A Autoridade Nacional de Proteção de Dados (ANPD) divulgou recentemente seu regulamento de sanções administrativas, que podem chegar a 2% do faturamento ou R$ 50 milhões em casos graves. Com cerca de sete mil denúncias e oito processos em andamento, as empresas que ainda não se adequaram à Lei Geral de Proteção de Dados (LGPD) estão sentindo a pressão para reforçar seus investimentos.
Para estar em conformidade com a LGPD, as empresas devem adotar medidas como a elaboração de Programas de Segurança da Informação (PSI), conscientização e treinamento, adequação de contratos e cláusulas de proteção de dados, além de medidas técnicas, como controle de acesso, gerenciamento de senhas, autenticação multi-fatores e tecnologia de criptografia.
Nesse contexto, surge uma questão tributária relevante: a possibilidade de calcular créditos de PIS e COFINS sobre os gastos com a adequação à LGPD. O PIS e a COFINS são tributos incidentes sobre o faturamento das empresas. No regime não cumulativo dessas contribuições, empresas no Lucro Real podem converter diversos tipos de despesas em créditos para abater o valor de PIS e COFINS devidos.
Desde o início de vigência da LGPD, vários contribuintes têm ingressado com ações judiciais para ver reconhecido o seu direito de calcular créditos de PIS e de COFINS sobre gastos para adequação à LGPD. Uma ação deste tipo visa recuperar o percentual de 9,25% sobre os gastos suportados desde a edição da LGPD (14/08/2018), bem como o reconhecimento do direito para os gastos que ainda serão suportados no futuro.
No último mês, uma empresa de tecnologia e meios de pagamento obteve a primeira decisão favorável em segunda instância. Esta decisão foi proferida pelo Tribunal Regional Federal da 2ª Região (Rio de Janeiro e Espírito Santo).
A decisão levou em conta a conexão dos gastos com LGPD e a atividade desenvolvida pela empresa no caso. Segundo ponderou a Desembargadora Carmen Silva Lima de Arruda, uma vez que o Contribuinte se dedica à prestação de pagamentos digitais, as despesas de implementação da LGPD estão diretamente relacionadas com a atividade-fim da empresa.
Esta foi uma decisão importantíssima para formação de jurisprudência sobre o tema, que deve acabar chegando ao STJ.
Há, também, precedente contrário, proferido pelo TRF da 3ª Região (São Paulo e Mato Grosso do Sul) em um caso envolvendo um grande fabricante de roupas. Porém, esta decisão demonstra uma preocupação com conferir um "cheque em branco" para que os contribuintes possam rotular como gasto com implementação da LGPD aquilo que não possui esta natureza. Em outras palavras, no caso, o Contribuinte não demonstrou de uma forma mais específica quais gastos foram suportados com a implementação da LGPD e como estes gastos guardam relação com a sua atividade produtiva. Portanto, aparentemente, se o Contribuinte tivesse feito esta demonstração de uma forma mais específica, poderia ter tido sucesso em seu pedido. Por outro lado, a recente decisão do TRF2 faz esta análise de correlação entre os gastos com LGPD e a atividade exercida pelo Contribuinte, o que pode indicar um caminho para êxito na disputa.
Não há dúvidas de que há um interesse público em incentivar a adequação à lei, preservando, assim, a segurança dos dados dos brasileiros. Lembrando que há, no Senado, projeto de lei (04/2022) que prevê expressamente que os gastos com a adequação à LGPD devem fazer jus a créditos, incluindo "as atividades essenciais e relevantes de assessoria e consultoria técnica, de segurança da informação e jurídica para alcance dos fins a que se destina".
Como a LGPD foi editada em 2018, é altamente recomendável que as empresas avaliem ingressar com medidas administrativas ou judiciais para preservar seu direito, pois o prazo prescricional para recuperação destes créditos é de cinco anos, de modo que uma parcela destes créditos passará a prescrever mensalmente.
*Jorge Luiz de Brito Júnior é sócio do Gaia Silva Gaede Advogados, em São Paulo