Quem Tem a Senha? Smart Sampa e a Vigilância Sem Rosto

Há uma pergunta que quase ninguém faz em voz alta quando passa sob uma câmera na Avenida Paulista, na Praça da Sé ou na estação de metrô onde desce todos os dias: quem está do outro lado? Não “alguém está olhando?”, porque a resposta a isso, em São Paulo, já aprendemos a aceitar como paisagem. A pergunta é mais específica, quase doméstica: quem, com nome e sobrenome, tem a senha?

Em 20 de outubro, a Data Privacy Brasil publicou uma análise, assinada por Pedro Saliba e Paula Uematsu Arruda, a partir de uma reportagem do UOL sobre o Smart Sampa, a plataforma de câmeras e reconhecimento facial da Prefeitura de São Paulo. Segundo o que a organização relata, 181 logins e senhas do sistema ficaram em um repositório público por cerca de onze meses. Esses acessos abrangiam informações de mais de 6 mil agentes de segurança e, de acordo com a reportagem, permitiram que jornalistas chegassem a imagens de mais de 58 mil câmeras.

A Prefeitura tem outra versão, e é justo contá-la com precisão. Na versão da cidade, um funcionário autorizado divulgou dados de forma ilegal e foi afastado do posto. A Prefeitura também nega que tenha havido exposição de credenciais ou uso indevido do sistema. A reportagem, como resume a Data Privacy Brasil, contradiz essa negação por um motivo simples: as credenciais funcionavam. A cidade informa que, depois dos questionamentos dos jornalistas, passou a adotar senhas exclusivas, autenticação em dois fatores e validação por SMS. Não me cabe arbitrar entre as duas narrativas. Registro que elas coexistem, e que uma delas inclui medidas corretivas tomadas depois da pergunta.

A porta e a sala

Esta é uma notícia sobre segurança da informação, e poderia ficar só nisso: uma falha, um conserto, uma nota de esclarecimento. Mas eu gostaria de usá-la como porta, e não como sala. O que está do outro lado dessa porta é uma pergunta sobre o que significa viver numa cidade em que o seu rosto se tornou um dado, e em que o destino desse dado depende de decisões que ninguém lhe explicou.

Pense em alguém que atravessa o centro de São Paulo às seis da manhã, a caminho de um trabalho que começa antes de o sol nascer. Eu não estou descrevendo uma pessoa real; estou descrevendo uma figura que qualquer paulistano reconhece. Essa pessoa sabe que há câmeras. Muitas vezes, sente até um certo alívio: o discurso público nos ensinou que câmera é proteção, que vigilância é cuidado, que quem não deve não teme. Mas o alívio é um sentimento frágil quando se descobre que as chaves do sistema que “protege” estiveram, por onze meses, à vista de qualquer pessoa que soubesse onde procurar.

O que essa descoberta desperta não é, em primeiro lugar, indignação técnica. É uma espécie de vertigem íntima. Se as imagens de 58 mil câmeras podiam ser vistas por quem não deveria, então o rosto dessa pessoa, o horário em que ela passa, o caminho que repete, a companhia que tem, podem ter estado ao alcance de olhos que ela jamais imaginou. E existe um segundo medo, mais difícil de dizer: o de que a vigilância “oficial”, a que tem crachá e protocolo, também não preste contas de si mesma.

O que se sente e ainda não se diz

Em comunidades negras e periféricas, a relação com o olhar do Estado nunca foi neutra. O olhar que “protege” é o mesmo que historicamente suspeita. Lélia Gonzalez nos ensinou a nomear isso: o racismo brasileiro funciona também por um jogo de visibilidade e invisibilidade, em que alguns corpos são hipervisíveis quando se trata de controle e invisíveis quando se trata de direitos. Uma câmera com reconhecimento facial herda esse jogo. Ela não nasce no vazio; é treinada com bases de dados, calibrada por escolhas, operada por pessoas, instalada em lugares que alguém decidiu que mereciam ser vigiados.

Por isso a pergunta “quem tem a senha?” é, ao mesmo tempo, mais simples e mais pesada do que parece. Ela carrega outra: quem decide quem é suspeito? E, atrás dela, uma terceira, que muita gente sente e poucos formulam: se esse sistema errar comigo, a quem eu recorro?

A análise da Data Privacy Brasil localiza o problema justamente aí, e não apenas na falha pontual. A organização avalia que o programa não atende aos princípios de necessidade e adequação da LGPD e aponta a ausência de transparência sobre os algoritmos de reconhecimento facial. Segundo o texto, a Sentinelx é a empresa privada que detém o código-fonte, os modelos e os dados de treinamento de reconhecimento facial da plataforma, sem auditoria independente. Ou seja: a cidade tem as câmeras, mas o que decide como um rosto vira um nome está numa caixa que o público não abre.

Esse ponto merece que a gente demore nele. Uma senha vazada se troca. É um problema com solução conhecida, e a cidade informa que já agiu nessa frente. Mas um modelo que ninguém audita não se “troca” com um SMS. A pergunta de fundo é de governança: quando uma tecnologia que reconhece pessoas é operada por uma empresa privada, em nome do poder público, com dados de treinamento que não se conhecem, quem responde por um erro? O morador que é abordado por uma identificação equivocada não tem acesso ao código. Não tem acesso ao treinamento. Muitas vezes nem sabe que foi um algoritmo que o apontou.

A própria Data Privacy Brasil lembra que isso não é novidade nem surpresa. A análise menciona uma representação feita em 2023 ao Tribunal de Contas do Município por organizações da sociedade civil e um estudo de 2025 do CESeC. A preocupação, portanto, tem história. O que muda agora é que ela ganhou um fato concreto, contestado em sua interpretação, mas difícil de ignorar em sua materialidade.

