No cenário jurídico brasileiro, a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), conhecida como LGPD, passou a ser um ponto central de atenção em diversas áreas do Direito, sobretudo no contexto das operações de fusões e aquisições (M&A). Com a entrada em vigor da legislação, tornou-se imprescindível que advogados e demais profissionais do Direito compreendam, com profundidade, como a proteção de dados impacta estas operações complexas e multifacetadas.
A LGPD dispõe sobre o tratamento de dados pessoais, estabelecendo limites, direitos e deveres para agentes de tratamento, como controladores e operadores. No âmbito das operações de M&A, o compartilhamento de informações sensíveis é uma etapa crucial, seja na fase de due diligence, seja na integração pós-aquisição. Assim, dados pessoais de empregados, clientes e fornecedores ganham especial relevância e tornam-se fontes potenciais de risco jurídico e regulatório.
O artigo 7º da LGPD determina que o tratamento de dados pessoais somente poderá ocorrer nas hipóteses legais ali previstas, como consentimento do titular, cumprimento de obrigação legal ou regulatória, ou execução de contrato. No contexto de M&A, é necessário avaliar qual base legal justifica o compartilhamento dessas informações durante o processo.
A etapa de due diligence é aquela em que as partes envolvidas analisam profundamente as informações da empresa-alvo, para mensurar riscos e validar premissas da negociação. Aqui, o fluxo de dados pessoais atinge seu ápice, pois diversos documentos (folha de pagamento, contratos de trabalho, históricos de litigiosidade, entre outros) podem conter informações sensíveis ou dados pessoais, assim definidos nos artigos 5º, I e II da LGPD.
É fundamental, portanto, garantir que exista uma base legal adequada para o processamento e compartilhamento desses dados. O entendimento predominante é que, para dados estritamente necessários à análise e que digam respeito ao legítimo interesse das partes, é possível fundamentar a operação na hipótese do artigo 7º, IX, observando-se sempre a necessidade, minimização e segurança dos dados.
A LGPD impõe, ainda, o princípio da transparência e o dever de informação ao titular dos dados. Durante o processo de due diligence, surge o questionamento: é preciso informar previamente todos os titulares de dados pessoais que suas informações poderão ser acessadas por potenciais compradores? O artigo 9º da LGPD determina que o controlador deve fornecer informações claras e adequadas sobre a realização do tratamento e suas finalidades. Contudo, há entendimentos de que a comunicação poderá ser realizada em momento posterior, principalmente quando houver risco de quebra de confidencialidade da transação.
Outro ponto de debate relevante é a inserção de cláusulas relativas à proteção de dados nos instrumentos contratuais de M&A. Delimitar obrigações de cada parte, prever indenizações e repasses de responsabilidades em caso de incidentes de segurança ou violações de dados pessoais são práticas que vêm sendo exigidas como “padrão de mercado”. No Brasil, a responsabilidade solidária entre controlador e operador está prevista nos artigos 42 e 45 da LGPD, o que reforça a necessidade de cuidados contratuais precisos.
A revisão e a negociação desses dispositivos exigem conhecimento técnico-jurídico apurado, pois eventuais falhas podem ensejar sanções administrativas, civis e até criminais, conforme artigos 52 a 54 da LGPD e dispositivos do Código Civil e do Código Penal, quando aplicáveis.
A fase pós-fechamento da operação também requer atenção. A integração dos sistemas e bases de dados das empresas unificadas deve atender a requisitos como o princípio do privacy by design (artigo 46, §2º, LGPD), ou seja, a privacidade e segurança dos dados precisam ser consideradas desde o início do processo de integração. Auditorias internas e treinamentos de colaboradores são medidas recomendadas para prevenir incidentes e reforçar a conformidade.
Para profissionais que desejam atuar nesse mercado, o conhecimento detalhado das obrigações da LGPD e suas implicações práticas é indispensável. Estruturar políticas internas robustas e demonstrar conhecimento profundo sobre os riscos específicos de M&A pode ser um diferencial competitivo.
A Autoridade Nacional de Proteção de Dados (ANPD) dispõe do poder de fiscalizar, recomendar mudanças e aplicar sanções administrativas como advertências, multas e restrições ao tratamento de dados, com fundamento no artigo 52 e seguintes da LGPD. Além disso, a reparação de danos aos titulares pode ser exigida judicialmente, gerando graves consequências reputacionais e financeiras para as empresas e, potencialmente, para os administradores.
No contexto de fusões e aquisições, a responsabilidade por tratamentos indevidos ou vazamentos de dados pode recair sobre a empresa adquirente, caso não tenha havido diligência adequada, bem como sobre controladores anteriores e terceiros envolvidos. Isso requer a atuação preventiva, não apenas reativa.
Diante da complexidade crescente do tema, é imprescindível que o advogado ou consultor que atue em transações desta natureza busque atualização e especialização constantes. O domínio da legislação, das melhores práticas de governança de dados e a compreensão dos impactos sistêmicos da LGPD nas operações de M&A tornam-se fundamentais para a atuação de alto nível.
Para quem deseja se aprofundar tanto nos aspectos gerais da Proteção de Dados quanto em M&A, a recomendação é considerar programas de pós-graduação focados nessas áreas, como a Pós-Graduação em M&A ou a Pós-Graduação em Data Protection Officer, que proporcionam uma visão integrada e avançada dos desafios e soluções jurídicas no ambiente contemporâneo.
Diante do quadro regulatório brasileiro e da necessidade de evitar riscos desnecessários, algumas boas práticas merecem destaque
– Realizar auditoria detalhada dos dados pessoais envolvidos desde o início das negociações, identificando fluxos, riscos e o grau de exposição a sanções.
– Incluir cláusulas de compliance com a LGPD nos contratos preliminares (NDAs, MoUs, contratos de aquisição).
– Restringir o acesso a dados pessoais ao mínimo necessário de colaboradores das equipes envolvidas.
– Elaborar relatórios de impacto à proteção de dados (DPIA), conforme o artigo 38 da LGPD, para operações que representem alto risco aos titulares.
– Planejar a integração dos dados levando em consideração a adoção de controles técnicos e organizacionais de segurança.
Quer dominar a aplicação prática da LGPD em operações de M&A e se destacar na advocacia Conheça nosso curso Pós-Graduação em M&A e transforme sua carreira.
A LGPD trouxe uma nova perspectiva para as operações empresariais, especialmente nas transações que envolvem o compartilhamento intenso de dados pessoais. Os riscos e responsabilidades decorrentes do não cumprimento da legislação são significativos e demandam um novo patamar de diligência e preparação dos profissionais do Direito. O aprofundamento técnico nas nuances do tratamento de dados em M&A tornou-se uma exigência do mercado e abre oportunidades para advogados especialistas.
Quem ensina aqui atua na área — professores com banca, cátedra e prática.
Ver as pós em Direito