Atlas da Mentira · checagem verificável
Até 21 de outubro de 2026, a ANPD não havia recebido da Prefeitura de São Paulo comunicação sobre incidente no Smart Sampa
Sim. Em 21 de outubro de 2026, a ANPD informou expressamente que ainda não recebera da Prefeitura de São Paulo a comunicação de incidente de segurança relativa ao Smart Sampa.
O UOL publicou a nota institucional da ANPD na qual a agência afirma não ter recebido a comunicação municipal. A CNN Brasil obteve manifestação no mesmo sentido horas antes. Embora a agência tenha recebido um ofício de organizações da sociedade civil solicitando investigação, esse documento de terceiros não equivale à comunicação do controlador público municipal.
Qualificações importantes
A agência reconheceu ter recebido ofício de onze entidades civis solicitando investigação. Isso não contradiz a falta de comunicação da Prefeitura: quem enviou o ofício foram organizações da sociedade civil, não o órgão público responsável pelos dados.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa ANPD não foi comunicada sobre vazamentos: Seção que transcreve diretamente a nota da ANPD afirmando não ter recebido até então comunicação pela Prefeitura de São Paulo do incidente Smart Sampa e cita regulamento de três dias úteis.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa O que aconteceu: Parágrafos relatando recebimento, pela ANPD, de ofício subscrito por onze entidades civis para requerer apuração e debate sobre escopo de LGPD/segurança pública.
A Resolução CD/ANPD nº 15/2024 prevê, para controladores sujeitos à LGPD e incidentes que possam causar risco ou dano relevante, comunicação em até três dias úteis contados do conhecimento do incidente que envolveu dados pessoais. A notícia não permite fixar a data comprovada em que a Prefeitura tomou conhecimento e, isoladamente, não autoriza declarar infração já consumada.
- Comunicação de Incidente de Segurança Qual o prazo para comunicar o incidente?: Explicação dos artigos 6º e 9º da Resolução CD/ANPD nº 15/2024: prazo de três dias úteis, ressalvada legislação específica, contado do conhecimento do incidente.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa ANPD não foi comunicada sobre vazamentos: Seção que transcreve diretamente a nota da ANPD afirmando não ter recebido até então comunicação pela Prefeitura de São Paulo do incidente Smart Sampa e cita regulamento de três dias úteis.
A Prefeitura e entidades civis divergem sobre se o Smart Sampa e todos os seus usos se enquadram na exceção da LGPD relativa à segurança pública. A ANPD pode avaliar esse enquadramento e o risco dos dados; a checagem não decide a aplicabilidade final da norma nem impõe penalidade.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa O que aconteceu: Parágrafos relatando recebimento, pela ANPD, de ofício subscrito por onze entidades civis para requerer apuração e debate sobre escopo de LGPD/segurança pública.
- Comunicação de Incidente de Segurança Quais incidentes precisam ser comunicados?: Somente controladores sujeitos à LGPD devem comunicar incidentes com ocorrência confirmada que envolvam dados pessoais sujeitos à LGPD e possam causar risco ou dano relevante.
Não foi consultado o sistema interno de protocolos da ANPD nem localizada publicação autônoma da nota em seu portal. Há, porém, a nota reproduzida diretamente pelo UOL e uma reportagem independente da CNN que registra a mesma declaração da autoridade, ambas datadas de 21 de outubro.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa ANPD não foi comunicada sobre vazamentos: Seção que transcreve diretamente a nota da ANPD afirmando não ter recebido até então comunicação pela Prefeitura de São Paulo do incidente Smart Sampa e cita regulamento de três dias úteis.
- ANPD acompanha invasão e exposição de dados do sistema Smart Sampa ANPD aguarda: A agência informa que até aquele momento não havia sido procurada pela Prefeitura, e descreve o prazo condicional de três dias úteis da LGPD.
Até a nota publicada em 21 de outubro de 2026, a ANPD não havia recebido da Prefeitura de São Paulo comunicação sobre o incidente de segurança envolvendo o Smart Sampa.
- Forma
- Paráfrase
- Atribuição
- Agência Nacional de Proteção de Dados (ANPD) · Atribuição verificada
- Data da declaração
- A reportagem de 21/10/2026 não informa horário ou data autônoma de emissão da nota.
- Primeiro registro observado
- 21/10/2026
- Contexto
- Resposta institucional ao UOL sobre o incidente de segurança do Smart Sampa.
Como a proposição foi normalizada: A afirmação é sobre ausência de recebimento de comunicação até a manifestação da agência. Não estabelece por si só descumprimento de prazo legal ou resolve a discussão sobre aplicabilidade da LGPD.
Limite de atribuição: Nota institucional reproduzida pelo UOL; não foi localizada a publicação autônoma da mensagem no portal da agência.
