Proteção de Dados dos Contribuintes na Troca de Informações Fiscais

Taxpayers’ Data Protection in the Exchange of Fiscal Information

Juciléia Lima

Doutoranda pela Westfälische Wilhelms-Universität Münster – Alemanha. Doutoranda e Mestre em Direito Financeiro e Econômico da USP. Advogada em Campinas/SP. Email: jucileialima@usp.br.

Resumo

A crise financeira e a recessão econômica no final dos anos 2000 fizeram os Estados a juntarem esforços para combater a sonegação e a evasão fiscal através da formulação de um Plano de Ação proposto pela Organização para a Cooperação e o Desenvolvimento Econômico – OCDE, conhecido como Base Erosion and Profit Shifting – BEPS.

A Troca de Informações Fiscais entre os Estados-membros da União Europeia ou ainda entre países terceiros, como é o caso do Brasil, tornou-se não somente um instrumento para combater a sonegação e a evasão fiscal, mas ainda um relevante instrumento capaz de corrigir e induzir a instituição das políticas fiscais locais.

Neste contexto, o objetivo do presente artigo é analisar o nível de segurança de dados pessoais na Troca de Informações para fins fiscais a fim de mensurar o seu impacto sobre os direitos dos contribuintes.

Palavras-chave: direito tributário internacional, BEPS, transparência fiscal, direitos dos contribuintes, troca de informações fiscais, proteção de dados, direito à privacidade.

Abstract

The financial crisis and the economic recession of the late 2000s, States have joined efforts to combat evasion and tax evasion through the formulation of a Plan of Action proposed by the Organization for Economic Cooperation and Development (OECD), namely as Base Erosion and Profit Shifting – BEPS.

The Exchange of Tax Information between member-States of the European Union or between third countries, as Brazil’s case, has become not only an instrument to combat tax evasion and avoidance, but also a relevant instrument of correcting and inducing of local fiscal policies.

In this context, the purpose of this article is scrutinize the level of security of personal data in the Exchange of Information for tax purposes in order to measure its impact on the taxpayers’s rights.

Keywords: international tax law, BEPS, tax transparency, taxpayers’ rights, tax information exchange, data protection, right to privacy.

1. Introdução

Em 2008, no Fórum Global de Transparência Fiscal promovido pela OCDE e os países do G20, foi lançado um Plano de Ação com o objetivo de combater o deslocamento e a erosão da base tributária dos Estados conhecido como Base Erosion Profit Shifting – BEPS, prevendo como uma de suas ações: a Troca de Informações Fiscais entre os Estados sobre transações de contribuintes e empresas.

O Fórum Global conta com 137 membros1. A OCDE, ao observar o quadro regulatório de diversos países, identificou deficiências para a instauração e implantação do Plano de Ação. Daí, foi elaborado um cronograma dividido em duas fases para corrigir as deficiências previamente identificadas e divulgadas em relatórios conhecidos como Peer Review2-3. Na Fase 1, o relatório diz respeito ao quadro jurídico e regulamentar substancial que rege a Troca de Informações em uma determinada jurisdição. Na Fase 2 são tratadas as questões processuais relativas à implementação da Troca de Informações Fiscais.

Todavia, embora tenham a OCDE e os Estados empreendido grandes esforços para viabilizar a Troca de Informações para fins fiscais, até o presente momento, não se vislumbra o mesmo interesse em regulamentare assegurar os direitos dos contribuintes que deveriam, ao menos, receber o mesmo tratamento ao interesse público perseguido.

A autora entende que arrecadar e proteger deveria envolver igual interesse nacional a fim de que a intervenção do Estado não exceda o nível necessário para prosseguir o seu objetivo. Pretendemos discutir neste artigo a necessidade da construção de um padrão mínimo de garantia aos direitos dos contribuintes, especialmente, sobre o estabelecimento de um padrão de segredo fiscal internacional para equilibrar o interesse público com a proteção de dados privados dos contribuintes.

2. Os direitos dos contribuintes na troca de informações fiscais

Os países-membros da União Europeia, ao celebrarem convenções fiscais entre si, e considerando serem membros da OCDE, maiormente, seguem o modelo padrão daquela organização, quer seja com os países-membros, quer seja com terceiros Estados, e por consequência, costumam inserir a cláusula de Troca de Informações Fiscais.

A Troca de Informações Fiscais no âmbito da OCDE é amparada por um vasto quadro regulatório. Primeiramente, tanto costuma estar prevista nas convenções multilaterais quanto nas bilaterais contra bitributação da renda e do patrimônio entre os países-membros da OCDE. Embora existam outros instrumentos normativos que também disciplinam o tema, tais como os regulamentos e diretivas emanadas pelo Conselho da Europa4.

A Troca de Informações Fiscais está prevista no art. 26 do Modelo de Convenção Fiscal da OCDE. Embora já existisse desde dezembro de 1977 uma Diretiva que tratava da cooperação administrativa em assuntos fiscais entre os Estados, foi tão somente em 2011 que a Troca de Informações Automática foi regulamentada através da vigência da DAC1 (Directive on Administrative Cooperation in direct taxation – Council Directive 2011/16/EU). No entanto, a DAC1 promulgada em 1.1.2014 foi rapidamente superada pelas disposições contidas nos acordos do FATCA (Foreign Account Tax Compliance Act) e pelo estabelecimento multilateral de uma nova norma para o Intercâmbio Automático de Informações Financeiras de Contas (AEFI) – a DAC2. Em comparação à DAC1, a DAC2 entrou em vigor em 1º de janeiro de 2016 objetivando ampliar o escopo de renda de capital, bem como impor a adoção de um padrão mais rigoroso de due diligence para as questões fiscais.

