Operações de M&A (Mergers & Acquisitions) não são somente aquelas em que há união de duas ou mais empresas, aquisição de empresas ou ativos empresariais. Elas também incluem a formação de grupos empresariais, consórcios, incorporação de ações, cisões, dentre outras.

Quando as empresas têm interesse em realizar alguma das operações de M&A, elas devem realizar um processo de auditoria solicitando diversos dados, documentos e informações umas das outras, referentes a diversas áreas, para concluírem a transação com segurança.

Os documentos, dados e informações compartilhados podem conter dados pessoais de funcionários, terceiros, fornecedores e clientes, tais como nome, RG, CPF, endereço ou até mesmo dados pessoais sensíveis como dados de saúde e, sendo assim, é necessário que as empresas se atentem ao disposto na Lei n.º 13.709/2018, a LGPD.

Assim, é importante que as empresas envolvidas em uma operação de M&A firmem acordos prévios de confidencialidade objetivando evitar que clientes, parceiros e fornecedores tenham ciência da transação, mas também elaborem cláusulas que versem sobre o tratamento de dados pessoais e dados pessoais sensíveis referentes aos documentos, dados e informações compartilhados.

A LGPD traz em seu artigo 6º os princípios que regem a lei, sendo os principais deles o da finalidade, da adequação, da qualidade, da finalidade e da não discriminação (tratamento deverá ser adequado, utilizando dados de qualidade e que forem necessários para atingir uma finalidade específica, sem que haja a discriminação dos titulares), bem como ao da boa-fé e da transparência perante os titulares de dados.

Para que as empresas possam compartilhar os dados pessoais dos titulares e garantir o sigilo da transação é necessário compreender que a empresa possuidora dos dados é reconhecida como Controladora perante a legislação e, por tal razão, poderá tratar os dados pessoais dos titulares sem o seu conhecimento em situações específicas, conforme disposto no art. 7º da Lei.

No art. 7º, inciso IX, há a autorização para tratamento de dados pessoais sem o conhecimento do titular quando for necessário para atender os legítimos interesses dos Controladores e, assim, o tratamento e compartilhamento de dados pessoais quando da realização de uma operação de M&A pode ser enquadrada nesta base legal, vez que se trata de uma estratégia empresarial fundamentada na liberdade econômica.

Entretanto, é necessário que as empresas tenham cuidado quando utilizarem o legítimo interesse como base legal, pois ela não é hipótese autorizadora para tratamento de dados pessoais sensíveis. Ou seja, aqueles sobre origem étnica ou racial, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, ou dado genético ou biométrico.

Para que seja possível o tratamento e compartilhamento de dados sensíveis é necessário que se tenha especial cautela, observando o disposto no art.11º, da referida Lei.

Não obstante, é necessário ressaltar que, embora haja a possiblidade de enquadrar o tratamento de dados pessoais na base legal do legítimo interesse, é importante que as empresas tenham se adequado à LGPD e, ainda, tenham a cautela de, quando possível, firmar termos de consentimento com seus funcionários, clientes, parceiros e fornecedores prevendo a possibilidade de compartilhamento de dados com terceiros para fins de auditorias de operações de M&A para garantir o respeito ao princípio da transparência.

Por fim, caso haja dúvidas sobre a possibilidade de tratamento e compartilhamento de dados pessoais, recomenda-se a consulta a um advogado especialista em proteção de dados para que oriente as empresas envolvidas a fim de evitar o descumprimento da legislação, o que pode gerar penalidades não só administrativas nos termos da lei, como também judiciais quando gerar dano moral ou patrimonial.