Nunes exige reconhecimento facial no Smart Sampa após vazamento e assina convênio com MPSP

Na tarde desta terça-feira (27), diante de jornalistas, o prefeito de São Paulo, Ricardo Nunes (MDB), anunciou que o Smart Sampa passa a exigir reconhecimento facial de quem quiser acessar as informações do sistema. O anúncio veio logo depois da assinatura de um convênio entre a prefeitura e o Ministério Público de São Paulo (MPSP) para o compartilhamento de imagens e dados do programa. A medida chega uma semana depois de o UOL revelar que dados e imagens de paulistanos ficaram expostos por 11 meses.

Segundo Nunes, apenas nove promotores do MPSP terão acesso ao Smart Sampa. Os agentes da Guarda Civil Municipal também terão de passar pelo reconhecimento facial a partir de agora. A intenção, disse o prefeito, é evitar que uma exposição ilegal volte a acontecer.

O prefeito sustentou que não houve falha de segurança, e sim a divulgação ilegal por um guarda municipal que tinha acesso ao sistema. Questionado pelo UOL se seria prematuro firmar a parceria enquanto o vazamento ainda é apurado, rejeitou a pergunta e disse que ela foi feita sem "boa-fé". Afirmou que a gestão entregou relatórios ao Ministério Público e que "em nenhum momento" houve invasão. Comparou: invadir um celular vulnerável é uma coisa; outra é alguém entregar a própria senha a terceiros, que então entram com ela.

Nunes disse ainda que a prefeitura segue tentando identificar acessos ilegais usando o que chamou de "isca", e que há situações sendo monitoradas hoje. Não deu detalhes. Não informou se a isca envolve dados falsos, credenciais específicas ou algum alvo já identificado.

O convênio permite que o Gaeco, o grupo do Ministério Público de combate ao crime organizado, use a tecnologia do Smart Sampa em investigações contra grupos criminosos. Numa segunda parceria com o MPSP, o sistema será empregado no enfrentamento da violência doméstica. Não foram divulgados detalhes sobre o papel de cada parte.

O vazamento foi revelado em reportagem do UOL publicada na terça-feira (20). Informações sigilosas ficaram em um repositório público da internet por cerca de 11 meses, o que permitiu acesso indevido a imagens de mais de 58 mil câmeras. O Smart Sampa integra câmeras públicas e privadas, compara rostos com imagens de procurados e desaparecidos e identifica veículos por placa, incluindo carros roubados, furtados ou com suspeita de clonagem. A exposição poderia permitir que pessoas não autorizadas vissem imagens de espaços sensíveis e acessassem dados de agentes e usuários. Havia registros de creches, unidades de saúde e locais de atendimento a dependentes químicos. Em teste presencial em 7 de outubro, o colunista Artur Rodrigues foi acompanhado e gravado por oito câmeras de totens privados conveniados ao sistema, no centro da cidade.

O caso também chegou à ANPD, a Agência Nacional de Proteção de Dados. Onze organizações da sociedade civil, reunidas na Coalizão Direitos na Rede, enviaram ofício alegando que a falha expôs dados pessoais de milhões de pessoas. Entre elas estão o CESeC, a Conectas Direitos Humanos e a Data Privacy Brasil. A agência avalia se abre investigação e deu cinco dias para a prefeitura se explicar. Se aceitar, vai apontar se houve falha da prefeitura e da SentinelX, empresa que presta serviço ao Smart Sampa.

As entidades pedem notificação dos titulares dos dados, medidas preventivas e sancionatórias, e possíveis multas e indenizações. Querem também que a ANPD exija um Relatório de Impacto à Proteção de Dados, contestando a tese da prefeitura de que o programa se enquadra na exceção da LGPD para segurança pública. Argumentam que o sistema tem outros usos, como localizar devedores de pensão alimentícia e pessoas desaparecidas e monitorar o interior de equipamentos de saúde e educação. Cobram ainda avaliação da legalidade da vigilância em creches e escolas e regras para dados de crianças e adolescentes. A próxima definição é da ANPD, que decide se abre a investigação.