Fontes do software para declaração do IR são considerados sigilosos!

[Felipe Sanches]

Gente,
Vejam abaixo a resposta ao pedido do código fonte por meio da Lei de Acesso.

Juca

---------- Forwarded message ----------
From: Jorge Machado <mac...@usp.br>
Date: 2012/6/12
Subject: [G-POPAI] Fontes do software para declaração do IR são considerados sigilosos!
To: gpo...@lists.riseup.net

Opa, olha a resposta, Felipe!

Não foi indicada a razão do sigilo, nem o prazo. Não vejo nenhuma razão aceitável entre aquelas que constam no art. 23 que poderiam justificar a ação.

Vou entrar com recurso.

Abraços,

Jorge


-------- Mensagem original --------

Assunto:	[Sistema Acesso a Informação] - Pedido Respondido
Data:	12 Jun 2012 16:40:23 -0300
De:	suporte.s...@cgu.gov.br
Para:	mac...@sociologia.de

Prezado(a) Senhor(a),

Seu pedido de acesso à informação foi analisado e teve resposta na data de 12/06/2012, cujo teor segue transcrito abaixo.

Dados do pedido


Protocolo: 16853.006416/2012-82
Solicitante: Jorge Alberto Silva Machado
Prazo de Atendimento: 12/06/2012 23:59:00
Tipo de resposta: Correspondência eletrônica (e-mail)
Descrição da solicitação: Nos termos da Lei de Acesso à Informação Nº 12.527, De 18 de novembro de 2011, solicito o código fonte dos softwares necessários para declaração de imposto de renda. Lembro que o "Art. 4o Para os efeitos desta Lei, considera-se: I - informação: dados, processados ou não, que podem ser utilizados para produção e transmissão de conhecimento, contidos em qualquer meio, suporte ou formato;" Grato pela atenção, aguardo encaminhamento. Jorge Machado

Resposta
Prezado Sr. Jorge Alberto, de acordo com a área responsável, os dados solicitados não podem ser prestados porque são classificados como sigilosos, em conformidade com o disposto nos art. 23 e 24 da Lei nº 12.527, de 2011. De acordo com o art 19, do Decreto nº 7724/2012, o requerente poderá interpor recurso no prazo de 10 dias a contar da ciência da resposta, por meio do Sistema e-Sic (www.acessoainformacao/sistema) ou no Protocolo SIC do Ministério da Fazenda localizado no Edifício Órgãos Centrais – SAS Quadra 6, Bloco O – Brasília/DF. O recurso será encaminhado para a autoridade competente para o seu julgamento, no caso, ao Secretário da Receita Federal.





Importante: no caso de indeferimento de acesso a informação, poderá ser interposto recurso através do sistema no prazo de 10 (dez) dias, conforme disposto no parágrafo único do art. 15 da Lei nº 12.527/2011.

Visite o sítio para obter maiores informações.

Agradecemos o contato!

http://www.gpopai.usp.br

[Daniela B. Silva]

Poutz.

Olha as brigas boas aparecendo aí...

2012/6/12 Felipe Sanches <ju...@members.fsf.org>

--
Você recebeu esta mensagem porque está cadastrado no grupo "Transparência Hacker"
Para enviar uma mensagem a todo o grupo, escreva para thac...@googlegroups.com
Para não receber mais mensagens, envie um email para thackday+u...@googlegroups.com
Para mais informações, ou para ler mensagens arquivadas deste grupo, visite http://groups.google.com/group/thackday?hl=pt-BR

[Pedro Markun]

opa,

cai dentro sanches!

abs,
pedro markun

2012/6/12 Felipe Sanches <ju...@members.fsf.org>

[Evandro Oliveira]

é a famosa tática de segurança por obscurantismo

Quem não quer mostrar o que faz diz que é por segurança que não mostra o codigo.

Será que se mostrar todo mundo vai saber como é fácil fraudar alguma coisa

nos programas e dados? Será que vai ficar fácil colocar programas hostis

dentro da RFB ao enviarmos formulários...

Não sei se a briga é boa para a sociedade, existem brigas "melhores", mas

em todo caso, esconder o fonte e meio esquisito.

