Article | IA e datificação da segurança pública: construindo redes para proteção de direitos fundamentais | Assimetrias e Poder

Smart Sampa aposta em vigilância difusa, mas falha na transparência e no tratamento de dados pessoais

Resumo da Política de Privacidade

A política de privacidade do recém-lançado aplicativo Smart Sampa Cidadão informa que o serviço foi criado para auxiliar a segurança pública, permitindo que os usuários enviem imagens de placas de veículos, juntamente com sua localização geográfica, para a Guarda Civil Metropolitana de São Paulo. Para funcionar, o aplicativo coleta dados como localização, imagens capturadas pela câmera, data e hora da ocorrência, além de informações cadastrais necessárias para a ativação do serviço, incluindo nome de usuário, e-mail, CPF, endereço e número de telefone. A política destaca que o aplicativo não acessa contatos, mensagens, microfones ou outros dados pessoais além dos expressamente informados. 

Os dados coletados são utilizados para encaminhar informações à central de atendimento responsável pelo processamento das ocorrências e para permitir que equipes autorizadas identifiquem a localização do usuário quando necessário para o atendimento de eventos relacionados à segurança pública. Essas informações podem ser compartilhadas com a própria central de atendimento e com autoridades ou serviços de emergência quando isso for necessário para a proteção da segurança pública. A política afirma ainda que os dados não são vendidos nem compartilhados com terceiros para fins comerciais. 

Quanto ao armazenamento, os dados enviados pelos usuários podem ser mantidos pela central de atendimento. A política estabelece que, em conformidade com a Lei Geral de Proteção de Dados (LGPD), os usuários têm o direito de solicitar informações sobre o tratamento de seus dados, pedir a exclusão dos dados armazenados e revogar seu consentimento, seja por meio da desinstalação do aplicativo ou pelo contato com o suporte responsável. 

A política também esclarece que o aplicativo solicita permissão para acessar a localização e a câmera do dispositivo exclusivamente para capturar e transmitir as informações necessárias ao funcionamento do serviço, podendo essas permissões ser gerenciadas ou revogadas pelo usuário a qualquer momento nas configurações do aparelho. Por fim, informa que a política de privacidade pode ser alterada futuramente, sendo recomendável que os usuários a consultem periodicamente para acompanhar eventuais atualizações. 

Um “app cidadão” dentro de um programa judicialmente questionado

O Smart Sampa Cidadão não pode ser lido isoladamente do programa Smart Sampa de videomonitoramento, cujo edital do programa foi suspenso diversas vezes por decisão judicial e do Tribunal de Contas do Município de São Paulo, sendo a mais recente em 2026. Relatórios como “Smart Sampa: Vigia, mas não protege“, documentam que o programa combina monitoramento facial, cruzamento de bases de dados (saúde, educação, transporte) e investimento de dezenas de milhões de reais anuais, sob críticas recorrentes de diversas instituições da sociedade civil. O aplicativo Smart Sampa Cidadão, ao terceirizar para o cidadão comum a captura de imagens de placas e o compartilhamento de localização com a Guarda Civil Metropolitana, funciona como uma extensão informal dessa infraestrutura de vigilância. Embora o programa principal esteja sendo pressionado a oferecer mais transparência e garantias sobre o uso de dados devido às constantes falhas no reconhecimento facial e riscos a direitos fundamentais,  a política de privacidade do aplicativo não explica adequadamente como essas informações se relacionam com o sistema mais amplo. Portanto, se a Justiça e entidades de controle exigiram maior transparência e garantias adicionais do programa principal, o aplicativo também deveria fornecer explicações e salvaguardas robustas sobre o uso dos dados coletados.

Finalidade declarada x dado efetivamente sensível

A política afirma que a finalidade é “exclusiva” para transcrição de placas veiculares, contudo a imagem da câmera pode não ser tecnicamente delimitada às placas, pois fotos capturadas em via pública tendem a registrar também rostos de motoristas, passageiros e pedestres. Ocorre que imagens faciais, mesmo capturadas incidentalmente, constituem dado biométrico, ou seja, dado pessoal sensível segundo a LGPD (art. 5º, II). A política de privacidade silencia sobre esse risco. Não há qualquer menção a anonimização, borramento ou tratamento diferenciado para imagens que contenham rostos. Assim, uma das preocupações reside na transparência sobre como os dados coletados serão armazenados, compartilhados, integrados a outras bases de informação e utilizados no âmbito das atividades de segurança pública.

Retenção indeterminada e ausência de prestação de contas

A cláusula “todos os dados recebidos podem ser armazenados pela central de atendimento” não define prazo, critério de necessidade ou hipótese de descarte, o que colide com o princípio da necessidade e da limitação temporal do tratamento (LGPD art. 6º, III e VI). 

