Entidades entram com pedido de instauração de processo de fiscalização e de adoção de medidas sancionatórias e preventivas em razão de incidente de segurança e de irregularidades no tratamento de dados pessoais no Programa Smart Sampa

Rio de Janeiro, 20 de outubro de 2026.

À Agência Nacional de Proteção de Dados (ANPD)
Superintendência de Fiscalização (SFI)

 A/C do(a) Senhor(a) Superintendente de Fiscalização
Brasília/DF

Assunto: Pedido de instauração de processo de fiscalização e de adoção de medidas sancionatórias e preventivas em face do Município de São Paulo (Secretaria Municipal de Segurança Urbana – SMSU) e da empresa Sentinelx, em razão de incidente de segurança e de irregularidades no tratamento de dados pessoais no Programa Smart Sampa, com destaque para câmeras instaladas em creches, unidades de saúde e serviços de atendimento a dependentes químicos.

Senhor(a) Superintendente,

O Centro de Estudos de Segurança e Cidadania (CESeC), Conectas Direitos Humanos, AqualtuneLab – Instituto de Estudos Sobre Direito e Tecnologia, a Plataforma Brasileira de Política de Drogas, a Coalizão Direitos na Rede, a Coalizão pela Socioeducação, a Associação Nacional dos Centros de Defesa da Criança e do Adolescente – Anced, Laboratório de Políticas Públicas e Internet – LAPIN, Associação Data Privacy Brasil de Pesquisa, o Centro de Convivência É de Lei, e o Instituto Alana vêm, com fundamento nos arts. 4º, §§ 1º a 4º, 29, 31, 32, 46, 48, 52 e 55-J, incisos IV, V e XI, da Lei nº 13.709/2018 (LGPD), e no Regulamento do Processo de Fiscalização da ANPD, apresentar os fatos e fundamentos a seguir e requerer a abertura de processo de fiscalização sobre o Programa Smart Sampa.

1. Síntese do pedido

Em 20 de outubro de 2026, o portal UOL publicou reportagem demonstrando que credenciais de acesso, dados de agentes de segurança e instruções técnicas do Smart Sampa ficaram expostos em repositório público na internet por cerca de onze meses, permitindo a terceiros não autorizados visualizar imagens de até 58 mil câmeras, inclusive em creches, hospitais e centros de atendimento a dependentes químicos, e consultar nomes, CPFs, placas de veículos e boletins de ocorrência (UOL, 20/10/2026a).

O caso envolve, ao mesmo tempo: (i) incidente de segurança com dados pessoais em larga escala, admitido pela própria Prefeitura como “vazamento ilegal de dados”; (ii) tratamento de imagens de crianças em creches e de pacientes em unidades de saúde, inclusive de saúde mental, por um sistema de vigilância com reconhecimento facial; (iii) controle do código-fonte, dos modelos de inteligência artificial e das bases de dados por pessoa jurídica de direito privado, sem acesso do ente público; e (iv) declaração da Prefeitura de que não encaminha relatórios de impacto à ANPD por entender não ter obrigação legal.

O art. 4º, III, “a”, da LGPD não afasta a competência desta Agência sobre nenhum desses pontos, pelas razões expostas na seção 3.

2. Dos fatos

2.1. O incidente revelado pelo UOL

Segundo a reportagem (UOL, 20/10/2026a):

  • as informações ficaram cerca de 11 meses em repositório público e incluíam 181 logins e senhas de usuários autorizados, dados de mais de 6.000 agentes de segurança e instruções que possibilitam reproduzir o Smart Sampa em qualquer computador ou celular;
  • a reportagem acessou o sistema por meio de interface construída a partir desses dados e visualizou rostos de pessoas e veículos captados pelas câmeras;
  • foi possível acessar câmeras em creches, hospitais e centros para atendimento de dependentes químicos da Prefeitura;
  • na plataforma da Sentinelx, fornecedora da tecnologia, era possível pesquisar nomes, CPFs e placas e acessar boletins de ocorrência;
  • não havia autenticação em duas etapas, e as credenciais frequentemente repetiam dados de registro dos próprios agentes; em contas verificadas, a matrícula funcionava como senha (UOL, 20/10/2026b);
  • a autenticação em duas etapas só foi adotada após o questionamento da reportagem.