[Tiago Cardieri]

pqp. acabei de perceber uma traquinagem das boas.

"Artigo 15 No caso de indeferimento de acesso a informações ou às razões da negativa do acesso, poderá o interessado interpor recurso contra a decisão no prazo de 10 (dez) dias a contar da sua ciência.

Parágrafo único O recurso será dirigido à autoridade hierarquicamente superior à que exarou a decisão impugnada, que deverá se manifestar no prazo de 5 (cinco) dias."

Pela lei, só vai externalizar o recurso (sair do órgão requerido) qd tiverem sido esgotadas (exaurido) as possibilidade de recursos internos. Você tem que recorrer à autoridade superior. Se eles colocarem os órgãos de comunicação na classe mais baixa da hierarquia do órgão, vai ser um trololo de dar ferro.

Na prefeitura de sp, p.e., são 8 INSTÂNCIAS ADMINISTRATIVAS antes de chegar ao prefeito.

É claro que vc sempre pode impetrar mandado de segurança no judiciário, mas se tem previsão de recurso na lei - e o judiciário não vai querer um monte de processo caindo no colo de graça - são grandes as chances do juiz/desembargador/ministro argumentar necessidade de exaurir internamente antes de acionar o judiciário. 

No máximo, um mandado de segurança preventivo, se for apontado "perigo na demora" (periculum in mora) e "aparência de haver direito de acesso à informação" (fumu boni iuris).

E o prazo corre tanto pro requerente qt requerido. Ou seja, qm pediu a informação terá que acompanhar os prazos de pedido de recurso. 10 dias da negativa. Se for como na prefeitura de sp, terá que acompanhar 8 prazos subsequentes!

Com esse dispositivo, a lei condiciona o pedido de acesso à estrutura processual-administrativa do órgão, que pode acabar como é hj (tanto administrativo quanto judiciário): vencer pelo cansaço e pela preclusão (qd o peticionário perde o prazo).

Rola acrescentar alertas desses prazos recursais no QueremosSaber?

Abs,

Tiago Cardieri

[Edson Sales Junior]

Felipe, estou imaginando uma situação. Se tentarem, e acho que se deve tentar, interpor recurso, a Receita deve usar a obrigatoriedade de interpor recursos administrativos, depois, justificar a recusa em prestar a informação usando os itens do art. 23 e 24 (conforme consta na justificativa), e eu destaco alguns itens abaixo:

 

Art. 23

 

IV - oferecer elevado risco à estabilidade financeira, econômica ou monetária do País; 

VI - prejudicar ou causar risco a projetos de pesquisa e desenvolvimento científico ou tecnológico, assim como a sistemas, bens, instalações ou áreas de interesse estratégico nacional; (os grifos são meus)

 

Para os dois itens acima vale salientar que eu não conheço o fonte  e sua vulnerabilidades, mas que pode trazer algum risco abrir um código que não foi feito para ser aberto isto pode e não é difícil provar.

 

Art. 24

 

III - reservada: 5 (cinco) anos. 

 

Estou imaginando que classifiquem a informação com o mínimo, que é reservada, bom, daqui 5 anos eles terão que fornecer o código fonte do atual programa utilizado, que foi objeto da solicitação, e que muito provavelmente nem será o mesmo, ou seja, a informação liberada será inútil.

 

Resumindo, acho que a briga vale apenas como teste da lei, mas que vai ser difícil de ganhar isso vai, e com certeza o palco será o judiciário. Se realmente existir a necessidade da informação e tempo disponível da parte dos interessados eu vou acompanhar com interesse.

 

Abs,

 

Edson Sales Junior

--

[Leandro Salvador]

Nessa linha dos cinco anos... então o IRPF 2007 já dá, né? :)

Dica pra quem quiser fazer pedidos bacanas: existe um recurso, pra não dizer "subterfúgio", que permite pagar salários astronômicos (literalmente sem teto, sem qualquer limite!) para pessoas que trabalham para a administração pública. Para isso, basta contratar uma pessoa por meio da administração pública indireta (empresas públicas, autarquias, fundações, etc.) e alocá-la na administração pública direta (ministérios, secretarias, etc.).

