Fiscalização das operações com criptoativos pela Receita Federal

Panorama da Instrução Normativa 1.888/2019

Com o aumento do interesse no mercado de criptoativos no Brasil, principalmente de moedas virtuais, a Receita Federal (“RFB”) iniciou em 2018 um processo de consulta pública de sua proposta para fiscalização do tema. O resultado foi a publicação da Instrução Normativa nº 1.888 em 07 de maio de 2019 (“IN 1.888”), que disciplina a obrigatoriedade de prestação de informações relativas às operações realizadas com criptoativos.

Pela IN 1.888, as pessoas físicas ou jurídicas domiciliadas no Brasil que realizarem operações envolvendo criptoativos sem intermédio de exchanges ou por meio de exchanges domiciliadas no exterior deverão prestar informações à Secretaria Especial da RFB. Esta obrigação também deverá ser observada por exchanges domiciliadas no Brasil que intermediarem essas operações.

Para a prestação das informações será utilizado o Coletor Nacional, sistema da RFB disponível no e-CAC. O formato ainda será definido em Ato Declaratório Executivo (ADE) a ser publicado pela Coordenação-Geral de Programação e Estudos (Copes) no prazo de 60 dias contados da publicação da IN 1.888.

Do começo: criptoativos, exchanges?

Um ponto importante trazido pela RFB foi o glossário de termos do mercado, que, atribuindo-lhes definição jurídica, poderá ser referenciado em dispositivos vindouros. Estas definições são fruto de contribuição de participantes do segmento durante o processo de consulta pública, mas nem sempre estão alinhadas com os conceitos de mercado. Aduz o Art. 5º da IN 1.888:

Art. 5º Para fins do disposto nesta Instrução Normativa, considera-se:

I – criptoativo: a representação digital de valor denominada em sua própria unidade de conta, cujo preço pode ser expresso em moeda soberana local ou estrangeira, transacionado eletronicamente com a utilização de criptografia e de tecnologias de registros distribuídos, que pode ser utilizado como forma de investimento, instrumento de transferência de valores ou acesso a serviços, e que não constitui moeda de curso legal; e

II – exchange de criptoativo: a pessoa jurídica, ainda que não financeira, que oferece serviços referentes a operações realizadas com criptoativos, inclusive intermediação, negociação ou custódia, e que pode aceitar quaisquer meios de pagamento, inclusive outros criptoativos.

Parágrafo único. Incluem-se no conceito de intermediação de operações realizadas com criptoativos, a disponibilização de ambientes para a realização das operações de compra e venda de criptoativo realizadas entre os próprios usuários de seus serviços.

 Assim, para a IN 1.888, os conceitos de criptomoedas e criptoativos se aglutinam sob a mesma definição de criptoativos. Além disso, o parágrafo único traz linguagem abrangente ao conceito de intermediação de operações que pode ser interpretado para incluir serviços de fóruns de discussão, correspondência eletrônica e até mensageiros instantâneos e chat virtual genéricos – o que nos parece não ser o objetivo da instrução normativa. Maior esclarecimentos são necessários.

Quais informações devem ser prestadas?

Segundo a IN 1.888, as informações a serem prestadas e a forma de apresentação variam de acordo com as características de cada operação:

a. Exchanges domiciliadas no Brasil.

Informações:

  • Por cada operação: data, tipo, titulares, criptoativos usados, quantidade de criptoativos negociados (em unidades, até a décima casa decimal), valor da operação em reais, valor das taxas de serviços cobradas em reais e o endereço da wallet de remessa e de recebimento, se houver.
  • Por cada usuário no período até 31 dezembro de cada ano: saldo em moedas fiduciárias, em reais, saldo de cada espécie de criptoativos, em unidade dos respectivos criptoativos e custo em reais, de obtenção de cada espécie de criptoativo, declarado pelo usuário de seus serviços, se houver.

Prazo:

  • Mensal, no último dia útil do mês subsequente ao da operação.

b. Pessoa física ou jurídica sem intermédio de exchanges.

Informações:

  • Por cada operação: data, tipo, titulares, criptoativos usados, quantidade de criptoativos negociados (em unidades, até a décima casa decimal), valor da operação em reais, valor das taxas de serviços cobradas em reais e o endereço da wallet de remessa e de recebimento, se houver.
  • Sujeitam-se à declaração de informações apenas as operações que, isoladamente ou em conjunto, ultrapassarem R$ 30.000,00 (trinta mil reais).

Prazo:

  • Mensal, no último dia útil do mês subsequente ao da operação.

c. Pessoa física ou jurídica por intermédio de exchanges no exterior.

Informações:

  • Por cada operação: identificação da exchange, data, tipo, criptoativos usados, quantidade de criptoativos negociados (em unidades, até a décima casa decimal), valor da operação em reais, valor das taxas de serviços cobradas em reais e o endereço da wallet de remessa e de recebimento, se houver.
  • Sujeitam-se à declaração de informações apenas as operações que, isoladamente ou em conjunto, ultrapassarem R$ 30.000,00 (trinta mil reais).

