58 mil câmeras e uma pergunta: quem vigia o Smart Sampa?

Na sexta de suas sátiras, o poeta romano Juvenal ironiza um marido ciumento que, desconfiado da esposa, recorre a guardas para vigiá-la. A solução parece ótima, até que o poeta faz a pergunta inconveniente: sed quis custodiet ipsos custodes? (Juvenal, VI, 347-348). Quem vigiará os próprios vigilantes? Quase dois milênios depois, a provocação reapareceu nos muros da Nova York imaginada por Alan Moore e Dave Gibbons em Watchmen (1987). Mudaram os personagens e os instrumentos da vigilância. Não mudou a questão: nenhum poder de controle dispensa o controle sobre si mesmo.

A pergunta ganhou atualidade nuclear em São Paulo. No último dia 20 de outubro, o UOL revelou que as credenciais de acesso ao Smart Sampa, programa municipal de videomonitoramento com reconhecimento facial, haviam passado cerca de onze meses expostas num repositório público da internet (Rodrigues, 2026). Eram 181 logins e senhas, dados de milhares de agentes de segurança e as instruções para reproduzir a interface do sistema. Com esse material, a reportagem acessou imagens de mais de 58 mil câmeras, inclusive no interior de creches, escolas, unidades de saúde, centros de atenção psicossocial infantil e bases da Guarda Civil Metropolitana. Num teste, o repórter acenou diante de oito câmeras enquanto a redação o acompanhava de tela em tela. A cidade que se habituou a ser observada descobriu que o observador também podia ser observado. E não por quem deveria fiscalizá-lo.

Nenhuma barreira precisou ser rompida. Segundo o repórter, o login de cada guarda era o seu número de registro (matrícula), e a senha era esse mesmo número (UOL Prime, 2026). Não havia verificação em duas etapas, recurso que o Poder Judiciário exige até de quem quer consultar um processo público. O andamento de um processo no juizado especial estava mais bem protegido do que o rosto de quem anda por São Paulo.

É tentador reduzir o episódio à imprudência de um funcionário, ou mesmo a um crime deliberado. A Prefeitura, porém, adotou essa explicação: atribuiu a divulgação a um único servidor, informou o afastamento e a abertura de investigação contra ele, negou qualquer fragilidade na plataforma e afirmou não ter havido uso indevido de dado algum (Rodrigues, 2026). Na mesma nota, anunciou senhas exclusivas e a implementação da autenticação em dois fatores. Se não havia fragilidade, não havia o que corrigir. De toda sorte, a versão oficial não responde à pergunta que importa: como foi possível chegar tão longe com informações que jamais deveriam estar disponíveis?

A resposta não cabe na identificação de quem publicou os logins e a arquitetura do programa. Um sistema que concentra imagens e registros de circulação de milhares de lugares precisa ser concebido para resistir a erros, abusos e descuidos dos próprios usuários autorizados. É para isso que existem controles de acesso, limitação de privilégios, registro de consultas, autenticação reforçada e testes periódicos. Segurança da informação não pode depender da discrição de quem conhece uma senha. Confiar nos operadores é necessário. Poder verificar o que fazem, por sua vez, é indispensável.

No Smart Sampa, o contraste entre a ambição tecnológica e o descontrole é constrangedor. O edital previu “Login com Autenticação de Dois Fatores” e, na mesma linha, ressalvou que o recurso “será utilizada apenas para alguns servidores da SMSU” (São Paulo, 2023a, p. 78). O mecanismo era conhecido. Foi dispensado, por escrito e em edital, para a maioria dos usuários. Só depois dos questionamentos da imprensa a Prefeitura anunciou a segunda etapa de verificação para todos. A proteção mais elementar de um sistema que trata dados sensíveis e observa milhões de pessoas chegou por constrangimento e exposição pública.

Há ainda o que o próprio contrato diz. Ele atribui à contratada “toda a segurança dos sistemas e infraestrutura que compõem a plataforma” e impõe ao Município a fiscalização por servidor designado (São Paulo, 2023b, cláusulas 5.12 e 6.2). O termo de referência exige auditoria e testes de segurança a cada seis meses e a comunicação imediata de “possíveis vazamentos de dados, falhas de segurança” (São Paulo, 2023a, itens 17.1.3 e 17.1.6). Onze meses de repositório aberto cabem em dois ciclos de teste. Ou os testes não foram feitos, ou foram feitos para não encontrar nada. Em qualquer das hipóteses a situação é muito preocupante. E se testes de segurança foram feitos, tudo isso deveria estar documentado e cabe a Prefeitura revelar quais verificações de segurança efetivamente existiam, com que alcance, com que periodicidade e com quais resultados. Terceirizar um serviço não é terceirizar o dever de prestar contas. Sobretudo para quem se apresenta como o maior sistema de vigilância pública da América Latina (Rodrigues, 2026).