#fikadika! ;)

[Jorge Machado]

Discordo da avaliação. No caso do software do IR o recurso agora vai direto para o Secretário da Receita Federal, como eles indicaram na resposta. Para classificar como reservado (o mais baixo, 5 anos) a lei estabelece que deve ser funcionário do grau de "direção, comando ou chefia" (art. 27, inciso 3).

Em todo caso, vamos continuar observando as respostas que começam a chegar.

abraços,
Jorge

Em 12-06-2012 18:52, Felipe Sanches escreveu: Jorge e pessoal do GPOPAI,

Informações interessantes sobre a Lei de Acesso e o código fonte dos softwares de declaração de IR... leiam abaixo!

Juca

Abs,

Tiago Cardieri

Poutz.

2012/6/12 Felipe Sanches <ju...@members.fsf.org>

Gente,

[Alexandre Oliva]

On Jun 12, 2012, "Daniela B. Silva" <daniel...@gmail.com> wrote:

> Olha as brigas boas aparecendo aí...

É, essa vai ser legal. Já pedi pro RMS levar esse problema aos
legisladores que vai encontrar amanhã. Enquanto isso, o meu pedido, que
era pra ter sido respondido até segunda-feira, continua tramitando. Vai
ver é porque eu não pedi só o código fonte. Olha só:

] Em 09/DEZ/2008, às 14h34, registrei na Delegacia da Receita Federal de
] Campinas, sob protocolo Nº012442, a seguinte solicitação, jamais
] atendida, pelo que a reitero, com suporte adicional da Lei de Acesso à
] Informação.

] * Documentação completa sobre os formatos de arquivo de declarações
] fiscais quaisquer regulamentados pela Receita Federal do Brasil,
] suficiente para (i) a verificação dos dados transmitidos e (ii) o
] desenvolvimento de programas geradores de declaração alternativos aos
] oferecidos pela Receita Federal do Brasil, dentre elas as de Imposto
] de Renda de Pessoa Física para os exercícios 2009 (conforme programa
] de testes já disponibilizado) e os dois anos anteriores.

] * Código fonte e documentação de todos os programas geradores de
] declarações fiscais quaisquer oferecidos pela Receita Federal do
] Brasil, de titularidade da União, desenvolvidos pelo Serviço Federal
] de Processamento de Dados, SERPRO ou terceiros.

] A solicitação ainda apresentava justificativas e outras bases legais
] para sustentar a disponibilização da informação, que tomo a liberdade
] de omitir, já que a nova lei explicitamente dispensa tal necessidade.

] Aproveito ainda para estender a solicitação aos programas mais
] recentes que os citados na solicitação de 2008, bem como ao
] ReceitaNET.

] Aguardo publicação dos códigos fontes e documentações no prazo
] estabelecido na nova lei, aceitando que seja contado a partir do
] início da vigência da nova lei, quando dei entrada desde pedido junto
] à Ouvidoria do Ministério da Fazenda, com Número da Mensagem 521492.

É uma vergonha esses programas não serem públicados, por várias razões:

- é desenvolvido com dinheiro público para (supostamente) fazer nada
mais que implementar o que está na lei

- se implementa só o que está na lei, não cabe sigilo; se implementa,
regula, define ou detalha algo mais, é adendo à lei, e portanto
*precisa* ser público, como qualquer lei

- Instruções Normativas da SLTI estabelecem que o software contratado
pela administração pública *deve* ser publicado no Portal do Software
Público, como Software Livre

- a constituição federal e a antiga lei da transparência já exigiam a
publicidade desse bem público, sem que o código pudesse se enquadrar em
qualquer justificativa plausível para exclusão

- a nova lei de acesso à informação, que vai além estabelecendo prazos e
punições, também não dá margem à justificativa

Enquanto isso, juízes ignorantes de informática seguem o mito do sigilo
como condição necessária para segurança e rejeitam recurso
http://web.trf3.jus.br/diario/Consulta/VisualizarDocumentosProcesso?numerosProcesso=200861050124092&data=2012-05-24

