Organizações pedem à ANPD investigação sobre vazamento do Smart Sampa

Onze organizações de direitos humanos, direitos digitais e saúde pública, lideradas pela Coalizão Direitos na Rede, enviaram um ofício à Agência Nacional de Proteção de Dados (ANPD) pedindo a abertura de fiscalização e sanções contra a Prefeitura de São Paulo e a empresa Sentinelx pelo vazamento do Smart Sampa, o programa de vigilância por câmeras da capital paulista.

Segundo reportagem do UOL que revelou o caso, as credenciais de acesso ao sistema ficaram expostas em um repositório público na internet por cerca de 11 meses, sem proteção. Foram 181 logins e senhas, dados de milhares de agentes de segurança e instruções técnicas suficientes para reproduzir o sistema em qualquer computador ou celular.

Com esse acesso, era possível ver em tempo real imagens de até 58 mil câmeras, instaladas não só em vias públicas, mas também dentro de creches, hospitais, escolas e centros de atendimento a dependentes químicos. A plataforma da Sentinelx, responsável pela tecnologia do programa, também permitia pesquisar nomes completos, CPFs e placas de veículos e consultar boletins de ocorrência.

"Não estamos falando apenas de uma falha de segurança, mas de um sistema que monitora crianças em creches, pacientes em hospitais e pessoas em situação de vulnerabilidade", afirma Yasmin Rodrigues, pesquisadora do Centro de Estudos de Segurança e Cidadania (CESeC), que integra a coalizão.

A Prefeitura confirmou o vazamento e atribuiu o caso a um servidor que, segundo a administração, foi identificado, afastado e está sob investigação. A gestão também afirmou que o repositório não tinha menção a senhas, o que contradiz o que a reportagem mostrou. Em resposta a um pedido de acesso à informação, a Prefeitura disse ainda que não envia relatórios de impacto à ANPD por entender que o programa se enquadra na exceção da Lei Geral de Proteção de Dados (LGPD) para tratamentos com finalidade exclusiva de segurança pública.

As organizações contestam esse argumento. Elas lembram que o Smart Sampa também é usado para localizar devedores de pensão alimentícia e pessoas desaparecidas e para monitorar o interior de escolas e hospitais, e que a própria LGPD prevê que a ANPD solicite relatórios de impacto mesmo nas exceções.

O pedido inclui:

• investigação do incidente e notificação das pessoas que tiveram dados expostos;
• exigência de um Relatório de Impacto à Proteção de Dados do Smart Sampa;
• apuração sobre o controle das bases de dados e dos algoritmos por uma empresa privada;
• avaliação da legalidade da vigilância dentro de unidades de saúde e educação;
• verificação do tratamento de dados de crianças e adolescentes sem protocolo específico.

Além da Coalizão Direitos na Rede e do CESeC, assinam o ofício Conectas Direitos Humanos, AqualtuneLab, Plataforma Brasileira de Política de Drogas, Coalizão pela Socioeducação, ANCED, LAPIN, Data Privacy Brasil, Centro de Convivência É de Lei e Instituto Alana.