Due diligence de privacidade: o que revisar antes da operação

A due diligence de privacidade ajuda comprador, investidor e empresa-alvo a entender se os dados pessoais que sustentam o negócio também carregam riscos jurídicos, operacionais ou financeiros. Essa análise não deve procurar apenas uma política publicada no site. Ela precisa acompanhar o caminho dos dados, os contratos, os incidentes, os fornecedores e as promessas feitas a clientes, trabalhadores e parceiros.

Uma empresa pode ter um produto atraente e, ao mesmo tempo, depender de uma base cuja origem não esteja clara. Pode manter dados além do necessário, compartilhar informações com parceiros sem boa documentação ou usar um fornecedor crítico sem condições adequadas de segurança. Esses pontos não encerram automaticamente uma negociação. Eles mudam a forma de valorar o risco, redigir as declarações contratuais e planejar a integração.

A profundidade da revisão deve acompanhar a operação. Um investimento minoritário, uma compra integral, uma fusão e uma aquisição de ativos expõem as partes de maneiras diferentes. Também importam o setor, o tipo de titular, o volume de dados, a presença de dados sensíveis e a dependência comercial de tecnologia. O trabalho começa com um escopo proporcional, não com um checklist idêntico para qualquer empresa.

Por que a due diligence de privacidade pertence ao M&A

A informação pessoal pode estar no centro da receita, mesmo quando o negócio não se apresenta como uma empresa de dados. Cadastros, histórico de compras, prontuários, currículos, geolocalização, gravações de atendimento, perfis de uso e registros de acesso alimentam produtos e decisões. Se esse acervo não puder continuar sendo usado como a tese da operação presume, a projeção comercial pode precisar de revisão.

A LGPD estabelece princípios como finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização. Na prática, isso significa que ter posse de uma base não basta para legitimar qualquer uso futuro. A compradora deve entender por que os dados foram coletados, o que foi informado e se o tratamento pretendido após a operação é compatível com esse contexto.

Uma boa due diligence de privacidade conecta o achado ao efeito negocial. Uma ausência documental pode exigir confirmação e organização. Um risco corrigível pode virar obrigação anterior ou posterior ao fechamento. Um tratamento incompatível com a finalidade pode exigir interrupção, revisão do produto ou nova avaliação jurídica. A conclusão precisa dizer o que fazer, quem assume e qual decisão depende daquele ponto.

Também é preciso preservar a confidencialidade da própria investigação. O data room pode conter listas de trabalhadores, contratos assinados, comunicações com titulares e relatórios de incidentes. A equipe deve aplicar acesso por necessidade, registro de usuários, restrição de download e, quando viável, versões com dados reduzidos ou ocultos. Avaliar privacidade expondo dados sem critério criaria um problema dentro do processo que pretende controlar riscos.

Comece pelo modelo de negócio e pelo mapa de dados

Antes de pedir dezenas de documentos, a equipe precisa entender como a empresa ganha dinheiro e onde os dados entram nesse modelo. Quais produtos dependem de cadastro? Há publicidade, análise de comportamento, crédito, antifraude ou personalização? A empresa trata dados em nome de clientes? Recebe informações de parceiros? Usa bases públicas, compradas ou enriquecidas por terceiros? Nesse enquadramento inicial, a due diligence de privacidade direciona a revisão para os fluxos que realmente sustentam receita e operação.

O inventário de operações, quando existente, é um ponto de partida. Ele deve ser confrontado com contratos, arquitetura, políticas, entrevistas e demonstrações dos sistemas. Planilhas antigas podem omitir um aplicativo novo, uma integração criada pela área comercial ou uma ferramenta contratada diretamente por um departamento. A análise precisa procurar o fluxo real, não apenas a versão formal.

Na due diligence de privacidade, convém selecionar operações críticas por receita, escala, sensibilidade e impacto aos titulares. Para cada uma, registre categorias de dados, titulares, finalidade, hipótese legal avaliada, sistemas, compartilhamentos, transferências internacionais, retenção e controles. Esse recorte mostra onde aprofundar perguntas sem transformar o processo em levantamento interminável.

A origem das bases merece atenção específica. Leads vieram de formulário próprio, evento, parceiro ou compra? O aviso apresentado na coleta permite o uso atual? Dados de clientes inativos continuam em campanhas? Informações obtidas para prestar um serviço estão sendo aproveitadas para finalidade própria? O artigo da TOGETHER sobre o caso Claro e Serasa mostra por que finalidade, necessidade e transparência precisam acompanhar o compartilhamento entre empresas.

Papéis das partes e contratos que sustentam o tratamento

A classificação como controlador ou operador depende das decisões tomadas em cada operação de tratamento. O Guia Orientativo da ANPD sobre agentes de tratamento ajuda a interpretar esses papéis, mas a etiqueta usada no contrato não substitui a realidade. Uma empresa pode atuar como operadora em um serviço e como controladora em seus próprios cadastros, segurança, cobrança ou desenvolvimento. Para esclarecer os papéis, a due diligence de privacidade deve confrontar decisões reais, instruções e autonomia de cada participante.

