Smart Sampa: exposição de câmeras pode resultar em indenização para paulistanos?

A exposição indevida de dados do Smart Sampa revelou credenciais de acesso a 58 mil câmeras da Prefeitura de São Paulo por quase um ano na internet.

As imagens captavam a rotina de escolas, creches, hospitais e o deslocamento de viaturas da Guarda Civil Metropolitana.

O caso foi revelado pelo portal UOL e confirmado pela gestão municipal .

A prefeitura informou que não houve falha técnica nos sistemas, mas uma ação criminosa pontual praticada por um servidor, que acabou afastado e é investigado pela Corregedoria.

O posicionamento completo pode ser lido no texto a seguir.

Apesar da gravidade do episódio, a possibilidade de compensação financeira aos cidadãos que tiveram a imagem exposta esbarra no entendimento do Superior Tribunal de Justiça (STJ).

Nesse contexto, o especialista em Direito Digital Luiz Augusto D’Urso afirma que o vazamento não assegura o direito à reparação na Justiça : “O STJ foi recentemente provocado após a entrada em vigor da Lei Geral de Proteção de Dados Pessoais (LGPD) para definir se qualquer titular de dado poderia ingressar com uma ação de indenização ao ter dado vazado .

A resposta dada em jurisprudência, hoje, consolidada é que para se ter uma indenização, o vazamento deve ter gerado um dano imediato e concreto .

A vítima teria que comprovar o vazamento e também que ele gerou um dano real , como financeiro, não só a exposição indevida”.

O advogado destaca que cabe aos afetados formalizarem denúncias à Autoridade Nacional de Proteção de Dados (ANPD) e cobrarem melhorias na ouvidoria do município.

D’Urso lembra ainda que a LGPD é aplicável ao setor público e que a prefeitura responde pelo incidente na esfera administrativa.

Na esfera criminal, o servidor responsável pelo incidente pode responder por violação de sigilo funcional, enquanto eventuais invasores que usaram as credenciais ficam sujeitos às penas por invasão de dispositivo informático.

Fatores técnicos da exposição do Smart Sampa No campo da tecnologia, o caso se enquadra como o trabalho de um colaborador com acesso privilegiado que expõe dados sigilosos ( threat insider ).

Para o especialista em Segurança da Informação Renato Borbolla, a adoção da autenticação em dois fatores promovida pela prefeitura após a denúncia é positiva, porém não resolve o problema sozinha.