Consórcio Smart City SP pode receber multa de R$ 58,8 milhões

O Consórcio Smart City SP pode receber multa de até R$ 58,8 milhões por uma possível falha de segurança no Smart Sampa, sistema de monitoramento da Prefeitura de São Paulo. A penalidade está prevista no contrato de R$ 588 milhões para implantar e operar a plataforma, que integra mais de 58 mil câmeras, mas depende de uma apuração que atribua ao consórcio o descumprimento das obrigações.

O contrato responsabiliza a empresa pela segurança dos sistemas e da infraestrutura. A violação das regras de segurança da informação e cibernética é classificada como falta de grau 10, a mais grave na escala prevista. Antes de qualquer sanção, o consórcio tem direito à defesa administrativa, e o cálculo pode variar conforme a base contratual considerada e eventuais alterações no valor do acordo.

A discussão começou após a divulgação de que informações restritas do programa permaneceram em um repositório público na internet por cerca de 11 meses. Entre os dados expostos estavam credenciais e informações de agentes de segurança. O acesso às câmeras foi demonstrado em imagens feitas na região central da cidade. A plataforma passou a exigir autenticação em dois fatores depois dos questionamentos sobre a exposição.

A Prefeitura de São Paulo afirmou que não houve falha nos mecanismos de segurança e atribuiu o vazamento a um servidor da Guarda Civil Metropolitana (GCM), entre os mais de 7.500 agentes de segurança. Segundo a administração municipal, ele foi identificado e afastado, e sua conduta está sob investigação da Corregedoria da GCM. A prefeitura também disse que não houve uso indevido da plataforma.

O prefeito Ricardo Nunes afirmou que a gestão já conhecia a exposição e monitorava a situação como uma “isca” para identificar acessos irregulares. Ele disse que o guarda suspeito trabalhava no setor responsável pela manutenção de senhas e reiterou que o sistema era seguro. A Polícia Civil instaurou inquérito para apurar a conduta do agente, e a administração municipal abriu procedimento disciplinar para avaliar sua demissão.

A investigação sobre o servidor e a análise das obrigações do consórcio são questões distintas. A identificação de quem divulgou os dados não determina, por si só, se os controles de segurança exigidos pelo contrato estavam implementados e se funcionaram. Para avaliar eventual descumprimento, será necessário definir quais medidas cabiam à empresa e quais eram responsabilidade da prefeitura, além de verificar as providências adotadas por cada parte.

O Ministério Público de São Paulo registrou uma notícia de fato para examinar os indícios relacionados à exposição. Esse procedimento preliminar não equivale à abertura de um inquérito civil. O promotor responsável avaliará se há elementos para instaurar uma investigação formal.

O contrato prevê multa de até 10% do valor total, o que corresponde a R$ 58,8 milhões sobre os R$ 588 milhões informados. O advogado Luís Felipe Vicente Pires, especializado em direito público e procurador do município de Bauru, afirmou que a sanção poderia ser multiplicada pelo número de meses de descumprimento. Ele apontou que o contrato prevê penalidades mensais e mencionou quase 11 meses neste ano sem implementação de uma política de segurança da informação.

Pires também avaliou que uma multa muito superior ao valor do contrato dificilmente teria amparo legal e que o caso poderia chegar à Justiça. Já o pesquisador Natan Jamil, da equipe de Direito e Tecnologia do Instituto de Tecnologia e Sociedade, criticou a falta de autenticação em múltiplas etapas e o amplo acesso às informações por usuários. A autenticação em dois fatores exige uma segunda forma de confirmação, além da senha, para permitir o acesso.

A exposição também levanta dúvidas sobre o uso de imagens de pessoas captadas pelas câmeras. O advogado Luiz Augusto D’Urso afirmou que, para obter indenização, a pessoa afetada precisa demonstrar não apenas que seus dados foram expostos, mas também que sofreu um prejuízo concreto, como uma perda financeira. A Lei Geral de Proteção de Dados Pessoais se aplica também ao poder público; cidadãos podem dirigir pedidos e reclamações à Ouvidoria Geral do Município e à Autoridade Nacional de Proteção de Dados.

O Smart Sampa é uma plataforma de videomonitoramento com reconhecimento facial que a gestão municipal apresenta como ferramenta de segurança pública. O programa ganhou destaque na campanha de Ricardo Nunes à reeleição, em 2024, e virou referência para gestores interessados em sistemas semelhantes. O consórcio responsável reúne CLD Construtora e Eletrônica, PK9 Tecnologia, Flama Serviços e Sentinelx Tecnologia.