Resumo
A proteção de dados pessoais passou a integrar de maneira definitiva a estrutura de governança das sociedades contemporâneas. A Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD) não deve ser compreendida exclusivamente como diploma destinado à tutela da privacidade ou como obrigação acessória de compliance, mas também como componente da gestão dos riscos jurídicos, operacionais, contratuais e reputacionais das organizações. O presente artigo examina a interface entre proteção de dados e Direito Societário, especialmente quanto à identificação dos agentes de tratamento, aos grupos econômicos, aos atos societários, ao compartilhamento de informações, à contratação de terceiros, às operações de fusões e aquisições, à due diligence e às reorganizações societárias. Sustenta-se que dados pessoais podem simultaneamente representar valor econômico e fonte de passivos, circunstância que exige a incorporação da governança de dados à governança corporativa. Ao final, propõe-se que a análise de conformidade com a LGPD passe a integrar, de forma sistemática, a atuação do advogado societário e os processos decisórios das sociedades.
Palavras-chave: Lei Geral de Proteção de Dados; LGPD; Direito Societário; governança corporativa; governança de dados; due diligence; M&A; responsabilidade empresarial.
1. Introdução
A transformação digital modificou profundamente a estrutura das organizações empresariais. Empresas que anteriormente administravam predominantemente ativos materiais, relações contratuais e recursos financeiros passaram a depender, em diferentes graus, da coleta, organização, utilização e circulação de informações.
Dados relacionados a clientes, consumidores, empregados, fornecedores, administradores e demais pessoas naturais passaram a integrar a própria dinâmica das atividades econômicas.
Nesse contexto, a proteção de dados pessoais não pode permanecer isolada em departamentos de tecnologia da informação, segurança ou compliance. A matéria alcançou a governança das organizações e, consequentemente, o próprio Direito Societário.
A Lei nº 13.709/2018 estabelece normas destinadas à proteção dos dados pessoais, fundamentadas, entre outros elementos, no respeito à privacidade, na autodeterminação informativa e na tutela dos direitos fundamentais de liberdade, intimidade e desenvolvimento da personalidade.
Sua aplicação no âmbito empresarial, contudo, revela uma dimensão adicional: dados pessoais podem constituir simultaneamente ativos informacionais e fontes de risco jurídico.
Essa dualidade produz consequências importantes para a advocacia societária.
Constituição e reorganização de grupos econômicos, aquisição de participações societárias, fusões, incorporações, cisões, alterações de controle, operações de investimento e contratação de fornecedores tecnológicos podem modificar fluxos de dados e responsabilidades relacionadas ao tratamento de informações pessoais.
A questão que se apresenta, portanto, é saber em que medida a proteção de dados deve integrar a governança societária e os mecanismos tradicionais de identificação e alocação de riscos empresariais.
2. Proteção de dados como elemento da governança corporativa
A LGPD estabelece princípios destinados a orientar as operações de tratamento de dados pessoais. Entre eles encontram-se finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização e prestação de contas.
Esses princípios possuem evidente repercussão sobre a governança empresarial.
A prestação de contas, em especial, aproxima proteção de dados e governança corporativa ao exigir que os agentes não apenas observem a legislação, mas sejam capazes de demonstrar a adoção de medidas eficazes e capazes de comprovar a conformidade das operações.
Não basta, portanto, produzir documentos formalmente adequados.
Políticas de privacidade, avisos, cláusulas contratuais e códigos internos precisam corresponder à realidade operacional da organização.
Uma empresa pode possuir uma política de privacidade sofisticada e, simultaneamente, desconhecer quais bases de dados mantém, quem possui acesso a elas, durante quanto tempo são conservadas ou quais fornecedores realizam operações de tratamento.
Nesse cenário, existe conformidade documental, mas não necessariamente governança efetiva.
A proteção de dados deve ser incorporada aos mecanismos de controle interno e gestão de riscos. Isso pressupõe participação não apenas do departamento jurídico ou do encarregado, mas também da administração, tecnologia, segurança da informação, recursos humanos, marketing, comercial, auditoria e demais áreas responsáveis por decisões que repercutam sobre dados pessoais.
