Impactos da LGDP nas operações de M&A

A Lei nº 13.709/2018, Lei Geral de Proteção de Dados (“LGPD”) foi sancionada em 2018, teve como inspiração a General Data Protection Regulation (“GDPR”), e terá como prazo de início o mês de agosto de 2020. O objetivo da LGPD é regulamentar o tratamento de dados pessoais de clientes e usuários tanto por empresas públicas, quanto privadas.

Com isso, a partir de agosto deste ano, qualquer procedimento que envolva a utilização de dados pessoais, tais como a coleta, utilização, armazenagem, compartilhamento, entre outras, deverão seguir o tratamento da LGPD.

É notável que a LGPD trará obrigações diversas para as empresas, em vários âmbitos. Dentre elas, haverá uma nova preocupação nos processos de fusão e aquisição de empresas, também conhecido como Mergers and Acquisitions (“M&A”).

A LGPD impactará nas fusões e aquisições, tendo em vista que para a aquisição de uma empresa alvo são geralmente conduzidos processos de due diligence, bem como na estruturação e negociação dos documentos envolvidos na operação. Nestas operações são recebidos diversos documentos em que serão veiculados dados pessoais, e que, portanto, devem ser tratados.

A operação de M&A envolve uma série de procedimentos e documentos que precisam ser disponibilizados, para análise se o negócio é ou não viável. Assim, para iniciar um processo de M&A é necessário que sejam averiguados os atos preparatórios para eximir riscos, tais como o Acordo de Confidencialidade e o Memorando de Entendimentos (“MoU”), prevendo as condições em que as bases de dados pessoais serão compartilhadas, e a responsabilidade das partes em caso de infração à LGPD.

Nesta fase preparatória, tanto a empresa alvo, quanto a empresa interessada deverão ter o cuidado de confirmar que o acesso aos dados pessoais será realizado de acordo com o que dispõe a LGPD. Ainda, a empresa interessada deverá se certificar que a empresa alvo cumpre com o tratamento disposto em Lei, já que, assim que a empresa interessada obtiver acesso às informações, a empresa interessada também será considerada operadora da informação, com riscos a também ser considerada como quem pratica as violações da norma.

Outra alternativa, é incluir nos documentos preparatórios uma declaração da empresa alvo de cumprimento da LGPD, excluindo a responsabilidade por parte da empresa interessada, e garantindo o direito de indenização.

Tudo isso porque, o artigo 42 da LGPD trata do fluxo de responsabilidade solidária e dispõe que a violação de dados é a mesma para a empresa que coletou e compartilhou os dados, quanto para aquela que recebe os dados e não garante a segurança deles.

Com todos os cuidados preparatórios adotados, a segunda fase de um M&A que teria alterações devido a LGPD seria a da due diligence. Nesta fase, a empresa alvo em conjunto com a empresa interessada deverão definir quais documentos e informações são necessários para a avaliação do negócio.

Ademais, é importante logo no início que seja verificada se a ferramenta do data room utilizado para compartilhamento dos documentos é segura e como os dados lá inseridos serão tratados.

Uma das alternativas para minimizar os riscos de violação deste compartilhamento é a dispensa de dados pessoais que não trariam alterações ao valor da empresa alvo no negócio, ou também a adoção da exclusão dos dados pessoais dos documentos, deixando anonimato ou pseudônimos.

Na due diligence é necessário que além da verificação de cumprimento da LGPD da empresa alvo e interessada, é importante verificar também o cumprimento desta legislação por parte da empresa especializada que realizará a   due diligence (sociedade de advogados, auditores, consultoria). Isso porque, ela também receberá os dados, e também passará a ser operadora dos dados, podendo haver a responsabilidade solidária entre as partes.

Além disso, é importante que neste momento seja incluído no escopo do trabalho da due diligence a verificação do cumprimento da LGPD pela empresa alvo, já que caso haja violações, estas podem trazer contingências decorrentes de sanções decorrentes desta violação.

Neste momento, deverá haver uma verificação conjunta de cunho jurídico e de tecnologia da informação. Esta verificação deverá, entre outros pontos analisar a política de proteção de dados pessoais, sua base legal e suficiência para cumprimento da LGPD, se há um data protection officer (“DPO”) nomeado pela empresa, se há algum software para o controle destes dados e se já houve alguma violação de dados.

Ainda, faz-se necessário a inclusão de verificação dos Contratos da empresa alvo, em relação às normas de confidencialidade, transparência e liberdade dos usuários, de acordo com a LGPD.

Nos Contratos, a LGPD prevê que é necessário que seja prevista a finalidade legítima do uso dos dados pessoais, adequação ao tratamento à finalidade e a transparência de informações aos titulares.

Após, com a concretização da avaliação, e caso seja materializada a operação, as partes deverão firmar o contrato principal prevendo os aspectos relativos a proteção de dados pessoais e sensíveis, bem como incluir as declarações e garantias prestadas pelas partes durante a operação, incluindo os mecanismos de responsabilização em caso de violação da LGPD.

A importância de seguir todos estes passos é fatídica, tendo em vista que a sociedade interessada passará a responder por violação à LGPD tanto antes quando após a admissão na sociedade alvo.

Desta forma, é imprescindível que as operações de M&A que ocorram a partir de agosto de 2020 sejam pensadas de acordo com a indispensabilidade destes novos mecanismos para mitigação dos riscos relacionados a LGPD.

Publicações relacionadas

Obrigações de empresas com participação de capital estrangeiro junto ao Banco Central do Brasil em 2022

PRESTAÇÃO PERIÓDICAS DE INFORMAÇÃO E ATUALIZAÇÃO E REGISTRO DE INVESTIMENTO DIRETO DE CAPITAL ESTRANGEIRO NO PAÍS – RDE-IED De acordo com a Circular nº 3.689/2013, e a Circular nº 3.814/2016, as empresas receptoras de capital estrangeiro devem prestar informações periódicas ao Banco Central. A periodicidade da obrigação depende do valor do patrimônio líquido e total do ativo, conforme abaixo: 1.1          As empresas receptoras com patrimônio líquido e total do ativo inferiores a R$250.000.000,00 (duzentos e cinquenta milhões de reais): Até 31 de março de 2022,…

O que empresas espanholas precisam saber para atuar no Brasil?

Juliana Raffo, advogada do Desk Espanha do Briganti Advogados, participou do podcast Panorama Câmara, da Câmara Espanhola, com orientações valiosas para empresas espanholas interessadas em entrar no mercado brasileiro. Na última pergunta dessa conversa, ela destacou três pontos fundamentais para quem deseja investir no país: • A importância de mapear o ambiente regulatório do setor de atuação no Brasil; • A necessidade de um bom planejamento fiscal diante da complexidade do sistema tributário brasileiro, e as expectativas de melhorias no fluxo de negócios em razão…

Prazo para entrega da Declaração de Informações Econômico-Financeiras (DEF) trimestral encerra dia 30 de junho

As empresas receptoras de investimento estrangeiro, com patrimônio líquido e total do ativo igual ou superior a R$ 250 milhões, devem atualizar, até 30 de junho deste ano, as informações prestadas no sistema RDE-IED, referente à data-base 31 de março de 2022. Para tais empresas, a DEF deverá ser entregue trimestralmente, conforme datas abaixo, relativas a 2022: Até 30 de junho, referentes à data-base de 31 de março; Até 30 de setembro, referentes à data-base de 30 de junho; Até 31 de dezembro, referentes à…