Um espelho em outra repartição

Há um detalhe da mesma semana, em outra área, que me faz pensar. Em 14 de outubro, a Data Privacy Brasil também divulgou o estudo “Terra de ninguém”, de Gabriela Vergili e Pedro Saliba, sobre o SIGEF, o sistema de gestão fundiária do Incra. Desde agosto de 2021, segundo o estudo, nomes e números de CPF/CNPJ de proprietários rurais deixaram de poder ser consultados publicamente. O Incra, de acordo com o relato, confirma que a oclusão foi motivada pela adequação à LGPD. A organização afirma que, em 26 pedidos de acesso à informação analisados, não localizou nenhum documento oficial que registrasse a decisão ou sua justificativa, e sustenta que ocultar CNPJs, que identificam pessoas jurídicas e não pessoas físicas, não tem amparo legal. As recomendações ao Incra são recomendações; o estudo não relata mudança no sistema.

Não vou forçar uma equivalência entre os dois casos, porque são sistemas diferentes, com histórias e responsáveis distintos. Mas há uma simetria que se oferece ao olhar e que seria desonesto não nomear como pergunta: num caso, o rosto de quem anda na rua é capturado por dezenas de milhares de lentes, com transparência que a análise considera insuficiente. No outro, a identidade de quem detém a terra deixou de ser consultável, e, segundo o estudo, sem registro público do porquê. A privacidade, que deveria ser um direito de quem é mais vulnerável, parece operar com intensidades diferentes conforme quem está sendo protegido, ou quem está sendo observado.

Repito: é uma pergunta, não um veredito. Mas é a pergunta que uma lente de Amefricanidade faz quase por reflexo. Quando a lei de proteção de dados é invocada, a quem ela serve na prática? Quem ganha opacidade e quem ganha exposição? Num país onde a terra e o rosto sempre foram instrumentos de poder, essas assimetrias não são detalhe de arquitetura de sistema.

O que o terreiro sabe sobre guardar

No terreiro, saber é coisa que se guarda com cuidado. Há segredos que não se contam a quem não foi iniciado, e essa reserva não é falta de transparência: é uma ética do cuidado. A diferença é que, no terreiro, a quem guarda se pode perguntar. Existe uma pessoa, uma casa, um nome, uma linhagem de responsabilidade. A mãe de santo responde pelo que guarda diante da comunidade que lhe confiou o axé. O segredo é compartilhado numa rede de confiança que tem rosto.

O que me inquieta no Smart Sampa, e em sistemas parecidos, não é que eles guardem informação. É que a guarda não tem rosto. O código está com uma empresa; os dados de treinamento, também; a auditoria independente, segundo a análise, não existe; a senha, por onze meses, esteve numa prateleira pública. Uma cadeia de custódia sem ninguém a quem perguntar. Nenhuma tradição de cuidado com o conhecimento, nem a mais antiga nem a mais recente, aceitaria isso como forma de proteger uma comunidade.

Isso não significa que câmeras sejam, em si, um mal, nem que toda tecnologia de segurança seja ilegítima. Há moradores que pedem mais segurança, e esse pedido é real, nasce de medo real, de perdas reais. Seria injusto tratá-lo como ingenuidade. A questão não é “câmera ou não câmera”, e sim: com que regras, sob qual controle, com que direito de contestação, e a serviço de quem. Segurança sem prestação de contas não é cuidado; é só vigilância com boa reputação.

A dignidade de poder perguntar

Penso, por fim, no que muda no dia de alguém quando a pergunta “quem tem a senha?” deixa de ser abstrata. Muda o jeito de andar. Muda o modo como se explica a um filho por que há câmeras. Muda a confiança, às vezes tão pequena, de que existe alguém responsável pelo que se faz com a nossa imagem. E talvez o que mais pese seja que muita gente não tem a quem dirigir esse desconforto. Não há guichê para o medo difuso de ser visto demais por quem não deveria, nem para o medo oposto, de ser visto de menos quando se precisa de proteção.

O que a Data Privacy Brasil pede, no fundo, é o que qualquer comunidade zelosa pediria: que a tecnologia que reconhece rostos seja explicável, auditável e sujeita a limites. Que a necessidade e a adequação, palavras secas da lei, sejam levadas a sério como formas de respeito. Que a empresa que guarda o modelo não seja o único olho que o examina.

Eu não sei se a Prefeitura e a reportagem acabarão concordando sobre o que aconteceu naqueles onze meses. É possível que não. O que me parece difícil de contestar é que a conversa pública sobre vigilância em São Paulo ainda está começando pelo lado errado: pela técnica, e não pela pergunta que as pessoas sentem antes de saber formulá-la. Quem vigia quem vigia? Enquanto não houver uma resposta com rosto, o alívio das câmeras continuará sendo, para muita gente, um alívio emprestado.

Axé. 🌿

Fontes

• Data Privacy Brasil (Pedro Saliba e Paula Uematsu Arruda), “Smart Sampa: falhas de segurança e os riscos de uma cidade sob vigilância”, 20/10/2026 — https://www.dataprivacybr.org/smart-sampa-falhas-de-seguranca-e-os-riscos-de-uma-cidade-sob-vigilancia/ (a análise se baseia em reportagem do UOL)
• Data Privacy Brasil (Gabriela Vergili e Pedro Saliba), estudo sobre falhas de transparência no acesso a dados de proprietários rurais no SIGEF (“Terra de ninguém”), 14/10/2026 — https://www.dataprivacybr.org/estudo-aponta-falhas-de-transparencia-no-acesso-a-dados-de-proprietarios-rurais-no-sigef/