TRATAMENTO DE DADOS PESSOAIS EM OPERAÇÕES DE M&A: UM ESTUDO SOBRE AS BASES LEGAIS APLICÁVEIS E AS MEDIDAS TÉCNICAS E ADMINISTRATIVAS ADOTADAS PARA CONFORMIDADE COM A LEGISLAÇÃO

As operações de Fusões e Aquisições (M&A) envolvem intensa troca de informações entre as partes, especialmente nas fases de negociações preliminares e auditoria (due diligence), em que há formação de diretórios físicos ou digitais (data rooms). Nesse contexto, além de informações protegidas por segredo industrial e comercial, é comum o compartilhamento de dados pessoais, o que impõe às partes o dever de conformidade com as normas aplicáveis no Brasil, em especial a Lei Geral de Proteção de Dados Pessoais (LGPD). Este artigo analisa as medidas jurídicas, operacionais e técnicas que devem ser adotadas para assegurar a licitude do tratamento de dados pessoais ao longo da operação. Discute-se a suficiência dos acordos de confidencialidade e a necessidade de enquadramento do tratamento em uma das bases legais previstas na LGPD, considerando os entraves práticos do consentimento. Examina-se a viabilidade de se adotar a execução de contrato, a proteção do crédito e o legítimo interesse como fundamentos legais para o tratamento. Investiga-se, ainda, os procedimentos necessários para transferências internacionais de dados. Por fim, o estudo propõe um conjunto de medidas técnicas e administrativas que complementam a governança jurídica da operação, a fim de mitigar riscos e garantir a segurança das informações. A pesquisa adota o método dedutivo, possui caráter exploratório e analítico, e se desenvolve por meio de revisão bibliográfica, análise da legislação e exame empírico a partir de declarações de boas práticas de governança de dados.