Na tarde desta sexta-feira, 22, a Agência Nacional de Proteção de Dados (ANPD) requisitou à prefeitura de São Paulo esclarecimentos sobre a recente violação de segurança relacionada ao sistema Smart Sampa, utilizado para videovigilância na capital.
Segundo o órgão regulador, a prefeitura não havia informado previamente sobre o incidente, que foi noticiado pela mídia e posteriormente confirmado pelo prefeito Ricardo Nunes (MDB-SP) em coletiva na última segunda-feira, 19.
É relevante destacar que as credenciais para acesso ao sistema de videovigilância estiveram expostas na internet por mais de um ano. O acesso não autorizado foi realizado por um guarda civil municipal, que havia sido aprovado em concurso em 2023 e armazenava as senhas em uma plataforma digital. A administração municipal já tinha conhecimento da situação antes da divulgação na imprensa e estava monitorando o caso para detectar possíveis acessos irregulares. Contudo, após a exposição do fato pela mídia, Nunes anunciou a demissão do guarda envolvido.
Na mesma segunda-feira, o portal Mobile Time indagou se a prefeitura havia notificado a ANPD sobre o incidente, mas não recebeu retorno. Em contrapartida, dez organizações da sociedade civil se manifestaram pedindo que o regulador tomasse providências contra a administração paulistana.
Relação entre ANPD e Prefeitura de São Paulo
Diante da falta de resposta da prefeitura, a ANPD formalizou um questionamento nesta sexta-feira. A administração municipal agora tem um prazo de cinco dias úteis para apresentar sua resposta ao ofício, independentemente do tempo estipulado para comunicar o incidente à agência.
A ANPD destacou em sua comunicação que:
Conforme estabelece a Lei Geral de Proteção de Dados Pessoais (LGPD) e o Regulamento de Comunicação de Incidentes de Segurança, conforme definido na Resolução CD/ANPD nº 15/2024, é obrigação do controlador dos dados informar à ANPD dentro do prazo de três dias úteis a partir do momento em que toma conhecimento do ocorrido, sobre incidentes que possam representar riscos ou danos significativos aos titulares dos dados.
Embora órgãos públicos não estejam sujeitos a multas sob a LGPD, eles podem receber advertências e ter medidas corretivas impostas pela ANPD. Já as empresas privadas que cometem violações da legislação estão passíveis de multas que podem chegar até R$ 50 milhões por infração.
A Coordenação-geral de Incidente de Segurança (CGIS-SFI) e a Coordenação-Geral de Fiscalização (CGF-SFI) estão acompanhando este caso dentro das suas atribuições legais e reiteram que qualquer cidadão ou entidade pode relatar problemas relacionados à segurança ou ao uso inadequado dos dados em sistemas públicos através do site da ANPD.
Em resposta ao contato feito por esta publicação, a prefeitura informou que a Secretaria Municipal de Segurança Urbana enviará as informações necessárias à ANPD dentro do prazo estabelecido.
