Comunicado SME

Publicado em: 19/08/2025 13h30 | Atualizado em: 19/08/2025

Em atenção ao disposto no artigo 48 da LGPD, a Prefeitura Municipal de São Paulo, por meio da Controladoria Geral do Município e a Secretaria Municipal de Educação, informa que, entre 9 e 12 de agosto de 2025, ocorreu um incidente de segurança em ambiente de armazenamento em nuvem (Google Drive), decorrente de erro de configuração de permissões que tornou acessível um diretório de armazenamento de dados pessoais da Diretoria Regional de Educação de Itaquera.

Em 12 de agosto de 2025, a partir de notificação da Autoridade Nacional de Proteção de Dados, o acesso público foi imediatamente revogado e o ambiente operacional restabelecido à normalidade.
Não houve exposição de dados pessoais sensíveis. Foram atingidos dados cadastrais de crianças e adolescentes da rede municipal, além de dados de adultos e idosos vinculados aos registros na condição de responsáveis e profissionais da educação, compreendendo nome, data de nascimento, número de documento oficial, filiação e endereço residencial.

O total estimado de titulares potencialmente afetados é de 207.328, dos quais 97.429 crianças e 49.327 adolescentes, quantitativo que corresponde a cerca de 6% do universo de alunos da rede municipal de São Paulo, além de 58.766 adultos e 1.806 idosos. Até o momento, não há evidências de download massivo, indexação por mecanismos de busca ou acessos por origens atípicas.

Após a identificação, foram adotadas as seguintes providências imediatas e subsequentes: retirada do link público em 12 de agosto de 2025, determinação de treinamentos obrigatórios em privacidade e proteção de dados para a unidade de origem, revisão completa dos processos de gestão de dados pessoais com foco em armazenamentos em nuvem, perfis de acesso e fluxos de compartilhamento, inclusão de validação técnica prévia para qualquer compartilhamento externo, atualização do procedimento de resposta a incidentes e comunicação orientativa às unidades e responsáveis, com observância específica à proteção de crianças e adolescentes. Tais medidas seguem os arts. 37, 48 e 49 da LGPD.

Este comunicado observa práticas de transparência adotadas por órgãos públicos em casos análogos. Para esclarecimentos adicionais, contate o Encarregado de Proteção de Dados Pessoais no e-mail encarregadolgpd@prefeitura.sp.gov.br.