Achei isso aqui no Google, parece que isso que as Exchange estão fazendo é ilegal

https://jus.com.br/artigos/6179/direito-a-privacidade-de-servidor-de-fundacao-instituida-e-mantida-pelo-estado

De acordo com a justiça pedir o IRPF viola o direito constitucional a privacidade e a lei de sigilo financeiro.