A Coalizão Direitos na Rede e outras dez organizações acionaram a Agência Nacional de Proteção de Dados (ANPD) para pedir uma investigação sobre o vazamento de credenciais do Smart Sampa, programa de vigilância da Prefeitura de São Paulo. O ofício também solicita medidas sancionatórias contra a administração municipal e a Sentinelx, empresa responsável pela tecnologia do sistema.
As organizações afirmam que as credenciais ficaram expostas em um repositório público na internet por cerca de 11 meses. Nesse período, pessoas com acesso à rede poderiam entrar no sistema, visualizar imagens de câmeras e pesquisar nomes, CPFs, placas de veículos e boletins de ocorrência.
A falha expôs 181 logins e senhas de usuários, além de instruções técnicas que permitiriam reproduzir o sistema em computadores ou celulares. A reportagem que revelou o caso apontou que as câmeras afetadas chegam a 58 mil unidades instaladas em vias públicas e também em creches, hospitais, escolas e centros de atendimento a dependentes químicos.
Com as credenciais vazadas, seria possível acompanhar imagens em tempo real de salas de creches, corredores de hospitais e unidades que atendem pessoas em situação de vulnerabilidade por uso de drogas. A plataforma administrada pela Sentinelx também permitia consultar dados pessoais e registros policiais.
Pedido cobra fiscalização da ANPD e relatório de impacto
O documento encaminhado à ANPD pede a abertura de processo de fiscalização sobre o incidente, a notificação dos titulares dos dados expostos e medidas preventivas para impedir novos acessos indevidos. As entidades também querem que a agência exija um Relatório de Impacto à Proteção de Dados do Smart Sampa.
O grupo solicita ainda apuração sobre o controle privado das bases de dados e dos algoritmos do programa, a legalidade da vigilância dentro de equipamentos de saúde e educação e o tratamento de dados de crianças e adolescentes sem um protocolo específico.
Yasmin Rodrigues, pesquisadora do Centro de Estudos de Segurança e Cidadania e integrante da Coalizão Direitos na Rede, afirmou que o caso ultrapassa uma falha técnica. “Não estamos falando apenas de uma falha de segurança, mas de um sistema que monitora crianças em creches, pacientes em hospitais e pessoas em situação de vulnerabilidade, expondo informações extremamente sensíveis”, disse.
A Prefeitura de São Paulo confirmou o vazamento e atribuiu o caso a um servidor que teria sido “identificado, afastado” e está sob investigação. A administração também declarou que o repositório “não havia nele menção a senhas de acesso”, versão contestada pelas informações obtidas no acesso às credenciais.
Em resposta a um pedido de acesso à informação, a prefeitura sustentou que não precisa encaminhar relatórios de impacto à ANPD por invocar a exceção da Lei Geral de Proteção de Dados destinada a tratamentos com finalidade exclusiva de segurança pública. As entidades contestam essa posição porque o Smart Sampa também é usado para localizar pessoas desaparecidas, capturar devedores de pensão alimentícia e monitorar escolas e hospitais.
O pedido reúne Coalizão Direitos na Rede, Centro de Estudos de Segurança e Cidadania, Conectas Direitos Humanos, AqualtuneLab, Plataforma Brasileira de Política de Drogas, Coalizão pela Socioeducação, Associação Nacional dos Centros de Defesa da Criança e do Adolescente, Laboratório de Políticas Públicas e Internet, Data Privacy Brasil, Centro de Convivência É de Lei e Instituto Alana.