Existem três modalidades fundamentais de Troca de Informações Fiscais: a pedido, espontânea e automática. Embora não exista uma hierarquia entre estas, uma vez que todas são instrumentos de gestão de risco fiscal internacional e cada uma tem uma função específica, é indispensável, a criação de um sistema de proteção efetiva aos direitos dos contribuintes, especialmente concernente ao controle de dados dos contribuintes.

No Brasil, a proteção jurídica dos dados pessoais está assegurada de forma generalista no Texto Constitucional, no Código Tributário Nacional, no Pacto de San José da Costa Rica, bem como em outros instrumentos internacionais dos quais o Brasil é signatário. Entretanto, a efetividade destes direitos está comprometida pela ausência de regulamentação que trate do procedimento a ser adotado no tratamento das informações fiscais entre as jurisdições.

Embora os propósitos do Fórum Global de Transparência tenham tido ampla aceitação perante a comunidade internacional para a instituição do Plano de Ação, ele ainda é carecedor de uma disposição clara quanto à proteção de dados dos contribuintes e quanto aos direitos dos contribuintes neste contexto5-6-7.

3. Proteção de dados na União Europeia

Desde os anos 60 os países europeus já discutiam sobre a necessidade dos Estados de garantirem a proteção no processamento dados pessoais. Em 1968, o Conselho da Europa questionou ao seu Comitê de Ministros se a Carta de Direitos Humanos dos países europeus dispunha de dispositivos capazes de garantir a segurança no processamento de dados dos indivíduos. Daí, ao verificar a legislação em vigor, o Comitê de Ministros apontou que a legislação vigente tratava, tão somente, de questões gerais concernentes à privacidade, não havendo uma legislação específica reguladora do processamento de dados. Motivado por essas conclusões, o Comitê da Europa recomendou que os países europeus legislassem e aplicassem medidas que garantissem a proteção no processamento de dados, enfatizando que os Estados-membros promulgassem uma legislação nacional baseada em acordos internacionais para reforçar as leis nacionais de cada país.

Em 1976, o Conselho da Europa começou a preparar uma convenção internacional para estabelecer alguns princípios básicos referentes à proteção de dados. No mesmo período, a OCDE buscou harmonizar a proteção de dados através da redação de diretrizes destinadas aos Estados-membros, especialmente referente à transmissão de dados transfronteiriços.

Em maio de 1979, o Parlamento Europeu recomendou à Comissão das Comunidades Europeias a adoção de uma resolução regulamentadora sobre a privacidade e processamento de dados, bem como advertiu sobre a necessidade de harmonização das legislações dos países europeus a fim de evitar qualquer violação ao direito à privacidade e aos direitos e garantias individuais. Como resultado, em janeiro de 1980, a OCDE apresentou “Diretrizes sobre Proteção da Privacidade e o Fluxo Transnacional de Informações Pessoais” (Governing the Protection of Privacy and transborder flows of personal data).

Em 28 de janeiro de 1981, o Conselho da Europa assinou a “Convenção para a proteção dos indivíduos no processamento automático de dados pessoais” (Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data), que somente entrou em vigor em 1985. Esta Convenção segue as Guidelines da OCDE, estabelecendo procedimentos e obrigações a serem observadas pelos Estados no intercâmbio de dados ao abranger desde o armazenamento, a coleta e até a disseminação dos dados, tais como: a obrigação de proteger dados, o direito ao acesso e à correção de dados. Ainda a diretiva em comento estabelecia que os dados, somente, podem ser obtidos e processados de maneira justa, adequada, relevante e não excessiva, mediante a demonstração de propósito específico, devendo os dados serem exatos, atualizados e armazenados por período não superior ao necessário. Tendo o indivíduo a quem pertencer as informações o direito de inquirir o controlador sobre o conteúdo dos dados coletados, podendo inclusive requerer cópia e corrigir dados falsos ou impropriamente processados.

Embora não fossem as diretivas vinculantes para os Estados-membros, as Guidelines tanto exercem importante influência sobre a legislação dos países-membros e dos não membros quanto visam harmonizar as legislações nacionais.

Entretanto, a atividade legislativa no âmbito dos Estados-membros não se deu de forma uniforme, seja porque algumas leis nacionais de proteção de dados pessoais já eram anteriores à diretiva ou, simplesmente, porque apresentava conceitos vagos ou imprecisos, permitindo aos Estados interpretarem alguns dispositivos de formas diversas, por exemplo, o termo nível “adequado” de proteção de dados pessoais.

A ausência de harmonização da legislação dos Estados, incontestavelmente, ameaçava o nível de proteção de dados e, por consequência, o direito à privacidade. Neste cenário, foi editada pela União Europeia, a Diretiva 95/46/EC8, que tratava do processamento de dados individuais, ao reafirmar direitos já expostos nas Diretivas anteriores, bem como um conjunto de novos direitos a serem observados pelos Estados no processamento de dados pessoais.

A Diretiva 95/46/EC forneceu um padrão mínimo de segurança para a proteção dos direitos e garantias individuais ao tratar da manipulação e do processamento de dados pessoais, seja de forma manual, automática ou eletrônica, bem como apresentava os seguintes princípios: princípio da finalidade (purpose limitation principle) e princípio da qualidade dos dados. A Diretiva 95/46/CE foi revogada pela Diretiva 2016/680/CE, que reafirmou os princípios e direitos já regulados pela anterior, porém focou os seus poderes em regular a proteção de dados na era da tecnologia9-10.