Prazo:

  • Anual, no último dia útil do mês de janeiro do ano subsequente ao da operação.

O envio de informações deverá ser assinado digitalmente pela pessoa física, pelo representante legal da pessoa jurídica ou pelo procurador, mediante uso de certificado digital ICP-Brasil, e o primeiro conjunto de informações deve ser entregue em setembro de 2019 – já se referindo às operações realizadas em agosto de 2019.

Descumprimento e penalidades

O normativo traz também consequências em caso de descumprimento das obrigações estabelecidas, nos seguintes termos:

a. Prestação de informações extemporâneas (fora do período adequado):

  • Pessoa física: Multa de R$ 100,00 (cem reais) por mês ou fração de mês.
  • Pessoa jurídica: Multa de R$ 1.500,00 (um mil e quinhentos reais) por mês ou fração de mês.
  • Se o declarante for pessoa jurídica em início de atividade, imune ou isenta, optante do Simples Nacional ou que na última declaração apurou IRPJ pelo lucro presumido – Multa de R$ 500 (quinhentos reais) por mês ou fração de mês.

b. Omissão de informações, prestação de informações inexatas, incompletas ou incorretas ou não prestação das informações a que estiver obrigado:

  • Pessoa física: Multa no valor de 1,5% (um virgula cinco por cento) do valor da operação.
  • Pessoa jurídica: Multa no valor de 3% (três por cento) do valor da operação, não inferior a R$ 100,00 (cem reais).

Nestes casos, não incidirá multa por erros, inexatidões e omissões, desde que que sejam corrigidos ou supridas antes de iniciado qualquer procedimento de ofício.

c. Não cumprimento de intimação da Receita Federal para cumprir obrigação acessória ou para prestar esclarecimentos:

  • Multa de R$ 500,00 (quinhentos reais) por mês calendário.

d. Indício de “Crimes de Lavagem ou Ocultação de Bens, Direitos e Valores”:

  • Além da aplicação de multa, haverá comunicação ao Ministério Público Federal.

O que esperar sobre a regulação de operações com criptoativos?

A implementação de um sistema para fiscalizar as operações com criptoativos apresenta esforços importantes para coibir a sonegação e lavagem de dinheiro ligados a este tema.

Adicionalmente, é bem claro que a obrigação acessória trazida pela IN 1.888 busca também impulsionar a arrecadação de tributos incidentes sobre estas operações – o que é de fato mero exercício das funções e da competência da RFB quando aplicada a este escopo.

Espera-se que a IN 1.888 seja uma medida que, em conjunto com outras normas, tenha o potencial significativo de aliar o combate aos crimes associados às operações com criptoativos, a justa arrecadação e a segurança jurídica de investidores. Para tanto, é essencial que não apenas a RFB, como também os órgãos reguladores (em especial, a CVM e o Banco Central) e, por que não, o Congresso, estejam abertos às considerações de participantes do mercado, no Brasil e no exterior, na publicação de novas normas sobre o tema.

Open banking no Brasil: Bacen publica comunicado, dando início à implementação do sistema

O Banco Central do Brasil publicou em 24.04.2019 o Comunicado 33.455, dando início à implantação do Open Banking – Sistema Financeiro Aberto. 

O que é Open Banking?

O Open Banking, referido pelo Banco Central do Brasil como Sistema Financeiro Aberto, é um sistema que permite que dados e serviços de clientes de instituições financeiras tradicionais sejam compartilhados com outras empresas por meio de API abertas. O compartilhamento pressupõe autorização do cliente – já que todo o sistema se baseia no princípio de que os dados bancários pertencem ao cliente.

Um exemplo no Brasil mais próximo ao conceito de compartilhamento de dados, um dos pilares do open banking, é o do aplicativo Guiabolso. Por meio do acesso aos extratos de contas bancárias e cartões de crédito de seus usuários, o app funciona como um guia financeiro, organizando e categorizando as transações, além de oferecer outras funcionalidades como monitoramento do CPF do usuário e possibilidade de contratação de crédito.

O Open Banking já é uma realidade no exterior

É fato que o Open Banking veio para ficar. Em recente painel promovido pela Capital Aberto e o BSH Law, constatamos ainda que a expectativa de fintechs, bancos tradicionais e especialistas em regulação é de que o Open Banking promoverá uma mudança mais profunda para população desbancarizada brasileira (em 2018, cerca de 60 milhões de brasileiro não possuíam conta em banco, segundo o IBGE). Espera-se que o Open Banking democratize principalmente o acesso a serviços de pagamento e linhas de crédito.

No exterior, o Open Banking já é uma realidade. A União Europeia, por exemplo, já adota uma série de normas que regulam a atividade (como a PSD2 – Payment Services Directive), tratando desde os protocolos mínimos de segurança a serem observados tanto por bancos como pelas aplicações OTT (como são conhecidos os aplicativos de open banking por serem “over the top”), até a questão da neutralidade no tratamento das OTTs pelas instituições financeiras e da responsabilidade pelo custo da aplicação e vazamento de dados.

