Segurança da informação em cidades inteligentes: o que aprender com o vazamento do Smart Sampa
A principal lição do caso Smart Sampa é que uma rede de câmeras é tão segura quanto o controle de quem a acessa. Em outubro de 2026 veio a público que dados que permitiam acesso a mais de 58 mil câmeras ficaram cerca de 11 meses em um repositório público na internet. Autenticação forte, acesso individual, registro de cada consulta e cláusulas de segurança no contrato reduzem esse risco.
O que aconteceu
Segundo o Canaltech, com base em reportagem do UOL publicada em 20/10/2026, um repositório público na internet reunia 181 logins e senhas de usuários autorizados e informações de mais de 6 mil agentes de segurança, por cerca de 11 meses. A prefeitura retirou os dados do ar, afastou um servidor, atribuiu o caso à conduta dele e negou vulnerabilidade nos mecanismos de proteção da plataforma. O Ministério Público de São Paulo abriu apuração no mesmo dia.
As medidas anunciadas depois incluíram senhas individuais, autenticação em dois fatores, código por SMS para criar senhas e, a partir de 27/10/2026, reconhecimento facial para autenticar os profissionais que acessam as imagens (Canaltech).
Seja falha técnica ou conduta de um usuário, o ponto é o mesmo: as medidas que vieram depois do incidente são justamente as que deveriam existir desde o início.
Oito medidas que todo projeto deve ter
- Usuário individual: nada de login compartilhado por equipe ou turno.
- Autenticação em dois fatores para todo acesso a imagens e dados.
- Menor privilégio: cada perfil vê só as câmeras e funções de que precisa.
- Registro de cada acesso: quem viu, o que viu e quando, com alerta para comportamento fora do padrão.
- Senha nunca em código ou documento: credenciais ficam em cofre próprio, e repositórios são verificados.
- Desligamento imediato: quem sai da função perde o acesso no mesmo dia.
- Parceiros sob a mesma regra: câmeras privadas integradas e empresas contratadas seguem a política do órgão.
- Plano de resposta a incidente: quem age, quem comunica e em quanto tempo, testado antes de ser preciso.
O que as normas já dizem
| Norma | O que exige |
|---|---|
| LGPD, art. 46 | Medidas técnicas e administrativas contra acessos não autorizados e tratamento ilícito |
| LGPD, art. 48 | Comunicar à autoridade nacional e ao titular o incidente que possa causar risco ou dano relevante |
| IN GSI/PR 5/2021, art. 13 | Autenticação multifator ou equivalente; registro de acessos e incidentes guardado por 1 ano pelo provedor e por 5 anos pelo órgão |
| IN GSI/PR 5/2021, art. 18 | Dados em território brasileiro, com ao menos uma cópia de segurança atualizada no país |
| IN GSI/PR 5/2021, arts. 19 e 20 | Devolução integral dos dados no fim do contrato e aviso imediato do provedor sobre incidentes |
A LGPD não se aplica ao tratamento feito exclusivamente para segurança pública (art. 4º, III), mas uma plataforma municipal costuma servir também a trânsito, escolas e outros serviços, e aí a lei vale. A Instrução Normativa GSI/PR nº 5/2021 é obrigatória para a administração federal e serve de referência para estados e municípios; a Portaria MJSP 648/2024 já a exige para a nuvem das câmeras corporais.
O que pôr no contrato
- Requisitos de autenticação, perfis e registro de acesso como itens obrigatórios do termo de referência.
- Propriedade dos dados e das gravações com o órgão, inclusive cópias de segurança.
- Prazo para o fornecedor comunicar incidentes e obrigação de colaborar na apuração.
- Devolução dos dados e apagamento comprovado ao fim do contrato.
Onde a All Control entra
A All Control implanta videomonitoramento e centrais integradas para órgãos públicos com controle de acesso por perfil, registro auditável das gravações e capacitação dos operadores, e trata a segurança da informação como parte do projeto, não como um item posterior. Veja a abordagem em Smart City.