(preservo contexto integral abaixo, para ciência de meu advogado)

--
Alexandre Oliva, freedom fighter http://FSFLA.org/~lxoliva/
You must be the change you wish to see in the world. -- Gandhi
Be Free! -- http://FSFLA.org/ FSF Latin America board member
Free Software Evangelist Red Hat Brazil Compiler Engineer

[Tulio Macedo]

Só incluindo uma decisão q tem relação com isso:

http://www.conjur.com.br/2012-jun-12/conviccoes-pessoais-nao-desobrigam-cumprimento-lei-decide-trf

[Daniela B. Silva]

(Convicção pessoal não desobriga cumprimento da lei = me parece uma grande obviedade em forma de manchete.)

Maaaas... não é o caso, né? Você não querer ser obrigado a usar um determinado produto no seu computador não é convicção pessoal, tem a ver com a liberdade de escolha do indivíduo. Não?

Que doido.

2012/6/13 Tulio Macedo <tuli...@gmail.com>

[Leandro Salvador]

Hehehe, boa questão... quando li a manchete, pensei que era direcionada ao Juiz, não ao contribuinte... ;)

[Tulio Macedo]

Na verdade ñ é bem assim, a liberdade nesse caso seria como usar o formulário em papel. Existe um formulário e vc resolve ñ preencher e usar um seu, feito por vc. Ñ seria aceito e essa é somente a versão digital da questão.

O q tem de haver de uma forma ou de outra (e ñ tinha até pouco tempo) é multiplataforma. O gov fornece o programa, mas ñ fornece o SO, ñ pode esperar q eu tenha o SO q ele prefere. Aí sim, por convicção pessoal, poderia exigir ñ ter de usar o SO proposto pelo gov.

A abertura do cód seria razoável por questão de auditoria, pra saber se existe segurança por exemplo (hj tem de confiar na palavra da receita).

Mas a discussão vai continuar e a solicitação de informações está gerando uma massa crítica q é ótima pra espantar ideias velhas. Alguns projetos pra gestão de informação usando GED/ECM estão ganhando força pq ñ haverá como atender a demanda sem se organizar. É bom q isso continue.

[Klederson Bueno]

Concordo com o ponto de vista do Tulio, ao meu ver o que roda (principalmente do lado dos servidores) é de caráter sigiloso... TALVEZ para evitar o problema da segurança e padronização a Receita pudesse oferecer uma API ( de preferencia REST pq SOAP ja devia estar morto rs ) aí sim, a documentacao desta API faria sentido no pedido e quem quisesse desenvolver sua solução em cima dela o fizesse ( assim como é feito com as NFE/NFSE ).

O codigo fonte em si não faz sentido pois pode conter endereços, senhas ( o.O sim ... n duvido nada ) e outros dados não "compliance".

Abs

--
/**
 * PHP Architect/Consultant
 * @author Klederson Bueno <klederson [at] klederson [dot] com>
 * @see http://www.phpburn.com
 * @see http://github.com/klederson
 * @see http://www.twitter.com/klederson

 * @about http://about.me/klederson
 */

2012/6/13 Tulio Macedo <tuli...@gmail.com>

[Eduardo Santos]

Oliva,

Se servir de subsídio pra você entrei com um recurso no TCU e obtive resposta. Dê uma olhada: http://www.eduardosan.com/2012/05/30/a-verdadeira-defesa-do-software-livre/

Atente-se à resposta do procurador que, na visão dele, a data da contratação definia que a IN 04/2010 não se aplicava. Não será o caso do IRPF, mas é bom tomar cuidado com essa questão das datas.

Outra dica: de acordo com o auditor do TCU uma IN não obriga ninguém a fazer nada. Talvez terá mais sucesso se utilizar leis e decretos.

Boa sorte e avise do resultado!

Em 13 de junho de 2012 02:37, Alexandre Oliva <lxo...@fsfla.org> escreveu:

--
Eduardo Santos
Analista de Sistemas

http://www.eduardosan.com
http://twitter.com/eduardosan

[Evandro Oliveira]

Leandro,

Acho sua teoria sobre "contratação sem limites" furadérrima... 

