A ANPD (Agência Nacional de Proteção de Dados) informou nesta quarta-feira (21) que acompanha, “no âmbito de suas competências legais”, o incidente de invasão e exposição de dados do sistema Smart Sampa, sistema de monitoramento da cidade de São Paulo.
Nesta terça-feira (20), a Prefeitura de São Paulo confirmou que um servidor invadiu o sistema de dados e, por isso, foi afastado de suas funções e está sendo investigado pela Controladoria da Guarda Civil Metropolitana.
De acordo com reportagem do UOL, que revelou o caso, os dados de mais de 58 mil câmeras ficaram expostos em um repositório por 11 meses e continham logins e senhas, informações do sistema e até orientações para reprodução do sistema de entrada do Smart Sampa em quaisquer celulares ou computadores.
O Ministério Público de São Paulo afirmou que está avaliando a existência de indícios suficientes para a abertura de uma investigação do incidente, com a distribuição do caso para as Promotorias de Justiça do Patrimônio Público.
ANPD aguarda
A Agência Nacional de Proteção de Dados informou que, até o momento, não foi procurada pela prefeitura de São Paulo.
Entre as atribuições da agência estão fiscalizar, exigir medidas de mitigação e aplicar sanções administrativas aos órgãos públicos responsáveis em casos de invasão de sistema público de dados.
A entidade pode, por exemplo, fazer uma campanha de comunicação à população com orientações sobre o incidente e lidar com a contenção e a eliminação da vulnerabilidade. Multas, nesse caso, não se aplicam.
A ANPD também afirma que, segundo a LGPD (Lei Geral de Proteção de Dados Pessoais), “o controlador dos dados deve comunicar à ANPD, no prazo de três dias úteis contados do conhecimento do fato, os incidentes que possam acarretar risco ou dano relevante aos titulares”. A comunicação ainda não foi feita pela prefeitura de São Paulo.
Segundo a ANPD, a Coordenação-Geral de Incidentes de Segurança pode ser acionada caso “qualquer pessoa ou entidade deseje denunciar problemas de segurança, falta de transparência ou uso indevido de dados em sistemas públicos pelo site da ANPD”.
O vazamento
A prefeitura de São Paulo afirmou que um servidor municipal vazou ilegalmente dados do Smart Sampa, sistema de monitoramento por câmeras da capital paulista. Segundo a administração municipal, o funcionário foi identificado, afastado e é investigado pela Corregedoria da GCM (Guarda Civil Metropolitana).
Além disso, o órgão nega que o episódio tenha ocorrido por uma falha de segurança da plataforma.
Em reportagem publicada nesta terça, o UOL informou que dados sigilosos do sistema ficaram expostos na internet por cerca de 11 meses. Segundo o veículo, o material permitia o acesso indevido a imagens de mais de 58 mil câmeras conectadas ao Smart Sampa, incluindo equipamentos instalados em ruas, escolas, creches e hospitais.
O UOL também relatou que o repositório continha 181 logins e senhas de usuários autorizados, dados de mais de 6 mil agentes de segurança e instruções para reproduzir o sistema em computadores ou celulares.
Em nota, a prefeitura classificou o episódio como um ato criminoso praticado por um dos mais de 7.500 agentes de segurança. A administração municipal afirmou que não houve uso indevido da plataforma e contestou a caracterização do caso como uma falha de segurança.
Prefeitura diz que repositório foi retirado do ar
Segundo a prefeitura, o repositório disponibilizado ilegalmente na internet foi retirado do ar pela Secretaria Municipal de Segurança Urbana. O órgão também afirmou que o material não continha senhas de acesso.
A administração municipal informou que o Smart Sampa é fiscalizado pelo TCM (Tribunal de Contas do Município) e conta com consultoria especializada em governança e privacidade de dados.
As obrigações contratuais do programa incluem auditorias periódicas, testes de segurança, monitoramento, apresentação de relatórios técnicos e correção de eventuais vulnerabilidades.
A CTIS (Coordenadoria de Tecnologia, Integração e Segurança), vinculada à Secretaria Municipal de Segurança Urbana, é responsável pela supervisão e fiscalização da plataforma.
A prefeitura também afirmou que as câmeras instaladas em equipamentos públicos abrangem áreas de circulação comum, sem incluir consultórios, salas de atendimento ou ambientes assistenciais.
Segundo a nota, a captação de uma imagem não significa que a pessoa tenha sido cadastrada ou identificada pelo sistema.