RGPD na Compra e Venda de Empresas Portugal

Sumário Executivo

O Regulamento Geral sobre a Proteção de Dados (RGPD) transformou a forma como as transações de M&A são conduzidas em Portugal e na União Europeia. A proteção de dados pessoais deixou de ser uma questão puramente técnica para se tornar um fator com impacto direto no valor da transação, na estruturação do negócio e na gestão de riscos pós-aquisição.

Ponto Principal: Numa operação de M&A, dados pessoais são tratados em todas as fases — desde a partilha de informação no data room até à integração de bases de dados de clientes. Cada tratamento deve ter uma base legal válida, e o incumprimento pode gerar coimas até 20 milhões de euros ou 4% do volume de negócios anual global, consoante o valor mais elevado¹.

Aviso Importante: O RGPD não impede transações de M&A, mas exige planeamento cuidadoso. A ausência de compliance na empresa-alvo pode representar um passivo contingente significativo e deve ser avaliada como parte da Due Diligence Jurídica e Fiscal. Consulte sempre um especialista em proteção de dados antes de iniciar o processo.

Para garantir a segurança da informação durante a transação, consulte o guia sobre Data Room em M&A e as boas práticas de Acordos de Confidencialidade (NDA).

---

O RGPD no Contexto de M&A: Enquadramento

O RGPD, em vigor desde 25 de maio de 2018, aplica-se a qualquer tratamento de dados pessoais realizado no contexto de uma transação de M&A. Em Portugal, o regulamento é complementado pela Lei n.º 58/2019, de 8 de agosto, que executa o RGPD na ordem jurídica nacional, e pela atuação da Comissão Nacional de Proteção de Dados (CNPD) enquanto autoridade de controlo².

Numa transação típica de compra e venda de empresa, existem múltiplos momentos em que dados pessoais são tratados: informação de colaboradores (contratos, salários, avaliações), dados de clientes (contactos, histórico de compras, dados de pagamento), dados de fornecedores e parceiros, e por vezes dados sensíveis (saúde ocupacional, registos disciplinares). O comprador, ao aceder a esta informação durante a due diligence, assume responsabilidades enquanto responsável pelo tratamento ou, no mínimo, enquanto destinatário de dados.

A relevância do RGPD em M&A cresceu exponencialmente nos últimos anos. Segundo dados da CNPD, o número de queixas e participações aumentou significativamente desde 2020, e as coimas aplicadas em Portugal e na UE demonstram que os reguladores estão atentos³. Para o comprador, uma empresa com deficiências graves de compliance RGPD representa um passivo contingente real que deve ser quantificado e refletido no preço da transação.

---

Fase 1: RGPD na Due Diligence

A fase de due diligence é o momento de maior tensão entre a necessidade de informação do comprador e a proteção de dados pessoais. O vendedor tem a obrigação de fornecer informação suficiente para uma avaliação adequada, mas deve fazê-lo respeitando os princípios do RGPD, em particular a minimização de dados e a limitação da finalidade.

Na prática, o vendedor deve aplicar técnicas de anonimização ou pseudonimização sempre que possível. Por exemplo, na partilha de informação sobre colaboradores, os nomes podem ser substituídos por códigos, partilhando apenas dados agregados (massa salarial por departamento, antiguidade média, tipos de contrato). Apenas em fases mais avançadas da due diligence, e com justificação adequada, se deve partilhar informação nominativa — e sempre sob proteção de um NDA robusto.

A base legal mais frequentemente invocada para o tratamento de dados na due diligence é o interesse legítimo do vendedor (artigo 6.º, n.º 1, alínea f) do RGPD). No entanto, esta base exige a realização de um teste de ponderação (balancing test) que demonstre que o interesse do vendedor em concretizar a transação prevalece sobre os direitos dos titulares dos dados. A CNPD tem sido rigorosa nesta matéria, exigindo documentação adequada do teste de ponderação⁴.

---

Fase 2: O Data Room e a Segurança da Informação

O data room virtual é o instrumento central de partilha de informação numa transação de M&A, e o seu funcionamento deve estar em total conformidade com o RGPD. A escolha da plataforma, as políticas de acesso e a gestão da informação têm implicações diretas em termos de proteção de dados.