O problema se aprofunda quando se começa a perguntar pela tecnologia. O contrato foi assinado em 7 de agosto de 2023 com um consórcio de quatro empresas. A SentinelX, dona da plataforma hoje em uso, só foi constituída em 5 de setembro de 2023, um mês depois, no mesmo endereço de uma das consorciadas (Jucesp, 2026). Entrou formalmente no consórcio em dezembro de 2024, e a Prefeitura regularizou a troca em janeiro de 2026, por aditamento “com efeitos retroativos” que ratificou “todos os atos de execução contratual, medições e faturamentos” (São Paulo, 2026b, cláusulas 1.1 e 1.2). Portanto, quem roda o sistema não disputou a licitação, não passou por habilitação técnica nem por prova de conceito. É como entregar a operação do aeroporto de Guarulhos ou da usina de Angra a uma empresa aberta depois da licitação e sem nenhuma experiência demonstrada. Em infraestrutura física, algo do tipo seria inconcebível. Em infraestrutura de dados biométricos, virou vitrine de gestão.

E a vitrine é opaca. Em resposta a pedido de acesso à informação, a Secretaria Municipal de Segurança Urbana reconheceu não dispor do código-fonte, dos modelos de inteligência artificial nem das bases usadas para treiná-los, todos sob controle da empresa, e admitiu não haver auditorias independentes. A fiscalização municipal se resume à “verificação do cumprimento dos requisitos técnicos” (Rodrigues, 2026). Examinar a confiabilidade de um algoritmo não é o mesmo que testar a resistência da plataforma a acessos indevidos. São controles distintos. A ausência de ambos revela a mesma fragilidade: o Poder Público depende de uma tecnologia que não consegue verificar por meios próprios nem independentes. E tudo isso à custa dos dados de milhões de pessoas que circulam por São Paulo todos os dias.

A opacidade se revela também no trivial. Em setembro de 2025, a SMSU informou à Defensoria Pública que “o sistema não permite acompanhamento por CPF ou outros dados pessoais” (São Paulo, 2025, p. 74). Agora, a reportagem do UOL mostrou a tela da consulta por CPF (Rodrigues, 2026). A funcionalidade foi criada depois? Estava restrita a alguns perfis? A resposta de 2025 era falsa? Qualquer das hipóteses exige explicação, e nenhuma delas tranquiliza. Uma tecnologia pública capaz de reconstruir deslocamentos não pode ter funcionalidades que a própria Secretaria desconhece ou nega.

Os relatórios de transparência do programa completam o quadro. Desde novembro de 2024, 268 pessoas foram levadas à delegacia por alerta do sistema e liberadas em seguida, 181 delas porque o mandado já não valia (Rodrigues, 2026; São Paulo, 2026a). O terceiro relatório anuncia como anexo “a versão atualizada” do relatório de impacto à proteção de dados, e o anexo não está lá (São Paulo, 2026a, p. 4). A Prefeitura, aliás, declara não enviar esses relatórios à ANPD “pois entende não ter obrigação legal” (Lapin; Peregum; Rede Liberdades, 2026, p. 12). O documento que deveria descrever os riscos do sistema e as medidas contra eles não é publicado e nem fiscalizado. O vazamento mostrou o que ele teria de dizer. Claro, pois como diria a máxima atribuída ao Barão de Itararé, “as consequências vêm sempre depois”.

Tudo isso remete a uma questão mais elementar do que a (in)eficiência do programa. A proteção de dados pessoais é direito fundamental desde a Emenda Constitucional n. 115/2022 (art. 5º, LXXIX). A LGPD excepciona, no art. 4º, III, o tratamento para fins de segurança pública, mas exige, no § 1º, lei específica que observe o devido processo legal, os princípios gerais de proteção e os direitos do titular. Entre esses princípios estão a segurança e a prevenção (art. 6º, VII e VIII) (Brasil, 2018). A lei específica nunca veio. Portanto, é inequívoco que o Smart Sampa opera à margem e abaixo da lei, com base em contrato público, portarias e um decreto municipal que não menciona uma única vez o reconhecimento facial (São Paulo, 2024). A doutrina resumiu bem a questão: “não existe lei que discipline esse sistema no Brasil”, e a sua regulação “é feita por portarias e editais de licitação” (Dezem, 2026, p. 79). Segurança pública não é zona livre de garantias, mas sim atividade em que a intensidade do poder estatal as torna mais necessárias.

