Smart Sampa: quem responde pelo vazamento de dados?

A atribuição de um vazamento a um servidor não afasta, por si só, a possível responsabilidade do Município pelos danos decorrentes de sua atuação funcional.

O artigo 37, § 6º, da Constituição prevê a responsabilidade das pessoas jurídicas de direito público pelos danos causados por seus agentes nessa qualidade, preservando o direito de regresso nos casos de dolo ou culpa.

Essa distinção é central para analisar o episódio envolvendo o Smart Sampa: identificar quem teria divulgado informações e definir quem pode responder perante os prejudicados são questões jurídicas diferentes.

Para o advogado, o caminho começa pela reconstrução dos fatos, pela identificação dos dados atingidos e pela demonstração da relação entre o incidente e a situação do cliente.

O que foi noticiado sobre o Smart Sampa

Em 20 de outubro de 2026, a Prefeitura de São Paulo atribuiu a um servidor o vazamento de dados relacionados ao Smart Sampa, informou seu afastamento e anunciou apuração pela Corregedoria da Guarda Civil Metropolitana.

A administração municipal negou falha de segurança na plataforma, enquanto a cobertura jornalística relatou exposição de informações que permitiriam acesso indevido ao sistema de monitoramento.

Essas informações devem ser apresentadas como versões e fatos noticiados, sem transformar a imputação administrativa ao servidor em conclusão definitiva sobre autoria, extensão do incidente ou responsabilidade jurídica.

Culpar o servidor afasta a responsabilidade da Prefeitura?

Não automaticamente.

A apuração disciplinar examina a conduta funcional do agente, enquanto uma demanda indenizatória precisa enfrentar os pressupostos da responsabilidade civil e identificar o sujeito contra quem o pedido deve ser formulado.

No Tema 940, o STF estabeleceu que a ação por danos causados por agente público, no exercício da atividade pública, deve ser proposta contra o Estado ou a pessoa jurídica privada prestadora de serviço público, preservada a ação regressiva contra o responsável nos casos de dolo ou culpa.

Aplicado como orientação à análise do episódio, esse precedente impede que a identificação de um possível autor seja confundida com a definição automática do réu da ação indenizatória.

É necessário examinar o vínculo entre a conduta apontada e a função exercida, além do dano alegado e do nexo causal.

Também convém investigar possíveis falhas na gestão de acessos, na fiscalização contratual e na resposta ao incidente, sem presumir que estejam demonstradas apenas pela notícia.

A LGPD se aplica integralmente ao Smart Sampa?

O artigo 4º, III, da LGPD excepciona o tratamento realizado para fins exclusivos de segurança pública, entre outras finalidades previstas no dispositivo.

Seu § 1º exige que o regime específico observe proporcionalidade, necessidade, devido processo legal, princípios gerais de proteção e direitos dos titulares.

A finalidade de cada operação precisa ser identificada antes de definir o regime aplicável.

O nome do programa não basta para enquadrar indistintamente imagens, cadastros administrativos, credenciais e eventuais usos secundários.

Além disso, a Constituição protege a intimidade, a imagem e os dados pessoais, inclusive nos meios digitais.

Reconhecimento facial e dados biométricos exigem distinção

A LGPD classifica como sensível o dado biométrico vinculado a uma pessoa natural.

Na apuração, convém distinguir imagens, credenciais, registros de acesso e dados biométricos efetivamente atingidos.

A existência de reconhecimento facial na plataforma não demonstra, isoladamente, que todos esses elementos tenham sido expostos.

Essa diferenciação orienta a perícia, a avaliação das consequências e a escolha dos fundamentos jurídicos.

O vazamento gera indenização por dano moral?

Não é adequado prometer indenização a todas as pessoas potencialmente alcançadas pelo sistema.

No AREsp 2.130.619/SP, julgado em 7 de março de 2023, a Segunda Turma do STJ afastou o dano moral presumido em caso de vazamento de dados pessoais comuns e exigiu demonstração do prejuízo decorrente da exposição.

Já no REsp 2.121.904/SP, julgado em 11 de fevereiro de 2025, a Terceira Turma reconheceu dano moral presumido no vazamento de dados sensíveis fornecidos para contratação de seguro de vida.

Os precedentes tratam de contextos distintos e não resolvem antecipadamente o episódio do Smart Sampa.

Para utilizá-los, o advogado deve explicar quais dados do cliente foram atingidos, como ocorreu a exposição e por que o fundamento do julgamento se ajusta à demanda.

Mesmo quando se sustenta dano presumido, continua necessário demonstrar os fatos que permitem enquadrar a situação nessa hipótese.

Quais provas o advogado deve reunir?

Uma organização inicial pode separar a documentação em quatro grupos:

A notícia pode justificar a busca por esclarecimentos, mas não substitui a individualização dos fatos que sustentam a pretensão do cliente.

Os pedidos de informação devem delimitar períodos, categorias de dados e documentos, evitando solicitações genéricas que dificultem uma resposta útil.

É possível preservar provas antes da ação indenizatória?

Conforme as circunstâncias, o advogado pode avaliar produção antecipada de prova, exibição de documentos e tutela de urgência, observados os requisitos dos artigos 381, 396 e seguintes e 300 do CPC.

Um requerimento de preservação deve indicar quais registros precisam ser mantidos e por que sua perda comprometeria o esclarecimento dos fatos.

Também é importante compatibilizar a contenção do incidente com a preservação das evidências, evitando pedidos indiscriminados de eliminação de dados que possam prejudicar a própria apuração.

Na assessoria ao órgão público ou à contratada, essa organização permite documentar decisões, identificar responsáveis por cada providência e construir uma cronologia verificável da resposta.

Quando o incidente deve ser comunicado à ANPD?

A orientação da ANPD exige, cumulativamente, incidente confirmado, envolvimento de dados sujeitos à LGPD e possibilidade de risco ou dano relevante aos titulares.

Quando aplicável esse regime, a Resolução CD/ANPD nº 15/2024 estabelece, como regra, três dias úteis para comunicação à Agência, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvada legislação específica.

No caso de uma plataforma de segurança pública, o enquadramento jurídico deve preceder a afirmação de que determinado prazo foi descumprido.

Perguntas frequentes

O afastamento do servidor encerra a discussão?

Não, pois a providência administrativa não resolve, por si só, a existência de danos, o nexo causal e a eventual obrigação de reparação.

A existência de câmeras na rua comprova que os dados do cliente vazaram?

Não, sendo necessário buscar elementos que relacionem o cliente e suas informações ao incidente discutido.

É preciso esperar a conclusão da apuração para preservar provas?

A necessidade de preservação deve ser avaliada desde logo, especialmente quando houver risco de perda de registros relevantes.

Como a JusDocsIA pode apoiar a atuação do advogado

Com os fatos e documentos organizados, a JusDocsIA pode auxiliar na preparação de requerimentos de informação, notificações e minutas processuais.

A revisão profissional deve conferir o regime jurídico aplicável, a pertinência dos precedentes e a correspondência entre cada pedido e a prova disponível.