O que se pode esperar no Brasil, a partir do Comunicado 33.455 do Bacen?

O Comunicado ressalta, logo em seu início, que a implementação do Open Banking “tem como objetivo aumentar a eficiência no mercado de crédito e de pagamentos no Brasil, mediante a promoção de ambiente de negócio mais inclusivo e competitivo, preservando a segurança do sistema financeiro e a proteção dos consumidores”. A discussão sobre a regulação para o Open Banking ganha contornos mais relevantes, também, em razão da LGPD – Lei Geral de Proteção de Dados, cuja entrada em vigor está prevista para agosto de 2020.

Espera-se que os atos normativos do Bacen sejam submetidos à consulta pública já no 2º semestre de 2019. O Comunicado menciona ainda iniciativas de autorregulação das instituições participantes (bancos, instituições de pagamento e demais instituições autorizadas a funcionar pelo Bacen) em relação a padronização tecnológica, processos operacionais e padrões e certificados de segurança.

Para os entusiastas do Open Banking que o enxergam como uma ferramenta essencial para democratizar os serviços financeiros e fomentar um ambiente de negócios mais competitivo e transparente, a regulação do Bacen será bem-vinda, sobretudo se não dificultar o acesso de novos players para fornecer o recurso.

 

Conselho Federal de Medicina aprova nova regulamentação para atendimento médico remoto

Nova resolução amplia permissões para atuação médica online.

A nova Resolução do Conselho Federal de Medicina (CFM), que será apresentada oficialmente no II Fórum de Telemedicina nesta semana em Brasília, autoriza novas modalidades de atendimento médico a distância. O texto avança em relação à normativa anterior sobre o tema e cria oito modalidades de interação médica online. Destacam-se aqui as principais alterações.

Consultas

A consulta a distância (chamada teleconsulta), pela regra, deverá ser precedida de uma consulta presencial entre o médico e o paciente. A exceção está no caso de pacientes que se encontrem em áreas geograficamente remotas, os quais poderão ser atendidos remotamente sem prévio encontro presencial, desde que existam as condições físicas e técnicas recomendadas e profissional de saúde no local. Porém, a norma não traz definição de quais seriam as áreas geograficamente remotas.

Cirurgias

A previsão relativa à telecirurgia trata da possibilidade de o paciente ser operado por meio de robôs controlados por médicos cirurgiões à distância. A norma traz, além da obrigação de haver um cirurgião da mesma especialidade junto ao paciente, uma preocupação técnica para evitar interferências no procedimento, como fornecimento de energia e internet e segurança contra ataques de terceiros (hackers).

Triagem

Também merece destaque a possibilidade da teletriagem, procedimento pelo qual um médico poderá avaliar sintomas e encaminhar o paciente corretamente ao especialista ou cuidado necessário. A ideia é evitar que o paciente se desloque entre diferentes profissionais até encontrar aquele capaz de tratá-lo.

Outros assuntos

Além dessas, foram regulados o telediagnóstico; a teleconferência de ato cirúrgico, que pode ocorrer mediante consentimento do paciente para fins educacionais; o telemonitoramento; a teleorientação; a teleinterconsulta – a consulta e auxílio entre médicos, que já era permitida – e a teleconsultoria. Para se utilizar de quaisquer dessas modalidades, as pessoas jurídicas deverão ter sede no Brasil e estarem inscritas no Conselho Regional de Medicina do estado onde estão sediadas, com a respectiva responsabilidade técnica de médico regularmente inscrito no mesmo Conselho.

A norma não se limitou a tratar dos tipos de atendimento a distância, mas trouxe obrigações no que tange à tecnologia utilizada e à segurança da informação. Segundo o texto, os dados e imagens dos pacientes só podem devem trafegar na internet com infraestrutura, gerenciamento de riscos e requisitos obrigatórios para assegurar o registro digital apropriado e seguro, obedecendo às normas atinentes a guarda, manuseio, integridade, veracidade, confidencialidade, privacidade e garantia do sigilo profissional das informações.

Relevância da medida

A presente resolução veio em momento importante para a área da saúde no Brasil, especialmente após a transição do Programa Mais Médicos e da dificuldade de alocar o número suficiente de profissionais em regiões remotas do País. Conforme justificativa do próprio órgão, a questão estava em discussão no Conselho há tempos e pretende preparar a classe médica brasileira para a inovação, especialmente quando o acesso à internet de qualidade estiver disponível em maior escala. A publicação da Lei de Proteção de Dados em 2018 também é mencionada como marco regulador importante por fornecer a base legal para o trânsito de dados sensíveis.