O Supremo Tribunal Federal já advertiu sobre isso. Na ADI 6.387, ao referendar a suspensão da medida provisória que mandava as operadoras de telefonia compartilhar dados com o IBGE, o Tribunal considerou decisiva a ausência de “mecanismo técnico ou administrativo apto a proteger, de acessos não autorizados, vazamentos acidentais ou utilização indevida” os dados compartilhados (Brasil, 2020). A proteção dos dados não pode ser prometida em abstrato. Precisa integrar, de modo demonstrável, o desenho da intervenção estatal. No Smart Sampa, o defeito que o Supremo viu no texto de uma medida provisória estava na tela de login acessada por um jornalista.

As consequências não começam nem terminam nas ilicitudes, em tese, cometidas por um único servidor. O regulamento da ANPD considera relevante o incidente que envolva dados sensíveis, dados de crianças, credenciais de acesso ou dados em larga escala (ANPD, 2024, art. 5º). O caso preenche os quatro critérios de uma vez. O controlador tinha três dias úteis para comunicar a autoridade e os titulares (art. 48 da LGPD; ANPD, 2024, arts. 6º e 9º). Diante do que aconteceu, a comunicação deveria ter sido imediata. Entretanto, no dia seguinte à reportagem, a ANPD informou que não havia sido procurada (Nascimento, 2026). No plano contratual, o descumprimento da política de segurança da informação é infração de grau 10, punida com multa de 10% do valor do contrato, que vale R$ 588 milhões (São Paulo, 2023b, cláusula 10). A multa, assim, deve chegar a R$ 58,8 milhões.

Não se nega que o Smart Sampa talvez contribua para localizar procurados e desaparecidos. Os números que a Prefeitura divulga a cada prisão não autorizam, porém, a conclusão de que a finalidade dispensa a prestação de contas sobre os riscos. Ao contrário. Quanto maior a capacidade de identificar pessoas, cruzar informações e reconstruir deslocamentos, maior deve ser o controle sobre quem acessa os dados, o que faz com eles e quem fiscaliza a operação.

O modelo experimental que converteu São Paulo num laboratório a céu aberto, no entanto, já tem candidatura nacional. A proposta de governo registrada no Tribunal Superior Eleitoral por Flávio Bolsonaro promete o “Muralha Brasileira”, um “sistema nacional de reconhecimento facial integrado a bancos de dados criminais, inspirado no Smart Sampa”, com “mais de 1 milhão de novas câmeras espalhadas por todo o país”. O tópico se intitula “Luz, câmara, prisão” e se encerra com a garantia de que “bandido não vai ter mais onde se esconder” (Bolsonaro, 2026, p. 15). Não há uma linha sobre quem auditará o sistema, quem terá acesso às imagens ou quanto custará. E nem precisa haver, pois a retórica estéril do muro dispensa a pergunta de Juvenal por definição: quem está do lado de dentro não é vigiado, é protegido. É a mesma fantasia que Moore desmonta em Watchmen: a do vigilante que se coloca acima de qualquer controle porque se declara a serviço de todos. São Paulo acaba de mostrar o que acontece quando a premissa falha.

Por óbvio, não se trata de exigir tecnologia infalível. Seria promessa tão ingênua quanto a de que câmeras, por si sós, produzem segurança. Trata-se de algo mais modesto e mais sério: exigir que o Estado demonstre conhecer os riscos da infraestrutura que mantém, controlar os acessos que concede, submeter a operação a verificações efetivas e responder pelas falhas. Sem isso, a palavra “segurança” designa apenas a finalidade proclamada do programa, não uma propriedade verificável do seu funcionamento. E um sistema de vigilância biométrica que não demonstra segurança mínima nem sequer deveria estar ligado.