A governança corporativa contemporânea passa, assim, a incorporar necessariamente uma dimensão de governança da informação.
3. Dados pessoais: entre o ativo informacional e o passivo empresarial
Bases estruturadas de clientes e usuários podem possuir significativa relevância econômica.
Relacionamento com consumidores, histórico de transações, preferências comerciais, cadastros, sistemas de CRM e outros conjuntos informacionais podem representar vantagem competitiva e integrar a avaliação econômica de determinado negócio.
Entretanto, dados pessoais não são ativos disponíveis ao uso irrestrito.
Seu tratamento permanece submetido aos princípios, direitos e requisitos estabelecidos pela LGPD.
Essa característica produz uma situação peculiar: quanto maior a dependência de determinada sociedade em relação aos dados, maior pode ser seu valor informacional, mas também maior poderá ser sua exposição a riscos relacionados à utilização inadequada dessas informações.
Um banco de dados que aparentemente representa importante ativo empresarial pode conter problemas relacionados à origem das informações, ausência de base legal adequada, excesso de coleta, compartilhamento irregular, retenção indevida ou deficiência das medidas de segurança.
O ativo, nessas circunstâncias, pode esconder um passivo.
Por essa razão, a análise societária de uma empresa digital ou intensiva em dados não pode limitar-se aos ativos tradicionalmente reconhecidos pela contabilidade ou pelo Direito Empresarial.
É necessário investigar também seu patrimônio informacional e os riscos associados à sua utilização.
4. Agentes de tratamento e estruturas societárias
A identificação dos agentes de tratamento constitui ponto fundamental para compreender a distribuição de responsabilidades estabelecida pela LGPD.
O controlador é o agente ao qual competem as decisões referentes ao tratamento de dados pessoais, enquanto o operador realiza o tratamento em nome do controlador.
A definição formal inserida em determinado contrato constitui elemento relevante, mas não deve prevalecer artificialmente sobre a realidade da operação.
É necessário examinar quem efetivamente determina as finalidades e os elementos essenciais do tratamento.
Essa análise assume especial complexidade nos grupos econômicos.
Sociedades controladoras, controladas e coligadas podem compartilhar infraestrutura tecnológica, recursos humanos, marketing, sistemas de gestão, plataformas de relacionamento com consumidores e serviços administrativos.
A existência de um grupo societário, entretanto, não transforma automaticamente todas as empresas integrantes em um único agente de tratamento.
A qualificação deve decorrer das funções efetivamente desempenhadas em cada operação.
Da mesma forma, o compartilhamento intragrupo não deve ser interpretado como uma zona de livre circulação de dados pessoais.
A transferência de informações entre sociedades pertencentes ao mesmo grupo continua sujeita à finalidade, necessidade, adequação, transparência, segurança e à existência de hipótese jurídica que legitime o tratamento.
Portanto, a arquitetura societária deve ser confrontada com a arquitetura informacional da organização.
5. Ciclo de vida dos dados e responsabilidade empresarial
A governança de dados pressupõe conhecimento de todo o ciclo de vida da informação.
A LGPD utiliza conceito amplo de tratamento, abrangendo operações como coleta, produção, recepção, classificação, utilização, acesso, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, modificação, comunicação, transferência, difusão e extração.
Isso significa que a conformidade não termina no momento da coleta.
A organização precisa acompanhar a informação desde sua entrada no ambiente empresarial até sua eliminação ou outra destinação juridicamente admissível.
Particular atenção deve ser destinada à retenção.
A manutenção indefinida de dados sob o argumento de que “podem ser úteis no futuro” é incompatível com uma governança orientada pelos princípios da finalidade e necessidade.
Naturalmente, determinadas informações precisam ser conservadas para cumprimento de obrigações legais, regulatórias ou para exercício regular de direitos.
