21 out Smart Sampa: exposição de câmeras pode resultar em indenização para paulistanos?
A exposição indevida de dados do Smart Sampa revelou credenciais de acesso a 58 mil câmeras da Prefeitura de São Paulo por quase um ano na internet. As imagens captavam a rotina de escolas, creches, hospitais e o deslocamento de viaturas da Guarda Civil Metropolitana. O caso foi revelado pelo portal UOL e confirmado pela gestão municipal.
A prefeitura informou que não houve falha técnica nos sistemas, mas uma ação criminosa pontual praticada por um servidor, que acabou afastado e é investigado pela Corregedoria. O posicionamento completo pode ser lido no texto a seguir.
Apesar da gravidade do episódio, a possibilidade de compensação financeira aos cidadãos que tiveram a imagem exposta esbarra no entendimento do Superior Tribunal de Justiça (STJ). Nesse contexto, o especialista em Direito Digital Luiz Augusto D’Urso afirma que o vazamento não assegura o direito à reparação na Justiça:
“O STJ foi recentemente provocado após a entrada em vigor da Lei Geral de Proteção de Dados Pessoais (LGPD) para definir se qualquer titular de dado poderia ingressar com uma ação de indenização ao ter dado vazado. A resposta dada em jurisprudência, hoje, consolidada é que para se ter uma indenização, o vazamento deve ter gerado um dano imediato e concreto. A vítima teria que comprovar o vazamento e também que ele gerou um dano real, como financeiro, não só a exposição indevida”.
O advogado destaca que cabe aos afetados formalizarem denúncias à Autoridade Nacional de Proteção de Dados (ANPD) e cobrarem melhorias na ouvidoria do município. D’Urso lembra ainda que a LGPD é aplicável ao setor público e que a prefeitura responde pelo incidente na esfera administrativa.
Na esfera criminal, o servidor responsável pelo incidente pode responder por violação de sigilo funcional, enquanto eventuais invasores que usaram as credenciais ficam sujeitos às penas por invasão de dispositivo informático.
Fatores técnicos da exposição do Smart Sampa
No campo da tecnologia, o caso se enquadra como o trabalho de um colaborador com acesso privilegiado que expõe dados sigilosos (threat insider). Para o especialista em Segurança da Informação Renato Borbolla, a adoção da autenticação em dois fatores promovida pela prefeitura após a denúncia é positiva, porém não resolve o problema sozinha.
Além da falta de bloqueios geográficos e de ferramentas de prevenção contra perda de dados (DLP, na sigla em inglês), os riscos gerados pela exposição do sistema afetam diretamente o trabalho das forças de segurança nas ruas:
“Com esse acesso, os criminosos podem monitorar autoridades, ver todo o patrulhamento da Polícia de São Paulo e se precaver antecipadamente contra uma ação policial. É gravíssimo”, alerta o especialista em segurança.
Para proteger as informações e mitigar novas falhas, Renato Borbolla orienta que o poder público mantenha monitoramento contínuo na internet para identificar repositórios ou credenciais expostas antes que sejam explorados por criminosos.
Paralelamente, aos cidadãos, Luiz Augusto D’Urso indica que os pedidos de confirmação sobre o tratamento e a exclusão de registros visuais na base do programa sejam feitos por meio da Ouvidoria Geral do Município de São Paulo e pelo sistema de peticionamento eletrônico da ANPD.
Além da exposição indevida, o caso também preocupa pelos limites de segurança da tecnologia, uma vez que o programa paulistano é vitrine política da prefeitura e inspira propostas nacionais, como a promessa de campanha de Flávio Bolsonaro (PL) de criar o Smart Brasil, com dois milhões de câmeras no território nacional.
Prefeitura de São Paulo reforça que Smart Sampa é seguro
Em posicionamento oficial, a Prefeitura de São Paulo reafirma que o Smart Sampa é seguro:
“A Prefeitura de São Paulo informa que não há nenhuma fragilidade nos mecanismos de segurança da plataforma do Programa Smart Sampa, que tem um protocolo contínuo de monitoramento. O que houve foi um vazamento ilegal de dados por parte de um servidor da Guarda Civil Metropolitana entre os mais de 7.500 agentes de segurança.
Ele já foi identificado, afastado e sua conduta está sendo investigada pela Corregedoria da Guarda Civil Metropolitana. Nenhum uso indevido da plataforma foi registrado. Portanto, a Prefeitura reforça que se trata de um ato criminoso. A reportagem do UOL acessou o sistema a partir de um vazamento ilegal e tenta classificar o caso como falha na segurança, agindo, assim, com irresponsabilidade e desinformando a população.
A Prefeitura vinha monitorando com iscas e armadilhas internas ao sistema para flagrar acessos ilegais e eventuais tentativas de invasão. Reforçamos que não houve registro de ataques provenientes do vazamento e que o Smart Sampa é seguro. A Polícia Civil instaurou inquérito policial para apurar a conduta do GCM. Na administração municipal já foi aberto um inquérito disciplinar para a demissão.
O Smart Sampa já contribuiu para a captura de 3.628 foragidos e a localização de 284 pessoas desaparecidas. O aprimoramento das camadas de segurança da plataforma é uma ação contínua da administração municipal.”
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.