O próprio CFM vê a nova regulamentação como uma possibilidade de novos paradigmas para o atendimento médico no Brasil, não apenas no âmbito privado, como também no público. O objetivo é que, obedecendo às diretrizes estabelecidas, seja possível a implementação de novos modelos de negócios e de plataformas digitais de atendimento remoto.

 

MP nº 869/2018: criação da ANPD e outras alterações na LGPD

Histórico – LGPD. Em 14 de agosto de 2018, a Lei n.º 13.709 foi publicada no Brasil. Essa lei foi logo alcunhada de Lei Geral de Proteção de Dados – LGPD, e sua edição, amplamente celebrada. Contudo, a LGPD, isoladamente, não esgota a questão de proteção de dados.

Por conta disso, o texto da LGPD submetida à sanção presidencial previa a criação de uma Autoridade Nacional de Proteção de Dados (“ANPD”) para tratar dos detalhes associados com a lei. A criação da ANPD acabou sendo vetada no texto final da LGPD, sob a alegação de que havia um vício de iniciativa na criação de um órgão da administração pública pelo Congresso. Esse veto foi acompanhado de uma promessa de que seria editada uma norma que suprisse a lacuna criada. Essa promessa foi cumprida dia 27 de dezembro de 2018 com a edição da Medida Provisória n.º 869.

Assuntos tratados na MP. Apesar de ter sido prometido que a norma viria a tratar da criação da ANPD, e de fato tê-lo feito, a MP 869/18 também abordou outros assuntos relacionados com a LGPD. Tratou da figura do encarregado pelo processamento de dados, permitindo que empresas indiquem pessoas jurídicas para exercer essa função; alterou questões relacionadas com os dados de saúde, permitindo a comercialização desses dados em determinadas hipóteses; modificou previsões sobre a obrigatoriedade de revisão de perfil dos titulares dos dados, que agora pode ser feita por meio automatizado; ampliou significativamente a possibilidade de compartilhamento de dados pela Administração Pública com entidades privadas; e excluiu artigos da LGPD.

Além disso, a MP 869/18 também adiou o início da vigência da LGPD, de 16 de fevereiro de 2020 para 16 de agosto de 2020. Com isso, as empresas terão seis meses adicionais para se adequar à LGPD.

Porém, as regras para criação e estruturação da ANPD passaram a vigorar já no dia 28 de dezembro de 2018. A vigência quase imediata das regras relacionadas com a criação da ANPD se mostra acertada. Assim, essa autoridade poderá se estruturar e estar preparada para auxiliar empresas e indivíduos a se adequarem à LGPD antes de a lei começar a produzir outros efeitos.

ANPD. A Agência Nacional de Proteção de Dados Pessoais foi criada basicamente com a mesma estrutura pensada inicialmente, composta pelo Conselho Diretor, que passou de 3 para 5 membros, nomeados pelo Presidente da República; e pelo Conselho Nacional de Proteção de Dados Pessoais e da Privacidade – CNPDP. A estrutura regimental da ANPD ainda será definida por ato do Presidente da República. Até tal momento, a ANPD receberá apoio técnico e administrativo da Casa Civil para exercício de suas atividades. Apesar do aumento da estrutura da ANPD, a MP 869/18 determina que a criação da ANPD não deve acarretar aumento de despesa.

Status. Outra novidade foi a migração da ANPD, originalmente concebida como órgão integrante do Ministério da Justiça, para a estrutura da Presidência da República. Também foi alterada a previsão de que a ANPD seria uma autarquia especial, com independência administrativa, ausência de subordinação hierárquica e estabilidade de seus dirigentes. Foi mantida apenas a autonomia técnica no texto da Medida Provisória.

Na prática, as alterações impactam pouco na independência da ANPD. O maior risco enfrentado pela ANPD será no controle das suas receitas, que poderão sofrer cortes e restrições pela Presidência da República com base em controle orçamentário.

Competência. A maioria das atribuições da ANPD previstas na Medida Provisória encontra similaridade com o texto vetado da LGPD. A ANPD continuará com a tarefa de interpretar a LGPD, receber e averiguar solicitações dos titulares de dados sobre violações da LGPD, podendo requisitar informações aos controladores e operadores de dados pessoais e aplicar sanções em caso de violação das disposições legais. Além disso, ficará responsável por editar resoluções para regulação específica de matérias de proteção de dados, podendo realizar consultas públicas, oitiva de entidades ou órgãos da administração pública.

Apesar da migração da ANPD do Ministério da Justiça para a Presidência da República, há previsão de que a ANPD deverá articular sua atuação com o Sistema Nacional de Defesa do Consumidor (Senacon) do Ministério da Justiça e com outros órgãos e entidades com competências sancionatórias e normativas relacionadas ao tema de proteção de dados pessoais. A ANPD não deixará, contudo, de ser o órgão central de interpretação da LGPD e do estabelecimento de normas e diretrizes para a sua implementação.

