M&A: LGPD para Empresas

A era digital transformou a forma como as empresas operam, coletam e utilizam dados. No contexto de Fusões e Aquisições (M&A), a Lei Geral de Proteção de Dados (LGPD) emergiu como um fator crucial que pode impactar significativamente o valor da transação e o risco de futuras contingências. A correta avaliação e mitigação dos riscos relacionados à privacidade de dados são essenciais para garantir o sucesso de qualquer operação de M&A.

A Importância da LGPD em M&A

A LGPD (Lei nº 13.709/2018) estabelece regras claras sobre o tratamento de dados pessoais, impondo obrigações rigorosas às empresas que os coletam e processam. No cenário de M&A, a empresa-alvo, ao ser adquirida, transfere não apenas seus ativos físicos e intangíveis, mas também seus bancos de dados, que podem conter informações sensíveis de clientes, funcionários e parceiros.

A não conformidade com a LGPD pode resultar em multas pesadas, danos à reputação e até mesmo ações judiciais. Além disso, a transferência de dados pessoais para a empresa adquirente, sem o devido consentimento dos titulares, pode configurar uma infração à LGPD. Portanto, a análise profunda da conformidade da empresa-alvo com a legislação de proteção de dados é um passo fundamental no processo de due diligence.

O Papel da Due Diligence em M&A

A due diligence é o processo de investigação e avaliação da empresa-alvo antes da concretização da transação. No contexto da LGPD, a due diligence deve abranger os seguintes aspectos:

• Mapeamento de Dados: Identificação de todos os dados pessoais coletados, processados e armazenados pela empresa-alvo, incluindo a finalidade do tratamento, a base legal aplicável e os prazos de retenção.
• Políticas e Procedimentos: Análise das políticas de privacidade, termos de uso, contratos com fornecedores e procedimentos internos de segurança da informação da empresa-alvo.
• Treinamento e Conscientização: Verificação da existência de programas de treinamento sobre proteção de dados para os funcionários da empresa-alvo.
• Incidentes de Segurança: Investigação de eventuais incidentes de segurança cibernética que tenham ocorrido no passado, incluindo vazamentos de dados e as medidas adotadas para mitigá-los.
• Conformidade Contratual: Análise dos contratos com fornecedores, parceiros e clientes para garantir que contenham cláusulas adequadas de proteção de dados e responsabilidade em caso de incidentes.

A due diligence adequada permite identificar os riscos e as contingências relacionadas à proteção de dados, possibilitando a renegociação do preço da transação, a exigência de garantias específicas ou até mesmo a desistência do negócio, caso os riscos sejam considerados inaceitáveis.

A Transferência de Dados Pessoais

A transferência de dados pessoais da empresa-alvo para a empresa adquirente é um dos pontos mais sensíveis em operações de M&A. A LGPD estabelece que a transferência internacional de dados, por exemplo, exige o cumprimento de requisitos específicos, como a existência de um nível de proteção adequado no país de destino ou a adoção de salvaguardas contratuais.

No caso de transferência de dados dentro do território nacional, a empresa adquirente deve observar as bases legais para o tratamento dos dados, como o consentimento do titular, a execução de contrato ou o legítimo interesse.

O artigo 7º da LGPD estabelece as hipóteses em que o tratamento de dados pessoais é permitido. A empresa adquirente deve analisar cuidadosamente a base legal aplicável a cada tipo de dado transferido e garantir que o tratamento seja realizado de forma lícita e transparente.

Responsabilidade por Incidentes de Segurança

A LGPD prevê a responsabilidade solidária das empresas envolvidas no tratamento de dados pessoais em caso de danos causados aos titulares. No contexto de M&A, a empresa adquirente pode ser responsabilizada por incidentes de segurança que tenham ocorrido na empresa-alvo antes da transação, caso não tenha adotado as medidas necessárias para mitigar os riscos.

O artigo 42 da LGPD estabelece a responsabilidade civil objetiva do controlador e do operador de dados em caso de danos causados por violação à legislação. A empresa adquirente deve exigir garantias contratuais da empresa-alvo para se proteger contra eventuais passivos relacionados a incidentes de segurança ocorridos antes da transação.

Jurisprudência Relevante

A jurisprudência sobre a aplicação da LGPD em M&A ainda está em desenvolvimento, mas já existem decisões relevantes que orientam a atuação dos advogados. O Superior Tribunal de Justiça (STJ), por exemplo, já se manifestou sobre a importância da due diligence em M&A, destacando que a empresa adquirente assume os riscos inerentes à transação, incluindo os riscos relacionados à proteção de dados.

O Tribunal de Justiça de São Paulo (TJ-SP) também tem proferido decisões sobre a responsabilidade civil em caso de vazamento de dados, reconhecendo a responsabilidade solidária das empresas envolvidas no tratamento.

É fundamental acompanhar a evolução da jurisprudência para garantir que as estratégias jurídicas adotadas nas operações de M&A estejam alinhadas com o entendimento dos tribunais.

Dicas Práticas para Advogados

• Integração da LGPD na Estratégia de M&A: A proteção de dados não deve ser tratada como um mero formalismo, mas sim como um elemento estratégico na avaliação da empresa-alvo.
• Equipe Multidisciplinar: A análise da conformidade com a LGPD exige a atuação conjunta de advogados especializados em direito empresarial, direito digital e proteção de dados.
• Cláusulas Contratuais Específicas: A redação de cláusulas contratuais claras e precisas sobre a responsabilidade por incidentes de segurança, a transferência de dados e a garantia de conformidade com a LGPD é fundamental para proteger os interesses da empresa adquirente.
• Auditoria de Segurança da Informação: A realização de auditorias independentes para avaliar a segurança da informação da empresa-alvo pode fornecer informações valiosas sobre os riscos cibernéticos e a conformidade com a LGPD.
• Comunicação Transparente: A comunicação transparente com os titulares dos dados sobre a transferência de suas informações e as medidas de segurança adotadas é essencial para construir confiança e evitar problemas futuros.

Conclusão

A LGPD transformou o cenário das operações de M&A, exigindo uma análise rigorosa da conformidade da empresa-alvo com a legislação de proteção de dados. A due diligence adequada, a redação de cláusulas contratuais específicas e a adoção de medidas de segurança da informação são essenciais para mitigar os riscos e garantir o sucesso da transação. A atuação de advogados especializados e a integração da proteção de dados na estratégia de M&A são fundamentais para proteger os interesses da empresa adquirente e evitar contingências futuras.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.