O princípio da finalidade está previsto o art. 4º da Diretiva 2016/680/CE, ao dispor que os dados somente podem ser coletados de acordo com a existência de um propósito específico, previamente determinado, explícito e legítimo, não podendo os dados serem, posteriormente, utilizados para fins diversos do previamente declarados.

Outrossim, no art. 4º, o princípio da qualidade dos dados prevê que dados têm que ser processados: (i) de forma leal e lícita; (ii) adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos e tratados posteriormente; (iii) exatos e atualizados; (iv) devem ser conservados apenas durante o período necessário para o atingimento das finalidades para as quais foram recolhidos e (vi) tratados de uma forma que garanta a sua segurança adequada, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidentais.

Outrossim, a Diretiva 2016/680/CE foi objeto de quatro anos de intensas negociações entre os países do bloco, nos quais a União Europeia buscava lançar um “Pacote de Proteção de Dados” para regular o Direito à Privacidade na era da tecnologia.

A Diretiva reafirma que a proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental garantido pela Carta dos Direitos Fundamentais da União Europeia (ECHR), ao prever que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.

Ademais, a Diretiva enfatiza que é crucial assegurar um nível elevado e coerente de proteção dos dados pessoais das pessoas singulares e facilitar o intercâmbio de dados pessoais entre as autoridades competentes dos Estados-membros a fim de assegurar a eficácia da cooperação internacional.

Todavia, o sistema de proteção não somente é assegurado pela eficácia da proteção de dados pessoais, mas o seu sucesso depende, diretamente, do controle de acesso aos dados e do nível de compliance e de enforcement de quem trata dados pessoais a fim de assegurar a conformidade com as regras de proteção dos dados pessoais nos Estados-membros.

A construção de um sistema de segurança de dados merece proteção especial por implicar riscos significativos para os direitos e liberdades fundamentais. E consciente do contexto em que se inseriam os direitos individuais, a Diretiva 2016/680/CE não olvidou de tratar dos direitos dos titulares dos dados.

3.1. Direitos do titular dos dados na Diretiva 2016/680/CE

A Diretiva de Proteção de Dados tanto trata o direito à privacidade como direitos humanos quanto impõe aos Estados a obrigação de igualar a proteção de dados aos direitos e liberdades individuais, especialmente no tocante à manipulação, ao fluxo de dados e à sua transferência a terceiros.

A Diretiva de Proteção de Dados fornece padrões mínimos de segurança para o tratamento de dados pessoais, cabendo aos países adequarem tais padrões às suas leis nacionais.

Quanto ao enforcement, a Diretiva reforçou o alto padrão de controle de dados, ao prever que os dados pessoais sejam tratados: (i) de forma justa e legal; (ii) recolhidos para fins específicos, explícitos e legítimos e proibindo o uso dos dados para outros fins dos declarados; (iii) adequados, pertinentes e não excessivos em relação aos fins para os quais são recolhidos; (iv) mantidos sob uma forma que permita a identificação das pessoas que os manipulam.

A Diretiva garante igualmente aos indivíduos importantes direitos: o direito de ser informado; o direito de acesso; o direito de retificação; o direito de ser esquecido; o direito de ser notificado em caso de violação de dados, bem como sobre as condições necessárias para coleta e transferência de dados para países terceiros.

A Diretiva 2016/680/CE estabelece uma série de obrigações que devem ser observadas pelos Estados quanto à coleta, ao processamento, ao armazenamento e ao controle das informações pessoais.

A Diretiva cria a figura do “Encarregado de proteção de Dados”11, estando aquelas pessoas responsáveis pelo tratamento dos dados pessoais obrigadas a fornecerem à “pessoa em causa” uma série de informações que se constituem direitos básicos do sujeito em relação ao processamento de seus dados pessoais. Ainda está prevista a obrigatoriedade dos Estados de instituírem uma Autoridade Supervisora que deve atuar de forma independente na supervisão, investigação e intervenção quando houver ameaça aos direitos individuais.

Entretanto, embora seja a Diretiva relevante para o fornecimento de um padrão mínimo de segurança na proteção de dados, ela apresenta duas limitações. A primeira diz respeito ao fato de que a Diretiva, tão somente, protege o direito à intimidade do indivíduo e não da pessoa jurídica. Segundo, a Diretiva não se aplica em algumas situações, tais como: às questões de segurança nacional e direito criminal.

3.1.1. Direito de ser informado (arts. 12 e 13)

Os dados referentes a uma pessoa podem ser recolhidos diretamente junto a ela própria ou por meio de terceiros que os tenham em seu poder. Na primeira hipótese, a Diretiva (no seu art. 12) estabelece que o controlador tem que prestar à “pessoa em causa” as seguintes informações: (i) a identidade e os contatos do responsável pelo tratamento; (ii) a finalidade do tratamento; (iii) o direito de apresentar reclamação à autoridade de controle; e (iv) a existência do direito de solicitar ao responsável pelo tratamento acesso aos dados pessoais que dizem respeito ao titular, bem como a sua retificação ou o seu apagamento e a limitação do tratamento.

Todavia, a autora entende que rol não é exaustivo, com base no princípio da qualidade dos dados, o indivíduo pode requerer informações adicionais ao agente público a fim de garantir o tratamento leal dos dados manipulados a seu respeito.

