Por que a LGPD ainda não chegou à sua embalagem dos Correios

Sempre que uma encomenda chega, abro a caixa, tiro o produto e, antes de jogar a embalagem fora, recorto a etiqueta e a Danfe onde aparecem meu nome, endereço e CPF. Por fim, recorto os dois papéis em vários pedaços e descarto em lixeiras separadas. Parece trabalhoso, mas é um daqueles hábitos que a gente adota por mero desencargo de consciência, apenas porque parece mais prudente do que não fazer nada. E, às vezes, dependendo do material da embalagem, a tarefa exige uma dose de paciência que eu já não tenho naquele dia. Isso quando a tesoura resolve colaborar.

Só recentemente descobri que esse desconforto deu origem a um nicho específico de mercado, onde vendem-se fitas, adesivos e carimbos destinados a ocultar informações pessoais impressas em embalagens… em outras palavras, comercializam-se ferramentas para remediar um problema produzido por quem decidiu expor aqueles dados.

Em março deste ano, o Mercado Livre promoveu a campanha “Raspe seus Dados” e incentivou os consumidores a apagar as próprias informações antes de descartar as embalagens em troca de um cupom de desconto. Não duvido da boa intenção, que foi inteligente. O que me incomoda é essa lógica subjacente, segundo a qual cabe ao titular neutralizar um risco produzido por toda a cadeia anterior. Cabe a ele mesmo?

Vamos relembrar porque o CPF está ali. Na maioria dos casos, o que vem colado na caixa é o Danfe Simplificado na modalidade etiqueta, formato criado em 2020 para o comércio eletrônico. Os padrões técnicos constam da Nota Técnica 2020.004 da NF-e, editada com base no §5º-A da cláusula nona do Ajuste Sinief 07/05, e entre os campos que devem estar visíveis e impressos estão os dados do destinatário: nome ou razão social, sigla da UF, CNPJ ou CPF e inscrição estadual, quando existir. Não há exatamente um erro a apontar, tampouco postura desleixada do lojista. A exposição decorre do cumprimento de uma obrigação acessória tributária, fundamento suficiente para enquadrar o tratamento no artigo 7º, II, da LGPD e afastar, ao menos juridicamente, a controvérsia.

Alguém já tentou fazer essa conversa avançar, e por duas vezes

Na Resposta à Consulta nº 23208/2021, uma varejista de disse que a afixação da etiqueta prevista na Nota Técnica 2020.004 na parte externa da embalagem deixaria nome e CPF do destinatário visíveis durante todo o percurso entre o emitente e o local de entrega, o que, no seu entender, poderia colocá-la em desacordo com a LGPD. Meses depois, na Resposta à Consulta nº 24712/2021, uma editora e livraria repetiu o pleito invocando a LGPD e a Portaria RFB nº 4.255/2020, que revogou a autorização de acesso de terceiros aos dados da NF-e a partir de dezembro de 2020, para sustentar que a informação completa já estava reservada a quem tem autorização para consultar o XML.

Nos dois casos a Consultoria Tributária da Secretaria da Fazenda de São Paulo respondeu que os campos de dados do destinatário são obrigatórios e que o Danfe deve refletir o conteúdo do arquivo eletrônico da nota, na forma do artigo 14, V, da Portaria CAT 162/2008, de modo que o emitente não pode imprimir na etiqueta conteúdo diverso do que consta no XML. Ocorre que, nas duas respostas, a Consultoria concluiu que o Danfe pode acompanhar a mercadoria dentro da embalagem, porque não há exigência legal de afixação externa, ressalvada a hipótese de a fiscalização pedir a abertura do pacote… e só.

Todo esse impasse seria compreensível se o formato da etiqueta fosse imutável, o que não é o caso e nem faria sentido se fosse. O Ajuste Sinief 07/05, mencionado anteriormente, foi alterado para permitir a supressão do valor total da nota no Danfe Simplificado na modalidade etiqueta, mudança que passou a valer em julho de 2022 (cláusula nona, § 15-A). Ou seja, quando se decidiu que um determinado dado não precisava mais ser lido por quem cruza o caminho da encomenda, bastaram um parágrafo novo e uma revisão de layout. Vale registrar também que o dado exposto na etiqueta é o do destinatário, não o do remetente.

Quando os Correios passaram a exigir CPF ou CNPJ de quem posta encomendas nacionais, a estatal informou que esses dados não seriam expostos nas etiquetas, ficando restritos aos sistemas de atendimento, em conformidade com a LGPD. Vê-se, portanto, que não faltam instrumentos para a mudança, e sim a decisão de fazer pelo consumidor o que já se faz em outros contextos.

Daí a pergunta que dá título à minha irritação. A LGPD serve para quê, se o princípio da necessidade do artigo 6º, III, que manda limitar o tratamento ao mínimo pertinente e não excessivo, para diante de uma nota técnica que exige a impressão de um identificador fiscal em papel adesivo destinado ao lixo? Serve para quê a segurança do artigo 6º, VII, e o dever de adotar medidas técnicas e administrativas de proteção do artigo 46, se a medida mais elementar de todas, o mascaramento parcial de um número que já viaja íntegro no XML e no código de barras, é tratada como impossibilidade regulatória? A rigor, a etiqueta precisa permitir que o transportador entregue e que o fiscal identifique a operação, e ambas as funções sobrevivem com o CPF parcialmente oculto, no padrão que a indústria de meios de pagamento adota há décadas.

O que o caso escancara é mais um dos nossos problemas de coordenação institucional. O controlador diz que cumpre o Confaz, o Confaz não responde a titulares de dados, e a ANPD, que tem competência para editar normas e para se articular com outros órgãos reguladores, ainda não puxou esse fio em conjunto com as administrações tributárias, ao menos até onde alcança minha pesquisa. Enquanto isso, transfere-se ao consumidor a tarefa de mitigar o risco, com instrumentos comprados por ele mesmo.

A solução é tão simples que torna o problema ainda mais desconfortável. Uma simples alteração normativa autorizando o mascaramento do CPF na etiqueta física preservaria a finalidade fiscal sem expor dados pessoais desnecessariamente! Em vez dela, temos tesouras.