LGPD em M&A: passivo de dados que o adquirente herda

O risco que não aparece no balanço

Um fundo de venture capital fecha um term sheet para adquirir participação majoritária em uma fintech de crédito. O cap table está limpo, a tecnologia impressiona, o NPS é alto. A due diligence financeira e societária transcorre sem surpresas. Seis meses depois do fechamento, a ANPD notifica a empresa por tratamento irregular de dados de clientes — conduta anterior ao closing que o adquirente simplesmente herdou.

Esse cenário não é hipotético. Na economia digital, a base de dados de clientes é frequentemente o principal ativo de uma fintech. Esse mesmo ativo carrega consigo um passivo regulatório que não aparece no balanço: a conformidade com a Lei nº 13.709/2018 (LGPD). Ignorar esse passivo na due diligence é um erro que o adquirente paga depois do fechamento.

Por que a LGPD cria passivo sucessório em M&A?

A LGPD não distingue, para fins de responsabilização, se uma infração ocorreu antes ou depois de uma mudança de controle. O art. 42 da lei estabelece que o controlador que causar dano ao titular responde por ele. Quando uma operação societária transfere o controle da empresa, transfere-se também a qualidade de controlador dos dados — e, com ela, a exposição às sanções administrativas previstas no art. 52 e às responsabilidades civis já latentes.

Na prática, isso significa que violações de dados anteriores ao closing, tratamentos sem base legal adequada, ausência de medidas técnicas de segurança e incidentes não notificados à ANPD podem se materializar como sanções, indenizações e custos de remediação para o novo controlador. A responsabilidade não se extingue com a troca de sócio.

A due diligence de dados: o que auditar na fintech-alvo

A due diligence de LGPD em fintechs tem escopo mais denso do que em empresas de outros setores. Isso porque fintechs tratam, como regra, dados financeiros que podem se enquadrar como dados pessoais sensíveis por reflexo — por exemplo, informações de saúde inferíveis de padrões de pagamento — e estão sujeitas a camada regulatória adicional do Banco Central (Resolução CMN nº 4.893/2021 e Circular BCB nº 3.978/2020).

O checklist mínimo deve cobrir:

• Inventário de dados (RoPA): a empresa-alvo possui mapeamento das operações de tratamento conforme exigido pelo art. 37 da LGPD? Cada operação está associada a uma base legal dos arts. 7º ou 11?
• Bases legais efetivas: o consentimento coletado é granular, específico e revogável? O legítimo interesse passou pelo teste de balanceamento exigido pelo art. 10, §2º?
• Contratos com operadores: os contratos com prestadores de serviço (bureaux de crédito, processadoras, provedores de cloud) contêm cláusulas de proteção de dados conforme o art. 39 da LGPD?
• Incidentes anteriores: houve violações de dados? Foram comunicadas à ANPD e aos titulares nos prazos do art. 48 e da Resolução CD/ANPD nº 15/2023?
• DPO: a empresa indicou encarregado conforme a Resolução CD/ANPD nº 18/2024? Há conflito de interesse vedado pelo art. 8º dessa resolução?
• Transferências internacionais: dados são transferidos a terceiros no exterior? Há mecanismo adequado conforme a Resolução CD/ANPD nº 19/2024 (cláusulas contratuais padrão ou certificação)?
• RIPD: operações de alto risco foram submetidas a Relatório de Impacto à Proteção de Dados conforme o art. 38 da LGPD?
• Medidas técnicas: a política de segurança da informação atende ao art. 46 da LGPD e às exigências de cibersegurança da Resolução CMN nº 538/2025?

Qual base legal sustenta o próprio compartilhamento de dados na due diligence?

Aqui está um ponto que surpreende founders e CFOs: a due diligence em si é um tratamento de dados pessoais sujeito à LGPD. Ao acessar folha de pagamento, base de clientes e contratos da empresa-alvo, o adquirente trata dados pessoais de funcionários, clientes e parceiros — sem qualquer relação direta com esses titulares.

Pedir consentimento dos titulares é impraticável: uma operação de M&A exige confidencialidade e, muitas vezes, envolve centenas de milhares de registros. A base legal adequada para o adquirente é o legítimo interesse (art. 7º, IX, da LGPD), desde que observado o teste de balanceamento do art. 10, §2º: (i) o interesse deve ser legítimo e prevalente; (ii) o tratamento deve ser necessário e proporcional; (iii) os direitos dos titulares não podem ser preponderantes. A avaliação de um negócio potencial preenche os dois primeiros critérios com razoável consistência; o terceiro exige que os dados acessados se restrinjam ao estritamente necessário.

A consequência prática é que os checklists de data room devem ser revisados antes de serem enviados à empresa-alvo. Dados pessoais irrelevantes para a avaliação do negócio não devem constar. O que não é necessário para a diligência não deve ser compartilhado.