A Prefeitura respondeu que “houve um vazamento ilegal de dados por parte de um servidor”, que foi “identificado, afastado” e está sob investigação da Corregedoria da Guarda Civil Metropolitana, e afirmou que o repositório “não havia nele menção a senhas de acesso” (UOL, 20/10/2026a). A nota oficial confirma a ocorrência do vazamento e contradiz a reportagem quanto às senhas, divergência que só uma apuração com acesso aos registros técnicos pode resolver.

2.2. Opacidade sobre algoritmos, bases e auditorias

Em resposta a pedido de acesso à informação do UOL, a SMSU declarou que a Prefeitura não tem acesso ao código-fonte, aos modelos de inteligência artificial nem às bases de dados usadas para treinar os algoritmos, todos sob controle da Sentinelx, e que não há auditorias independentes dos modelos (UOL, 20/10/2026a). A Sentinelx foi criada um mês depois da assinatura do contrato e passou a integrar formalmente o consórcio operador por aditivo de dezembro de 2025.

Os relatórios municipais registram 268 conduções a delegacias seguidas de liberação entre novembro de 2024 e maio de 2026: 75 por inconsistências no reconhecimento facial, 181 por mandados sem baixa e 12 por problemas cadastrais (UOL, 20/10/2026b). Em um dos casos, a Justiça condenou Prefeitura e Estado a indenizar um entregador abordado duas vezes, em UBS da zona leste, enquanto acompanhava a companheira grávida em consulta de pré-natal.

2.3. Recusa de prestar contas à ANPD

A Nota Técnica “Smart Sampa: transparência para quem? Transparência de quê?”, do LAPIN, do Instituto de Referência Negra Peregum e da Rede Liberdades (Anexo II), registra que a Prefeitura declarou não encaminhar Relatórios de Impacto à ANPD por entender não ter obrigação legal. A mesma nota documenta:

  • retenção de imagens por 15 ou 30 dias segundo critérios como “alta circulação de pessoas” e “relevância urbana”, sem regra específica para imagens vinculadas a ocorrências;
  • contradição sobre o banco de pessoas desaparecidas: a Prefeitura afirma não armazenar dados pessoais, mas o próprio Relatório de Transparência indica que imagens vinculadas ao identificador do protocolo são mantidas no banco, inclusive de pessoas na faixa de 16 a 20 anos, sem protocolo próprio para crianças e adolescentes;
  • 58,9% dos registros de pessoas abordadas sem identificação de raça/cor;
  • 94,81% das prisões classificadas como “Outros” motivadas por dívida de pensão alimentícia.

2.4. Vigilância em equipamentos de saúde e de educação

A presença de câmeras do Smart Sampa em serviços de saúde já produziu efeitos documentados. Reportagem do Brasil de Fato apontou que o programa levou 13 usuários de CAPS às delegacias, e o Ministério Público de São Paulo instaurou apuração sobre a instalação do Smart Sampa em unidades de saúde. 

A reportagem de 20 de outubro acrescenta que as escolas de educação infantil e fundamental estavam também sob vigilância, com monitoramento de crianças, adolescentes e professores dentro das unidades de ensino – e com as imagens ao alcance de qualquer pessoa que obtivesse as credenciais expostas.

3. Dos fundamentos

3.1. O art. 4º, III, “a”, da LGPD não impede a fiscalização

Em resposta ao pedido de acesso à informação, a Prefeitura declarou não encaminhar relatórios de impacto à ANPD por entender não ter obrigação legal, sem indicar o fundamento desse entendimento (Anexo II). Caso ele se apoie na exceção do art. 4º, III, “a”, da LGPD, a leitura é incompatível com o texto da lei e com a orientação desta própria Agência, por sete razões.

(a) A exceção exige finalidade exclusiva. O art. 4º, III, “a”, alcança apenas o tratamento realizado “para fins exclusivos de segurança pública”. O Smart Sampa acumula finalidades que não se enquadram nessa categoria: captura de devedores de pensão alimentícia, que é execução civil e responde pela maior parte das prisões classificadas como “Outros”; localização de pessoas desaparecidas; integração ao programa Guardiã Maria da Penha; e monitoramento do interior de equipamentos públicos de educação e saúde. Um sistema com múltiplas finalidades não pode reivindicar, em bloco, um regime pensado para finalidade única.

