O vazamento de imagens de câmeras exige apurar quais dados alguém acessou e como isso afetou as pessoas. A reportagem sobre o Smart Sampa trouxe essa preocupação ao debate sobre segurança pública. No entanto, a Prefeitura contesta falha sistêmica e uso indevido. Entenda as diferenças entre suspeita, acesso e exposição, os limites da LGPD e como documentar uma possível ocorrência.
O que a reportagem relata e o que a Prefeitura contesta
Em 20 de outubro de 2026, Artur Rodrigues publicou no UOL reportagem sobre o Smart Sampa. O texto relata acesso indevido a uma rede de 58 mil câmeras, exposição de credenciais e consultas a registros pessoais. Esse número descreve câmeras, não vítimas nem arquivos comprovadamente extraídos.
Por outro lado, a Prefeitura contesta falha sistêmica e uso indevido. Segundo a versão municipal reproduzida na notícia, o episódio envolve um servidor afastado. A administração também informa investigação e reforço de autenticação. As versões constam da reportagem do UOL.
Assim, essas informações exigem apuração técnica e documental. Elas não permitem concluir que alguém extraiu todas as imagens ou toda a base biométrica. Tampouco permitem atribuir responsabilidade definitiva a um agente.
A página municipal do programa informa uso de reconhecimento facial e integração de bases de desaparecidos e procurados. Contudo, essa descrição institucional não confirma o incidente.
Vazamento de imagens de câmeras: o que precisa de comprovação
Uma vulnerabilidade pode permitir acesso indevido, mas não demonstra que alguém a explorou. Da mesma forma, acessar uma plataforma não comprova a extração de todos os seus arquivos. Por isso, a análise deve separar cada situação.
| Situação | O que significa | O que apurar |
|---|---|---|
| Vulnerabilidade | Fragilidade que pode permitir acesso sem autorização. | Quais recursos e permissões estavam expostos. |
| Acesso indevido | Consulta ou entrada sem autorização adequada. | Quem acessou, quando e quais dados consultou. |
| Extração ou divulgação | Cópia ou circulação de dados fora do acesso autorizado. | Quais arquivos saíram e quem teve acesso a eles. |
Além disso, imagens, credenciais e registros pessoais podem ter alcances distintos no mesmo episódio. Nesse sentido, os registros de acesso ajudam a reconstruir o ocorrido. Portanto, falar em vazamento de imagens de câmeras exige delimitar os dados e as pessoas efetivamente envolvidos.
Como a LGPD trata a segurança pública
A LGPD prevê tratamento especial para operações com finalidade exclusiva de segurança pública. O fundamento está na Lei 13.709/2018, art. 4º, III e §§ 1º a 4º. O guia da ANPD sobre tratamento pelo poder público aborda esse enquadramento.
No entanto, o regime especial não significa ausência de proteção. Permanecem princípios gerais de proteção, direitos do titular e devido processo legal. Além disso, a participação privada encontra restrições e exige tutela pública.
A finalidade de cada operação faz diferença
O Decreto municipal de São Paulo 63.552/2024, art. 1º, institui o Smart Sampa sob gestão da Secretaria Municipal de Segurança Urbana. Ele abrange videomonitoramento, plataforma multiagência, processamento e integração de dados para gestão e segurança públicas.
Por isso, a análise precisa identificar a finalidade de cada operação. A referência à gestão pública impede presumir que toda atividade tenha finalidade exclusiva de segurança pública. Da mesma forma, não cabe aplicar automaticamente todo o regime ordinário da LGPD ao programa.
O decreto descreve a organização do sistema. Contudo, ele não comprova falha nem responsabilidade no episódio noticiado.
Imagem identificável e biometria facial
Uma imagem pode permitir identificar alguém. Já o processamento biométrico usa características da pessoa para sua identificação. Portanto, essas situações merecem análise separada.
A Lei 13.709/2018, art. 5º, II, inclui dado biométrico vinculado a pessoa natural entre os dados pessoais sensíveis. A página oficial sobre a LGPD do Governo de Goiás apresenta essa categoria.
No entanto, uma gravação comum não permite presumir exposição de biometria. Também não basta saber que o programa usa reconhecimento facial. É preciso verificar se o acesso envolveu imagens, resultados de consultas ou dados biométricos.
Ponto central: estar diante de uma câmera não comprova inclusão em uma base biométrica. Assim, a investigação deve identificar quais operações ocorreram com aquela imagem.
Quem responde pela gestão e pelo acesso
A apuração começa pela identificação de quem decide as finalidades e de quem opera o sistema. Também precisa examinar permissões, registros de acesso e resposta ao incidente. Por isso, o nome de uma empresa no contrato não encerra a análise.
Além disso, o vínculo entre Município e contratada não estabelece, sozinho, responsabilidade solidária. É necessário conhecer as atribuições concretas de cada participante. O papel da pessoa que realizou o acesso também integra essa avaliação.
A Prefeitura disponibiliza um relatório de transparência do Smart Sampa. Contudo, a existência desse documento não equivale a uma auditoria independente nem resolve a controvérsia.
Como documentar uma suspeita de exposição
Quem suspeita de exposição deve organizar as informações que recebeu por meios lícitos. Dessa forma, consegue formular perguntas objetivas e preservar a sequência dos fatos. Evite divulgar dados de terceiros ao relatar o problema.