Como estruturar o SPA para blindar o adquirente

A documentação contratual da operação precisa absorver os riscos de LGPD identificados na due diligence. Três instrumentos são fundamentais:

1. Representações e garantias (reps & warranties) específicas: o vendedor deve declarar expressamente que (a) a empresa-alvo trata dados pessoais em conformidade com a LGPD; (b) não há incidentes de segurança materiais não notificados; (c) todos os contratos com operadores contêm cláusulas adequadas; (d) o inventário de dados é completo e atualizado. Declarações genéricas de “conformidade com a legislação aplicável” não são suficientes para esse passivo.
2. Cláusula de indenização (indemnity) retroativa: deve cobrir sanções administrativas da ANPD relativas a condutas anteriores ao closing, responsabilidades civis de titulares por tratamento pré-fechamento e custos de remediação para adequar as práticas da empresa-alvo ao patamar de conformidade exigido. O escopo temporal importa: o adquirente responde por violações futuras; o vendedor deve responder pelas passadas.
3. Condição suspensiva ou ajuste de preço: quando a due diligence identificar gaps relevantes — ausência de base legal para operações críticas, incidente não comunicado, transferência internacional irregular — o adquirente pode estruturar a operação com preço ajustável ou condicionada à correção prévia dos desvios.

O NDA e os instrumentos preliminares (MOU, term sheet) também devem contemplar obrigações de confidencialidade estendidas ao tratamento de dados pessoais de terceiros acessados durante a diligência, com previsão de exclusão ou devolução segura ao final do processo.

Erros frequentes que aumentam o passivo

Tratar a due diligence de LGPD como checklist de compliance genérico. Fintechs têm especificidades: dados financeiros, integração com Open Finance, operações de crédito com scoring automatizado. O mapeamento precisa refletir o modelo de negócio, não um template de mercado.

Ignorar o risco de incidentes não comunicados. A Resolução CD/ANPD nº 15/2023 exige comunicação de incidentes em até 3 dias úteis após o conhecimento do fato. Fintechs pequenas frequentemente não têm processo estruturado para detectar e reportar incidentes. Um vazamento não comunicado representa infração autônoma, independentemente do dano aos titulares.

Não revisar a base legal após o closing. O art. 37, §1º da LGPD e o Regulamento de Uso Compartilhado de Dados do Open Finance (Resolução BCB nº 32/2020 e Resolução Conjunta nº 1/2020) exigem revisão das bases legais quando há mudança nas práticas de tratamento. Após o closing, qualquer integração da empresa-alvo ao grupo adquirente pode alterar as finalidades originais do tratamento e tornar necessária nova verificação da base legal.

Desconsiderar o sigilo bancário como camada adicional. A Lei Complementar nº 105/2001 aplica-se às fintechs autorizadas pelo BCB. O acesso a dados de operações financeiras durante a due diligence deve ser estruturado de forma a não configurar quebra de sigilo bancário sem respaldo legal. Essa sobreposição normativa entre LGPD e LC 105/2001 exige análise específica, não um tratamento uniforme.

Síntese acionável

A due diligence de LGPD em fintechs não é um apêndice da diligência jurídica tradicional. É uma frente autônoma com metodologia própria, que deve começar antes do acesso ao data room — revisando o checklist sob o princípio da minimização — e terminar no SPA, com representações específicas e indenizações retroativas calibradas ao risco identificado.

O passivo de dados tem três características que o tornam difícil de precificar: é parcialmente latente (violações que ainda não se materializaram como sanções), é de natureza múltipla (civil, administrativa e reputacional) e tende a crescer após o closing, quando o volume e a complexidade do tratamento aumentam com a integração operacional. A única forma de gerenciá-lo é mapeá-lo antes do fechamento.

O Log.Law atua em due diligence de proteção de dados, estruturação de operações de M&A com impacto regulatório e elaboração de cláusulas contratuais de LGPD. Para avaliar um cenário particular, o contato está disponível no site.

FAQ

O adquirente responde por violações de LGPD cometidas pela empresa-alvo antes do closing?

Sim, se assumir o controle da empresa sem ressalvas contratuais adequadas. A qualidade de controlador de dados migra com o controle societário. Violações anteriores ao closing que se materializem como sanções ou ações judiciais após o fechamento recaem sobre o novo controlador, salvo se houver cláusula de indenização retroativa no SPA imputando esse passivo ao vendedor.

É possível acessar a base de clientes da fintech-alvo durante a due diligence sem violar a LGPD?

É possível, desde que o acesso seja estruturado com base no legítimo interesse (art. 7º, IX, da LGPD), limitado ao estritamente necessário para a avaliação do negócio, restrito a dados anonimizados ou pseudonimizados sempre que viável, e documentado em NDA que contemple obrigações específicas de proteção de dados. O acesso a dados identificáveis em volume sem essa estrutura configura tratamento sem base legal adequada.

Quais são as sanções da ANPD que podem ser impostas após uma aquisição por condutas pré-closing?

As sanções do art. 52 da LGPD incluem advertência, multa de até 2% do faturamento no Brasil do grupo econômico no último exercício, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados. A ANPD pode iniciar processo administrativo sancionador contra o atual controlador dos dados, independentemente de quando a infração ocorreu. A cláusula de indenização no SPA é o mecanismo para redirecionar esse custo ao vendedor.

A due diligence de LGPD em fintechs difere da due diligence em startups de outros setores?

Sim, em dois aspectos relevantes. Primeiro, fintechs tratam dados financeiros que podem ensejar caracterização de dado sensível por inferência e estão sujeitas ao sigilo bancário da LC nº 105/2001, que se sobrepõe à LGPD. Segundo, fintechs autorizadas pelo BCB têm obrigações específicas de segurança cibernética (Resolução CMN nº 4.893/2021 e, a partir de março de 2026, os 14 controles mínimos da Resolução CMN nº 538/2025) que integram o escopo da diligência e afetam diretamente a avaliação de risco operacional e regulatório.