O vendedor, enquanto responsável pelo tratamento dos dados pessoais contidos no data room, deve garantir que a plataforma utilizada oferece medidas de segurança adequadas ao risco: encriptação (em trânsito e em repouso), controlo de acessos granular (por utilizador e por documento), registo de atividade (audit trail), marca de água digital, restrição de downloads e impressão, e possibilidade de revogação remota de acessos. Para uma análise detalhada, consulte o guia Como Preparar e Organizar um Data Room.

Do ponto de vista contratual, o acesso ao data room deve ser regulado por um NDA que inclua cláusulas específicas sobre proteção de dados: limitação de finalidade (utilização exclusiva para avaliação da transação), obrigação de destruição ou devolução dos dados em caso de não concretização, e compromisso de não cópia ou exportação de dados pessoais sem autorização expressa.

---

Fase 3: Avaliação de Compliance RGPD da Empresa-Alvo

Um dos componentes fundamentais da due diligence jurídica em M&A é a avaliação do nível de compliance RGPD da empresa-alvo. Esta avaliação determina se a empresa está em conformidade com as suas obrigações regulatórias e, caso não esteja, qual o custo de adequação e o risco de sanções.

A avaliação deve cobrir todos os elementos essenciais do RGPD: existência e qualidade do registo de atividades de tratamento (artigo 30.º), nomeação de Encarregado de Proteção de Dados (DPO) quando obrigatório (artigo 37.º), realização de Avaliações de Impacto sobre Proteção de Dados (AIPD) para tratamentos de alto risco (artigo 35.º), políticas de privacidade atualizadas, mecanismos de gestão de consentimento, procedimentos para exercício de direitos dos titulares, e medidas técnicas e organizativas de segurança.

Em Portugal, a experiência demonstra que a maioria das PMEs tem lacunas significativas de compliance RGPD. Segundo dados da CNPD e de estudos setoriais, apenas cerca de 30% das PMEs portuguesas consideram estar plenamente em conformidade com o RGPD. As deficiências mais comuns incluem a ausência de registo de atividades, políticas de privacidade desatualizadas, ausência de DPO quando obrigatório, e falta de procedimentos para gestão de violações de dados (data breaches).

---

Fase 4: Transferência de Dados no Closing

O momento do closing — a conclusão efetiva da transação — implica a transferência de controlo sobre os dados pessoais da empresa-alvo para o comprador. A forma como esta transferência se processa depende da estrutura da transação.

Na aquisição de quotas/ações (share deal), a empresa-alvo mantém a sua personalidade jurídica e continua a ser a responsável pelo tratamento dos dados. Neste caso, não há, em sentido estrito, uma "transferência" de dados — os dados permanecem na mesma entidade jurídica, que simplesmente muda de propriedário. Contudo, o novo controlo societário pode exigir atualizações às políticas de privacidade e comunicação aos titulares dos dados.

Na aquisição de ativos (asset deal) ou trespasse, a situação é mais complexa. Os dados pessoais (bases de dados de clientes, registos de colaboradores) são transferidos de uma entidade para outra, o que constitui uma comunicação de dados a terceiro. Neste caso, é necessário identificar a base legal para a transferência — tipicamente o interesse legítimo ou a execução de um contrato — e informar os titulares dos dados⁵. No caso de dados de clientes para efeitos de marketing, pode ser necessário obter novo consentimento.

---

Fase 5: Integração Pós-Aquisição e RGPD

Após o closing, o comprador enfrenta o desafio de integrar os dados e sistemas da empresa adquirida com os seus próprios, mantendo a conformidade RGPD. Esta fase é frequentemente subestimada e pode gerar riscos significativos se não for adequadamente planeada.

As prioridades imediatas incluem: atualizar a política de privacidade da empresa adquirida para refletir o novo responsável pelo tratamento (ou a nova estrutura de grupo), comunicar aos titulares dos dados as alterações relevantes (especialmente se houver novos fins de tratamento ou novos destinatários), e realizar uma avaliação de impacto caso a integração de bases de dados constitua um tratamento de alto risco.

A harmonização de sistemas é outro desafio relevante. Se o comprador e a empresa-alvo utilizam sistemas diferentes (ERP, CRM, plataformas de e-mail marketing), a migração de dados deve respeitar os princípios de minimização e exatidão. Dados desatualizados, duplicados ou desnecessários devem ser eliminados — o que, além de uma obrigação legal, constitui uma oportunidade para limpar e otimizar as bases de dados.

