Fornecedor perde maior contrato do ano por falha em due diligence de privacidade
Contexto
Uma empresa de médio porte, atuante no segmento de prestação de serviços B2B com faturamento anual estimado entre R$ 30 milhões e R$ 80 milhões, chegou ao estágio final de negociação do maior contrato comercial de sua história. O comprador era uma corporação de grande porte com programa estruturado de gestão de fornecedores, incluindo avaliação sistemática de conformidade regulatória antes da assinatura de qualquer instrumento contratual relevante.
O contrato em negociação envolvia o acesso, o processamento e o armazenamento de dados pessoais de clientes e colaboradores do comprador, o que tornava a avaliação de privacidade não apenas razoável, mas obrigatória do ponto de vista da responsabilidade solidária prevista na LGPD. O comprador aplicou seu protocolo padrão de due diligence de privacidade. O fornecedor reprovou. O contrato não foi assinado.
O que estava em jogo não era somente a receita daquele negócio específico. Era a prova de que o programa de privacidade da empresa tinha substância suficiente para resistir ao escrutínio externo. E essa prova não existia.
A falha
A reprovação na due diligence não resultou de um incidente, de um vazamento ou de uma autuação. Resultou da ausência de documentação e governança que qualquer comprador minimamente estruturado exige ao contratar um fornecedor que tratará dados pessoais em seu nome ou em conjunto com ele. As lacunas identificadas eram três, todas com ancoragem direta na LGPD.
Ausência de registro das operações de tratamento (art. 37)
O art. 37 da LGPD determina que o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizam, especialmente quando baseado no legítimo interesse. O fornecedor não possuía esse registro formalizado.
Na prática, isso significa que a empresa não sabia, de forma documentada e auditável, quais dados coletava, com qual finalidade, em qual base legal, por quanto tempo os retinha, com quais terceiros os compartilhava e quem era o responsável interno por cada operação. Para o comprador corporativo, ausência de registro equivale a ausência de controle. Sem controle, não há como avaliar risco. Sem avaliação de risco, não há como assinar.
A ANPD já sinalizou que o registro de operações é um dos primeiros documentos solicitados em processos de fiscalização. Sua ausência configura descumprimento direto de obrigação legal, independentemente de qualquer incidente.
Ausência de Relatório de Impacto à Proteção de Dados (RIPD)
O art. 38 da LGPD autoriza a ANPD a determinar ao controlador a elaboração de relatório de impacto à proteção de dados pessoais, e o art. 10, §3º, torna o RIPD obrigatório quando o tratamento se baseia no legítimo interesse. O Guia Orientativo da ANPD sobre Legítimo Interesse, publicado em 2022, reforça essa exigência e detalha os elementos mínimos que o documento deve conter.
O fornecedor não havia elaborado o RIPD para nenhuma de suas operações. Para o comprador, isso sinalizou dois problemas simultâneos: (1) a empresa não avaliou os riscos que seu tratamento impõe aos titulares; e (2) a empresa provavelmente não tinha clareza sobre quais bases legais utilizava, dado que o RIPD é o instrumento que demonstra a ponderação de interesses exigida para o legítimo interesse.
Ausência de Legítimate Interest Assessment (LIA) formalizada
A LIA, ou avaliação de legítimo interesse, é o instrumento analítico que precede e alimenta o RIPD quando a base legal adotada é o legítimo interesse (art. 7º, IX, e art. 10 da LGPD). Ela estrutura o teste de três etapas: finalidade legítima, necessidade do tratamento e equilíbrio entre o interesse do controlador e os direitos dos titulares.
O fornecedor não havia conduzido esse exercício de forma documentada. Em termos práticos, utilizava dados pessoais sem ter registrado, em lugar nenhum, a justificativa legal para fazê-lo. Para qualquer comprador com programa de privacidade maduro, essa omissão indica que o fornecedor trata dados por inércia, não por deliberação. O risco de transferência de responsabilidade para o comprador, caso ocorra um incidente, é imediato e concreto.
