No direito tributário brasileiro, a sigla Carf remete imediatamente ao Conselho Administrativo de Recursos Fiscais. Na agenda tributária internacional, essa mesma sigla identifica o Crypto-Asset Reporting Framework, padrão elaborado pela OCDE e pelo G20 para a coleta e o intercâmbio automático de informações fiscais sobre operações com criptoativos. [1]
A proposta responde a uma assimetria evidente. Enquanto contas bancárias e determinados ativos financeiros já se encontram submetidos ao Common Reporting Standard, parte expressiva das operações com criptoativos permaneceu fora dos mecanismos tradicionais de transparência. A mobilidade dos ativos digitais, a atuação transfronteiriça das plataformas e a possibilidade de autocustódia reduziram a eficácia de modelos baseados apenas na localização da instituição financeira.
O Carf procura fechar essa lacuna através dos prestadores de serviços de criptoativos que precisam identificar os usuários, verificar sua residência fiscal, registrar operações reportáveis e encaminhar tais informações à administração tributária competente, que retransmite os dados, em regra anualmente, às jurisdições de residência dos contribuintes.
O Brasil assinou o acordo multilateral de autoridades competentes relativo ao Carf em 21 de novembro de 2024, dias antes da plenária do Fórum Global em Assunção, e comprometeu-se a iniciar as primeiras trocas em 2027. [2] No plano interno, a Instrução Normativa RFB nº 2.291/2025 criou a Declaração de Criptoativos, a DeCripto, revogando as INs 1.888/2019 e 1.899/2019, e alinhando o dever de reporte brasileiro ao padrão internacional. As obrigações agregadas e anuais destinadas ao Carf, previstas no artigo 8º, e os procedimentos de diligência dos anexos produzem efeitos desde 1º de janeiro de 2026. O reporte mensal individualizado dos artigos 7º e 9º entrou em vigor em 1º de julho de 2026. [3]
A pergunta que ninguém enfrentou é até onde pode ir a circulação internacional desses dados sem esvaziar o direito fundamental à proteção de dados pessoais.
Da transparência fiscal à formação de perfis financeiros
A DeCripto não se limita a informar a existência de uma conta ou a posição consolidada de um investimento. A norma brasileira prevê duas camadas distintas de informação.
A primeira é doméstica e detalhada. Prestadores de serviços devem informar mensalmente operações individualizadas, com identificação dos usuários, tipo da operação, espécie e quantidade do criptoativo, valor em reais e taxas cobradas. Também há informações anuais sobre saldos em moeda fiduciária, saldos de criptoativos e custo de aquisição.
A segunda camada atende especificamente ao Carf. Nela, as informações são agregadas por usuário e por espécie de operação para fins de intercâmbio automático internacional. O fato de uma informação ser legitimamente coletada pela Receita Federal para fiscalização doméstica não significa que todo o conjunto de dados possa ser automaticamente transferido ao exterior, ao que a seleção dos campos intercambiados deve obedecer à finalidade própria do acordo internacional e ao princípio da necessidade.
O grau de detalhamento é expressivo, visto que além de nome, endereço, domicílio tributário, CPF ou CNPJ e número de identificação fiscal no exterior, os procedimentos de diligência podem alcançar data de nascimento de não residentes, jurisdições de residência tributária e pessoas físicas controladoras de determinadas entidades. A norma brasileira ainda estabelece que endereços de carteiras de remessa e recebimento somente serão exigidos mediante intimação no curso de procedimento fiscal, solução que revela uma opção relevante de minimização de dados.
Em conjunto, essas informações permitem reconstruir hábitos de investimento, volume patrimonial, frequência de negociação, exposição a moedas estrangeiras, relações entre pessoas e entidades e movimentações transfronteiriças. Não se trata, portanto, de simples dado cadastral, mas de traçar um perfil econômico e financeiro de alta sensibilidade prática, ainda que nem todo dado fiscal seja classificado pela LGPD como dado pessoal sensível em sentido estrito.
Autorização jurídica para intercambiar não elimina os limites
Esse intercâmbio internacional de informações está respaldado pelo artigo 199, parágrafo único do CTN, que permite à Fazenda Pública da União permutar informações com Estados estrangeiros, na forma estabelecida em tratados, acordos ou convênios, no interesse da arrecadação e da fiscalização dos tributos. [4] A LGPD, por sua vez, no artigo 33, admite transferência internacional decorrente de compromisso assumido em acordo de cooperação internacional e aquela necessária à execução de política pública ou de atribuição legal do serviço público. [5]
Ocorre que essas autorizações previstas em lei não podem funcionar como cláusula geral de livre circulação. Ao declarar constitucional a LC 105/2001, ADIs 2.386, 2.390, 2.397 e 2.859 e RE 601.314, Tema 225, julgados em fevereiro de 2016, o STF afirmou que o dado fiscal não deixa de ser protegido quando muda de mãos. Afirmou que não há quebra de sigilo, há sim a transferência de sigilo. No Tema 990, o STF admitiu o compartilhamento de dados fiscais e de relatórios de inteligência financeira com o Ministério Público sem prévia autorização judicial, mas o condicionou a preservação do sigilo e da vinculação da finalidade, com comunicações formais e procedimento definido.
Isso também está expressamente previsto na EC nº 115/2022 que elevou a proteção de dados pessoais à condição de direito fundamental. Por isso, a existência de um acordo tributário é condição necessária para a transferência, mas não suficiente para legitimar qualquer extensão, reutilização ou conservação de dados.