Fiscalização do Poder Público. A MP ainda retirou algumas regras que importariam em maior controle da ANPD sobre o compartilhamento de dados pela Administração Pública, mas sem impor vedações dessas atividades. Na prática, a ANPD continuará sendo a responsável por fiscalizar e controlar o uso de dados pessoais, tanto por pessoas naturais quanto jurídicas, no âmbito privado ou público.

Sanções. A Medida Provisória ainda prevê que a aplicação das sanções previstas na LGPD compete exclusivamente à ANPD, prevalecendo a competência da ANPD sobre as competências correlatas de outras entidades ou órgãos da administração pública. Com isso, por mais que exista uma cooperação para fiscalizar a aplicação da LGPD, evita-se que ocorram punições reiteradas sobre a mesma situação. Assim, aqueles que eventualmente cometerem alguma infração terão certeza de que deverão tratar com a ANPD para solucionar a questão.

Ainda há uma incerteza. Em geral, a edição da MP 869/18 se mostra acertada, mas também gera o risco de questionamentos caso não venha a ser convertida em lei dentro do prazo regulamentar. Nesse caso, em não havendo a criação definitiva da ANPD, poderemos enfrentar nova alteração do início da vigência da LGPD. Ou, ainda, termos a vigência da LGPD sem uma autoridade que acompanhe essa norma, tornando a sua fiscalização inócua e seus efeitos interessantes majoritariamente para o campo dos estudos. Resta aguardar se a nova legislatura aprovará ou rejeitará a proposta da MP 869/18.

ICVM 555 e Criptoativos: enfim, algumas respostas.

A Superintendência de Relações com Investimentos Institucionais da Comissão de Valores Mobiliários se posicionou, em janeiro de 2018, pela proibição de aquisição direta de criptoativos pelos fundos de investimento regulados pelo órgão, desqualificando-os expressamente como ativos financeiros, nos termos da Instrução CVM 555. Este posicionamento gerou muitas incertezas quanto a outras modalidades de investimento oblíquas que não foram consideradas pela Superintendência.

Ao final de setembro, a fim de complementar a publicação anterior, a CVM divulgou novo Ofício Circular nº 11/2018/CVM/SIN em que prevê a possibilidade de aplicação indireta em criptoativos no exterior, como, por exemplo, mediante a aquisição de cotas de fundos estrangeiros que invistam nestes ativos – desde que admitidos e regulamentados naqueles mercados. Os limites de concentração para aplicações em ativos financeiros, estabelecidos na ICVM 555, não mudam para aplicação indireta em criptoativos no exterior – com mais flexibilidade de alocação para fundos destinados exclusivamente a investidores qualificados.

Respostas, sim, mas com alertas

Em razão da natureza própria dos criptoativos, a CVM alerta quanto aos seguintes riscos e cuidados, e que deverão ser objeto da devida vigilância dos gestores e administradores de fundos:

  • Destino da operação. Uma das principais inquietações apresentadas pelo órgão se refere à possibilidade de financiamento, direta ou indiretamente, de operações ilegais por meio do mercado de criptoativos – incluindo práticas de lavagem de dinheiro. Para o atendimento a esta e outras preocupações tangenciais, a CVM recomenda que esses investimentos sejam realizados por meio de exchanges que estejam submetidas, nessas jurisdições estrangeiras, à supervisão dos órgãos reguladores competentes para coibir tais práticas.
  • Risco de fraude. A CVM alerta sobre a importância de se verificar se o criptoativo não representa fraude ou pirâmide, exemplificando pontos importantes a serem avaliados pelo gestor:

(i)  se o software base é livre e de código fonte aberto ou fechado;

(ii) se a tecnologia é pública, transparente acessível e verificável por qualquer usuário;

(iii) se há arranjos que suscitem conflitos de interesse ou a concentração de poderes excessivos no emissor ou promotor do criptoativo, ou o uso de técnicas agressivas de venda;

(iv) a liquidez de negociação do criptoativo;

(v)  a natureza da rede, dos protocolos de consenso e validação e do software utilizado; ou

(vi)  o perfil do time de desenvolvedores, bem como seu grau de envolvimento com o projeto.

  • Criptoativos representativos. Caso os criptoativos representem outro ativo, direito ou contrato subjacente, será exigido do gestor a condução de due diligence especializada sobre o emissor – incluindo eventual necessidade de registro prévio caso seja verificado que tais ativos devem ser considerados valores mobiliários[1]. A CVM também destaca o papel vital a ser cumprido pelos auditores independentes contratados pelo fundo no cumprimento dessas auditorias.
  • Custódia. O Ofício Circular 11/2018 alerta ainda sobre a suscetibilidade de invasões e ataques por terceiros mal-intencionados às posições em custódia nos criptoativos, destacando, porém, que a operação por meio de plataformas reguladas é fator substancial à mitigação desses riscos.
  • Liquidez e precificação. A volatilidade inerente aos criptoativos e demais características específicas desse mercado fogem do escopo tradicional regulado pela Instrução CVM nº 555, e, portanto, deverão (i) receber tratamento especial nas políticas dos fundos, prevendo medidas para eventos singulares a criptoativos como forks e airdrops[2]; e (ii) divulgar preços em consonância com índices globalmente reconhecidos por terceiros independentes com base em negócios efetivamente realizados pelos seus investidores.

