Vazamento ocorreu no Smart Sampa, sistema de monitoramento por câmeras e reconhecimento facial da Prefeitura de São Paulo
(Imagem: Ciete Silvério _Prefeitura de São Paulo)
Informações sigilosas do Smart Sampa, sistema de monitoramento por câmeras e reconhecimento facial da Prefeitura de São Paulo, ficaram expostas na internet por cerca de 11 meses, permitindo o acesso indevido a imagens de mais de 58 mil câmeras espalhadas pela capital. O caso foi revelado nesta terça-feira (20) e envolve equipamentos instalados em ruas, escolas, creches, hospitais e outros espaços públicos.
A administração do prefeito Ricardo Nunes (MDB) confirmou o vazamento, mas negou a existência de falhas de segurança na plataforma. Segundo a gestão municipal, os dados foram divulgados ilegalmente por um servidor que tinha autorização para acessar o sistema. O agente foi afastado e passou a ser investigado pela Corregedoria da Guarda Civil Metropolitana (GCM).
A exposição foi descoberta em uma investigação publicada pelo UOL, que conseguiu acessar imagens de câmeras conectadas ao programa utilizando informações disponíveis em um repositório público na internet. Entre os dados identificados estavam credenciais de 181 usuários autorizados, informações de mais de 6 mil agentes de segurança e instruções técnicas que permitiam reproduzir o acesso à plataforma em outros dispositivos.
A reportagem também identificou a possibilidade de consultar informações de pessoas e veículos. O episódio levanta questionamentos sobre os mecanismos de proteção de um sistema que concentra imagens e dados utilizados diariamente pelas forças de segurança da maior cidade do país.
Prefeitura afasta servidor e reforça proteção
Em nota, a Prefeitura afirmou que o vazamento foi provocado por um dos mais de 7.500 agentes de segurança com acesso autorizado ao Smart Sampa. A administração sustenta que não houve invasão da plataforma nem utilização indevida do sistema.
Após a denúncia, o repositório de dados foi retirado do ar. A Secretaria Municipal de Segurança Urbana também informou ter reforçado os controles de acesso, com senhas exclusivas, autenticação em dois fatores e validação por código enviado por SMS para a criação de novas senhas.
A Prefeitura contestou ainda a informação de que o material divulgado continha senhas, contrariando o que foi identificado pela investigação jornalística.
Segundo a gestão municipal, o programa é fiscalizado pelo Tribunal de Contas do Município (TCM), conta com consultoria especializada em proteção de dados e encaminha relatórios semestrais de transparência ao Ministério Público.
Apesar das providências anunciadas, permanecem questões sobre a extensão do incidente, a identificação de eventuais acessos não autorizados anteriores à denúncia e os motivos pelos quais as informações ficaram disponíveis durante tanto tempo.
Exposição pode comprometer a segurança da população
O vazamento preocupa especialistas porque informações produzidas para auxiliar o combate à criminalidade também podem ser exploradas por criminosos.
O professor Rafael Alcadipani, da Fundação Getulio Vargas (FGV), alertou para a possibilidade de utilização das imagens no acompanhamento de deslocamentos de autoridades, viaturas policiais e potenciais vítimas.
O risco não se limita às gravações de ruas. Câmeras integradas ao sistema também monitoram locais frequentados por crianças, pacientes e outras pessoas em situações de vulnerabilidade.
A proteção dessas informações exige controles sobre quem pode acessar cada tipo de dado, registros das consultas realizadas e mecanismos capazes de identificar atividades suspeitas.
No Brasil, a Autoridade Nacional de Proteção de Dados (ANPD) estabelece regras para a comunicação de incidentes envolvendo dados pessoais que possam causar risco ou dano relevante aos cidadãos. A necessidade de notificação depende das características do incidente e de seu enquadramento na legislação.
Programa custa cerca de R$ 10 milhões por mês
Implantado em 2024, o Smart Sampa se tornou uma das principais iniciativas da gestão Ricardo Nunes na área de segurança pública. O programa reúne imagens de câmeras públicas e privadas e utiliza inteligência artificial para identificar pessoas procuradas pela Justiça, localizar desaparecidos e reconhecer veículos roubados, furtados ou com suspeita de clonagem.
A estrutura custa aproximadamente R$ 10 milhões mensais aos cofres municipais. Segundo o balanço divulgado pela Prefeitura, a tecnologia já contribuiu para a captura de 3.628 foragidos da Justiça e a localização de 284 pessoas desaparecidas.
Os resultados apresentados pela administração, porém, não encerram o debate sobre a eficácia do investimento.
Um estudo do Centro de Estudos de Segurança e Cidadania (CESeC), publicado em 2025, não encontrou evidências estatisticamente significativas de redução dos índices de furtos, roubos e homicídios atribuível à implantação do Smart Sampa.
A pesquisa também não identificou aumento significativo nas prisões em flagrante ou no cumprimento de mandados judiciais em relação aos municípios utilizados na comparação. A Prefeitura contestou a metodologia e as conclusões do levantamento.
Erros de identificação também são questionados
O reconhecimento facial utilizado pelo programa já provocou abordagens equivocadas. Conforme dados de relatórios municipais reunidos pela investigação do UOL, entre novembro de 2024 e maio de 2026, 268 pessoas encaminhadas a delegacias após alertas do sistema acabaram liberadas.
Desse total, 75 casos envolveram inconsistências no reconhecimento facial, 181 estavam relacionados a mandados de prisão desatualizados e 12 decorreram de problemas cadastrais.
Esses episódios reforçam a necessidade de fiscalização sobre a qualidade das bases de dados, o funcionamento dos algoritmos e os procedimentos adotados antes de uma abordagem policial.
O vazamento revelado nesta terça-feira acrescenta uma preocupação ao debate: além de verificar se a tecnologia identifica corretamente pessoas e veículos, é necessário assegurar que as informações reunidas para proteger a população não sejam utilizadas para ameaçar sua privacidade e segurança.
Até as informações divulgadas nesta terça-feira, não havia confirmação pública sobre quantas pessoas tiveram seus dados efetivamente acessados por terceiros durante o período de exposição, nem sobre eventual comunicação do incidente à ANPD.