Um aspeto frequentemente esquecido é a gestão dos subcontratantes (processadores de dados). A empresa adquirida pode ter contratos de subcontratação com fornecedores de serviços (cloud, marketing digital, payroll) que não estão em conformidade com o artigo 28.º do RGPD. Estes contratos devem ser revistos e, se necessário, renegociados ou substituídos.

---

Coimas e Sanções: Quantificar o Risco

O regime sancionatório do RGPD é um dos mais severos do ordenamento jurídico europeu e constitui um fator material na avaliação de risco de uma transação de M&A. O comprador que adquire uma empresa com deficiências de compliance RGPD herda potencialmente o risco de sanção.

As coimas previstas no RGPD dividem-se em dois escalões: até 10 milhões de euros ou 2% do volume de negócios anual global (para infrações de menor gravidade, como ausência de registo de atividades) e até 20 milhões de euros ou 4% do volume de negócios anual global (para infrações graves, como tratamento ilícito de dados ou violação de direitos dos titulares). Em Portugal, a Lei n.º 58/2019 estabelece ainda contraordenações específicas com coimas que podem atingir 500.000€⁶.

Na prática, a CNPD tem aplicado coimas moderadas comparativamente a outras autoridades europeias, mas a tendência é de aumento. Para efeitos de due diligence, o comprador deve solicitar o histórico de queixas, participações e processos junto da CNPD, bem como o registo de data breaches. A existência de queixas pendentes ou de violações não reportadas constitui um passivo contingente que deve ser refletido no preço ou coberto por garantias contratuais.

---

Checklist RGPD para Transações de M&A

Para facilitar a gestão da conformidade RGPD ao longo de toda a transação, apresentamos uma checklist prática organizada por fase.

Fase de Due Diligence:

• Verificar existência de registo de atividades de tratamento (Art. 30.º)
• Confirmar nomeação de DPO (quando obrigatório)
• Avaliar políticas de privacidade e avisos de cookies
• Verificar mecanismos de gestão de consentimento
• Analisar contratos com subcontratantes (Art. 28.º)
• Solicitar histórico de data breaches e queixas à CNPD
• Verificar AIPD para tratamentos de alto risco
• Avaliar medidas técnicas e organizativas de segurança

Fase de Closing:

• Definir base legal para transferência de dados (asset deal)
• Preparar comunicação aos titulares dos dados
• Atualizar registos de atividades de tratamento
• Rever e atualizar contratos com subcontratantes

Fase de Integração:

• Harmonizar políticas de privacidade
• Migrar dados com respeito pelos princípios de minimização
• Realizar AIPD para novos tratamentos de alto risco
• Formar colaboradores sobre novas políticas
• Nomear ou rever funções do DPO na estrutura integrada

---

Perguntas Frequentes

---

Fontes Primárias

---

Conclusão

O RGPD é hoje um elemento incontornável em qualquer transação de M&A em Portugal. O que era tradicionalmente uma questão de compliance secundária tornou-se um fator com impacto direto no valor da empresa, na estruturação do negócio e na gestão de riscos pós-aquisição.

Para o comprador, a mensagem é clara: a avaliação de compliance RGPD da empresa-alvo deve ser integrada na due diligence desde o início, com o mesmo rigor aplicado à análise financeira e fiscal. Uma empresa com deficiências graves de proteção de dados não é apenas um risco regulatório — é uma empresa que pode estar a tratar dados de forma que compromete a confiança dos seus clientes e colaboradores.

Para o vendedor, a preparação é igualmente importante. Uma empresa com compliance RGPD demonstrada é mais atrativa para compradores, facilita a due diligence e pode justificar uma valorização superior. O investimento em adequação é, neste sentido, um investimento na vendabilidade do negócio.

Footnotes

1. Regulamento (UE) 2016/679, artigo 83.º — Condições gerais para a aplicação de coimas. ↩

2. Lei n.º 58/2019, de 8 de agosto — Assegura a execução, na ordem jurídica nacional, do RGPD. ↩

3. CNPD — Relatório anual de atividades, dados disponíveis em cnpd.pt. ↩

4. CNPD — Orientações sobre o interesse legítimo como base legal para o tratamento de dados pessoais. ↩

5. RGPD, artigos 13.º e 14.º — Informações a facultar ao titular dos dados. ↩

6. Lei n.º 58/2019, artigos 37.º a 44.º — Regime sancionatório nacional. ↩