É provável que uma futura regulação brasileira se inspire em normas estrangeiras já testadas

As orientações apresentadas pelo Ofício Circular 11/2018 trazem avanços sobre a matéria e representam, neste primeiro momento, um importante experimento para investimentos em criptoativos no sistema nacional de distribuição de capitais. Trata-se, portanto, de primeiro passo essencial para adaptar o cenário normativo brasileiro às evoluções orgânicas do mercado.

Tal ensaio é extremamente oportuno frente às inovações tecnológicas que guiam as relações de comércio mundial e que não devem ser ignoradas. No entanto, as manifestações da CVM continuam tímidas e não abrangem todo o universo de possibilidades sobre a matéria.

A despeito do aparente esfriamento em relação ao ano passado, o ICORating aponta que foram levantados $11.690.981.663,00 só nos primeiros dois trimestres de 2018 no mercado internacional de ICOs (Initial Coin Offerings)[3] – aproximadamente 6,4 vezes maior do que nos primeiros dois trimestres de 2017[4]. O relatório mais recente da agência destaca que os melhores resultados foram obtidos por companhias registradas em Malta e Gibraltar – o que é atribuído à receptividade a projetos de blockchain e mudanças favoráveis na legislação promovidas pelas autoridades financeiras nestes países.

Sob a mesma escala e como já melhor explorado, a própria CVM nomeadamente tem a regulamentação estrangeira como principal norte na avaliação de segurança para investimentos indiretos nessa categoria de ativos. Isto é: embora a CVM se mostre reticente quanto à permissibilidade de investimentos diretos em criptoativos, recorre o órgão à regulamentação no exterior sobre o tópico para instruir os investimentos indiretos por fundos brasileiros.

Assim, fica demonstrada a necessidade da expedição de instrução normativa própria que disponha sobre estes investimentos, tanto diretos quanto indiretos, sendo ideal que eventual regulamentação brasileira viabilize a oferta pública inicial de criptoativos o quanto antes. E, em razão da essência dinâmica de sua negociação, a matéria deverá ser normatizada tendo como meta descomplicar e facilitar estas operações, propiciando o desenvolvimento do mercado doméstico de criptoativos. Afinal, o criptomercado é incontritamente disruptivo e continuará progredindo – com ou sem o Brasil.

[1] Lei 10303/2001, Art. 2º, IX – quando ofertados publicamente, quaisquer outros títulos ou contratos de investimento coletivo, que gerem direito de participação, de parceria ou de remuneração, inclusive resultante de prestação de serviços, cujos rendimentos advêm do esforço do empreendedor ou de terceiros.

[2] https://www.investopedia.com/tech/cryptocurrency-forks-vs-airdrops-whats-difference/ https://guiadobitcoin.com.br/nao-tenha-medo-do-fork-so-existe-um-bitcoin/

[3] ICOrating Quarterly Reports 2018:

https://icorating.com/reports/quarterly/

[4] ICOrating Annual Report 2017: https://icorating.com/pdf/1/1//mjL8hLbkOfPuJCo2KCKq6gPwZUYd72WZrGMSIeco.pdf

 

Sancionada a Lei Geral de Proteção de Dados Pessoais – veja o que foi vetado e o que isso significa na prática

Foi sancionada a Lei Geral de Proteção de Dados Pessoais – LGPD. O projeto de lei nº 53/2018 foi convertido na Lei nº 13.709 de 14 de agosto de 2018. A partir de agora, empresas e empresas públicas terão 18 meses para se adaptar aos novos padrões de proteção de dados pessoais.

Uma análise detalhada sobre o que a nova LGPD determina pode ser encontrada aqui. Nesse artigo, abordaremos o que foi vetado do PLC 53/2018 e não chegou a virar lei, bem como as implicações desses vetos. Os vetos podem ser divididos em três categorias (a) vetos de obrigações que seriam aplicáveis às pessoas jurídicas de direito público, limitando o compartilhamento de dados pessoais pelo Poder Público; (b) vetos de penalidades previstas na lei; e (c) vetos à criação da Autoridade Nacional de Proteção de Dados e do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade.

Mais flexibilidade para compartilhamento de dados pelo Poder Público. Foram vetados alguns dispositivos que proibiam o Poder Público de compartilhar dados no âmbito do Poder Público e com pessoas jurídicas de direito privado, ou que impunham severas restrições para que o Poder Público pudesse realizar esse compartilhamento. Com o veto, o Poder Público poderá compartilhar dados nos termos da LGPD, sem obrigatoriedade de previsão legal específica que o permita ou contrato, convênio ou instrumento similar que respalde essa transferência.

