (LGPD), normas específicas da internet (Marco Civil da Internet) e o direito penal cibernético. Há desde questões sobre dever de informação e comunicação de incidentes até a potencial configuração de crimes previstos no Código Penal e na legislação especializada. Além disso, em se tratando de tecnologia pública, entram em cena responsabilidades administrativas e de governança pública, com impactos sobre políticas de transparência e fiscalização pelo Legislativo e órgãos de controle.

O que foi decidido

Não houve decisão judicial reportada no fato noticiado, mas a constatação técnica do pesquisador opera na prática como um gatilho jurídico: ao apontar histórico de exposição de credenciais desde 2024, impõe ao operador do sistema a obrigação de adotar medidas técnicas e organizacionais para mitigar riscos, notificar titulares e autoridades e responder a eventuais pedidos de apuração criminal ou responsabilização administrativa. Em termos práticos, a identificação da falha configura uma situação fática que pode fundamentar:

• investigação criminal por acesso não autorizado a dispositivo ou sistema informático;
• apuração administrativa sobre falha na gestão de segurança da informação por parte da autoridade municipal ou empresa contratada;
• fluxos de responsabilização civil por violação de dados pessoais, inclusive pedidos de indenização ou ações coletivas;
• obrigação de comunicação do incidente à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares quando houver risco relevante aos direitos.

A análise técnica divulgada funciona como prova inicial que pode ensejar diligências técnicas complementares (logs, backups, análise forense) capazes de indicar extensão do vazamento, período de exposição e agentes com acesso indevido.

Base normativa e precedentes

• Art. 5º, CF/88 — tutela da privacidade e da inviolabilidade da intimidade, parâmetro constitucional para proteção de dados pessoais.
• Lei 13.709/2018 (LGPD) — estabelece princípios, bases legais para tratamento, deveres do controlador e do operador, obrigação de segurança (arts. 6º, 7º, 46) e dever de comunicação de incidentes (art. 48).
• Lei 12.965/2014 (Marco Civil da Internet) — regras sobre guarda e disponibilização de registros, responsabilidades e cooperação com investigações, princípios de proteção da privacidade e neutralidade.
• Lei 12.737/2012 — inclui no Código Penal o crime de invasão de dispositivo informático (art. 154-A), aplicável a acessos não autorizados que impliquem obtenção, alteração ou destruição de dados.
• Código Penal (artigos correlatos) — dispositivos relativos a delitos informáticos e crimes contra a administração pública podem ser mobilizados conforme o resultado das apurações.
• Jurisprudência consolidada dos tribunais — orienta sobre interpretação de deveres de segurança e sobre critérios para dano moral coletivo e individual decorrente de vazamento de dados, servindo de parâmetro para valoração de prejuízos.

Impacto prático

• Para titulares dos dados (cidadãos): aumento do risco de exposição de rotinas, deslocamentos e identificação; necessidade de acompanhamento por órgãos de controle e eventual ativação de mecanismos de reparação.
• Para a administração pública e operadores do Smart Sampa: obrigação de realização de auditoria de segurança, implementação de controles de acesso (autenticação forte, gestão de credenciais), revisão de contratos com fornecedores e, se aplicável, comunicação formal à ANPD e aos titulares.
• Para advogados e litigantes: surgem hipóteses para ações civis públicas, pedidos de tutela de evidência para obtenção de logs e perícias, e ações individuais por danos morais; em paralelo, possibilidade de representação criminal para apuração de invasão e uso indevido de imagem.
• Para órgãos de controle e Ministério Público: o fato justifica instauração de procedimentos investigatórios para apurar omissão na proteção de dados, eventual improbidade administrativa e falhas contratuais.
• Para profissionais de compliance e TI: reforço na necessidade de políticas de gestão de vulnerabilidades, retenção de logs, testes de intrusão e planos de resposta a incidentes.

O que observar

• Verificar se houve comunicação formal do incidente à ANPD, conforme art. 48 da LGPD, e o teor dessa comunicação (alcance, dados afetados, medidas adotadas).
• Exigir perícia técnica que ateste período de exposição, origens do vazamento e evidências de acesso indevido às imagens, para balizar ações civis e penais.
• Acompanhar a eventual atuação do Ministério Público e dos tribunais de contas sobre governança, contratação e manutenção do sistema de vigilância.
• Considerar a necessidade de modulação de efeitos e tutela preventiva: decisões futuras podem determinar medidas estruturais (auditoria independente, controle externo, restrição de uso de reconhecimento facial) com efeitos prospectivos e retroativos.
• Risco de litígios múltiplos: ações coletivas por violação de direitos fundamentais, demandas individuais por danos morais e representação criminal podem correr em instâncias diversas, exigindo coordenação probatória e estratégica.
• Para advogados, atenção aos prazos processuais e à produção antecipada de provas, bem como à escolha entre medidas cautelares e ações de mérito para garantir transparência e reparação.

O que observar