Contexto original
O que a ANPD declarou em 21 de outubro
Após a reportagem sobre a exposição de dados e credenciais do Smart Sampa, a Agência Nacional de Proteção de Dados informou ao UOL que não havia recebido, até a data da manifestação publicada em 21 de outubro de 2026, comunicação do incidente por parte da Prefeitura de São Paulo. A resposta da ANPD consta de nota reproduzida na reportagem. Na manhã do mesmo dia, a CNN também registrou que a agência ainda não fora procurada pela administração municipal.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa ANPD não foi comunicada sobre vazamentos: Seção que transcreve diretamente a nota da ANPD afirmando não ter recebido até então comunicação pela Prefeitura de São Paulo do incidente Smart Sampa e cita regulamento de três dias úteis.
- ANPD acompanha invasão e exposição de dados do sistema Smart Sampa ANPD aguarda: A agência informa que até aquele momento não havia sido procurada pela Prefeitura, e descreve o prazo condicional de três dias úteis da LGPD.
Explicação
A agência recebeu denúncia civil, mas não a comunicação da Prefeitura
O UOL informou ainda que a ANPD havia recebido um ofício de onze organizações da sociedade civil solicitando que investigasse a exposição no Smart Sampa e avaliasse riscos ao direito à privacidade. Esse ofício foi enviado por terceiros para provocar a atuação da autoridade. Não é a comunicação obrigatória que deve partir do controlador dos dados, quando preenchidas as condições legais. Por isso, as duas informações — ofício recebido e comunicação municipal ainda não recebida — são compatíveis.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa O que aconteceu: Parágrafos relatando recebimento, pela ANPD, de ofício subscrito por onze entidades civis para requerer apuração e debate sobre escopo de LGPD/segurança pública.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa ANPD não foi comunicada sobre vazamentos: Seção que transcreve diretamente a nota da ANPD afirmando não ter recebido até então comunicação pela Prefeitura de São Paulo do incidente Smart Sampa e cita regulamento de três dias úteis.
- Comunicação de Incidente de Segurança Quais incidentes precisam ser comunicados?: Somente controladores sujeitos à LGPD devem comunicar incidentes com ocorrência confirmada que envolvam dados pessoais sujeitos à LGPD e possam causar risco ou dano relevante.
Explicação
A norma prevê prazo condicionado a critérios e à ciência do incidente
A Resolução CD/ANPD nº 15/2024 determina a comunicação de incidente de segurança ao órgão em até três dias úteis, no caso de controladores sujeitos à LGPD e de incidentes confirmados com dados pessoais e risco ou dano relevante. O prazo é contado do conhecimento do incidente pelo responsável pelos dados, ressalvado prazo de legislação específica. A manifestação da ANPD citou esse parâmetro geral, mas não estabeleceu quando a Prefeitura tomou conhecimento nem apresentou decisão de que a omissão já configurara infração.
- Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança Artigo 6º: O controlador deve comunicar incidente abrangido no prazo de três dias úteis; parágrafo primeiro conta prazo a partir do conhecimento de que dados pessoais foram afetados.
- Comunicação de Incidente de Segurança Quais incidentes precisam ser comunicados?: Somente controladores sujeitos à LGPD devem comunicar incidentes com ocorrência confirmada que envolvam dados pessoais sujeitos à LGPD e possam causar risco ou dano relevante.
- ANPD acompanha invasão e exposição de dados do sistema Smart Sampa ANPD aguarda: A agência informa que até aquele momento não havia sido procurada pela Prefeitura, e descreve o prazo condicional de três dias úteis da LGPD.
Contexto e limites
A controvérsia sobre a LGPD não está resolvida por essa informação
A reportagem informa que organizações civis contestaram a interpretação de que o Smart Sampa, por estar ligado à segurança pública, estaria integralmente fora do alcance das obrigações da LGPD. A aplicação dos requisitos pode depender da finalidade dos dados, do tipo de tratamento, da natureza do incidente e de análise pela autoridade. O recebimento ou não de uma comunicação até certa data é fato distinto da decisão sobre dever jurídico ou penalidade aplicável.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa O que aconteceu: Parágrafos relatando recebimento, pela ANPD, de ofício subscrito por onze entidades civis para requerer apuração e debate sobre escopo de LGPD/segurança pública.
- Comunicação de Incidente de Segurança Quais incidentes precisam ser comunicados?: Somente controladores sujeitos à LGPD devem comunicar incidentes com ocorrência confirmada que envolvam dados pessoais sujeitos à LGPD e possam causar risco ou dano relevante.
A checagem não examinou registros internos de protocolo e não afirma que a Prefeitura jamais comunicou o caso em data posterior. Examina apenas o recorte expresso pela ANPD em sua nota divulgada em 21 de outubro, corroborado por declaração anterior no mesmo dia. Não é possível calcular uma data-limite de descumprimento sem prova do momento de ciência do incidente e do enquadramento jurídico.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa ANPD não foi comunicada sobre vazamentos: Seção que transcreve diretamente a nota da ANPD afirmando não ter recebido até então comunicação pela Prefeitura de São Paulo do incidente Smart Sampa e cita regulamento de três dias úteis.
