Nada é mais certo que a morte, os tributos e os dados pessoais

Há muito se sente o impacto da inovação em nosso cotidiano. Em virtude de novas dinâmicas baseadas na tecnologia da informação, as duas primeiras décadas do século XXI foram marcadas pela celeridade e intensidade de mudanças na vida humana. Grande parte do que se conhecia anteriormente foi se digitalizando, dando espaço para novos produtos, serviços e hábitos. Dentro desse contexto, a análise econômica sobre os setores foi ganhando novos contornos e os dados se tornaram um dos principais ativos de uma instituição.

Contudo, a percepção do valor agregado aos dados pessoais por muito tempo se restringiu a empresas. O próprio cidadão nem sempre deteve consciência do valor contido na disponibilização de suas informações e o compartilhamento delas tornou-se algo vulgarizado. Nascendo, assim, uma cultura pautada na falta de consciência sobre proteção de dados no Brasil.

Nessa perspectiva, em 2018, com a promulgação da Lei Geral de Proteção de Dados (LGPD), houve quem dissesse que a lei não iria pegar. Mas, em um ambiente de modernidade líquida, os movimentos de transformações são constantes e o efeito foi reverso. Rapidamente as pessoas enxergaram oportunidades com a lei e diversos setores tiverem que se adaptar, dentre eles as consultorias especializadas que lidam com a recuperação de crédito tributário.

A recuperação de créditos é um direito do contribuinte, para este reaver tributos pagos – indevidamente – à maior. Tal procedimento pode ser feito pela via administrativa, por meio de Pedido Eletrônico de Restituição e Declaração de Compensação (PER/DCOMP), assim como, pela via judicial. No atual momento de pandemia, a busca pelo ressarcimento desses valores tem aumentado consideravelmente, tendo em vista a consequente redução da carga tributária, além do impacto positivo no caixa da empresa. Para tanto, é necessário um planejamento tributário minucioso e a revisão de todos os tributos devidos.

Assim sendo, a identificação desses valores pagos indevidamente e a realização do pedido de ressarcimento pressupõe a análise de uma série documentos contábeis da companhia como, por exemplo, o Manual Normativo de Arquivos Digitais (MANAD), o Relatório Relação de Empregados, SPED fiscal, comprovantes de recolhimentos de tributos, entre outros. Ocorre que, o compartilhamento dessas informações com consultorias e auditorias terceirizadas deve ser objeto de adequação à LGPD.

Isso, pois, tais documentos muitas vezes contêm não apenas informações da empresa como também, dados pessoais de funcionários, de representantes legais e, até mesmo, de fornecedores. Nesse sentido, surge o questionamento sobre qual a base legal que ampara esse tipo de tratamento de dados.

Embora, grande parte do mercado acredite, equivocadamente, que para todo e qualquer tratamento é devida a coleta do consentimento do titular de dados, a LGPD dispõe ao contrário. No artigo sétimo da lei, estão previstas outras hipóteses de tratamento de dados pessoais que dispensam a coleta de consentimento como, por exemplo, para o legítimo interesse do controlador, para cumprimento de contrato, para tutela da saúde, entre outras. Como não existe qualquer hierarquia entre as bases legais, a correta atribuição das mesmas se dá com base na análise de cada caso e das finalidades do tratamento em questão.

Assim sendo, em se tratando da realização de recuperação de crédito tributário, precisamos analisar três momentos para a realização da correta classificação das bases legais, (i) tratamento dos dados na emissão dos documentos, (ii) tratamento dos dados no compartilhamento de informações com as consultorias externas e, (iii) tratamento dos dados no pedido de ressarcimento.

No primeiro caso, esbarramos nas obrigações tributárias acessórias. Como está previsto no art. 113, § 2, do  do Código Tributário Nacional (CTN), independentemente de ser exigido ou não o cumprimento de obrigação principal, o contribuinte é sempre obrigado a cumprir a obrigação acessória, como é o caso de emissão de Notas Fiscais e GFIP/SEFIP. Dessa forma, quando falamos de GFIP/SEFIP, por exemplo, como existe uma obrigação legal que prevê a necessidade de coleta e compartilhamento de dados pessoais, como o nome dos funcionários e número do PIS/PASEP, o tratamento desses dados se dá com base no art. 7, II, da LGPD, para o cumprimento de obrigação legal e regulatória pelo Controlador, neste caso, o Empregador.

Somado a isso, podemos citar, também, os dados tratados no âmbito do e-social, para o cumprimento de obrigações acessórias trabalhistas que tangenciam a esfera tributária, como o recolhimento de INSS, FGTS e DIRF. Os referidos tratamentos também dispensarem o consentimento do titular. Nesta circunstância, além de se justificarem pelo cumprimento de obrigação legal, também se fazem necessário para a execução do contrato, neste exemplo, de trabalho, conforme art. 7, V da LGPD.

Por outro lado, o compartilhamento de informações com consultorias externas (operadores) pode ser analisado por outro prisma. Neste caso, pode existir a necessidade de cumprimento de obrigação legal e regulatória pelo Controlador (a empresa), visto que a mesma precisa de suporte para realizar o pagamento correto de seus tributos. Assim como, o legítimo interesse da empresa em realizar um planejamento contábil e fiscal para redução da carga tributária.

Vale ressaltar que a dispensa do consentimento em todas estas hipóteses não afasta a observância aos princípios elencados na LGPD, como da finalidade, adequação e segurança.

Desse modo, recomendando-se, sempre que possível a anonimização dos dados pessoais não relevantes para as análises e, na sua impossibilidade, o reforço da segurança no tratamento dos mesmos. Na mesma linha,  findada a finalidade pela qual os dados foram tratados, deve-se proceder com o descarte dos mesmos,  não podendo utilizá-los para objetivos diversos.

Por fim, o compartilhamento de documentos que contenham dados pessoais para fins de solicitação do ressarcimento dos valores dos créditos tributários, pela via administrativa ou judicial, é amparado pelo art. 7, VI, da LGPD. Dado que os mesmos estão sendo utilizados para o exercício regular de direito em processos judiciais e/ou administrativos. Neste cenário, o tratamento de dados não se limita ao compartilhamento dos dados pessoais nos processos, mas a manutenção de tais informações pelas empresas, de acordo com os prazos prescricionais elencados em lei.

Com isso, a partir dos artigos 173 e 174 do CTN, as empresas podem armazenar tais informação pelo período de 5 anos, dada a possibilidade de ingresso de ação de cobrança de crédito tributário. Contudo, tendo em vista que o crédito tributário pode ser constituído em até 5 anos, sob pena de decadência, este período até a sua constituição também deve ser considerado pela empresa.

Em outras palavras, durante os 5 anos de período decadencial para a constituição do crédito, os documentos podem ser tratados. Sendo o crédito constituído, a empresa pode tratar por mais 5 anos os dados pessoais para fins de defesa em processo judicial. A ação sendo constituída interrompe o prazo prescricional de constituição do crédito e o tratamento dos dados passa a se pautado nos prazos prescricionais processuais.  Dessa forma,  por mais que seja solicitado a exclusão dos dados pessoais pelo titular, é legítima a manutenção dos mesmo para essa finalidade.

Resta claro, então, que a LGPD embora tenha levantado pontos de adaptação e melhorias da proteção de dados no processo de recuperação de créditos tributários não impede que tal atividade proceda com mesma efetividade de antes. Contudo, é imprescindível que as consultorias, escritório e empresas estejam atentos às políticas de descarte e segurança da informação, prazos para os tratamentos de dados e suas respectivas finalidade.