O ponto fundamental consiste em transformar a retenção em decisão juridicamente fundamentada, e não em consequência automática da ausência de políticas de descarte.
6. Atos societários, registros públicos e proteção de dados
Contratos sociais, estatutos, alterações societárias, atas, procurações, livros societários e outros instrumentos empresariais frequentemente contêm informações relativas a pessoas naturais.
Surge, nesse contexto, uma questão particularmente relevante: a relação entre proteção de dados e publicidade registral.
A LGPD não pode ser interpretada de modo a inviabilizar o regime jurídico de publicidade inerente a determinados atos societários e registros públicos.
Por outro lado, a publicidade do ato não autoriza a inclusão indiscriminada de dados pessoais que não sejam necessários ao cumprimento de sua finalidade.
O princípio da necessidade assume papel importante na conciliação desses interesses.
O profissional responsável pela elaboração do ato societário deve avaliar quais informações são efetivamente necessárias para identificação das partes, validade do negócio e atendimento das exigências legais e registrais.
A pergunta deixa de ser simplesmente “quais dados podemos inserir?” e passa a ser: quais dados precisamos inserir?
Essa mudança aparentemente simples representa importante manifestação da proteção de dados desde a concepção dos processos jurídicos e administrativos.
7. Contratos empresariais e gestão de terceiros
A contratação de fornecedores constitui uma das principais fontes de circulação de dados nas organizações.
Plataformas de tecnologia, serviços de nuvem, sistemas de gestão, processamento de folha, marketing, CRM, segurança, atendimento ao consumidor e inúmeros outros fornecedores podem ter acesso a informações pessoais.
Nesse ambiente, cláusulas genéricas declarando que as partes “cumprirão a LGPD” são insuficientes.
A disciplina contratual deve refletir a operação concreta.
É necessário definir, conforme o caso, papéis e responsabilidades, objeto e finalidade do tratamento, medidas de segurança, confidencialidade, utilização de suboperadores, mecanismos de cooperação no atendimento aos titulares, procedimentos diante de incidentes e destinação das informações ao término da relação.
A gestão contratual deve ser acompanhada de avaliação dos fornecedores durante todo o relacionamento, e não apenas no momento da assinatura.
Governança de terceiros é, consequentemente, parte integrante da governança de dados.
8. Due diligence em proteção de dados
A due diligence constitui mecanismo tradicional de identificação de riscos em operações societárias.
Aspectos fiscais, trabalhistas, contratuais, societários, regulatórios, ambientais e contenciosos normalmente integram os procedimentos de investigação da empresa-alvo.
A economia orientada por dados tornou necessária a inclusão sistemática de uma nova dimensão: privacy and data protection due diligence.
Essa investigação deve buscar compreender, entre outros pontos, quais categorias de dados são tratadas; quais as principais finalidades; quais bases legais são utilizadas; se existem dados pessoais sensíveis; quais fornecedores possuem acesso às informações; quais políticas de retenção são aplicadas; se ocorreram incidentes; se existem reclamações de titulares, processos judiciais ou procedimentos administrativos; e se a organização realiza transferências internacionais de dados.
Também devem ser avaliados contratos com operadores e fornecedores estratégicos, especialmente aqueles relacionados à infraestrutura tecnológica.
O resultado dessa investigação pode repercutir diretamente sobre a estrutura econômica e jurídica da operação.
9. M&A e o passivo invisível dos dados
Considere-se uma sociedade interessada na aquisição de uma empresa que possua centenas de milhares de consumidores cadastrados, dados comportamentais, sistemas de CRM, dados biométricos, múltiplos fornecedores de nuvem e histórico de incidentes de segurança.
Uma análise exclusivamente societária e financeira poderia enxergar nessa base um ativo extremamente valioso.
A due diligence de proteção de dados pode revelar outra realidade.
Talvez não exista documentação sobre a origem de determinadas informações. Talvez dados estejam sendo conservados além do período necessário. Talvez fornecedores críticos não possuam obrigações contratuais adequadas. Talvez um incidente anterior não tenha sido devidamente investigado.
