Due diligence de privacidade em operações estruturadas

A crescente relevância dos dados pessoais como ativo estratégico das empresas transformou a due diligence de privacidade em etapa indispensável de qualquer operação de M&A, reestruturação societária ou cessão de carteiras de clientes. A ausência dessa análise pode gerar responsabilidade solidária do adquirente por infrações à LGPD cometidas antes do fechamento da operação.

O que avaliar na due diligence de privacidade

A due diligence de privacidade deve cobrir, minimamente, as seguintes dimensões da empresa-alvo:

Governança e documentação: existência de política de privacidade, registro de operações de tratamento (ROPA), nomeação de DPO, treinamentos realizados e evidências de conformidade com a LGPD.

Bases legais: verificação se as operações de tratamento de dados pessoais — especialmente as de maior risco, como marketing direto, compartilhamento com terceiros e tratamento de dados sensíveis — possuem base legal adequada e documentada.

Contratos com operadores: análise dos contratos com fornecedores que acessam dados pessoais da empresa-alvo. A ausência de cláusulas de proteção de dados em contratos com operadores é infração autônoma à LGPD.

Histórico de incidentes: levantamento de incidentes de segurança ocorridos nos últimos 24 meses, comunicações à ANPD e medidas corretivas adotadas.

Passivos regulatórios: verificação de reclamações de titulares pendentes, inquéritos administrativos e eventuais autos de infração da ANPD.

Cláusulas de proteção na documentação da operação

Com base nos resultados da due diligence, o assessor jurídico do comprador deve negociar cláusulas de representações e garantias (R&W) específicas para privacidade, definindo o escopo dos passivos que permanecem com o vendedor, os gatilhos de indenização e os valores de deductible e cap aplicáveis.

Em operações de maior porte, recomenda-se a contratação de seguro de R&W que cubra passivos de privacidade não identificados na due diligence.

Conclusão

A due diligence de privacidade deixou de ser diferencial para se tornar requisito de boa prática em operações estruturadas. O custo de identificar e mitigar riscos antes do fechamento é invariavelmente inferior ao custo de gerir passivos regulatórios após a consumação da operação.