3.1.2. Direito de acesso (art. 14)

Por meio da Diretiva, os Estados-membros asseguram aos indivíduos o direito de acesso aos seus dados pessoais que estão sob tratamento da autoridade pública, ainda sendo obrigados a informar ao titular do direito: (i) a finalidade do tratamento; (ii) os destinatários aos quais os dados pessoais foram divulgados, especialmente se se tratar de destinatários de países terceiros ou de organizações internacionais; (iii) sempre que possível, o prazo previsto de conservação dos dados pessoais ou, se tal não for possível, os critérios usados para fixar esse prazo; (iv) a existência do direito de retificação ou de apagamento dos dados pessoais; e (v) o direito de apresentar reclamação à autoridade de controle.

O art. 14 da Diretiva prevê algumas limitações ao direito de acesso às informações, desobrigando a autoridade de dar acesso ao indivíduo quando for uma medida necessária para proteger o andamento de inquéritos, investigações ou procedimentos oficiais ou judiciais, bem como quando representar uma ameaça à segurança pública.

3.1.3. Direito de retificar (art. 16)

O Direito de Retificar dados está disciplinado no art. 16 da Diretiva, ao prever que o titular dos dados tem o direito de obter, sem demora injustificada do responsável pelo tratamento, a retificação dos dados pessoais inexatos que lhe digam respeito.

Tendo em conta a finalidade do tratamento, os Estados-membros devem possibilitar que o titular dos dados tenha direito que os seus dados pessoais incompletos sejam completados, inclusive por meio de declaração adicional.

Decorrente do direito de acesso, o indivíduo tem ainda assegurado o direito de notificação aos terceiros (a quem, incorretamente, tenham os dados sido transferidos), podendo assim solicitar qualquer retificação, eliminação ou bloqueio dos dados incompletos, inexatos ou indevidamente processados.

3.1.4. Direito ao esquecimento (right to be forgotten)

Em 2010, um cidadão espanhol apresentou uma queixa contra um jornal espanhol, a Agência Nacional de Proteção de Dados e contra o Google Espanha. O cidadão queixou-se de um aviso do leilão de sua casa que já havia sido quitada perante o banco pelo indivíduo. Portanto, a permanência do aviso de leilão na internet se apresentava totalmente irrelevante dado que a questão já havia sido resolvida. Daí, o cidadão, primeiramente, solicitou ao jornal que retirasse o anúncio das páginas da internet. Segundo, ao Google, a fim de os dados pessoais relativos a ele não aparecessem mais nos resultados da pesquisa.

O Tribunal Espanhol submeteu o processo ao Tribunal de Justiça da União Europeia indagando, dentro outras questões, se uma pessoa tinha o direito de solicitar que os seus dados pessoais sejam apagados dos “navegadores de busca” – o Direito de ser Esquecido (Right to be Forgotten).

O Tribunal, no seu acórdão, não elevou o “Direito ao Esquecimento” a um “superdireito”, capaz se sobrepor aos direitos fundamentais. Pelo contrário, confirmou que o Direito de ser Esquecido não se tratava de um direito absoluto, ao dispor de limites claros, havendo a necessidade de ser avaliado caso a caso. Todavia, reconheceu a legalidade da aplicação do Direito de ser Esquecido quando ficar constatado ser desnecessário ou irrelevante o armazenamento ou a manutenção de dados.

O Tribunal reconheceu que era necessário um justo equilíbrio entre o interesse legítimo de quem detém a informação e os direitos fundamentais da pessoa. Este equilíbrio dependia, exatamente, da natureza da informação e da sensibilidade à vida privada.

Reconhecendo que o “Direito ao Esquecimento” aumenta o nível de segurança jurídica, a Diretiva 95/46/CE já havia o incluído. A Diretiva 2016/680/CE no seu art. 16 reafirmou que uma pessoa pode pedir que os seus dados pessoais sejam apagados quando estes se apresentarem desnecessários.

Todavia, é mister ressaltar que, a fim de dar eficácia ao Direito ao Esquecimento, a Comissão Europeia propôs reverter a ônus da prova, reconhecendo que cabe ao responsável pelo tratamento dos dados – e não ao indivíduo – provar que os dados não podem ser suprimidos, ou seja, comprovar que a manutenção dos dados é necessária e relevante.

O Direito ao Esquecimento é muito mais do que um direito de ser esquecido, mas se trata da modernização das normas de proteção de dados, estabelecendo uma série de novos direitos aos cidadãos, o de ser esquecido é apenas um deles a fim de dar segurança e agilizar a cooperação entre os Estados.

3.1.5. Obrigação de comunicação de violação de dados (art. 31)

A Diretiva 2016/680/CE trouxe uma importante previsão ao tratar da obrigação de comunicar, sem demora, do responsável pelo tratamento qualquer violação ou ameaça aos direitos ou às liberdades individuais.

Ademais, cabe ao responsável pelo tratamento dos dados tomar todas as medidas necessárias a fim de amenizar qualquer dano, especialmente utilizar-se de criptografia a fim de tornar os dados incompreensíveis para que terceiros não autorizados não tenham acesso os dados.

3.1.6. Coleta e transferência de dados para países terceiros (art. 35)

A Diretiva, ao regular a Transferência de Dados, estabelece a inexistência de impedimento à transferência de dados a terceiros, desde que o terceiro país demonstre um nível adequado de proteção de manuseio e processamento dos dados solicitados.

