Norma cria sandbox para tecnologias policiais com usuários reais, mas não prevê controle social preventivo
Não estão leiloando os rostos dos paranaenses, apesar de ser essa a sensação amarga que advém da leitura do decreto estadual 13.728/2026, assinado pelo governador Ratinho Júnior no último dia 19 de maio. No documento, publicado na edição 12.147 do Diário Oficial do Estado, não há menção explícita sobre a venda de dados biométricos ou autorização automática para reconhecimento facial em massa.
O que o decreto 13.728/2026 faz é criar, no âmbito da Secretaria de Estado da Segurança Pública (SESP), uma espécie de laboratório para empresas testarem produtos experimentais com usuários reais – aquilo que, tecnicamente, é chamado de sandbox regulatório. Em português simples, o Governo do Paraná promete “relaxar” exigências se os projetos submetidos à SESP forem do interesse da administração.
O problema é que, pela estruturação do decreto, a população só saberá a posteriori de quais tecnologias ela foi cobaia no Paraná. O sandbox da SESP não prevê uma instância obrigatória de controle social preventivo antes da autorização dos testes. Não há previsão de consulta pública por projeto, auditoria externa independente prévia, autorização legislativa específica ou participação obrigatória de Defensoria Pública, Ministério Público, universidades, conselhos de direitos, OAB ou entidades da sociedade civil na governança do sandbox.
O controle previsto é essencialmente interno à administração. A Comissão SANDBOX/SESP será vinculada ao gabinete do secretário de Segurança Pública e terá, na composição mínima, representantes do próprio gabinete, da Diretoria de Gestão Estrutural, das forças de segurança vinculadas à Sesp, da Secretaria de Inovação e Inteligência Artificial e da Fundação de Apoio à Atividade de Segurança Pública do Paraná. Outros órgãos e entidades poderão ser convidados, mas essa participação não aparece como requisito obrigatório.
O decreto até prevê que a SESP mantenha um painel público com informações consolidadas sobre projetos em andamento e concluídos, com objetivos, duração, parceiros e resultados. Só que isso será divulgado após a assinatura dos convênios com as empresas, depois de o Estado ter contraído obrigações com os entes privados. Fala-se também em um relatório anual e na classificação de informações de caráter sensível, respeitados os sigilos legais.
Afinal de contas, o que é um sandbox?
O novo sandbox da Secretaria de Segurança Pública é um laboratório regulatório. Pela definição do decreto, ele permite que pessoas jurídicas testem modelos de negócio inovadores sob autorização temporária, com requisitos customizados e proporcionais. A regulamentação alcança projetos de prevenção e repressão de ilícitos, investigação criminal, perícia oficial, gestão prisional, proteção à vida, defesa civil e gestão integrada de operações.
Entre as tecnologias expressamente citadas estão reconhecimento facial, biometria, analíticos de vídeo e sensores ambientais. O decreto também menciona equipamentos embarcados, como câmeras corporais, drones e sensores, para os quais o termo de admissão deverá fixar regras de retenção, criptografia, sincronização segura e auditoria periódica.
A norma traz salvaguardas técnicas. Determina que tecnologias de alto impacto dependam de Relatório de Impacto à Proteção de Dados Pessoais, planos de mitigação, metas mínimas de desempenho e avaliação de viés e precisão por subgrupos. Também veda a substituição do juízo humano por decisões automatizadas em atividades típicas de polícia ostensiva, investigação criminal, perícia e gestão prisional. Nesses casos, a tecnologia deverá atuar como apoio à decisão.
Por que os rostos dos cidadãos são dados sensíveis?
A analogia com o “leilão dos rostos” é imperfeita, mas útil. O rosto não é só imagem. Quando usado para reconhecimento facial, vira identificador biométrico, isto é, dado capaz de distinguir uma pessoa em meio a muitas outras. Em segurança pública, o uso desse dado pode produzir consequências imediatas: abordagem, condução, prisão, exposição pública ou inserção em rotinas de vigilância.
O sistema aponta, a polícia aborda, e a checagem humana muitas vezes ocorre quando a pessoa já foi constrangida. Casos recentes no Brasil mostram esse padrão. Uma linha do tempo a partir de reportagens e levantamentos sobre reconhecimento facial registrou prisões revistas no Rio de Janeiro, pessoas confundidas com foragidos em Sergipe e críticas ao Smart Sampa, em São Paulo, por falsos positivos, conduções indevidas e prisões posteriormente desfeitas.
O ponto comum desses episódios é que o falso positivo não fica restrito ao software. Ele se materializa na rua, diante de policiais, câmeras, torcedores, frequentadores de festas ou transeuntes. Por isso, a ausência de controle social preventivo no sandbox paranaense não é detalhe burocrático. É a diferença entre discutir a tecnologia antes do teste ou apenas reclamar depois do dano.