O adquirente poderá, então, estar comprando simultaneamente um ativo informacional e um passivo regulatório.
Essa constatação pode influenciar o valuation da sociedade, a negociação do preço e a própria estrutura contratual.
Declarações e garantias específicas, deveres de informação, mecanismos de indenização, condições precedentes, obrigações de correção antes do fechamento e compromissos pós-closing podem ser utilizados para alocar esses riscos.
A LGPD, portanto, ingressa diretamente na engenharia jurídica das operações de M&A.
10. Data room e minimização da exposição
Há um aspecto adicional que merece atenção.
Para realizar a própria due diligence, potenciais adquirentes, investidores, advogados, auditores e consultores precisam ter acesso a documentos da sociedade-alvo.
Esses documentos podem conter expressivo volume de dados pessoais.
O procedimento destinado a avaliar riscos não pode criar novos riscos desnecessários.
O data room deve ser estruturado com controles de acesso, confidencialidade, rastreabilidade e limitação das informações disponibilizadas.
Quando apropriado, documentos podem ser apresentados com supressão de informações desnecessárias, pseudonimização ou outras medidas destinadas a reduzir a exposição dos titulares.
Também deve ser definida a destinação dos documentos e acessos caso a transação seja encerrada sem conclusão.
A minimização deve alcançar, portanto, a própria diligência jurídica.
11. Reorganizações societárias e integração de dados
Fusões, incorporações, cisões e outras reorganizações podem modificar substancialmente a estrutura responsável pelo tratamento de dados.
Sistemas são integrados, departamentos são reunidos, fornecedores são substituídos e bases de clientes podem ser consolidadas.
Esse processo exige planejamento.
O fechamento jurídico da operação não encerra a questão da proteção de dados.
É recomendável estabelecer um plano de integração que contemple revisão de acessos, contratos, políticas, avisos de privacidade, fornecedores, períodos de retenção e mecanismos de atendimento aos titulares.
A reorganização societária deve ser acompanhada por uma reorganização da governança informacional.
Especial atenção deve ser dedicada às novas finalidades que eventualmente se pretenda atribuir às bases recebidas.
A sucessão ou alteração societária não deve ser interpretada como autorização automática para qualquer utilização futura dos dados.
12. Administradores, encarregado e accountability
A LGPD também repercute sobre a estrutura decisória das sociedades.
Riscos relevantes relacionados a dados precisam chegar aos administradores e integrar os mecanismos internos de gerenciamento de riscos.
Isso se torna especialmente importante em atividades envolvendo tratamento em larga escala, dados pessoais sensíveis, biometria, inteligência artificial, monitoramento sistemático ou grupos vulneráveis.
O encarregado possui função relevante nesse sistema, mas não deve ser transformado no único responsável pela proteção de dados.
Governança pressupõe distribuição adequada de competências.
O encarregado pode atuar como elemento de articulação e orientação, mas decisões empresariais continuam pertencendo às estruturas competentes da organização.
A alta administração, por sua vez, precisa receber informações suficientes para compreender riscos relevantes e decidir sobre recursos, controles e estratégias de mitigação.
A proteção de dados passa, assim, a integrar o próprio dever organizacional de administrar riscos empresariais.
13. Proteção de dados e preservação do valor empresarial
A LGPD é frequentemente apresentada às empresas sob a perspectiva do risco de sanções.
Embora esse componente seja relevante, limitar a discussão às penalidades administrativas reduz excessivamente a dimensão econômica da proteção de dados.
Uma organização que conhece suas bases, documenta seus processos, controla acessos, seleciona adequadamente fornecedores, responde rapidamente a incidentes e demonstra conformidade tende a apresentar maior previsibilidade de riscos.
Essa maturidade pode produzir valor.
Em sentido inverso, empresas incapazes de identificar quais dados possuem podem esconder passivos cuja dimensão somente será descoberta diante de incidente, fiscalização, litígio ou operação societária.
A proteção de dados deve ser compreendida, portanto, também como mecanismo de preservação do valor empresarial.
