O data room está aberto. Fundo de PE ou comprador estratégico já solicitou acesso. Sobem as planilhas de RH com CPF e salário de toda a equipe, os contratos de clientes, os laudos de afastamento médico, a base de leads do CRM. Tudo num link de VDR ou, pior, num Google Drive com compartilhamento irrestrito.
A pergunta que ninguém faz nesse momento: qual a base legal para expor esses dados a um terceiro que ainda nem é parte da empresa? A resposta não é "tem NDA assinado". NDA é instrumento de confidencialidade contratual, não base legal para tratamento de dados pessoais sob a LGPD. São camadas jurídicas diferentes, e confundir as duas é o erro mais comum nesse tipo de transação.
Data room é operação de tratamento de dados. Sempre.
Disponibilizar, transferir ou dar acesso a documentos com dados pessoais é tratamento de dados no sentido exato do art. 5º, X da LGPD. Não importa que seja para fins de avaliação de aquisição ou que o acesso seja restrito a cinco pessoas. O dado continua sendo dado pessoal, e o controlador continua sendo responsável.
Na prática, a maioria dos data rooms de M&A no Brasil é montada sem triagem de dados pessoais. Sobe o contrato de trabalho inteiro, com dados de saúde embutidos nos atestados. Entra a ficha de clientes com CPF, e-mail e histórico de compra. Em empresas de saúde ou RH, sobem dados sensíveis do art. 5º, II: diagnóstico, vínculo sindical, biometria.
Nossa leitura: o vendedor tem obrigação de organizar o data room de modo a minimizar a exposição desnecessária. Documentos usados para análise financeira podem, na maioria dos casos, ser anonimizados sem perda de utilidade. Não precisa abrir CPF de três mil clientes para provar o perfil da base.
O NDA não resolve. O que resolve?
Antes de liberar qualquer acesso, o vendedor precisa tomar estas decisões:
- Mapear os documentos com dado pessoal, separando dado comum de dado sensível. Dado sensível exige bases legais mais restritas.
- Anonimizar o que pode ser anonimizado antes de subir ao data room. Análise de folha salarial não exige nome individual dos funcionários.
- Registrar log de acesso: quem acessou, o quê, quando. É defesa jurídica se o dado vazar durante a negociação.
- Incluir cláusula LGPD no NDA, com proibição de uso dos dados para finalidade que não seja avaliar a transação, e prazo de eliminação em caso de desistência (15 a 30 dias).
- Documentar a base legal usada para o compartilhamento. Para dados de funcionários, o legítimo interesse (art. 7º, IX) costuma ser o mais adequado, desde que documentado o balanceamento de interesses.
A due diligence que o comprador quase nunca faz
Pedir a política de privacidade e checar o banner de cookies não é due diligence de LGPD. Isso não revela o passivo real. O que diz algo é verificar:
- Se a empresa tem mapeamento de dados ativo (inventário ou equivalente).
- Se o encarregado (DPO) foi nomeado e está operacional. Obrigação do art. 41 da LGPD para todo controlador.
- Se houve incidentes de segurança nos últimos 3 anos e como foram tratados. Incidente não comunicado à ANPD pode ser infração autônoma.
- Se os contratos com fornecedores que acessam dados (folha terceirizada, CRM, gateway de pagamento) têm cláusula de proteção de dados. Sem isso, o operador opera sem responsabilidade contratual definida.
- Se há ações judiciais ou processos administrativos sobre dados pessoais nos últimos 5 anos.
Falando sério: uma empresa com 200 mil clientes cadastrados que nunca fez adequação à LGPD tem passivo latente. Pode ser pequeno, pode ser relevante. Esse passivo precisa precificar no deal, e não aparece no balanço.
Transferência de base de clientes: nem sempre dá pra fazer
O comprador fecha o negócio esperando usar a base de 80 mil clientes para CRM próprio e campanhas da nova marca. O problema: o cliente cadastrou seus dados com a empresa vendedora para fins específicos. Mudar de controlador e mudar de finalidade ao mesmo tempo, sem nova base legal, viola o princípio da finalidade (art. 6º, I) e da adequação (art. 6º, II).
Se o consentimento foi a base legal original (art. 7º, I), o comprador não herda esse consentimento. O consentimento foi dado para aquela empresa, para aquela finalidade. Para dados sensíveis, as bases legais são mais restritas e nenhuma delas é "porque a empresa foi adquirida".
O legítimo interesse (art. 7º, IX) pode resolver parte do problema, mas exige documentação do balanceamento de interesses e não está disponível para dados sensíveis. Nossa leitura: o comprador que quer usar a base de clientes precisa planejar uma campanha de reengajamento com opt-in nos primeiros 60 a 90 dias pós-closing, ou operar apenas sobre o subconjunto com base legal compatível.
Quem herda a empresa herda o passivo de dados
O art. 42 da LGPD responsabiliza o controlador pelos danos causados pelo tratamento de dados. A empresa que sucede a vendedora assume as obrigações do controlador original. Isso inclui responder por incidentes ocorridos antes do closing, se o titular reclamar depois.
Não é diferente do passivo trabalhista ou tributário. A diferença é que no passivo de dados você pode nem saber o que herdou. Se a empresa nunca mapeou seus dados, se houve vazamento não detectado, se os contratos com operadores tinham brechas, tudo isso vira problema do comprador. A multa pode chegar a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.
Por isso a due diligence de LGPD precisa incluir carta de representação do vendedor sobre o histórico de tratamento de dados, e o SPA precisa ter cláusula de indenização para passivos anteriores ao closing, com prazo de sobrevivência de 3 a 5 anos.
O que fazer nas próximas 2 semanas
Se você é o vendedor: antes de abrir qualquer acesso ao data room, faça um inventário rápido dos documentos com dados pessoais. Decida o que pode ser anonimizado. Inclua cláusula LGPD no NDA, registre os acessos e defina prazo de eliminação dos dados em caso de desistência.
Se você é o comprador: adicione um checklist de LGPD ao roteiro de due diligence agora. Pergunte sobre incidentes, sobre o DPO, sobre os contratos com operadores e sobre a base legal da base de clientes. Peça carta de representação e inclua cláusula de passivo de dados no SPA com prazo de sobrevivência de 5 anos.
Se o negócio já fechou e nada disso foi feito: nos primeiros 90 dias, comunique os titulares sobre a mudança de controlador (art. 6º, VI exige transparência), atualize a política de privacidade, confirme ou nomeie o DPO (art. 41) e revise os contratos com operadores. Cada passivo identificado e mitigado agora vale mais do que quando chegar a notificação da ANPD.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
