Toda M&A que a gente acompanha em Santa Catarina, do Vale do Itajaí a Florianópolis, chega num momento incômodo: alguém abre o data room e percebe que ali dentro tem CPF, endereço, histórico de compra, ficha de saúde ocupacional, biometria de ponto e às vezes até prontuário. Ninguém colocou isso lá pensando em LGPD. Colocou pensando em mostrar receita, contrato e ativo.
Data room não é neutro do ponto de vista da Lei 13.709/2018. É tratamento de dado pessoal, e tratamento de dado pessoal exige base legal, finalidade definida e, em muitos casos, um responsável identificável. Se o comprador acessa 40 mil registros de cliente antes de assinar qualquer coisa, alguém já cometeu tratamento sem respaldo. Nossa leitura: isso deveria ser o primeiro item do checklist de due diligence, não uma nota de rodapé no anexo de compliance.
O que no data room é dado pessoal (e ninguém rotulou como tal)
Empresa que vende costuma separar documento "financeiro", "societário", "trabalhista" e "comercial". Raramente separa "dado pessoal". Resultado: informação sensível fica espalhada em pastas que parecem inofensivas.
- Base de clientes com CPF, telefone, endereço e histórico de compra
- Contratos de trabalho, ficha de admissão, exame admissional e demissional
- Registro de ponto biométrico ou facial
- Planos de saúde e histórico ocupacional (dado sensível, art. 5º, II)
- CRM com preferência de consumo e geolocalização
- Logs de acesso, câmeras internas, e-mails corporativos com conversa pessoal
Se a empresa alvo tem plano de saúde corporativo ou programa de bem-estar, tem dado sensível no meio. Dado sensível exige tratamento mais cuidadoso, e vazamento dele custa mais caro numa eventual sanção.
Quem responde se o vazamento aconteceu antes do closing?
Aqui mora a pergunta que todo comprador deveria fazer e quase nunca faz: a obrigação de proteção de dados se transfere junto com a empresa, mas a responsabilidade por incidente passado não desaparece automaticamente. Na prática, se a empresa vendida já vinha tratando dado de forma inadequada, a operação de M&A não lava essa história.
Falando sério: já vimos operação em que o comprador só descobriu, três meses depois do closing, que a base de clientes adquirida vinha de uma lista comprada sem consentimento nem base legal clara. Quem assume a exposição perante a ANPD é quem está operando o CNPJ no momento da fiscalização, não necessariamente quem cometeu a falha original. Isso deveria estar em cláusula de indenização, não descoberto depois.
A multa da LGPD pode chegar a 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. Se o comprador herdar um passivo desse tamanho sem saber, o preço pago pela empresa ficou errado.
Transferência de base de clientes: precisa de consentimento novo?
Depende da base legal original. Se a coleta foi feita com base em execução de contrato ou legítimo interesse (art. 7º), a mudança de controlador em uma M&A geralmente não exige coletar consentimento de novo, desde que a finalidade do tratamento continue a mesma que o titular esperava.
O problema aparece quando a finalidade muda. Empresa de e-commerce comprada por um grupo que quer usar a mesma base para cross-sell de outro produto, por exemplo, está criando uma finalidade nova. Aí sim entra necessidade de nova base legal, aviso ao titular ou, em alguns casos, consentimento específico.
Nossa recomendação prática: mapear a base legal original de cada categoria de dado antes de assinar o SPA (contrato de compra e venda), não depois. Isso muda inclusive o valor que o comprador está disposto a pagar pela base de clientes como ativo.
Checklist de due diligence de proteção de dados que a gente aplica
- Existe encarregado (DPO) nomeado na empresa alvo, conforme art. 41?
- Há Relatório de Impacto à Proteção de Dados (RIPD) para as atividades de maior risco?
- Qual a base legal declarada para cada categoria de dado tratado?
- Existe histórico de incidente de segurança não comunicado à ANPD (art. 48)?
- Há contrato com operadores (fornecedores de tecnologia, marketing, RH) prevendo cláusula de proteção de dados?
- O acesso ao data room foi restrito por perfil, com log de quem viu o quê?
- A empresa se enquadra no regime simplificado da Resolução CD/ANPD 02/2022 (PME, startup, ME/EPP)?
Esse último ponto muda bastante a análise. Empresa pequena do Vale do Itajaí que nunca formalizou política de privacidade porque se enquadra no regime simplificado não está necessariamente irregular. Mas o comprador precisa saber disso antes, não presumir inadequação total.
Cláusulas que faltam em quase todo contrato de M&A que a gente revisa
A maioria dos SPAs que chegam pra revisão trata dado pessoal como item genérico dentro de "conformidade regulatória". Isso é insuficiente. O contrato precisa prever, de forma específica:
- Representação e garantia (rep and warranty) declarando que o tratamento de dados até o closing seguiu a LGPD
- Indenização (indemnity) específica para passivo de proteção de dados descoberto após o fechamento, com prazo mais longo que o padrão de 1 a 2 anos, já que investigação da ANPD pode levar anos pra aparecer
- Obrigação de o vendedor entregar inventário de dados e mapeamento de fluxo antes do acesso ao data room
- Cláusula de continuidade do encarregado ou nomeação de novo DPO em até 30 dias do closing
Sem isso, o comprador assume o risco sem saber que assumiu.
O que fazer nas próximas duas semanas
Se sua empresa está do lado vendedor: monte o inventário de dados pessoais antes de abrir o data room. Separe o que é dado pessoal do que não é, identifique a base legal de cada categoria e resolva pendência óbvia (like consentimento faltando ou contrato sem cláusula de operador) antes que o comprador encontre.
Se está do lado comprador: exija o inventário como pré-condição de acesso, não como item de conversa depois. Peça evidência de que a empresa alvo respondeu pedido de titular dentro dos 15 dias previstos no art. 19, se algum já ocorreu. E leve a due diligence de dados pra dentro da negociação de preço, não pra um anexo que ninguém lê no fechamento.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