O sigilo fiscal também permanece aplicável, já que o intercâmbio não representa o desaparecimento do sigilo, mas a transferência do dever de confidencialidade para a autoridade destinatária. A informação deixa a esfera de uma administração tributária e ingressa em outra sem perder sua natureza protegida. Se a jurisdição receptora não assegurar restrições equivalentes de acesso, uso e divulgação, a própria legitimidade do fluxo fica comprometida.
Limites concretos do Carf
O primeiro limite é a finalidade. Dados obtidos para verificar o cumprimento de obrigações tributárias não podem ser reutilizados, de forma automática e indiscriminada, para objetivos incompatíveis de modo que o uso posterior em investigações não tributárias, inteligência econômica, controle migratório ou outras políticas públicas exige fundamento jurídico próprio, pertinência e controles específicos.
O segundo limite é a necessidade. A administração deve demonstrar que as categorias de dados transmitidas são adequadas e indispensáveis à identificação do contribuinte e à fiscalização da operação. A arquitetura brasileira reforça esse ponto ao separar o reporte doméstico individualizado do reporte anual agregado destinado ao Carf. O banco de dados interno da Receita não pode ser confundido com o pacote de informações autorizado para intercâmbio.
O terceiro limite é a qualidade dos dados. Erros na residência fiscal, na identificação de pessoas controladoras ou na atribuição de operações podem produzir alertas e fiscalizações simultâneas em mais de uma jurisdição. Por isso, o sistema deve assegurar mecanismos efetivos de retificação, rastreabilidade da origem da informação e comunicação da correção às autoridades que receberam o dado inexato.
O quarto limite é a segurança. Informações fiscais sobre criptoativos são especialmente atrativas para fraudes, extorsões e ataques direcionados. A conformidade exige criptografia, segregação de acessos, autenticação robusta, registros de consulta, testes periódicos, planos de resposta a incidentes e regras objetivas de retenção e eliminação. A mera utilização de um arquivo padronizado de transmissão não assegura, por si só, proteção adequada durante todo o ciclo de vida do dado.
O quinto limite é a transparência institucional. O artigo 23 da LGPD exige que o poder público informe as hipóteses em que realiza o tratamento de dados. Isso não significa tornar públicos dados fiscais individualizados, mas sim, explicar, de modo acessível, quais categorias são coletadas, quais são enviadas ao exterior, para quais finalidades, por quanto tempo são conservadas, quais autoridades podem acessá-las e quais canais estão disponíveis para o exercício de direitos.
A transparência sobre o sistema é, nesse caso, condição para preservar o sigilo das pessoas.
Agenda de governança para o Brasil
A implementação do Carf deveria ser acompanhada de uma governança conjunta entre Receita Federal e Autoridade Nacional de Proteção de Dados. Embora as competências institucionais sejam distintas, o fluxo combina fiscalização tributária, tratamento massivo de dados, transferência internacional e riscos elevados aos titulares.
Essa governança deve incluir avaliação de impacto à proteção de dados, documentação das bases legais, inventário dos campos efetivamente intercambiados, critérios de retenção, protocolos de resposta a incidentes e auditoria periódica das relações de troca ativadas com cada jurisdição.
A Resolução CD/ANPD nº 19/2024, ao regulamentar transferências internacionais, reforça que a operação internacional deve estar apoiada simultaneamente em uma hipótese legal de tratamento e em um mecanismo válido de transferência. [6] Nos fluxos estatais decorrentes de acordo internacional, essa lógica permanece útil: o instrumento jurídico autoriza a circulação, mas os princípios da finalidade, adequação, necessidade, segurança, prevenção e responsabilização continuam incidindo sobre o tratamento.
Também é recomendável que o contribuinte tenha acesso a um procedimento claro para conhecer a origem de inconsistências cadastrais, corrigir informações e impedir a replicação internacional de erros. Proteção de dados não significa criar uma zona de opacidade para patrimônios digitais. Significa assegurar que o poder informacional do Estado seja exercido com precisão, controle e possibilidade de revisão.
Transparência fiscal e proteção de dados não são valores incompatíveis. Ao contrário, a confiança no intercâmbio automático depende da percepção de que as informações serão utilizadas apenas para fins legítimos, por autoridades competentes e sob salvaguardas verificáveis.
O Carf pode reduzir espaços de evasão e aproximar a fiscalização dos criptoativos daquela já existente para ativos financeiros tradicionais. Mas sua legitimidade não será medida apenas pela quantidade de dados coletados ou pelo número de jurisdições conectadas, será medida, sobretudo, pela capacidade de responder a cinco perguntas: quais dados são necessários, para qual finalidade, por quanto tempo, com quem serão compartilhados e sob quais controles.
_________________________________________
Notas e fontes
[1] OCDE, International Standards for Automatic Exchange of Information in Tax Matters: Crypto-Asset Reporting Framework and 2023 update to the Common Reporting Standard. Fonte oficial
[2] OCDE, lista de signatários do CARF MCAA, e Global Forum, compromissos de implementação atualizados em 23 de junho de 2026. Fonte oficial
[3] BRASIL. Receita Federal. Instrução Normativa RFB nº 2.291, de 14 de novembro de 2025. Fonte oficial
[4] BRASIL. Código Tributário Nacional, artigos 198 e 199; Receita Federal, orientação sobre sigilo fiscal e suas exceções. Fonte oficial
[5] BRASIL. Lei nº 13.709/2018, especialmente artigos 23 e 33; Emenda Constitucional nº 115/2022. Fonte oficial
[6] ANPD. Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que regulamenta a transferência internacional de dados pessoais. Fonte oficial
Seja o primeiro a comentar.
Você precisa estar logado para enviar um comentário.
Fazer login