Auditoria de proteção de dados em fusões e aquisições

Mapear o que a empresa-alvo realmente trata

O ponto de partida é o registro das operações de tratamento. O art. 37 da LGPD determina que controlador e operador mantenham registro das operações que realizarem, especialmente quando o tratamento se basear no legítimo interesse.

A existência desse registro já é diagnóstico. Empresa que o mantém atualizado consegue responder rapidamente sobre finalidades, bases legais, categorias de titulares, compartilhamentos e prazos de retenção. Empresa que não o mantém obriga o comprador a reconstruir tudo por amostragem — e a assumir que há mais bases do que as apresentadas.

Cruze o registro com a realidade: sistemas em produção, planilhas departamentais, ferramentas de marketing contratadas por área, bases herdadas de aquisições anteriores. É nas bases informais que mora a maior parte do problema.

Testar a legalidade da base, não só a existência dela

Aqui a análise se apoia nos princípios do art. 6º, que impõem boa-fé e, entre outros, finalidade (propósitos legítimos, específicos, explícitos e informados ao titular, sem tratamento posterior incompatível), adequação, necessidade (limitação ao mínimo necessário), livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização.

O teste prático é simples de enunciar: para cada base relevante, a empresa consegue dizer de onde vieram os dados, com que fundamento são tratados e se a finalidade atual é compatível com a informada na coleta?

Bases compradas de terceiros, listas de marketing sem origem rastreável e cadastros reaproveitados para finalidade nova são os achados mais frequentes — e os mais caros de regularizar, porque a correção costuma significar descartar o ativo.

Contratos, incidentes e histórico com titulares

Revise os contratos com fornecedores que tratam dados: existência de cláusulas de proteção de dados, definição de papéis, autorização de subcontratação, prazos de notificação de incidente e regime de responsabilidade. Contrato antigo sem anexo de privacidade é passivo silencioso.

Levante o histórico de incidentes dos últimos anos, com comunicações feitas à autoridade e aos titulares, e o histórico de requerimentos de titulares, com tempo de resposta. Volume alto de reclamações não resolvidas antecipa litígio.

Verifique também processos administrativos em curso, notificações de órgãos de defesa do consumidor e ações judiciais com fundamento em proteção de dados. Cada um deles tem valor de contingência estimável.

Quem responde depois do fechamento

É o art. 42 que estrutura o risco: o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. O §1º, II, prevê responsabilidade solidária entre controladores diretamente envolvidos no tratamento do qual decorreram os danos, ressalvadas as excludentes do art. 43.

Em aquisição de participação societária, a pessoa jurídica permanece a mesma e o passivo permanece com ela. Em aquisição de ativos com transferência de base de clientes, o comprador passa a tratar aqueles dados e assume os deveres correspondentes desde a integração — inclusive o de informar os titulares sobre a mudança quando a finalidade ou o controlador se alterar.

Por isso, a data de corte contratual raramente resolve sozinha: dano que se manifesta depois pode ter causa anterior.

Traduzir achados em cláusulas

A auditoria só entrega valor quando vira texto no contrato. As peças usuais são declarações e garantias específicas sobre conformidade, ausência de incidentes não comunicados e titularidade lícita das bases; indenização dedicada para contingências de proteção de dados, com prazo de sobrevivência maior que o padrão; retenção de parte do preço vinculada à regularização de bases identificadas; e condição precedente para achados críticos, como eliminação de base sem origem demonstrável antes do fechamento.

Inclua um plano de remediação com marcos e responsável, e trate a integração de sistemas como projeto sujeito a avaliação prévia de risco.

Exemplo: uma auditoria identifica que 40% da base de marketing do alvo veio de uma lista adquirida sem consentimento rastreável. O comprador negocia a exclusão dessa parcela antes do fechamento e ajusta o preço à base efetivamente utilizável. Sem a auditoria, ele pagaria pelo ativo e herdaria o problema.

Conduzir esse trabalho — leitura de contratos, entrevistas com o time do alvo, quantificação de contingência e redação das garantias — é atuação jurídica especializada, realizada em sala de dados virtual e com reuniões remotas.