Boletim Informativo Nº 107 — Gastos de empresas com à adequação da LGPD devem gerar créditos tributários

Gastos de empresas com à adequação da LGPD devem gerar créditos tributários

Desde o início do seu período de vigência, a Lei Geral de Proteção de Dados (LGPD) trouxe consigo o dever de segurança, ética e responsabilidade quando o assunto se refere à coleta e processamento de dados pessoais de terceiros. Para isso, a lei vem provocando a necessidade de adequação não apenas do setor jurídico ou do TI, mas da empresa como um todo, uma vez que toda a estrutura da instituição deve seguir as regras e princípios de proteção de dados. Dessa forma, a LGPD, que no primeiro momento estava sendo encarada apenas como uma obrigação regulatória, acabou abrangendo muito mais do que isso, tornando- se essencial nas rotinas operacionais das empresas, tanto do ponto de vista estratégico como do comercial.

Nesse sentido, vale ressaltar que a LGPD impôs alguns requisitos e necessidades de adaptação prática às empresas que coletam e manipulam dados pessoais. Por exemplo, a lei estabeleceu a possibilidade de responsabilização solidária (art. 42 a 45) entre operador e controlador, nos casos em que a violação à legislação de proteção de dados pessoais tenha causado dano patrimonial, moral, individual ou coletivo a outrem. Esse fato faz com que as empresas já adequadas à LGPD busquem parceiros comerciais com o mesmo nível de maturidade em proteção de dados. Além disso, existe o potencial passivo para as empresas não adequadas a nova lei, advindo das responsabilizações administrativas (arts. 52 a 54) e cíveis (arts. 42 a 45). Neste ponto, há de se citar, por exemplo, a multa de até R$ 50 milhões, a suspensão do direto de tratar dados; e as indenizações por danos morais e materiais.

Portanto, um dos principais desafios nesse sentido é saber o quanto deve ser orçado para o projeto em si. A resposta dependerá do nível de maturidade prévio da empresa sobre o assunto (por exemplo, se a empresa já envidou anteriormente esforços para a adequação à legislação europeia de proteção de dados, a GDPR, se já possui diretrizes aplicadas, ou se nunca se preocupou com o tema) e, claro, seu número de colaboradores, número de subsidiárias e ramo de atividade. Apesar da dificuldade de se precisar um valor exato, pode-se dizer que tais projetos costumam variar de R$ 25.000,00 a R$ 3.000.000,00, o que só poderá ser definido por um prestador de serviços especializado com informações concretas sobre a empresa, tanto da parte tecnológica como da jurídica.

Na sequência do exposto acima, é importante ressaltar que, a fim de resguardar o titular desses potenciais dados, o legislador estabeleceu os direitos dos titulares (art. 17 a 22), que devem ser respondidos em até quinze dias. Ocorre que, para o cumprimento desses prazos legais, as empresas devem estabelecer processos de busca, de classificação dos dados e de respostas. Estes que, quando manuais, geram o custo com a hora/homem envolvida no atendimento de cada solicitação (em média R$ 7.000 por solicitação) e, quando automatizados, com

a contratação de plataformas (em média R$ 200 mil por ano). Além desses gastos, também não se pode deixar de mencionar o custo com o Data Protection Officer – “DPO”, cargo este criado e imposto pelo legislador às empresas que tratem dados (saiba o que é um DPO lendo o nosso boletim informativo nº 7 – A Figura do Data Protection Officer – DPO).

Sem dúvidas, são gastos relevantes e que impactam diretamente a saúde financeira das empresas. Por outro lado, analisando esses custos de maneira mais estratégica, é possível identificar alguns efeitos colaterais que podem gerar oportunidades positivas para as empresas. Isso porque as premissas acima apresentadas nos levam à reflexão acerca da essencialidade e relevância dos gastos com tratamento de dados pessoais e com compliance da LGPD. Ou mais do que isso, se esses gastos são, na verdade, uma imposição do legislador, sem os quais as empresas podem sofrer sanções administrativas, de modo que estariam dentro dos critérios de insumos para fins de creditamento do PIS e da COFINS, na sistemática de apuração não cumulativa dessas contribuições.

Para entender essa discussão, é necessário analisar o julgamento do REsp n° 1.221.170, onde o Superior Tribunal de Justiça – STJ reconheceu a ilegalidade das Instruções Normativas nºs 247/2002 e 404/2004 da Receita Federal do Brasil – RFB, que anteriormente definiam que os insumos de PIS/COFINS deveriam ser reconhecidos nos mesmos moldes da legislação do IPI, portanto, um critério muito restritivo. Nesse contexto, o STJ definiu que o conceito de insumo deve ser aferido à luz dos critérios de essencialidade ou relevância, ou seja, considerando-se a imprescindibilidade ou a importância de determinado item – bem ou serviço – para o desenvolvimento da atividade econômica desempenhada pelo contribuinte. Com base na tese adotada pelo STJ, a Receita Federal publicou o Parecer Normativo COSIT nº 5/2018, onde buscou trazer sua interpretação sobre o julgado e expôs, entre outros pontos, que o critério da relevância é identificável no item cuja finalidade, embora não indispensável à elaboração do próprio produto ou à prestação do serviço, integre o processo de produção, seja pelas singularidades de cada cadeia produtiva, seja por imposição legal.

Assim sendo, tudo isso nos leva a crer que os gastos das empresas com a adequação à LGPD vão muito além do critério da essencialidade e relevância, tendo em vista se tratar de obrigação legal e que, caso a Receita Federal mantenha o racional adotado em outros casos, devem gerar créditos de PIS e COFINS, por se enquadrarem no conceito de insumos.

24 de março de 2021 Bien Sûr Tiago Miquelin da Costa

Fontes:

– A hora e a vez de aprovar o orçamento para a adequação à lei geral de proteção de dados: https://www.migalhas.com.br/depeso/313566/a-hora-e-a-vez-de-aprovar-o- orcamento-para-a-adequacao-a-lei-geral-de-protecao-de-dados

– link para o boletim informativo nº 7 – A Figura do Data Protection Officer – DPO: https://biensurcombr- my.sharepoint.com/:b:/g/personal/contato_biensur_com_br/EdXQimfNP8hFsc0nKTt2SU 4B0uPUyiNW1qma6BDLb_zxdg?e=c0sac4

– custos da proteção de dados no brasil, na prática – GEDAI: https://www.gedai.com.br/o- custo-da-protecao-de-dados-conhecendo-a-gdpr-e-a-lgpd-na-pratica/

– artigo do JOTA sobre o tema: https://www.jota.info/opiniao-e- analise/colunas/regulacao-e-novas-tecnologias/lgpd-como-insumo-do-compliance-ao- aproveitamento-de-creditos-de-pis-e-cofins-23032021