Celepar já havia exposto o problema dos dados sensíveis
No Paraná, essa discussão não chega em terreno neutro. Poucos meses antes do decreto do sandbox, a desestatização da Celepar foi condicionada pelo STF ao cumprimento de normas de segurança e proteção de dados. Ao analisar o caso, o ministro Flávio Dino apontou a necessidade de salvaguardas em razão do tratamento de dados públicos sensíveis e de direitos fundamentais envolvidos no processo.
A Celepar é estratégica porque opera sistemas públicos do Estado. O debate sobre sua desestatização envolveu justamente a possibilidade de transferência do controle de uma empresa que hospeda, processa ou sustenta bases de dados usadas por áreas como saúde, administração pública e segurança.
A segurança pública apareceu de forma explícita nesse contexto. Em fevereiro, o Tribunal de Contas do Estado do Paraná cobrou informações da Sesp sobre um contrato de R$ 438,7 milhões com a Celepar, assinado em 5 de fevereiro, em meio ao processo de desestatização da empresa. Segundo o TCE-PR, o pedido alcançava serviços de nuvem, datacenter, sustentação, desenvolvimento e manutenção de sistemas da secretaria.
Esse antecedente é importante porque revela o mesmo núcleo de preocupação: quem controla a infraestrutura, os sistemas e os dados sensíveis usados pelo Estado para tomar decisões sobre cidadãos. No caso da Celepar, a controvérsia estava na eventual transferência do controle acionário da empresa pública de tecnologia. No sandbox, a zona cinzenta está em permitir testes privados com tecnologias de alto impacto dentro da segurança pública, sem uma etapa obrigatória de controle social antes da admissão dos projetos.
O que a lei permite hoje no Paraná
O decreto 13.728/2026 regulamenta, na área da SESP, a lei estadual 20.744/2021, que criou regras gerais para ambientes regulatórios experimentais no Paraná. A lei define o sandbox como uma iniciativa que permite a empresas já constituídas testar modelos de negócios inovadores com clientes reais, sujeitas a requisitos regulatórios customizados e mais brandos do que os normalmente estabelecidos.
Essa lógica faz sentido quando aplicada a setores econômicos em que a inovação depende de testes controlados. O problema é que, na segurança pública, os “clientes reais” não são apenas consumidores interessados em experimentar um serviço. Podem ser cidadãos filmados em espaços públicos, pessoas abordadas por erro de identificação, presos, investigados, servidores públicos ou moradores de áreas monitoradas.
O próprio decreto tenta adaptar a lei ao risco policial. A participação das empresas será voluntária, gratuita e experimental, sem expectativa de contratação com a administração pública. A execução dos projetos não poderá gerar dependência tecnológica do Estado, conferir vantagem concorrencial indevida ou restringir a livre concorrência em futuras contratações públicas.
Os projetos serão admitidos por edital de chamamento. A empresa deverá comprovar capacidade técnica e financeira, idoneidade de administradores e sócios, estágio de desenvolvimento da solução, benefícios esperados, plano operacional, supervisão humana, riscos envolvidos e medidas de mitigação. A fase meramente conceitual é vedada: será exigida prova de conceito, protótipo ou evidência equivalente.
Cada experimento será formalizado por um Termo Específico de Admissão, com escopo, condições, limites, salvaguardas, prazos, indicadores, responsabilidades e mecanismos de mitigação de riscos. A autorização poderá durar até 12 meses, prorrogável uma vez pelo mesmo período, e poderá ser cancelada por descumprimento de obrigações, risco excessivo, resultados insatisfatórios ou conveniência administrativa.
A lacuna está em quem decide antes do teste
O decreto, portanto, não é uma autorização livre para empresas fazerem qualquer experimento policial. Ele cria filtros, requisitos, documentos técnicos e mecanismos de acompanhamento. A questão é outra: quase todos esses controles ficam dentro da própria arquitetura administrativa da Segurança Pública.
Transparência posterior permite saber, em algum grau, o que foi feito. Controle social preventivo permitiria discutir antes se determinado teste deve ocorrer, onde será aplicado, com quais bancos de dados, por quanto tempo, com quais critérios de auditoria, com que taxa aceitável de erro, com qual impacto sobre grupos vulneráveis e com quais consequências em caso de falso positivo.
No caso do reconhecimento facial, essas perguntas não são acessórias. São o próprio centro da política pública. Uma tecnologia que identifica rostos em espaços de circulação, cruza imagens com bases de dados e aciona protocolos policiais não deve ser tratada apenas como solução inovadora em teste. Ela também é uma forma de poder estatal sobre os cidadãos.