Ainda, foi vetada a obrigação do Poder Público dar publicidade sobre a comunicação ou uso compartilhado de dados pessoais entre órgãos e entidades de direito público. Com isso, o Poder Público poderá compartilhar dados de forma mais ampla, sem precisar informar ativamente sobre esse compartilhamento.

Vetadas algumas sanções. Foram vetadas algumas penalidades previstas no PLC 53/2018, e mantidas as situações que levam à dosimetria dessas sanções e que podem levar a uma pena mais severa ou mais branda. Foram excluídas as hipóteses de o infrator ser punido com a suspensão do funcionamento do banco de dados; com suspensão do exercício da atividade de tratamento; e com a proibição do exercício de atividades relacionadas com o tratamento. Dessa forma, somente serão bloqueados ou eliminados os dados específicos relacionados com a infração. Será necessário identificar e segregar esses dados do resto da base de dados do infrator e aguardar que todos os dados armazenados sejam comprometidos para que a atividade seja suspensa.

Autoridade Nacional de Proteção de Dados. A Presidência da República alegou vício de iniciativa com relação a criação da Autoridade Nacional de Proteção de Dados – ANPD e do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade. Afirmou que apenas o Poder Executivo poderia criar uma autoridade de fiscalização. A criação por lei de iniciativa do Poder Legislativo, portanto, violaria essa norma constitucional.

Alegando querer evitar maiores discussões sobre o tema da iniciativa e constitucionalidade da criação da ANPD, os artigos relacionados foram vetados sob a promessa de que a Presidência da República encaminhará um projeto de lei para criar autoridade semelhante à prevista no Projeto 53/2018 (ANPD). Se essa autoridade, ou outra empresa não for criada até a entrada em vigor da LGPD, alguns de seus dispositivos permanecerão sem regulamentação necessária. E mais: a fiscalização da aplicação da LGPD pode ficar prejudicada.

Todas as demais disposições da LGPD permaneceram no texto final. A partir de hoje, 15 de agosto de 2018, data da publicação da LGPD, começa a ser contado o prazo de dezoito meses para que empresas, públicas ou privadas, se adequem ao texto legal. Aqueles que não cumprirem os dispositivos legais estarão sujeitos a penalidades que irão desde advertência até multa que pode chegar a R$ 50.000.000,00 (cinquenta milhões de reais).

Os 15 principais pontos do Projeto da Lei Geral de Proteção de Dados Pessoais, aprovado nessa semana

Após aproximados 8 anos de debate sobre a proteção de dados pessoais no Brasil[1], o texto do Projeto de Lei nº 53/2018 (“PLC 53/2018”, também denominado Lei Geral de Proteção de Dados Pessoais, ou “LGPD”[2]), foi aprovado nessa semana pelo Senado e segue para sanção presidencial.

Recentemente, dois acontecimentos internacionais impulsionaram uma aceleração do processo de aprovação PLC 53/2018: o escândalo do uso de dados dos usuários do Facebook, envolvendo a Cambridge Analytica na campanha presidencial de Donald Trump (e o temor de que o mesmo aconteça no Brasil sem medidas protetivas); e a entrada em vigor da GDPR (sigla em inglês para Regulamentação Geral de Proteção de Dados da União Europeia), estabelecendo mais restrições para a transferência de dados de cidadãos europeus para quem não estiver em conformidade com a Regulamentação.

O PLC 53/2018, se sancionado, estabelecerá princípios gerais de proteção de dados pessoais, suprindo a ausência de tal norma no Brasil. Atualmente, existem apenas normas setoriais e esparsas tratando sobre o tema.

A legislação atual, como o Marco Civil da Internet, o Código de Defesa do Consumidor e a Lei de Acesso à informação, além de ser dispersa, também é insuficiente para regular a proteção de dados pessoais. A sanção do PLC 53/2018 afetará toda e qualquer empresa ou pessoa que colete e processe dados pessoais, sejam elas bancos, operadoras de planos de saúde, concessionárias de serviços públicos e demais entes da iniciativa privada, além de órgãos governamentais.

Principais inovações da LGPD

O PLC 53/2018, ao longo de seus 65 artigos trata de diversos aspectos sobre o uso, tratamento e proteção de dados pessoais, dos quais destacamos os seguintes:

1. Aplicação. A LGPD aplica-se ao tratamento de dados pessoais, inclusive nos meios digitais, por empresas privadas ou órgãos públicos, não se aplicando a pessoas naturais que realizem o tratamento de dados para fins exclusivamente pessoais.

2. Extraterritorialidade. A LGPD também é a aplicável a (a) tratamento de dados realizado no Brasil; (b) tratamento de dados para ofertar produtos ou serviços, ou relacionado com indivíduos localizados no Brasil; ou (c) dados que tenham sido coletados no Brasil (de pessoas localizadas no Brasil no momento da coleta). Tudo isso, independentemente do domicílio de quem está coletando e processando os dados.