A CGU te prova em dois milésimos de segundos.

Todos os mêses, TODOS os CPFs que, somados, superam

o teto constitucional no Executivo Federal são analisados e

verificadas as legalidades de verbas e proventos. Acho que

quem te deu a Informação tá muito mal informado.

Um cara contratado pela administração Indireta ou de outra

esfera (municipio ou estado) tem que fazer diversas opções.

Mas, em todo caso, se vc conhece casos reais, denuncie na

CGU que eles vão atrás na hora.

Evandro Oliveira

[Alberto Fabiano]

2012/6/13 Evandro Oliveira <pyx...@gmail.com>

é a famosa tática de segurança por obscurantismo

Quem não quer mostrar o que faz diz que é por segurança que não mostra o codigo.

Será que se mostrar todo mundo vai saber como é fácil fraudar alguma coisa

nos programas e dados? Será que vai ficar fácil colocar programas hostis

dentro da RFB ao enviarmos formulários...

Minha experiência diz que sim! Falhas de segurança por design são algumas das mais comuns, acontecem desde em CPUs de microcontroladores até em RTOS de sistema de alta-criticidade. Assim em softwares que lidam com dados sensíveis, como é caso do RFB.

 

Não sei se a briga é boa para a sociedade, existem brigas "melhores", mas

em todo caso, esconder o fonte e meio esquisito.

Também tenho minhas dúvidas sobre os benefícios, mas entendo que há estratégias de ação.

Sou do partido que toda vulnerabilidade e bug deve ser corrigido, assim como toda ameaça tem que se combatida; porém sempre o mais silenciosamente possível. Afinal, aqueles que estão do "lado negro da força" ficam o tempo toda a espreita e aguardando estes super bem intencionados alertas de segurança, só para identificar aquilo que é mais interessante para eles para usar como vetor de ataque. 

Enfim, combate "cerrado" com transparência limitada. A propósito, este é o espírito do "Responsible Disclosure", que é altamente praticado hoje em dia:  https://en.wikipedia.org/wiki/Responsible_disclosure

O "full disclosure" é danoso para a sociedade... é uma coisa muito triste, porém é uma dura realidade.

Hoje em dia, sempre que uma vulnerabilidade crítica é divulgada em modo "full disclosure", em poucas dias há um malware, no Brasil normalmente um trojan banker, explorando o vetor. É algo triste, mas é a realidade, infelizmente.

--

Alberto Fabiano C. de Medeiros 
alb...@computer.org
PGP Key ID: 232D3D06
- .... .  -... . ... -  .-- .- -.--  - ---  .--. .-. . -.. .. -.-. -- .... .  ..-. ..- - ..- .-. .  .. ...  - --  .. -. ...- . -. -  .. -    .- .-.. .- -.  -.- .- -.--

k'bɪt Y> "The best way to predict the future is to invent it." --Alan Kay
k'bɪt X> "Chance favors the prepared mind."   --Louis Pasteur
k'bɪt Z> "The world is full of fascinating problems waiting to be solved" --Eric S.Raymond

[Edson Sales Junior]

Eduardo, fiquei de boca aberta com o caso da PF relatado por você no link do seu blog. Nessas horas que eu acho que trabalho em um oásis do serviço público.

 

Pessoal, só para deixar claro, eu disse de coração que espero que essa batalha seja ganha, pois isto significa que praticamente todo o software do serviço público seria livre. Ainda não acredito que o código será liberado enquanto estiver em uso, por questões de segurança, mas nada impede que em virtude destes questionamento a plataforma evolua permitindo o acesso ao código e melhores formas de integração com sistemas da Receita.

 

Edson Sales Junior

[Tiago Cardieri]

Boa Jorge! Não tinha me atentado a esse dispositivo…

Mas ainda assim:

- esse artigo é para "âmbito da administração pública federal" (presumo direcionamento para arquivos da ditadura militar)

- o dispositivo fala de "classificação", que é de direito material (conteúdo), não processual (que esta em dispositivo específico), como o recurso. 