Quatro etapas para organizar a situação
Registre
Guarde datas, protocolos e comunicações recebidas sobre o possível incidente.
Peça esclarecimentos
Procure o órgão responsável e o encarregado pelos canais institucionais.
Preserve provas
Mantenha em ambiente privado os documentos lícitos sobre eventual exposição e dano.
Avalie a resposta
Organize as dúvidas restantes para uma análise individual do caso.
O que perguntar ao órgão responsável
Peça informações sobre as categorias de dados envolvidas e eventual relação com você. Além disso, pergunte sobre o período do ocorrido, as medidas de resposta e o canal de acompanhamento. Além disso, guarde o protocolo para relacionar cada resposta ao pedido original.
Não utilize credenciais expostas nem tente entrar na plataforma para confirmar a suspeita. Em vez disso, preserve a comunicação recebida e encaminhe a dúvida por canal institucional. Essa orientação evita ampliar a exposição.
Quando existe dever de comunicar o incidente
No regime ordinário aplicável, a Resolução CD/ANPD 15/2024 disciplina a comunicação de incidentes. Seus arts. 6º e 9º preveem três dias úteis para comunicação pelo controlador à ANPD e aos titulares. A regra ressalva legislação específica e envolve risco ou dano relevante.
O prazo começa com o conhecimento pelo controlador de que o incidente afetou dados pessoais. Portanto, não basta tomar a data da notícia como marco inicial. A orientação oficial da ANPD sobre comunicação de incidentes apresenta os requisitos.
No entanto, a incidência dessa regra sobre operações do Smart Sampa depende do enquadramento no art. 4º da LGPD. Assim, não cabe afirmar descumprimento do prazo sem conhecer o regime, a data de ciência e os demais requisitos.
Por que a indenização não é automática
O vazamento de imagens de câmeras não permite prometer indenização a toda pessoa que circulou pela área monitorada. A análise exige delimitar o incidente, o dano e a relação entre eles. Além disso, o tipo de dado e o regime aplicável importam.
No AREsp 2.130.619/SP, a Segunda Turma do STJ examinou vazamento de dados cadastrais comuns de uma concessionária. Em 07/03/2023, o tribunal não presumiu dano moral e exigiu prova. O alcance consta do informativo oficial do STJ.
Contudo, esse julgamento não trata do Smart Sampa. Também não estabelece regra universal para exposição de biometria. Ele serve como contraste para explicar por que a natureza dos dados e a prova merecem atenção.
A pesquisa que fundamenta este artigo não contém decisão judicial verificada sobre o incidente noticiado. Por isso, não há base para anunciar valores de reparação ou desfechos judiciais.
Orientações para quem está em Aracaju e Sergipe
Para moradores de Aracaju e de outros municípios de Sergipe, a discussão oferece critérios de análise de suspeitas semelhantes. Antes de tudo, identifique quem administra o sistema relacionado à ocorrência. Depois, organize protocolos, comunicações e eventuais provas de dano.
No entanto, o episódio noticiado em São Paulo não comprova falha em programas locais. Cada sistema exige análise de finalidade, funcionamento e responsabilidades. Assim, a orientação jurídica deve partir dos documentos da situação concreta, sem transportar conclusões de outro município.
Perguntas frequentes
Estar filmado significa estar cadastrado em uma base biométrica?
Não é possível concluir isso apenas pela filmagem. É preciso identificar o tratamento aplicado à imagem. Portanto, o registro visual não comprova, sozinho, cadastro biométrico.
Toda câmera faz reconhecimento facial?
A existência de uma câmera não demonstra esse processamento. Mesmo quando o programa usa reconhecimento facial, é necessário verificar a operação concreta e os dados envolvidos.
A LGPD deixa de proteger dados usados na segurança pública?
A finalidade exclusiva de segurança pública tem regime especial. No entanto, isso não elimina princípios gerais de proteção, direitos do titular e devido processo legal.
Todo vazamento de imagens de câmeras gera dano moral?
Não cabe presumir esse resultado para qualquer situação. A avaliação depende dos fatos, da natureza dos dados e do regime jurídico. Por isso, preserve documentos sobre a exposição e suas consequências.
A quem solicitar esclarecimentos?
Ao órgão responsável pelo sistema e ao encarregado, por canais institucionais. Além disso, registre o protocolo e guarde as respostas para acompanhar a apuração.
O prazo de três dias úteis vale automaticamente para o Smart Sampa?
Não cabe essa conclusão automática. Primeiro, é necessário examinar o enquadramento da operação no art. 4º da LGPD e os requisitos da comunicação.
Orientação sobre proteção de dados
O Amadeus & Santos oferece atendimento para análise individual de questões de Direito Digital. Para orientação em Aracaju e Sergipe, entre em contato com a equipe pelos canais institucionais.
Falar com a equipe no WhatsApp
Dr. Andress Amadeus
Advogado especialista em Direito Digital. Autor deste conteúdo do Amadeus & Santos. Ver perfil completo.
Este conteúdo tem caráter informativo e não substitui a análise individual de um advogado. Cada caso exige avaliação de suas particularidades. Texto elaborado com base na pesquisa de 20 de outubro de 2026. As versões sobre o episódio não equivalem a conclusão técnica ou judicial.