(b) A exceção não alcança o incidente. O acesso de terceiros não autorizados às câmeras, a exposição de credenciais e a divulgação de dados funcionais de mais de 6.000 agentes não constituem tratamento para fins de segurança pública. São falhas de segurança da informação. Os dados dos agentes, em particular, são dados de gestão de pessoal, regidos integralmente pela LGPD. O dever de adotar medidas técnicas e administrativas contra acessos não autorizados (art. 46) e o dever de comunicar incidentes à ANPD e aos titulares (art. 48, regulamentado pela Resolução CD/ANPD nº 15/2024) incidem sobre qualquer controlador.

(c) Mesmo dentro da exceção, a LGPD continua aplicável em seus princípios. O § 1º do art. 4º determina que o tratamento para segurança pública observe “o devido processo legal, os princípios gerais de proteção e os direitos do titular previstos nesta Lei”. O princípio da segurança (art. 6º, VII), o da prevenção (art. 6º, VIII), o da não discriminação (art. 6º, IX) e o da responsabilização e prestação de contas (art. 6º, X) vinculam o Município independentemente da finalidade invocada. A própria ANPD afirma isso no Radar Tecnológico: Biometria e Reconhecimento Facial: ainda que para fins exclusivamente de segurança pública, o tratamento “deve necessariamente observar o devido processo legal, os princípios gerais de proteção e os direitos do titular”.

(d) A própria exceção atribui deveres à ANPD. O § 3º do art. 4º estabelece que a agência nacional “emitirá opiniões técnicas ou recomendações referentes às exceções previstas no inciso III” e “deverá solicitar aos responsáveis relatórios de impacto à proteção de dados pessoais”. A lei usa o verbo “deverá”. A exceção, longe de criar zona imune à ANPD, prevê expressamente a atuação desta Agência sobre ela. Isso é reafirmado pela própria Agência na  Nota Técnica nº 175/2023/CGF/ANPD  sobre o projeto Estádio Seguro que envolvia assim como o caso presente o uso de sistemas de identificação biométrica: “Além disso, a LGPD expressamente atribui à ANPD a competência para emitir opiniões técnicas ou recomendações referentes às exceções previstas no inciso III do artigo 4º da Lei, e o dever de solicitar aos responsáveis o relatório de impacto à proteção de dados pessoais, de acordo com o disposto no §3º desse mesmo artigo 4º.” A própria Agência, no mencionado documento aponta que apesar da exceção existente, o tratamento de dados pessoais para as finalidades exceptuadas devem ainda assim “observar o devido processo legal, os princípios gerais de proteção e os direitos do titular previstos na LGPD, de acordo com o disposto no §1º do artigo 4º da mesma lei”.

(e) Há controle privado sobre a totalidade das bases. O § 2º do art. 4º veda o tratamento desses dados por pessoa de direito privado, salvo sob tutela de pessoa jurídica de direito público, hipótese que exige “informe específico à autoridade nacional”. O § 4º dispõe que “em nenhum caso a totalidade dos dados pessoais de banco de dados” de segurança pública poderá ser tratada por pessoa de direito privado que não tenha capital integralmente público. No Smart Sampa, a Sentinelx detém o código-fonte, os modelos e as bases de treinamento, sem acesso da Prefeitura, e câmeras de totens privados conveniados integram a rede. A Prefeitura declarou não encaminhar relatórios à ANPD, e não há notícia de que tenha enviado o informe exigido pelo § 2º. Os §§ 2º e 4º, portanto, reforçam o dever de comunicação a esta Agência.

(f) A falta de lei específica não cria vácuo regulatório. A legislação específica prevista no § 1º ainda não foi aprovada. Enquanto ela não existir, o próprio § 1º manda aplicar os princípios e direitos da LGPD. Ler a exceção como dispensa de controle significaria admitir que o maior sistema de reconhecimento facial da América Latina, segundo a própria Prefeitura, opere sem nenhum controle de proteção de dados.

(g) A proteção de dados é direito fundamental. O STF reconheceu a autonomia desse direito no julgamento da ADI 6387, e a Emenda Constitucional nº 115/2022 o inscreveu no art. 5º, LXXIX, da Constituição. Na ADI 6649, o Tribunal condicionou o compartilhamento de dados pelo poder público a finalidades legítimas e específicas, à limitação ao mínimo necessário e a mecanismos de registro de acesso para responsabilização em caso de abuso. Credenciais compartilhadas, derivadas de matrícula e sem segundo fator inviabilizam justamente essa rastreabilidade.