A due diligence de privacidade deve comparar responsabilidades contratuais com a operação. Contratos relevantes precisam esclarecer objeto, instruções, medidas de segurança, confidencialidade, subcontratação, apoio a direitos dos titulares, incidentes, devolução ou eliminação ao término e regras para transferências internacionais quando aplicáveis. Cláusula genérica dizendo que todos cumprem a LGPD oferece pouca orientação quando surge uma demanda concreta.

Vale revisar contratos com grandes clientes e também modelos padrão. Uma obrigação assumida com um cliente pode ser mais rigorosa que a rotina interna. Verifique prazos de aviso ao cliente em caso de incidente, direitos de auditoria, restrições a suboperadores e compromissos de localização ou retenção. Descumprimentos recorrentes podem trazer risco comercial mesmo antes de qualquer atuação regulatória. Nesse ponto, a due diligence de privacidade verifica se as obrigações assumidas são compatíveis com a capacidade operacional da empresa.

Nos contratos de entrada, a equipe precisa identificar fornecedores que sustentam atividades críticas. Nuvem, CRM, folha, atendimento, marketing, analytics, biometria, assinatura eletrônica e IA podem receber dados pessoais. A ausência de inventário de subfornecedores dificulta avaliar dependências, transferências e continuidade após o fechamento.

Segurança, acessos e histórico de incidentes

Na due diligence de privacidade, certificações e relatórios de auditoria são evidências úteis, mas não encerram a revisão. A equipe deve entender gestão de acessos, autenticação, registros, backups, vulnerabilidades, segregação de ambientes, desenvolvimento seguro e desligamento de usuários. O objetivo não é refazer um teste técnico completo dentro da análise jurídica. É identificar se os controles declarados existem, cobrem os sistemas críticos e geram evidências.

Na due diligence de privacidade, incidentes devem ser analisados por causa, dados afetados, contenção, avaliação de risco, comunicação, correção e recorrência. Peça registro dos eventos confirmados e dos casos relevantes avaliados, respeitando sigilo e privilégios profissionais. A inexistência absoluta de qualquer ocorrência durante anos pode refletir ambiente seguro, mas também pode indicar baixa capacidade de detecção ou falta de processo.

Para incidentes com dados pessoais, a Resolução CD/ANPD nº 15/2024 vincula a comunicação ao potencial de risco ou dano relevante aos titulares. Quando a comunicação é aplicável, o prazo geral é de três dias úteis, contado nos termos do regulamento, ressalvada legislação específica. A revisão deve verificar se a empresa sabe distinguir detecção, confirmação, avaliação e decisão do controlador, sem presumir que todo alerta técnico exige comunicação externa.

Pergunte como fornecedores informam eventos à empresa-alvo. O operador precisa permitir que o controlador avalie e cumpra suas obrigações. Um contrato que dá ao fornecedor um prazo longo ou indefinido pode impedir análise tempestiva. Também importa saber se a organização já testou sua resposta e se preserva cronologia, decisões, mensagens e medidas adotadas.

Titulares, retenção e evidências do programa

O canal do titular revela se a governança funciona fora dos documentos. Avalie como pedidos são autenticados, classificados, encaminhados e respondidos. Confirme se sistemas e fornecedores permitem localizar dados, corrigir cadastros e executar decisões de bloqueio, eliminação ou portabilidade quando aplicáveis. Um endereço de e-mail publicado sem rotina interna não resolve a demanda. Ao observar esse canal, a due diligence de privacidade avalia tanto o procedimento formal quanto sua execução pelos sistemas e fornecedores.

A retenção deve ser ligada a finalidade, obrigação legal, defesa de direitos e necessidade operacional. Na due diligence de privacidade, procure bases antigas, backups sem ciclo definido, contas inativas e dados mantidos após o encerramento de contratos. Eliminar tudo imediatamente não é uma resposta responsável quando há dever de guarda. Manter tudo por precaução tampouco é. A empresa precisa explicar os critérios usados por categoria.

Políticas, registros de tratamento, avaliações de risco, relatórios, atas, treinamentos e revisões de fornecedor formam o conjunto de evidências. O foco não deve ser a quantidade de arquivos. Procure coerência entre decisão, execução e acompanhamento. Uma política recente pode indicar melhoria real ou preparação apressada para a venda. Entrevistas e amostras de processos ajudam a separar as duas situações.

O encarregado também precisa ser observado na prática. Verifique canal, atribuições, acesso às áreas, apoio da liderança, recursos e possíveis conflitos de interesses. A função não substitui jurídico, segurança, produto ou RH. Ela ajuda a orientar, organizar comunicações e acompanhar o programa, enquanto as áreas mantêm responsabilidade pela execução.