14. Um novo checklist para a advocacia societária
A transformação digital exige que o advogado societário incorpore novas perguntas aos procedimentos tradicionais de análise empresarial.
Entre elas:
- Quais dados pessoais a sociedade trata e para quais finalidades?
- Quem exerce efetivamente as funções de controlador e operador?
- Quais hipóteses legais sustentam os principais tratamentos?
- Existem dados pessoais sensíveis ou biométricos?
- Como ocorre o compartilhamento dentro do grupo econômico?
- Quais terceiros possuem acesso às informações?
- Existem políticas de retenção, descarte e controle de acesso?
- A organização já sofreu incidentes relevantes ou foi objeto de reclamações e fiscalizações?
- A operação societária pretendida modificará finalidades, acessos ou responsabilidades sobre os dados?
- Existem riscos de proteção de dados capazes de repercutir no preço, nas garantias ou na própria conveniência da operação?
Essas perguntas demonstram que a proteção de dados não constitui matéria periférica ao Direito Societário.
Ao contrário, integra progressivamente seu instrumental de análise.
15. Conclusão
A LGPD introduziu no ambiente empresarial brasileiro uma transformação que ultrapassa a proteção individual da privacidade.
Ao exigir finalidade, necessidade, transparência, segurança, prevenção e prestação de contas, a legislação passou a interferir diretamente na maneira pela qual as organizações estruturam processos, contratos, sistemas e responsabilidades.
No campo societário, seus efeitos são particularmente perceptíveis.
Grupos econômicos precisam compreender os fluxos de informações entre suas sociedades. Contratos precisam refletir as operações reais de tratamento. Due diligences devem investigar passivos de privacidade. Operações de M&A precisam considerar riscos informacionais na formação do preço e na distribuição contratual de responsabilidades. Reorganizações societárias devem ser acompanhadas de processos de integração e governança dos dados.
O advogado societário, portanto, não precisa substituir o especialista em proteção de dados, segurança ou tecnologia.
Precisa, contudo, saber identificar quando uma decisão societária possui dimensão informacional e formular as perguntas necessárias para que esse risco seja adequadamente avaliado.
A governança corporativa da sociedade digital não pode ignorar a governança dos dados.
Em última análise, a aquisição ou reorganização de uma empresa contemporânea envolve algo mais do que a transferência de quotas, ações, contratos, patrimônio, direitos e obrigações.
Transfere também dados, responsabilidades e riscos.
Reconhecer essa realidade representa um dos novos desafios do Direito Societário na sociedade orientada por dados.
Referências
BRASIL. Constituição da República Federativa do Brasil de 1988.
BRASIL. Lei nº 10.406, de 10 de janeiro de 2002. Institui o Código Civil.
BRASIL. Lei nº 12.965, de 23 de abril de 2014. Estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais – LGPD.
BRASIL. Autoridade Nacional de Proteção de Dados – ANPD. Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado.
BRASIL. Autoridade Nacional de Proteção de Dados – ANPD. Guia Orientativo – Tratamento de Dados Pessoais pelo Poder Público.
BRASIL. Autoridade Nacional de Proteção de Dados – ANPD. Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte.
BRASIL. Autoridade Nacional de Proteção de Dados – ANPD. Guia Orientativo – Hipóteses Legais de Tratamento de Dados Pessoais: Legítimo Interesse.
DONEDA, Danilo. Da privacidade à proteção de dados pessoais: elementos da formação da Lei Geral de Proteção de Dados. São Paulo: Thomson Reuters Brasil.
MENDES, Laura Schertel. Privacidade, proteção de dados e defesa do consumidor: linhas gerais de um novo direito fundamental. São Paulo: Saraiva.
TEPEDINO, Gustavo; FRAZÃO, Ana; OLIVA, Milena Donato (coord.). Lei Geral de Proteção de Dados Pessoais e suas repercussões no Direito brasileiro. São Paulo: Thomson Reuters Brasil.
Acervo regulatório organizado pela Okai.