Risco de viés e “vigilantismo” delegado ao cidadão

Ao transformar qualquer usuário em um “vigilante”, conferindo-lhe a prerrogativa de decidir, de forma discricionária, quais placas fotografar e comunicar à polícia, o aplicativo pode potencializar vieses individuais de suspeição, sem prever salvaguardas, mecanismos de auditoria ou qualquer possibilidade de contestação por parte das pessoas eventualmente fotografadas. Embora essas pessoas sequer sejam titulares dos dados inseridos no sistema, sua imagem e localização podem vir a ser processadas em decorrência da utilização do aplicativo.

Milaj e Ritsema van Eck (2019), ao analisarem o protótipo do aplicativo holandês Automon, que permitia a cidadãos fotografar placas de veículos suspeitos, concluíram que o design da ferramenta violava os padrões do Regulamento Geral sobre a Proteção de Dados europeu e da Diretiva (UE) 2016/680. Entre as falhas apontadas pelos autores estão a impossibilidade de garantir que usuários autos selecionados e não treinados adotassem medidas técnicas adequadas de proteção de dados, a ausência de uma Avaliação de Impacto sobre a Proteção de Dados (AIPD)

 antes do lançamento e a fragilidade da aplicação da proporcionalidade, já que o aplicativo estimulava a captura indiscriminada de placas de pessoas que não tinham qualquer relação com atos criminosos. Os autores denominam essa prática de “Ikeaveillance“

: ato pelo qual o cidadão realiza, sem remuneração e sem regulação clara, o trabalho de segurança que caberia ao Estado.

Esse fenômeno insere-se no conceito de vigilância participativa, no qual tecnologias digitais convocam cidadãos a atuarem como extensão informal da polícia. Elphick et al. (2021), analisaram cerca de 240 aplicativos de policiamento comunitário, mostrando que tais ferramentas, que buscam construir confiança entre polícia e cidadãos, falham justamente nos pontos mais sensíveis: políticas de privacidade pouco compreensíveis, ausência de opções claras de denúncia anônima e priorização da informação de cima para baixo em detrimento de mecanismos efetivos de prestação de contas.

O aplicativo também pode ser compreendido à luz do conceito de vigilância participativa (participatory surveillance), modalidade em que cidadãos passam a atuar ativamente na produção e no compartilhamento de informações sobre outros cidadãos para fins de monitoramento e segurança. Kennedy e Coelho (2022) analisam esse fenômeno ao demonstrar que essa lógica desloca para os indivíduos a gestão de riscos que, em um Estado Democrático de Direito, deveria ser primordialmente atribuída ao poder público. Sob o discurso de promoção da participação cidadã e do empoderamento da comunidade, tais iniciativas podem reforçar práticas de vigilância horizontal baseadas em percepções subjetivas, ampliando o risco de estigmatização e de direcionamento desproporcional da suspeição a grupos historicamente vulnerabilizados

À luz desses estudos e das experiências internacionais examinadas, verifica-se que ferramentas como o aplicativo Smart Sampa Cidadão reforçam um modelo de vigilância participativa que suscita relevantes preocupações jurídicas e sociais. Ao delegar a cidadãos sem treinamento a identificação de pessoas ou veículos tidos como “suspeitos”, o sistema transfere aos indivíduos riscos e responsabilidades que cabem ao poder público. Ademais, a ausência de salvaguardas adequadas de proteção de dados e de mecanismos efetivos de responsabilização pode gerar graves impactos sobre direitos fundamentais, sobretudo a privacidade, a igualdade e a não discriminação. 

Direitos do titular incompletos

A seção de direitos do usuário da política lista acesso, exclusão e revogação, mas não menciona portabilidade, correção, oposição ao tratamento, nem o direito a explicações sobre decisões automatizadas. Também não há qualquer previsão sobre os direitos de terceiros não usuários cujas imagens sejam capturadas incidentalmente uma vez que a política trata apenas da relação entre o app e o cidadão que o instala, ignorando quem é fotografado.

Em síntese: a política formalmente cumpre um checklist mínimo de transparência (finalidade, dados coletados, direitos do titular), mas, lida à luz da experiência concreta do Smart Sampa, que é  marcada por suspensões, por opacidade, denúncias de viés racial e ausência de regulação específica para segurança pública, ela reproduz exatamente as fragilidades que a Justiça e a sociedade civil já apontaram no programa: base legal frágil, dados sensíveis tratados sem salvaguardas específicas, retenção sem prazo e nenhuma proteção para pessoas não usuárias cujas imagens podem transitar pelo sistema.

Por Paula Uematsu Arruda