3. Responsável, Operador e Encarregado. Foram definidas e diferenciadas as obrigações e responsabilidades de cada parte do processo de tratamento de dados pessoais. O Responsável determina como o tratamento de dados deve ocorrer. O Operador realiza o tratamento propriamente dito. O Encarregado será a pessoa responsável por receber e responder comunicações dos titulares dos dados e órgãos competentes, além de orientar os demais funcionários da empresa sobre as práticas para proteção de dados pessoais.

4. Categorias de dados. Foram definidos conceitos essenciais para os propósitos da LGPD, além de direitos e responsabilidades para o tratamento relacionado com cada categoria de dados: (a) dado pessoal, (b) dados sensíveis, e (c) dado anonimizado. Além disso, crianças e adolescentes gozam de proteção diferenciada.

5. Consentimento. A LGPD determina que o consentimento pelo titular dos dados deve ser informado e inequívoco para que uma empresa ou órgão público tenha acesso e possa usar um dado pessoal.

6. Exceções ao consentimento. Foram estabelecidas exceções ao consentimento, sendo as mais importantes o tratamento dos dados tornados manifestamente públicos pelo titular ou para atender legítimo interesse do Responsável.

7. Direitos do titular. Foram estabelecidos os direitos do titular dos dados. Além dos direitos de informação, acesso, correção e revogação do consentimento, existe o direito de requerer a portabilidade dos dados pessoais ou anonimização dos dados considerados excessivos à finalidade informada pelo Responsável.

8. Padrões de segurança. A Autoridade Nacional de Proteção de Dados (ANPD), criada pela LGPD, estabelecerá as medidas de segurança, técnicas e administrativas, necessárias para proteger os dados pessoais. Elas devem ser adotadas por todos os envolvidos com o tratamento dos dados pessoais.

9. Comunicação de incidentes. O Responsável deve comunicar à ANPD, em prazo razoável, os incidentes de segurança que possam acarretar risco ou dano relevante aos titulares dos dados pessoais.

10. Término do tratamento. O término do tratamento de dados pessoais deverá ocorrer (a) depois de atingida a finalidade da coleta do dado pessoal, (b) ao final do período de tratamento, (c) mediante recebimento de comunicação do titular, inclusive no exercício do seu direito de revogação do consentimento, ou (d) por determinação pelo órgão competente.

11. Transferência internacional de dados. Nos moldes do disposto em outras legislações semelhantes, a transferência internacional de dados somente será permitida para quem proporcione grau de proteção de dados pessoais adequado ao disposto na LGPD, o que pode ser feito, por exemplo, por (a) declaração da ANPD, (b) cláusulas contratuais, ou (c) obtenção de certificação de adoção de normas protetivas suficientes para garantir essa proteção aos dados pessoais.

12. Vazamento de dados; danos resultantes do tratamento. Há responsabilidade solidária entre os responsáveis diretamente envolvidos no tratamento. Além disso, caso o Operador descumpra as obrigações legais de proteção de dados ou as instruções lícitas do Responsável, o Operador responde solidariamente com o Responsável.

13. Penalidades. As penalidades variam desde (a) advertência, (b) multa simples ou diária, de até 2% do faturamento da pessoa ou conglomerado no Brasil no último exercício, limitada a cinquenta milhões de reais por infração, (c) publicização da ocorrência, (d) bloqueio de dados pessoais; (e) eliminação dos dados pessoais, (f) suspensão parcial ou total do funcionamento do banco de dados, (g) suspensão das atividades de tratamento de dados pessoais, ou (h) proibição do exercício de atividades relacionadas ao tratamento de dados.

14. Órgãos. São criados a Autoridade Nacional de Proteção de Dados, órgão competente para as definições e fiscalização definidas na lei, entidade integrante da administração pública federal indireta, submetido a regime autárquico especial e vinculado ao Ministério da Justiça, e um Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, com membros de órgãos públicos, privados e representantes civis.

15. Entrada em vigor. A lei passará a vigorar após 18 meses de sua publicação, para que haja tempo hábil para as empresas se adaptarem.

A nova legislação estabelece um prazo considerável para o atendimento das suas disposições. Ao mesmo tempo, estabelece severas punições para aqueles que não atendam às suas disposições. Assim, a recomendação é a de que as empresas iniciem o processo de adequação às novas normas o quanto antes após a sanção presidencial do PLC 53/2018.

Especificamente em relação a gestores de bancos de dados destinados à formação de histórico e score de crédito (sendo a Serasa e o SPC os mais conhecidos no País), o PLC 53/2018 não possui disposição que revogue expressamente dispositivos da lei específica aplicável a tais bancos de dados (Lei nº 12.414/2011, regulamentada pelo Decreto nº 7.829/2012).

 

[1] Em 2010 o Ministério da Justiça lançou uma consulta pública sobre proteção de dados pessoais, disponível em http://pensando.mj.gov.br/dadospessoais2011/justica-usa-blog-para-elaborar-lei-de-protecao-a-dados-pessoais/.

[2] Projeto 4060/2012 na Câmara dos Deputados.