A mensuração do nível de adequação de proteção de dados de um país é constatada por uma série de fatores12, sobretudo pelo exame das regras de direito local. Em termos gerais, pelas normas internas, tratados, convenções internacionais, e especialmente, aquelas referentes à proteção de dados pessoais. Todavia, é possível a transferência de dados para países com baixo nível de proteção legal quando o responsável pelo tratamento dos dados apresenta garantias suficientes de proteção da vida privada, que podem ser dadas através de cláusulas contratuais adequadas13.

Por isso, a Diretiva prevê que cabe aos Estados-membros e ao Conselho da Europa avaliarem e decidirem, mutuamente, a fim de determinar o nível de segurança de um país na proteção dos dados. O órgão da União Europeia que tem funções executivas é a Comissão Europeia (European Comission), ficando ela responsável pelo exame de quais países possuem um nível adequado de proteção de dados.

Sendo assim, embora a Diretiva não vede a transferência de dados a países terceiros, ela busca garantir que os países terceiros assegurem uma proteção adequada dos dados pessoais solicitados, dado que os interesses dos Estados não podem violar o direito à privacidade.

3.2. Na Constituição Federal Brasileira

Atualmente, o Brasil possui uma legislação dispersa e não específica sobre o tema de processamento e proteção de dados individuais. A proteção maior se deu na Constituição Federal de 1988 ao ter trazido uma série de direitos e garantias fundamentais aos indivíduos, bem como ter atribuído limites ao poder de tributar do Estado. O art. 5º da Constituição Federal trouxe, de forma explícita, princípios fundamentais que resguardam o exercício de direitos e liberdades individuais.

Todavia, o direito do contribuinte de ser, previamente, notificado e ouvido, corrigir e impugnar dados e informações e o direito de apelar no procedimento de Troca de Informações Fiscais decorre da garantia à ampla defesa e do direito ao contraditório, estabelecidos no art. 5º, inciso LV, do Texto Constitucional.

Nessa esteira, impõe-se ao Poder Público o dever de assegurar os direitos básicos resultantes do postulado da ampla defesa, considerando-se que, no Estado Democrático de Direito, o direito a um procedimento adequado não compreende apenas o procedimento ou processo conduzido sob o pálio do contraditório, devendo ser, ainda, aderente à realidade social e à concretização da igualdade.

Sendo assim, a garantia da ampla defesa e o exercício do contraditório implicam, em qualquer procedimento, estabelecer o equilíbrio entre o exercício da atividade estatal e a preservação das garantias fundamentais do indivíduo, erguendo-se como forma de controle do poder estatal a fim de mitigar os efeitos de decisões que imponham restrição indevida aos bens dos contribuintes juridicamente tutelados.

Daí, a Constituição Federal não olvidou dos direitos dos contribuintes que têm como ponto de partida o art. 145 da Constituição, mas estes dispositivos não esgotam o conteúdo dos direitos assegurados aos contribuintes no Estado Democrático de Direito, dado que o texto constitucional, tão somente, opera como ponto de partida para proteção dos direitos dos contribuintes14.

O princípio do contraditório impõe, explicitamente, a participação dos envolvidos em todo e qualquer procedimento administrativo como forma de limitar o exercício arbitrário do poder do Estado na condução do ato administrativo.

Embora seja possível, pelo menos por abstração, separar a ampla defesa do contraditório, é cristalino que estes princípios estão intimamente relacionados. Um não existe sem o outro. Não há ampla defesa se o contraditório inexistir.

O direito ao contraditório é expressão técnico-jurídica do princípio da participação, dado que se o poder é legítimo, deve estar aberto à participação, bem como que todo poder é legitimado, nas democracias, pelo direito de participação do indivíduo.

Por sua vez, Mello apresentou importante lição, ao lecionar que a “‘vontade administrativa’ do Estado é formada pela sequência que se denomina ‘procedimento administrativo’, discipliná-lo é o meio idôneo para mantê-la sob controle”. Assim, no contexto de um Estado Democrático de Direito, a atividade administrativa deve ser conduzida de maneira que seja justa, a fim de possibilitar a efetivação das garantias positivadas na Constituição a favor dos cidadãos, devendo desenvolver-se em consonância aos princípios constitucionais15.

As relações estabelecidas pelo Estado devem ser participativas e igualitárias, pois conforme nos ensina o processo de tomada de decisão pelo Poder Público não poderá ser um procedimento absurdo, mas um meio de afirmação da própria legitimidade e de afirmação do direito à ampla defesa do contribuinte.

Por fim, o intercâmbio de dados de contribuintes como ato administrativo deve ser garantido por um procedimento regular que garanta o direito de participar do contribuinte (direito de ser notificado e ouvido; corrigir e impugnar dados e informações e direito de apelar) como meio indispensável para a sua legitimidade do procedimento, que deve, necessariamente, observar os direitos e garantias fundamentais do contribuinte tanto no âmbito internacional quanto local.

Por fim, é importante frisar que o direito de participação do contribuinte em nada compromete a efetividade da cooperação mútua, dado que todas as informações solicitadas estão em poder do Estado requerido, daí, via de regra, a efetividade da cooperação estará à margem de qualquer prejuízo para Estado requerente.

4. Proteção de dados no Brasil

O princípio da cooperação entre as nações está previsto na Constituição Federal como um princípio orientador nas relações internacionais. O Código Tributário Nacional foi instituído pela Lei n. 5.172, de 25 de outubro de 1966, como decorrência da reforma iniciada pela Emenda Constitucional n. 18, de 1º de dezembro de 1965. Na década de 1950, foi elaborado um anteprojeto do Código Tributário Nacional sob a responsabilidade do tributarista Rubens Gomes de Sousa. Durante anos, o anteprojeto foi analisado e debatido, todavia, naquele momento, o projeto não foi votado no Congresso Nacional, entretanto, no respectivo anteprojeto já existia o instituto da Troca de Informações Fiscais entre as Administrações Fiscais locais16.

