A Receita Federal, através da Portaria RFB nº 81, de 11 de novembro, instituiu o “Sistema Compartilha”, que permite que pessoas naturais e jurídicas possam autorizar o compartilhamento, com terceiros, de dados e informações de que são titulares e que estejam na posse da Secretaria Especial da Receita Federal.
Surgiram algumas dúvidas acerca de uma suposta contrariedade à Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/2018), especialmente se, ao permitir o compartilhamento dos dados, a Portaria não estaria favorecendo terceiros como bancos, financeiras, sistemas de verificação de crédito, que poderiam exigir a disponibilização dos dados pelo cliente, inclusive condicionando à prestação de determinados serviços, o que terminaria por burlar o caráter voluntário do compartilhamento.
Nos termos da Portaria, o uso do Sistema Compartilha é facultativo, sem ônus e sob total controle do titular dos dados, que tem o poder de criar e gerir os compartilhamentos, indicando o terceiro que receberá os dados, as informações que devem ser compartilhadas e o tempo de duração do compartilhamento.
Uma vez solicitado o compartilhamento, a Receita Federal cria um arquivo criptografado com os dados, que será disponibilizado ao terceiro através de uma interface específica, de responsabilidade do Serviço Federal de Processamento de Dados (Serpro), com mecanismos para consulta pontual e massiva das informações.
A Portaria dispõe expressamente que incumbe ao terceiro interessado nos dados prestar ao respectivo titular as informações acerca do seu tratamento e obter o necessário consentimento, diretamente.
Tal disposição guarda conformidade com a LGPD. A disponibilização dos dados por parte da Receita Federal é uma operação de tratamento de dados, mas o recebimento deles pelo terceiro interessado é outra operação de tratamento de dados, que também deve observar os princípios da LGPD e os direitos dos titulares.
Assim, para a operação de receber os dados compartilhados, o terceiro deverá indicar uma base legal apropriada, uma finalidade legítima, específica e explícita, que por sua vez determinará quais os dados adequados e necessários.
Eventual exigência ou mesmo mera solicitação de dados que não sejam pertinentes e verdadeiramente necessários para a realização de uma finalidade legítima contraria a lógica legal da minimização de dados.
O terceiro deverá ainda prestar previamente, ao titular dos dados, informações relativas ao tratamento dos dados a que pretende ter acesso, como a finalidade, a forma e a duração do tratamento, o seu canal de contato, se pretende compartilhar os dados com outros, para qual finalidade e as responsabilidades de cada um, além dos direitos do titular, como os de acesso aos dados, atualização e correção, revogação do consentimento a qualquer tempo e de modo facilitado, dentre outros.
O consentimento, por sua vez, deve cumprir as exigências legais, sendo expresso, livre, inequívoco, dado para cada pretensão específica de utilização dos dados (autorizações genéricas são nulas) e as informações fornecidas não podem induzir o titular a erro.
Uma nova e posterior utilização dos dados somente é permitida para finalidade que seja compatível com a original.
Apesar do disposto na Portaria, o terceiro pode utilizar outra base legal no lugar do consentimento, desde que seja apropriada à finalidade indicada para o tratamento dos dados. Afinal, sendo a Portaria uma norma infralegal, hierarquicamente inferior à Lei, não detém força normativa para restringir o disposto na LGPD.
Mas o uso dos dados sem o consentimento do titular, porque fundado em outra base legal, não dispensa o terceiro das obrigações legais, como a de prestar previamente ao titular as informações acerca do tratamento a ser realizado dos seus dados.
Observa-se assim que o Sistema Compartilha não contraria a LGPD, ao contrário, vem possibilitar a efetivação da autodeterminação informativa por parte dos titulares dos dados, que podem exercer o controle sobre o compartilhamento das suas informações, ao mesmo tempo em que assumem os correspondentes ônus da sua gestão.
Sugere-se que a pessoa periodicamente revise os compartilhamentos dos dados que criou no Sistema para excluir os vencidos, mas, principalmente, para solicitar aos terceiros acesso aos seus dados que eles mantêm, com o fim de fiscalizar e exercer o controle sobre o uso deles.
O Titular pode se opor ao tratamento dos seus dados que, por alguma razão, não esteja em conformidade com a LGPD. Para possibilitar o exercício deste direito, o terceiro tem os ônus de realizar o tratamento dos dados com ampla transparência e de guardar o registro das operações.