- ANPD acompanha invasão e exposição de dados do sistema Smart Sampa ANPD aguarda: A agência informa que até aquele momento não havia sido procurada pela Prefeitura, e descreve o prazo condicional de três dias úteis da LGPD.
- Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança Artigo 6º: O controlador deve comunicar incidente abrangido no prazo de três dias úteis; parágrafo primeiro conta prazo a partir do conhecimento de que dados pessoais foram afetados.
Explicação
Por que a afirmação é sustentada
A ausência de comunicação municipal do incidente até a manifestação da ANPD é informação dada pela própria autoridade em nota e registrada em duas reportagens publicadas em 21 de outubro. A agência reconheceu o recebimento de ofício de organizações civis, que não substitui o aviso formal do controlador. Com esse alcance preciso, a afirmação é sustentada. Seu veredito não presume descumprimento de prazo legal ou omissão permanente.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa ANPD não foi comunicada sobre vazamentos: Seção que transcreve diretamente a nota da ANPD afirmando não ter recebido até então comunicação pela Prefeitura de São Paulo do incidente Smart Sampa e cita regulamento de três dias úteis.
- ANPD vai analisar pedido de investigação após vazamento no Smart Sampa O que aconteceu: Parágrafos relatando recebimento, pela ANPD, de ofício subscrito por onze entidades civis para requerer apuração e debate sobre escopo de LGPD/segurança pública.
- ANPD acompanha invasão e exposição de dados do sistema Smart Sampa ANPD aguarda: A agência informa que até aquele momento não havia sido procurada pela Prefeitura, e descreve o prazo condicional de três dias úteis da LGPD.
Fontes
-
ANPD vai analisar pedido de investigação após vazamento no Smart Sampa Documento
Alegação original, Evidência
Contribuição: Relata a manifestação primária da autoridade e sua diferença expressa entre ofício da sociedade civil e comunicação oficial do Município.
- ANPD não foi comunicada sobre vazamentos: Seção que transcreve diretamente a nota da ANPD afirmando não ter recebido até então comunicação pela Prefeitura de São Paulo do incidente Smart Sampa e cita regulamento de três dias úteis.
- O que aconteceu: Parágrafos relatando recebimento, pela ANPD, de ofício subscrito por onze entidades civis para requerer apuração e debate sobre escopo de LGPD/segurança pública.
Limites: Nota da ANPD reproduzida por fonte jornalística; não foi localizado protocolo ou histórico interno de recebimento da comunicação da Prefeitura.; Recebimento de reclamação de entidade civil é distinto de recebimento de comunicação do controlador responsável.
Disponível
-
ANPD acompanha invasão e exposição de dados do sistema Smart Sampa Documento
Evidência
Contribuição: Segunda fonte jornalística que confirma declaração institucional no mesmo dia, publicada pela manhã.
- ANPD aguarda: A agência informa que até aquele momento não havia sido procurada pela Prefeitura, e descreve o prazo condicional de três dias úteis da LGPD.
Limites: Informação obtida da ANPD pela reportagem, mas não verificação independente de sistema de protocolo público.; A nota não permite determinar se qualquer prazo legal já fora descumprido.
Disponível
-
Comunicação de Incidente de Segurança Documento
Evidência, Contexto
Contribuição: Fonte primária da agência sobre requisitos de comunicação, delimita por que falta de nota não estabelece automaticamente sanção.
- Quais incidentes precisam ser comunicados?: Somente controladores sujeitos à LGPD devem comunicar incidentes com ocorrência confirmada que envolvam dados pessoais sujeitos à LGPD e possam causar risco ou dano relevante.
- Qual o prazo para comunicar o incidente?: Explicação dos artigos 6º e 9º da Resolução CD/ANPD nº 15/2024: prazo de três dias úteis, ressalvada legislação específica, contado do conhecimento do incidente.
Limites: Página normativa geral, não fornece informações individualizadas sobre data de ciência ou protocolo de comunicação do Smart Sampa.; A aplicabilidade em tratamento de dados de segurança pública foi objeto de controvérsia não resolvida nessa página.
Disponível
-
Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança Documento
Evidência, Contexto
Contribuição: Base normativa primária do prazo, sem antecipar julgamento sobre seu descumprimento.
- Artigo 6º: O controlador deve comunicar incidente abrangido no prazo de três dias úteis; parágrafo primeiro conta prazo a partir do conhecimento de que dados pessoais foram afetados.
Limites: Texto normativo geral, sem determinação individual sobre incidência, cronologia ou culpa no incidente específico.
Disponível
Responsabilidade e transparência
Publicação responsável: Atlas da Mentira.
Encontrou um erro?
Indique o ponto que precisa ser revisto e, se possível, a evidência que sustenta a solicitação. O envio fica privado até análise.