3.2. Dados sensíveis de crianças e de pacientes

A mera captura das imagens dessas crianças já se trata de tratamento de dados pessoais de crianças e, por si só, precisa observar o seu melhor interesse. Imagens faciais processadas por reconhecimento facial são dados biométricos e, portanto, dados pessoais sensíveis (art. 5º, II, e art. 11 da LGPD). Câmeras no interior de creches captam crianças que não são alvo de nenhuma ação de segurança, e o art. 14 exige que o tratamento de seus dados ocorra “em seu melhor interesse”. Câmeras em hospitais, UBS e CAPS revelam, pela simples presença da pessoa no local, informação sobre sua saúde, inclusive saúde mental e uso de substâncias.

Esta Agência já enfrentou situação análoga. Na Nota Técnica nº 4/2026/CPDP/CGF/SFI/ANPD (Processo nº 00261.007049/2024-06), a ANPD concluiu que a Secretaria de Educação do Paraná realizou tratamento “em larga escala desnecessário, desproporcional e excessivo” de dados biométricos de estudantes, afirmou que o controlador deve demonstrar que a tecnologia é necessária, adequada e proporcional e que inexistem alternativas menos intrusivas, e determinou a suspensão do reconhecimento facial nas escolas estaduais. No mesmo sentido, a ANPD instaurou processos de fiscalização sobre o reconhecimento facial em estádios de 23 clubes, com atenção específica a dados de crianças e adolescentes.

A utilização dessa tecnologia sobre crianças e adolescentes não pode ser tratada como prática neutra, tampouco como medida meramente operacional. Trata-se de uma escolha que recai diretamente sobre corpos e trajetórias em formação, que ainda não possuem plenas condições de compreender as implicações do tratamento de seus dados sensíveis.

Estudos da área e relatos de organizações que atuam na defesa dos direitos digitais de crianças e adolescentes têm demonstrado que, mesmo em ambientes privados, a percepção de estar sendo vigiado continuamente pode afetar o bem-estar psicológico e o desenvolvimento saudável de pessoas em formação. É como se ocorresse um efeito inibidor (chilling effect), um tipo de controle precoce que atua contra a formação plena da personalidade, o que pode moldar negativamente o desenvolvimento psíquico dessas pessoas em peculiar estágio de desenvolvimento biopsicossocial. 

Os precedentes reforçam a competência da ANPD para fiscalizar o ente público estadual que trata biometria de crianças. O caso do Smart Sampa é mais grave em três aspectos: a rede é aberta à integração de câmeras privadas, os dados estiveram expostos a terceiros e a finalidade declarada é policial, com consequências diretas sobre a liberdade das pessoas.

3.3. Necessidade, proporcionalidade e risco discriminatório

O princípio da necessidade (art. 6º, III) limita o tratamento ao mínimo necessário à finalidade. Nenhuma avaliação pública demonstrou por que creches e unidades de saúde precisam estar integradas a uma rede de reconhecimento facial. O Radar Tecnológico da ANPD aponta os efeitos discriminatórios dessas tecnologias sobre grupos vulneráveis, e os próprios dados municipais registram 75 conduções por erro de reconhecimento facial, além da ausência de identificação racial em mais da metade dos registros, o que impede verificar viés.

4. Dos pedidos

Diante do exposto, o CESeC, Conectas, LAPIN, Coalizão Direitos na Rede, Aqualtune Lab, Data Privacy Brasil, Plataforma Brasileira de Políticas de Drogas, Centro de Convivência É de Lei, Coalizão pela Socioeducação, Associação  Nacional dos Centros de Defesa da Criança e do Adolescente – Anced e o Instituto Alana requerem a esta Superintendência de Fiscalização:

  1. A instauração de processo de fiscalização imediato, de ofício, em face do Município de São Paulo (SMSU), da Sentinelx e do consórcio operador do Smart Sampa, para apurar o incidente de segurança e a conformidade do tratamento de dados pessoais no programa;
  2. A requisição de informações, nos termos dos arts. 29 e 55-J, XI, da LGPD, incluindo:
    1. data em que o incidente foi conhecido, se houve comunicação à ANPD e aos titulares nos termos do art. 48 e da Resolução CD/ANPD nº 15/2024, e por que não houve, se for o caso;
    2. período de exposição, conteúdo integral do repositório, registros de acesso (logs) às câmeras e à plataforma no período, número de contas utilizadas por terceiros e categorias de titulares afetados;
    3. relação de câmeras instaladas ou integradas em creches, escolas, unidades de saúde, hospitais e CAPS, com indicação de quais operam reconhecimento facial;
    4. contratos, aditivos e instrumentos que definem os papéis de controlador e operador, inclusive quanto à Sentinelx e aos totens privados conveniados;
    5. bases de dados utilizadas pelo reconhecimento facial, critérios de inclusão e exclusão, política de retenção e protocolo para dados de crianças, adolescentes e pessoas desaparecidas;
  3. A requisição de Relatório de Impacto à Proteção de Dados Pessoais, conforme os arts. 4º, § 3º, 32 e 38 da LGPD, e do informe específico de que trata o art. 4º, § 2º;
  4. A adoção de medidas preventivas com relação às bases que geraram o incidente de segurança, incluindo a suspensão do acesso à rede Smart Sampa das câmeras instaladas em creches, escolas, unidades de saúde e CAPS até a conclusão da fiscalização, a realização de auditoria independente de segurança da informação e a comunicação do incidente aos titulares afetados;
  5. A apuração de responsabilidades e, se confirmadas as infrações, a aplicação das sanções cabíveis ao poder público, nos termos do art. 52, § 3º, da LGPD, inclusive a publicização da infração;
  6. A emissão de opinião técnica ou recomendação, nos termos do art. 4º, § 3º, sobre os limites do uso de reconhecimento facial e videomonitoramento integrado em equipamentos públicos de educação e saúde;
  7. O compartilhamento das conclusões com o Ministério Público do Estado de São Paulo, o Tribunal de Contas do Município de São Paulo, a Defensoria Pública do Estado de São Paulo e a Defensoria Pública da União, que acompanham o programa;
  8. O compartilhamento das conclusões com o Ministério Público do Trabalho, com os Conselho Estadual e Nacional da Criança e do Adolescente, para devidas providências;
  9. A ciência a todas as Organizações da Sociedade Civil aqui reunidas sobre os atos do processo. Colocamos estas instituições à disposição para fornecer dados e informações adicionais.
  10. Constatadas infrações à Lei Geral de Proteção de Dados, pugnam, ainda, pela aplicação das sanções previstas no art. 52 da LGPD, observadas as disposições específicas de seu §3º quanto aos órgãos e entidades públicas, incluindo advertências, publicização das infrações e demais medidas sancionatórias aplicáveis

Nestes termos, pedem deferimento.

Pablo Nunes
Diretor
Centro de Estudos de Segurança e Cidadania (CESeC)

Carolina Diniz
Coordenadora do Programa de Enfrentamento à Violência Institucional
Conectas Direitos Humanos

Pedro Saliba
Coordenador de Assimetrias e Poder
Data Privacy Brasil

Michel Willian de Castro Marques
Coordenador de Gestão e Governança
Plataforma Brasileira de Políticas de Drogas 

Ana Luiza Satie Voltolini Uwai 
Coordenadora Geral
centro de Convivência É de Lei

Thaisi Moreira Bauer
Secretária Executiva
Coalizão pela Socioeducação

Francimara Carneiro Araujo 
Coordenação Colegiada
Associação Nacional dos Centros de Defesa da Criança e do Adolescente – Anced

Janaina Spode
Secretaria Executiva
Coalizão Direitos na Rede

Pedro Diogo Carvalho Monteiro 
Coordenador do GT Vigilância 
Laboratório de Políticas Públicas e Internet – LAPIN 

Felipe Rocha da Silva
Diretor
Laboratório de Políticas Públicas e Internet – LAPIN 

Arthur Almeida Menesês Barbosa
Codiretor Executivo
AqualtuneLab 

Ana Claudia Cifali
Gerente de Litigância Estratégica
Instituto Alana

Júlia Mendonça
Advogada
Instituto Alana

Anexos

  1. RODRIGUES, Artur. Falha de segurança permite acesso indevido a 58 mil câmeras do Smart Sampa. UOL, 20 out. 2026.
  2. LAPIN; INSTITUTO DE REFERÊNCIA NEGRA PEREGUM; REDE LIBERDADES. Nota Técnica Smart Sampa: transparência para quem? Transparência de quê? 2026 (arquivo VF_NOTATECNICASMARTSAMPA_020226.pdf).
  3. PANTALEÃO, Bruno; NUNES, Pablo. Smart Sampa vigia, mas não protege: falta de evidência na redução de crimes e aumento da produtividade policial na cidade de São Paulo. Rio de Janeiro: CESeC, 2025.

Referências complementares

Print Friendly, PDF & Email