Na explicação oficial, em tese, um servidor teria exposto a porta de entrada. É possível que a conduta dele mereça responsabilização, conforme o que se apurar. Mas a pergunta institucional permanece: por que a porta estava protegida de modo tão frágil? Quem tinha o dever de inspecioná-la regularmente? Como se pretende evitar a repetição de erro tão sério? Quais outras vulnerabilidades ainda existem? Punir quem divulga a chave não exclui a obrigação de examinar a fechadura.

A pergunta de Juvenal teve, ao longo dos séculos, respostas melhores do que a da Prefeitura. Madison (1788), por exemplo, sabedor de que não existem anjos na terra, deixou claro que um governo precisa, primeiro, ser capaz de controlar os governados e, em seguida, ser obrigado a controlar a si mesmo. Bobbio (1986, p. 76) definiu a democracia como o governo do poder público em público, o regime em que quem exerce o poder é visto por quem o sofre. O Smart Sampa subverteu as duas fórmulas. Controla milhões de pessoas e não possui qualquer controle. Põe o cidadão sob luz permanente e opera no escuro, com código que a Prefeitura não conhece, algoritmo que ninguém sabe de onde veio e, ao que tudo indica, sem qualquer tipo de auditoria e segurança.

Juvenal sabia que a sua pergunta não tinha saída dentro de casa. Vigiar o vigilante exige outro vigilante, e assim até o infinito. A saída que a teoria do Estado encontrou, de Madison a Bobbio, foi retirar o controle das mãos de quem controla e entregá-lo à lei, ao registro e à publicidade, controles que não dependem da virtude de ninguém.

O Smart Sampa opera em total descontrole. Daí a resposta precisa à pergunta do título deste artigo: hoje, ninguém vigia o Smart Sampa. Não a Prefeitura, que desconhece o código que opera. Não a ANPD, que não nunca é informada de nada e segue inerte como se o Smart Sampa não fosse um problema seu. Não a sociedade, que não recebe os relatórios de impacto ou as informações mínimas e necessárias para o devido accountability. E, por onze meses, qualquer um que encontrasse o repositório.

Em Watchmen, a reação aos justiceiros mascarados resultou numa lei que os proibiu de atuar fora da autorização estatal. A ficção não resolveu o dilema de Juvenal, mas recusou a ideia de que a promessa de proteção baste para legitimar um poder sem controle. Em São Paulo, a resposta à pergunta do título deste artigo não deveria depender do acaso de uma senha encontrada na internet: quem deve vigiar o Smart Sampa é o Poder Público, sujeito à fiscalização independente e ao escrutínio da sociedade. Se o Estado não consegue demonstrar que vigia seus vigilantes, não tem legitimidade para continuar vigiando a cidade.

Referências

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Resolução CD/ANPD n. 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Diário Oficial da União: seção 1, Brasília, DF, ed. 81, p. 114, 26 abr. 2024. Disponível em: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-15-de-24-de-abril-de-2024-556243024. Acesso em: 22 out. 2026.

BOBBIO, Norberto. O futuro da democracia: uma defesa das regras do jogo. Tradução de Marco Aurélio Nogueira. Rio de Janeiro: Paz e Terra, 1986.

BOLSONARO, Flávio. Proposta de governo: candidatura à Presidência da República, eleições 2026. Brasília: Tribunal Superior Eleitoral, 2026. Disponível em: https://www.tse.jus.br/eleicoes/eleicoes-2026-content/arquivos/proposta-pl/@@display-file/file/proposta-pl.pdf. Acesso em: 22 out. 2026.

BRASIL. Lei n. 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm. Acesso em: 22 out. 2026.

BRASIL. Supremo Tribunal Federal. Referendo na Medida Cautelar na Ação Direta de Inconstitucionalidade n. 6.387/DF. Relatora: Min. Rosa Weber. Plenário, 7 maio 2020.

DEZEM, Guilherme Madeira. Admirável mundo novo: breves consternações sobre o uso de câmeras nas cidades brasileiras. In: INTERNETLAB. Direitos fundamentais e processo penal na era digital: doutrina e prática em debate. v. 9. São Paulo: InternetLab, 2026. p. 76-83.

JUNTA COMERCIAL DO ESTADO DE SÃO PAULO (JUCESP). Fichas cadastrais: Consórcio Smart City SP; Sentinelx Tecnologia Ltda. São Paulo, 2026.

JUVENAL. Sátira VI, vv. 347-348. In: JUVENAL; PÉRSIO. Juvenal and Persius. Tradução de G. G. Ramsay. Londres: William Heinemann; Nova York: G. P. Putnam’s Sons, 1918.

