Filtraciones municipales: la alerta de Smart Sampa

Tiempo estimado de lectura: de 4 a 5 minutos. Investigación actualizada el 29 de octubre de 2026.

En el artículo sobre la filtración de datos en Feira de Santana, analicé la divulgación de información de salud en el Diario Oficial municipal y presenté sugerencias para incorporar el cumplimiento de la Ley General de Protección de Datos Personales de Brasil (LGPD) al trabajo cotidiano. El caso Smart Sampa, del gobierno municipal de São Paulo, añade una pregunta: ¿cómo garantizar que solo las personas autorizadas accedan a la información de un sistema de vigilancia?

Qué se ha divulgado sobre Smart Sampa

El 20 de octubre de 2026, UOL informó que un repositorio público había expuesto, durante aproximadamente once meses, 181 combinaciones de usuario y contraseña y datos de más de 6.000 agentes de seguridad. El medio afirma haber accedido sin autorización a la plataforma, conectada a más de 58.000 cámaras, incluidas las de instalaciones educativas y sanitarias. Esas cifras describen el alcance informado por la investigación; no significan que se hayan copiado todas las grabaciones. 1

El gobierno municipal reconoció una divulgación ilegal atribuida a un funcionario, informó de su suspensión y de una investigación, pero negó la existencia de una vulnerabilidad en la plataforma y de contraseñas en el repositorio. También anunció la retirada del material y mejoras en la autenticación. Estas son las posiciones de las partes, todavía sujetas a investigación. 1

En una noticia del 23 de octubre, Mobile Time informó que la Agencia Nacional de Protección de Datos de Brasil (ANPD) había solicitado aclaraciones, con un plazo de cinco días hábiles; el gobierno municipal declaró que respondería dentro del plazo. El 28 de octubre, Agência Brasil informó que el Consejo Nacional de Derechos Humanos había pedido suspender el programa. La solicitud no equivale a una suspensión efectiva ni a una resolución firme que establezca responsabilidades. 2 3

Un antecedente: los permisos de una carpeta educativa

Existe otro episodio confirmado por la propia administración municipal. Entre el 9 y el 12 de agosto de 2025, un error de permisos en Google Drive dejó accesible un directorio de la Dirección Regional de Educación de Itaquera. El comunicado municipal estimó 207.328 titulares potencialmente afectados, entre estudiantes, responsables legales y profesionales. En la comunicación del 19 de agosto indicó que no había evidencias de descargas masivas. 4

Es un caso anterior, citado por su enseñanza operativa: revisar los permisos para compartir información debe formar parte del trabajo de quienes administran documentos con datos personales.

Mis sugerencias para organizar la protección en la práctica

Retomo las recomendaciones del artículo sobre Feira de Santana y las aplico al trabajo cotidiano de los gobiernos municipales y las empresas:

1. Mapear los datos y definir responsables. Identificar sistemas, hojas de cálculo, carpetas, proveedores, finalidades y plazos de conservación. Cada operación debe tener a alguien que responda por sus decisiones.

2. Revisar los accesos en la práctica. Utilizar cuentas individuales, autenticación multifactor y permisos limitados a cada función. Revocar los accesos de quienes se marcharon o cambiaron de actividad y comprobar si hay recursos compartidos públicamente.

3. Revisar antes de publicar o compartir. Separar la versión interna completa de la versión pública de los documentos. Comprobar campos, anexos y permisos antes de habilitar el acceso externo.

4. Exigir evidencias a los proveedores. Definir responsabilidades en los contratos y verificar registros de acceso, pruebas de seguridad, correcciones y capacidad de recuperación. La supervisión debe alcanzar lo que realmente funciona en la operación.

5. Preparar la respuesta y seguir las mejoras. Definir quién contiene la exposición, preserva evidencias, evalúa impactos y gestiona las comunicaciones. Capacitar al equipo y mantener un plan con responsables, plazos y verificación de las entregas.

Son medidas coherentes con las orientaciones de seguridad de la ANPD, adaptadas al tamaño y al riesgo de cada organización. 5 Para las operaciones de mayor riesgo, también recomiendo evaluar la elaboración de un Informe de Impacto en la Protección de Datos Personales (RIPD), según el contexto y los requisitos aplicables. 6

En los tratamientos sujetos a la LGPD, los incidentes capaces de causar un riesgo o daño relevante deben comunicarse a la ANPD y a los titulares afectados. La regla general es de tres días hábiles desde que se tiene conocimiento de que el incidente afectó datos personales. 7

En Smart Sampa, el encuadre jurídico exige analizar la finalidad de cada tratamiento: el artículo 4 prevé una excepción para fines exclusivos de seguridad pública, preservando los principios generales, los derechos de los titulares y las competencias de la ANPD. Por tanto, las conclusiones jurídicas del caso Feira de Santana no pueden trasladarse automáticamente a este programa. 8

Cómo puedo ayudar

Puedo ayudar a las empresas a organizar su adecuación a la LGPD, conectando gestión, procesos y tecnología: diagnóstico, inventario de datos, revisión de accesos, controles y respuesta a incidentes, junto con la asesoría jurídica para las cuestiones legales específicas.

Mi propuesta comienza con entregas verificables: saber dónde están los datos, corregir los riesgos prioritarios y organizar quién responde por cada etapa. Ese cuidado cotidiano debe acompañar la digitalización de los servicios.

Fuentes

1. UOL — Investigación sobre Smart Sampa y respuesta del gobierno municipal, 20/10/2026.
2. Mobile Time — Solicitud de aclaraciones de la ANPD, 23/10/2026.
3. Agência Brasil — El CNDH pide suspender Smart Sampa, 28/10/2026.
4. Gobierno municipal de São Paulo — Comunicado de la Secretaría Municipal de Educación, 19/08/2025.
5. ANPD — Lista de comprobación de medidas de seguridad.
6. ANPD — Orientaciones sobre el RIPD.
7. ANPD — Orientaciones sobre comunicación de incidentes.
8. Cámara de Diputados — LGPD, especialmente el artículo 4 y sus párrafos.