Como transformar achados em decisão negocial

O relatório deve classificar achados de acordo com impacto e urgência, mas sem produzir falsa precisão. Uma matriz pode considerar probabilidade, gravidade para titulares, efeito sobre receita, complexidade de correção e dependência de terceiros. Cada item precisa trazer fato observado, evidência, consequência possível, recomendação, responsável proposto e momento adequado para tratar. Para apoiar a negociação, a due diligence de privacidade deve ligar cada achado a uma consequência e a uma medida verificável.

A due diligence de privacidade pode influenciar condições precedentes, declarações e garantias, indenizações específicas, retenção de preço, covenants e plano de integração. A escolha depende da materialidade e da estrutura da operação. Nem toda lacuna merece uma condição de fechamento. Nem todo risco pode ser resolvido apenas com indenização, principalmente quando compromete a continuidade do produto ou a confiança dos titulares.

É prudente separar o que precisa ser resolvido antes do fechamento do que pode entrar no plano posterior. Um acesso indevido ativo ou um tratamento sem sustentação pode exigir ação imediata. Já a harmonização de políticas, fornecedores e ferramentas costuma depender da integração. O contrato deve refletir essa diferença e evitar promessas impossíveis de cumprir no intervalo disponível.

O comprador também deve avaliar suas próprias intenções. Combinar bases, migrar sistemas, cruzar perfis ou ampliar analytics cria novas decisões de tratamento. A due diligence de privacidade não legitima automaticamente o uso futuro. Ela entrega informações para que a nova controladora avalie compatibilidade, transparência, necessidade, segurança e demais requisitos antes da integração.

Plano dos primeiros meses após o fechamento

O fechamento muda controle societário, mas não corrige sozinho as rotinas. O plano inicial deve confirmar responsáveis, conter riscos urgentes e preservar serviços essenciais. Comece validando acessos privilegiados, incidentes abertos, canais de titulares, fornecedores críticos e compromissos contratuais que não podem ser interrompidos. Após o fechamento, a due diligence de privacidade serve de base para priorizar correções sem interromper atividades essenciais.

Depois, consolide inventários e políticas sem apagar diferenças relevantes cedo demais. Sistemas das duas empresas podem ter finalidades, retenções e papéis distintos. Uma migração exige mapa de origem e destino, critérios de acesso, testes, plano de reversão e descarte seguro de cópias temporárias. A comunicação a clientes, trabalhadores ou parceiros deve ser avaliada conforme o fluxo e o contexto.

Use os achados para montar um backlog com donos e evidências de conclusão. Contratos podem precisar de aditivo; integrações podem exigir redução de campos; bases antigas podem entrar em revisão; riscos relevantes podem pedir avaliação mais profunda. A equipe de integração deve reportar decisões à governança da operação, em vez de tratar privacidade como trilha separada.

Uma revisão posterior confirma se as medidas foram executadas e se a tese de uso dos dados continua válida. Esse acompanhamento também evita que uma solução provisória se torne permanente. O relatório inicial ganha valor quando se converte em controle, não quando termina arquivado com os demais documentos da transação.

Como a TOGETHER pode apoiar

A TOGETHER pode conduzir consultoria em LGPD para definir escopo, organizar solicitações ao data room, revisar fluxos, contratos, fornecedores, incidentes e evidências. O trabalho traduz o achado técnico ou jurídico em impacto para a operação, prioridade de correção e insumo para negociação e integração.

Com DPO as a Service, a TOGETHER pode acompanhar o plano posterior ao fechamento, orientar áreas responsáveis, monitorar canais de titulares, revisar novos compartilhamentos e manter o registro das decisões. Esse apoio contínuo ajuda a compradora e a empresa adquirida a não perderem obrigações entre equipes, sistemas e contratos que ainda estão sendo integrados.

A atuação pode ser combinada com escritórios, assessores financeiros e segurança da informação. Em uma due diligence de privacidade, essa coordenação reduz pedidos duplicados, protege informações sensíveis e deixa claro qual especialista responde por cada conclusão, sem transformar a análise de privacidade em parecer isolado da realidade do negócio.

Próximos passos

Defina primeiro a tese da operação e os fluxos de dados que a sustentam. A partir daí, selecione documentos, entrevistas e amostras capazes de confirmar origem, finalidade, papéis, contratos, segurança, incidentes e retenção. Registre limitações de acesso e não trate ausência de evidência como prova automática de descumprimento.

Ao final, leve para a mesa uma visão acionável: riscos que alteram a decisão, medidas necessárias antes do fechamento, proteções contratuais e backlog de integração. A due diligence de privacidade cumpre seu papel quando permite negociar com mais informação e preservar valor sem ignorar os direitos das pessoas cujos dados fazem parte do negócio.