LAPIN; PEREGUM; REDE LIBERDADES. Smart Sampa: transparência para quem? Transparência de quê? Nota técnica. Brasília; São Paulo: Laboratório de Políticas Públicas e Internet; Instituto de Referência Negra Peregum; Rede Liberdades, fev. 2026.

MADISON, James. The Federalist No. 51. In: HAMILTON, Alexander; MADISON, James; JAY, John. The Federalist. New York: J. and A. McLean, 1788.

MOORE, Alan; GIBBONS, Dave. Watchmen. New York: DC Comics, 1987.

NASCIMENTO, Jairo. ANPD acompanha invasão e exposição de dados do sistema Smart Sampa. CNN Brasil, São Paulo, 21 out. 2026. Disponível em: https://www.cnnbrasil.com.br/nacional/sudeste/sp/anpd-acompanha-invasao-e-exposicao-de-dados-do-sistema-smart-sampa/. Acesso em: 22 out. 2026.

RODRIGUES, Artur. Falha de segurança permite acesso indevido a 58 mil câmeras do Smart Sampa. UOL, São Paulo, 20 out. 2026. Disponível em: https://noticias.uol.com.br/colunas/artur-rodrigues/2026/10/20/falha-de-seguranca-permite-acesso-indevido-a-58-mil-cameras-do-smart-sampa.htm. Acesso em: 22 out. 2026.

SÃO PAULO (Município). Secretaria Municipal de Segurança Urbana. Edital do Pregão Eletrônico n. 079/SMSU/2022 e Termo de Referência. São Paulo: SMSU, 2023a.

SÃO PAULO (Município). Secretaria Municipal de Segurança Urbana. Termo de Contrato n. 032/SMSU/2023. São Paulo: SMSU, 7 ago. 2023b. Disponível em: https://prefeitura.sp.gov.br/documents/d/seguranca_urbana/tc_032_smsu_2023___smart_sampa___consorcio_smart_city_sp-2-pdf. Acesso em: 22 out. 2026.

SÃO PAULO (Município). Decreto n. 63.552, de 4 de julho de 2024. Cria o Programa Smart Sampa. São Paulo: Prefeitura do Município, 2024.

SÃO PAULO (Município). Secretaria Municipal de Segurança Urbana. Coordenadoria de Tecnologia, Integração e Segurança. Manifestação no Processo SEI n. 6029.2025/0016197-0, em resposta à Defensoria Pública do Estado de São Paulo. São Paulo, 5 set. 2025.

SÃO PAULO (Município). Secretaria Municipal de Segurança Urbana. Relatório de Transparência: Programa Smart Sampa. 3. ed. Período de análise: 23 nov. 2025 a 23 maio 2026. São Paulo: SMSU, 2026a.

SÃO PAULO (Município). Secretaria Municipal de Segurança Urbana. Termo de Aditamento n. 02 ao Contrato n. 032/SMSU/2023. São Paulo, 7 jan. 2026b. Disponível em: https://prefeitura.sp.gov.br/documents/d/seguranca_urbana/termo_de_aditamento_n_02_032_2023_assinado_29_assinado-pdf. Acesso em: 22 out. 2026.

UOL PRIME. Smart Sampa: falhas expuseram câmeras, senhas e dados de segurança. Podcast UOL Prime, n. 145. YouTube, 2026. Disponível em: https://www.youtube.com/watch?v=VVzd5qDcj4o. Acesso em: 22 out. 2026.

Declaração do uso de IA

Na elaboração deste artigo, foram utilizadas ferramentas de inteligência artificial generativa, especificamente Claude Code (modelo Fable 5.1) e ChatGPT (modelo GPT-6.1 Astra), sempre nos planos pagos, exclusivamente como instrumentos auxiliares de pesquisa e edição. Seu emprego compreendeu a revisão linguística e estilística do primeiro rascunho, a tradução e revisão de textos em língua estrangeira, transcrição de vídeos do YouTube, o auxílio na padronização e formatação de notas de rodapé e referências bibliográficas, bem como a sugestão de literatura, artigos científicos e trabalhos relacionados ao objeto da pesquisa. As fontes, referências e informações sugeridas pelas ferramentas foram posteriormente verificadas pelo autor. A concepção da pesquisa, a definição do problema, a construção dos argumentos, a análise das fontes, as conclusões e a versão final do texto são de inteira responsabilidade do autor.