Após uma década, o projeto de Código Tributário Nacional (Projeto de Lei n. 4.834/1954) manteve a previsão da Troca de Informações fiscais entre as Administrações Tributárias no art. 182. Decorrida a aprovação do Código Tributário Nacional em 1966, a previsão autorizadora do intercâmbio de dados entre os fiscos brasileiros foi dada pela redação contida no caput do art. 199. Entretanto, em 1999, o dispositivo foi alterado pela vigência da Lei Complementar n. 104/2001, ao acrescer o parágrafo único ao art. 199 do Código Tributário Nacional17.

O art. 199 do Código Tributário Nacional trata de forma linear e direcionada ao interesse local, do intercâmbio de informações tributárias entre os órgãos da Administração Pública. Mas não fica demonstrado na legislação vigente o interesse na instituição de um padrão de segurança de dados a fim de garantir os direitos individuais dos contribuintes neste cenário.

Desde 2010, o Brasil discute a aprovação de uma lei que regule o tratamento de dados pessoais de pessoas físicas e jurídicas por agentes públicos e empresas. Embora o debate tenha avançado, ainda não existe um diploma legislativo de proteção de dados no Brasil18.

Atualmente, o Brasil é signatário de 35 acordos fiscais acrescidos de sete acordos de troca de informações fiscais19 (TIEAs20), sendo que, destes, 31 ainda estão em vigor. Dentre os acordos fiscais vigentes, 1221 deles ainda não atendem os padrões de transparência fiscal, os quais necessitam ser renegociados segundo relatório da fase 2 divulgado em 31 de julho de 2013 pelo Peer Review Report da OCDE22, que avaliou o sistema regulatório brasileiro referente à possibilidade e à efetividade da Troca de Informações Fiscais.

O Brasil, como país participante do Fórum Global sobre Transparência e Troca de Informações Fiscais, foi observado pela OCDE como uma jurisdição relevante para o desenvolvimento e a instituição dos padrões de transparência fiscal. A observação se deu em duas fases. Na primeira fase, foi observado o quadro regulatório atinente à Troca de Informações Fiscais no Brasil. E na segunda fase, que se estendeu de 2009 a 2012, foram avaliadas as condições necessárias para a implementação prática da Troca de Informações Fiscais no Brasil, tais como: (a) a disponibilidade da informação; (b) o acesso à informação; e (c) a troca de informações fiscais23.

Quanto à disponibilidade das informações, o relatório concluiu que existia no Brasil importantes instituições de enforcement provisions to ensure availability of information, tais como: BACEN, CVM, RFB, COAF, instituições financeiras, cartórios, dentre outras24.

Quanto ao acesso à informação, o relatório reconhece que a efetividade do plano de transparência depende da possibilidade de poder ou não obter a informação desejada, dado que esta pode estar em poder de bancos, instituições ou outros órgãos que devem ser competentes para manipulá-las adequadamente.

O Peer Review aponta com um fator positivo, o poder que detém a Receita Federal do Brasil de manter e administrar um grande banco de dados bancários, contábeis e de propriedade dos contribuintes e ainda reconhece a existência de plena capacidade de fornecimento de informações fiscais do Brasil tanto no nível doméstico quanto no internacional.

O relatório também cita a existência de corpo técnico responsável em atender e requisitar informações fiscais, intitulado Coordenação Geral de Relações Internacionais da RFB – CORIN, que teria competência técnica para consultar informações sobre contribuintes e enviá-las ao solicitante25-26.

Atualmente, o Brasil mais recebe solicitações de intercâmbio de dados fiscais que solicita às outras jurisdições. Durante o período de observação que perdurou de 2009 a 2012, o Brasil recebeu 89 requisições e solicitou 07 (sete) requisições às outras jurisdições.

O Peer Review da OCDE ressalta que o Brasil é signatário da Convenção Multilateral sobre Mútua Assistência, afirmando que não identifica nenhum impedimento que obste o país trocar informações fiscais com outras jurisdições, e que apesar da demora em conceder a informação que lhe foi solicitado pelo outro Estado, o Brasil teria plena condição de implementar o programa de transparência fiscal.

Todavia, como seria o tratamento dado às informações coletadas, armazenadas e transferidas a terceiros sobre os contribuintes? Como proteger os dados dos contribuintes? Como estabelecer um padrão global de segredo fiscal internacional capaz de sopesar o interesse público com os direitos e garantias fundamentais dos contribuintes? Essas são questões que aguardam ser reguladas.

4.1. Sigilo

No inciso X do art. 5º da Constituição Federal está previsto que a intimidade e a vida privada são invioláveis. O sigilo de dados trata-se de um corolário dos direitos à inviolabilidade, à intimidade e à proteção à vida privada27-28-29-30.

No Brasil, o dever de sigilo de informações de particulares em poder da Administração Pública não é novo, o Código Comercial de 1850 já previa em seu art. 17, ao dispor que nenhuma autoridade, juízo ou tribunal estava autorizado a examinar a escrituração dos livros do comerciante31. Indubitavelmente, a proibição de solicitar livros contábeis ao particular apresentou-se como um impedimento às atividades da Administração Fiscal. Todavia, a lei permaneceu vigente até o final da década seguinte, quando foi publicado o Decreto-lei n. 1.168, de 22 de março de 1939, autorizando em seu art. 14 que funcionários da Administração Fazendária podiam solicitar a exibição de livros de contabilidade, a fim de revisar a escrita fiscal, solicitar esclarecimentos e declarações dos contribuintes32.

