Ricardo Nunes e Smart Sampa podem ser multados em R$ 58,8 milhões por falha de segurança, diz contrato
Ricardo Nunes e o Consórcio Smart City SP estão no centro do babado: o contrato que regula o projeto Smart Sampa, que integrou mais de 58 mil câmeras de monitoramento em São Paulo, prevê multa de até R$ 58,8 milhões caso uma apuração conclua que falhas de segurança configuram descumprimento contratual, conforme documentos citados em reportagem do UOL e informações reproduzidas pela imprensa nesta terça-feira (20). O contrato atribui à contratada a responsabilidade pela segurança dos sistemas e da infraestrutura, e classifica o descumprimento da política de segurança da informação como falta mais grave, indicada como “grau 10”.
O caso ganhou tração porque a reportagem do UOL mostrou que informações restritas do programa ficaram disponíveis em um repositório público na internet por cerca de 11 meses, incluindo credenciais e dados de agentes de segurança. A Prefeitura de São Paulo informou à Folha que “não houve nenhuma falha dos mecanismos de segurança da plataforma” e declarou que houve, segundo o texto oficial, um vazamento ilegal por parte de um servidor da Guarda Civil Metropolitana, já identificado e afastado, cuja conduta está sendo investigada pela Corregedoria da GCM.
O leitor precisa entender o alcance: além do risco à privacidade de agentes, a existência desse repositório expõe imagens e acessos em tempo real. O UOL relatou ter visualizado imagens da plataforma e gravado feeds ao recuperar imagens diante de oito equipamentos do programa na região central da cidade. A plataforma só passou a exigir autenticação em dois fatores após os questionamentos da reportagem.
O que diz o contrato e como se chega a R$ 58,8 milhões
O contrato assinado entre a Prefeitura e o consórcio estabelece um valor total de R$ 588 milhões para a negociação. A multa prevista em caso de descumprimento da política de segurança da informação pode chegar a 10% desse total, o que equivale a R$ 58,8 milhões. A aplicação da penalidade depende, entretanto, de a falha ser identificada como responsabilidade do Consórcio Smart City SP. As empresas têm direito a defesa em processo administrativo e o montante também pode variar conforme a base contratual adotada, levando em conta eventuais alterações de valor ao longo da execução.
O contrato ainda prevê sanções mensais para descumprimentos. Na avaliação do advogado Luís Felipe Vicente Pires, especialista em direito público, essa previsão pode elevar, em tese, o total da multa se forem considerados meses consecutivos de irregularidade. Ele lembra que, caso a empresa não tenha implementado medidas por quase 11 meses, as penalidades acumuladas poderiam ser multiplicadas por esse período. Por outro lado, Pires ressalta que sanções que ultrapassem muito o valor do próprio contrato teriam difícil amparo legal, e que o documento contratual pode ter sido mal redigido, abrindo espaço para disputas judiciais.
O que foi exposto, repercussão e investigações em curso
A reportagem do UOL apontou que o repositório público deixou disponíveis credenciais e dados de agentes de segurança entre os mais de 7.500 agentes vinculados ao programa. Para demonstrar o acesso em tempo real, o colunista responsável por parte da checagem gravou imagens diante de oito equipamentos conectados ao sistema. Essas evidências motivaram ações institucionais: o Ministério Público de São Paulo registrou uma notícia de fato para analisar os indícios apresentados pela reportagem, procedimento que ainda não equivale à instauração de inquérito civil. Caberá ao promotor responsável decidir se há elementos para abertura de investigação formal.
Do ponto de vista técnico, o pesquisador Natan Jamil, da equipe de Direito e Tecnologia do ITS do Rio de Janeiro, classificou o episódio como gravíssimo, afirmando que nunca viu “uma falha tão grotesca” e citando a ausência de autenticação em múltiplas etapas e o amplo acesso às informações como problemas centrais. Em resposta à cobertura, a Prefeitura declarou que não houve falha dos mecanismos da plataforma e que nenhum uso indevido da ferramenta foi registrado, acrescentando que o servidor suspeito já foi identificado e afastado.
O apuramento cabível exigirá esclarecer várias camadas: quais medidas de segurança eram de responsabilidade do consórcio e quais cabiam à Prefeitura, quando cada parte tomou conhecimento da exposição, que providências foram adotadas em cada momento e se os controles exigidos no contrato estavam efetivamente implementados e operantes para restringir acessos não autorizados. Identificar quem divulgou informações não resolve, por si só, a questão sobre a existência e o funcionamento dos controles técnicos.
O Smart Sampa ganhou destaque nas campanhas eleitorais como promessa de resposta à insegurança. Na disputa pela reeleição, Ricardo Nunes destacou o programa de câmeras e reconhecimento facial como pilar de sua plataforma de segurança, com propostas de expansão do monitoramento para identificar crimes e localizar foragidos da Justiça. O modelo também serviu de referência para outras prefeituras e políticas públicas, sido citado inclusive por figuras nacionais que o mencionaram em campanhas.
O consórcio responsável pelo projeto é formado por quatro empresas: CLD Construtora e Eletrônica, PK9 Tecnologia, Flama Serviços e Sentinelx Tecnologia. A Folha informou que procurou o consórcio e um dos proprietários das empresas, sem obter retorno até a publicação das matérias.
Por fim, seguem os caminhos formais: a investigação administrativa e eventual aplicação de multas depende de processos internos e da comprovação de responsabilidade do consórcio; o Ministério Público analisa os indícios em notícia de fato; e a Corregedoria da GCM apura a conduta do servidor identificado. A exigência de autenticação em dois fatores foi implementada após os questionamentos da imprensa, e a tramitação dos procedimentos administrativos e eventuais medidas judiciais ainda será acompanhada pelas autoridades competentes.
Crédito da imagem: Agentes em serviço no centro de monitoramento do Smart Sampa – Karime Xavier – 3.abr.25/Folhapress
Fonte da notícia: UOL