- a lei trata de direito de informação e, quanto a atribuição, competência e instituição de órgãos, ela só trata de criação de secretaria especializada para "receber e prestar informação", não de trâmite processual-administrativo para garantia do direito tratado. Quanto a isso, ela: 

1) delega esse processo a estrutura interna de cada órgão (quando fala de órgão hierarquicamente superior, que entra na seara processual-administrativa de cada órgão). 

2) cria sim "processo administrativo próprio para o tema" apenas pro executivo federal. Com essa história de CGU e Comissão de Avaliação (de novo, presumo direcionamento para os arquivos da ditadura militar).

Abs,

Tiago Cardieri

Abs,

Tiago Cardieri

<Anexo de E-mail.png>

[Pedro Markun]

Cardieri,

consegue dar uma traduzida?

- o dispositivo fala de "classificação", que é de direito material (conteúdo), não processual (que esta em dispositivo específico), como o recurso. 

significa o que exatamente?

abs,
Pedro Markun

2012/6/14 Tiago Cardieri <tha...@tiago.adm.br>

[Tiago Cardieri]

Bem basicamente, "direito processual" é o trâmite que garante o direito. 

Por exemplo, ter direito à uma reanálise (outro juiz olhar e rever a decisão, recurso); um prazo razoável para responder e se defender; usar todos os meios e tempo razoável para provar seu direito (sem delongar demais o processo) etc.

Na CF é chamado de "devido processo legal" e "direito de ampla defesa". É o processo!

E tem processo judicial e processo administrativo (o primeiro que é órgão proprio pra isso, "subjulga" os outros dentro da sua competência; o segundo é o processo de apuração interno dos órgão publicos.

No caso da lei de acesso, ela diz (excluindo o executivo federal) qual é o direito (disponibilizar dados e informações, bem como exceções qualitativas), mas não diz como vc vai apurar, internamente (pelos órgãos) se a informação deve ser publica, classificada etc. 

Quanto ao processo de apuração (independente de ser executivo), diz pouca coisa, como, por exemplo, ter recurso interno, no prazo de 10 para recorrente, e 5 para recorrido (adm publica), e que a decisão deve ser revista pelo órgão interno hierarquicamente superior. Mas ha entes da administração, como a prefeitura de sp, com até 8 órgãos escalonados hierarquicamente.

Seria mt bom se dissesse que só poderiam haver 1, dois ou três instancias administrativas internas para exaurir o processo administrativo (pq aí numa segunda ou terceira tacada, qm responderia já seria, p.e., o prefeito). E já seria possivel um mandado de segurança.

Mas, pelo que vi, não diz… até pra que fosse aproveitado a estrutura processual administrativa dos entes (que são muito diferentes uns dos outros).

Abs,

Tiago Cardieri

Em 14/06/2012, às 19:09, Pedro Markun escreveu:

Cardieri,

consegue dar uma traduzida?

- o dispositivo fala de "classificação", que é de direito material (conteúdo), não processual (que esta em dispositivo específico), como o recurso. 

significa o que exatamente?

abs,
Pedro Markun

2012/6/14 Tiago Cardieri <tha...@tiago.adm.br>

Boa Jorge! Não tinha me atentado a esse dispositivo…

Mas ainda assim:

- esse artigo é para "âmbito da administração pública federal" (presumo direcionamento para arquivos da ditadura militar)

- o dispositivo fala de "classificação", que é de direito material (conteúdo), não processual (que esta em dispositivo específico), como o recurso. 

- a lei trata de direito de informação e, quanto a atribuição, competência e instituição de órgãos, ela só trata de criação de secretaria especializada para "receber e prestar informação", não de trâmite processual-administrativo para garantia do direito tratado. Quanto a isso, ela: 

1) delega esse processo a estrutura interna de cada órgão (quando fala de órgão hierarquicamente superior, que entra na seara processual-administrativa de cada órgão). 

2) cria sim "processo administrativo próprio para o tema" apenas pro executivo federal. Com essa história de CGU e Comissão de Avaliação (de novo, presumo direcionamento para os arquivos da ditadura militar).

Abs,

Tiago Cardieri

<create-qr-code.png>