Entretanto, ainda existia uma lacuna a ser resolvida, o dever de sigilo da Administração Pública atinente à situação financeira dos contribuintes. Daí, somente com a promulgação do Decreto-lei n. 5.844, de 23 de setembro de 1943, nos seus arts. 201 a 203, suprimiu-se tal lacuna, ao prever expressamente o dever de sigilo aos funcionários da Administração Fiscal sobre a situação de riqueza dos contribuintes33.

Igualmente na Constituição Federal vigente, as expressões “sigilo bancário ou fiscal” já não existiam nas Constituições anteriores, dependendo a abstração de tais conceitos de interpretação da lei.

Greco entende que o sigilo bancário estaria amparado pelo inciso XII do art. 5º da Constituição Federal34. A norma constitucional, ao declarar “inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para fins de investigação criminal ou instrução processual penal” não só impediria a interceptação das relações de comunicação pelos variados meios aptos a realizá-las, mas também resguardaria os próprios dados.

Embora, o sigilo fiscal não possa ser entendido como um “direito absoluto”, inclusive o Supremo Tribunal Federal já teve a oportunidade de julgar a questão, ao afirmar que o regime das liberdades públicas ostenta caráter meramente relativo, devendo a prática ser balanceada pela preponderância axiológica, jurídico-social do interesse público35 e pelo princípio da razoabilidade36.

O sigilo de dados protege interesses privados, devendo ser entendido como espécie do qual o direito à privacidade é gênero, inerente ao direito à personalidade das pessoas (físicas ou jurídicas) e que o legislador constituinte preocupou-se em proteger e a garantir a sua inviolabilidade.

Por isso, a proteção ao sigilo de dados foi tratada pelo constituinte originário como uma questão de ordem pública, estendendo-se tanto às pessoas naturais quanto às jurídicas, para que possam, livremente, desempenhar as suas atividades sociais e a condução de seus negócios.

A questão do sigilo de dados gravita em um núcleo de proteção à intimidade do indivíduo que não pode ser permeado para atender meramente interesses arrecadatórios em detrimento dos direitos e garantias individuais37-38.

4.2. O tratamento dos dados nas operações cross-border e a Lei Complementar
n. 104/2001

O CTN, de forma genérica, prevê o dever de sigilo fiscal no seu art. 198. Posteriormente, o art. 198 sofreu significativa alteração trazida pela Lei Complementar n. 104, de 2001, ao excepcionar a vedação de divulgação de informações fiscais cobertas pelo sigilo. Da leitura do inciso II do § 1º do dispositivo transcrito, constata-se que, para autorização da transferência de informações obtidas e mantidas sob sigilo pela Fazenda Pública é exigido o preenchimento das seguintes condições: (i) solicitação feita por autoridade administrativa; (ii) existência de interesse da Administração Pública; (iii) comprovação da instauração regular de processo administrativo, com objetivo de investigar o sujeito passivo a que se refere a informação, por prática de infração administrativa39.

A Lei Complementar n. 105/2001 abrangeu, significativamente, os poderes de investigação da Administração Tributária, ao tratar da solicitação e do manuseio de dados em matéria fiscal dos contribuintes, o que gerou inúmeras teses que reforçavam a inconstitucionalidade do dispositivo. Entretanto, o Plenário do Supremo Tribunal Federal (STF) entendeu ser legítimo e permitido à Receita Federal receber dados bancários de contribuintes fornecidos diretamente pelos bancos, sem prévia autorização judicial. No julgamento, prevaleceu o entendimento de que a norma não resultava em quebra de sigilo bancário, mas transferência de sigilo da órbita bancária para a fiscal, ambas protegidas contra o acesso de terceiros. A transferência de informações é feita dos bancos ao fisco, que tem o dever de preservar o sigilo dos dados, portanto não haveria ofensa à Constituição Federal40.

Neste cenário, a permissão contida no art. 198 do CTN deu à autoridade fiscal brasileira o poder de trocar informações fiscais com jurisdições internacionais na forma estabelecida em tratados, acordos ou convênios, não havendo impedimento legal que impeça o intercâmbio de dados.

Na Instrução Normativa n. 1.226/2011 da SRF, a Troca de Informações cross-border é tratada meramente como um expediente administrativo, não demonstrando qualquer preocupação com o nível de segurança dos dados do país solicitante, dado que, tão somente, trata do endereçamento a quem deve a solicitação de informação ser dirigida na Troca de Informações “a pedido”.

5. Troca de informações automática e a pedido: algumas considerações

Baker e Pistone apontam relevantes considerações e distinções relativas ao nível adequado de proteção de dados dos contribuintes na Troca de Informações Automática (AEoI) e a Pedido (EoIR)41. Na Troca Automática de Informações, um Estado reúne informações financeiras e fiscais que detém em seu poder a fim de coletá-las e transferi-las para o outro Estado. Neste contexto, deve primeiramente o Estado transmissor se certificar sobre quais são as garantias e os direitos dos indivíduos envolvidos no processo, bem como quais são as garantias oferecidas pelo Estado receptor para lidar com os dados recebidos. O Estado receptor antes do recebimento dos dados deve garantir ser capaz de protegê-los42-43.

Outrossim, no caso da Troca de Informações a Pedido, as informações são requisitadas de um Estado pelo outro a fim de instruir, maiormente, uma investigação específica. Neste contexto, o Estado requerente deve prestar garantia que dispõe dos meios necessários para resguardar os direitos do contribuinte do outro país. No caso do Estado requerido, esse Estado tem que se certificar se o outro Estado dispõe de um nível de segurança adequado para receber a informação.

6. Considerações finais

O Brasil é considerado uma jurisdição relevante para o desenvolvimento e a instituição dos padrões de transparência fiscal, daí, é imprescindível a existência de um quadro regulatório a fim de assegurar um padrão mínimo de proteção de dados dos contribuintes que possa ser concretizada na prática e não apenas na teoria jurídica.

Porém, como um ponto de partida para a construção de um sistema de proteção de dados pessoais, a autora defende a necessidade do controle ao acesso às informações pessoais dos contribuintes em tratamento. Daí, cabe à Administração Pública assegurar um nível adequado de confidencialidade dos dados coletados, armazenados e transferidos, especialmente, utilizando-se de meios de criptografia que impossibilitem que terceiros não autorizados tenham acessos aos dados dos contribuintes.

Ademais, é mister na Troca de Informações Fiscais garantir ao contribuinte o direito de acesso, de ser ouvido, de ser informado, de retificar e impugnar dados e o direito de apelar como corolário do direito à ampla defesa e do contraditório. Daí, ante a existência de qualquer pedido deve o contribuinte ser informado do pedido de intercâmbio de dados, antes mesmo que tais dados sejam transferidos ao Estado solicitante.

Por fim, o Poder Público e as empresas privadas devem instituir bons programas de compliance, a fim de implementar medidas técnicas e organizacionais apropriadas à proteção dos dados pessoais que processam e armazenam. As medidas têm que ser adequadas aos riscos que a atividade representa e à natureza dos dados tratados, de modo a protegê-los contra possíveis danos ou violação.

7. Referências bibliográficas

ÁVILA. Humberto. Estatuto do contribuinte: conteúdo e alcance. Revista Diálogo Jurídico v. 1, n. 3. Salvador, junho de 2001. Disponível em: <http://www.direitodoestado.com/revista/REDAE-12-NOVEMBRO-2007-HUMBERTO%20AVILA.pdf>. Acesso em: 23 jul. 2017.

BAKER, Philip. A tributação internacional no século XXI. Revista Direito Tributário Atual vol. 19. São Paulo: Dialética e IBDT, 2005.

_____; e PISTONE, Pasquale. The practical protection of taxpayer’s fundamental rights. Basel, Switzerland: IFA, 2015.

FERRAZ JR., Tercio Sampaio. O sigilo de dados: o direito à privacidade e os limites à função fiscalizadora do estado. In: PIZOLIO, Reinaldo; e GAVALDÃO JR., Jayr Viégas (coord.). Sigilo fiscal e bancário. São Paulo: Quartier Latin, 2005.

FRANÇA, Limongi. Instituições de direito civil. São Paulo: Saraiva, 1999.

GOEDE, Jan de. In: WLODZIMIERZ, Nykiel; e MALGORZATA, S˛ek. Protection of taxpayer’s rights: European, international and domestic tax law perspective. Warsaw: Wolters Kluwer, 2009.

GRECO, Marco Aurélio. Sigilo bancário e REFIS. In: VERGUEIRO, Guilherme Von Müller Lessa (org.). REFIS – aspectos jurídicos relevantes. São Paulo: Edipro, 2001.

MELLO, Celso Antônio Bandeira de. Curso de direito administrativo. 22. ed. São Paulo: Malheiros, 2007.

OECD (2012). Global forum on transparency and exchange of information for tax purposes peer review: Brazil 2012: Phase 1 e OECD (2013). Global forum on transparency and exchange of information for tax purposes peer review: Brazil 2012: Phase 2.

OBERSON, Xavier. The OECD model agreement on exchange of information. A shift to the applicant state. 57 Bulletin of International Tax Law, 2003.

ROCHA, Sergio André. Troca internacional de informações para fins fiscais. São Paulo: Quartier Latin, 2015.

ROSEMBUJ, Tulio. Intercambio internacional de información tributária. Edicions Universitad de Barcelona, 2004.

SCHOUERI, Luís Eduardo; e BARBOSA, Mateus Calicchio. Transparency: from tax secrecy to the simplicity and reliability of the tax system. British Tax Review n. 5 (2013). London: Sweet & Maxwell: 2013.

_____. Da antítese do sigilo à simplicidade do sistema tributário: os desafios da transparência fiscal internacional. In: SANTI, Eurico Marcos Diniz de; CHRISTOPOULOS, Basile Georges; ZUGMAN, Daniel Leib; e BASTOS, Frederico Silva (org.). Transparência fiscal e desenvolvimento: homenagem ao Professor Isaias Coelho. 1. ed. São Paulo: Fiscosoft, 2013.

SCHENK-GEERS, Tony. International exchange of information and the protection of rights of taxpayers. Kluwer Law International, 2009.

XAVIER, Alberto. Direito tributário internacional do Brasil. 7. ed. atual e rev. Rio de Janeiro: Forense, 2010.

_____. Troca de informações: as novas tendências. In: ROCHA, Valdir de Oliveira (coord.). Grandes questões atuais do direito tributário. São Paulo: Dialética, 2009. vol. 13.