A consequência
Quadro de impacto financeiro
O número central deste caso é o contrato que não foi assinado. Trata-se do maior contrato do ano para o fornecedor, conforme os fatos travados. As linhas abaixo separam o que é fato do que é premissa de cenário para que o leitor projete sua própria exposição.
| Parâmetro | Classificação | Valor / Base |
|---|---|---|
| Contrato não assinado após reprovação na due diligence | Fato travado | Maior contrato do ano do fornecedor (valor nominal não divulgado publicamente; âncora qualitativa do caso) |
| Multa administrativa LGPD por infração (teto legal) | Parâmetro legal fixo | Até 2% do faturamento bruto no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração (LGPD, art. 52, II) |
| Exposição regulatória por três infrações identificadas (art. 37, art. 38 e base legal sem LIA) | Parâmetro legal aplicado ao caso | Até 3 × R$ 50 milhões = R$ 150 milhões de teto absoluto; ou até 3 × 2% do faturamento, o que for menor |
| Faturamento anual do fornecedor (premissa de cenário, não dado da empresa) | Premissa de cenário | R$ 50 milhões (ponto médio da faixa estimada de R$ 30 milhões a R$ 80 milhões) |
| Exposição máxima sobre faturamento hipotético, três infrações | Premissa de cenário | R$ 50 milhões × 2% × 3 = R$ 3 milhões |
| Custo estimado de implementação preventiva de governança (registro, RIPD, LIA, treinamento) | Premissa de cenário (referência de mercado) | R$ 80 mil a R$ 200 mil, dependendo da complexidade operacional |
| Razão remediação emergencial versus prevenção | Premissa de cenário | 10:1 a 20:1 (custo de crise versus custo de programa estruturado) |
Leitura do quadro: o número real âncora é o contrato perdido, descrito nos fatos como o maior do ano. Mesmo sem o valor nominal público, esse é o impacto financeiro primário e verificável. A exposição regulatória de até R$ 3 milhões (sobre faturamento hipotético de R$ 50 milhões, três infrações) é um cenário paralelo que poderia materializar-se caso a ANPD iniciasse fiscalização, independentemente do episódio comercial.
Impacto operacional e reputacional
A reprovação em due diligence deixa rastro. Compradores corporativos compartilham informações sobre fornecedores dentro de suas cadeias de suprimentos, e o resultado de uma avaliação negativa pode circular entre potenciais clientes do mesmo setor antes que o fornecedor tenha a oportunidade de corrigir as falhas.
Além disso, o fornecedor perdeu o momento de negociação mais favorável que tinha. O esforço de relacionamento, as rodadas de proposta, os recursos jurídicos e comerciais alocados ao processo foram consumidos sem retorno. Esse custo de oportunidade não aparece em nenhuma demonstração financeira, mas é real.
Do ponto de vista operacional, a empresa foi colocada em posição de ter de estruturar às pressas um programa de privacidade que deveria existir há meses. Programas construídos sob pressão de prazo tendem a ser incompletos, não internalizados pela equipe e ineficazes na próxima rodada de due diligence.
O custo da inação
O contrato perdido é visível. O que não aparece na demonstração de resultados é mais extenso.
Pipeline comprometido. Compradores corporativos de grande porte adotam, de forma crescente, questionários estruturados de privacidade como etapa padrão do processo de homologação de fornecedores. Uma empresa que reprovou uma vez não tem garantia de aprovação automática na próxima tentativa se não documentar a evolução do seu programa. Cada oportunidade de contrato B2B relevante passa a carregar esse risco embutido.
Custo de capital e valuation. Empresas em processo de captação, fusão ou aquisição submetem-se a due diligence jurídica e regulatória conduzida por fundos e compradores estratégicos. Ausência de registro de operações, RIPD e LIA são itens de checklist padrão nesses processos. Passivos regulatórios identificados em M&A são precificados diretamente no valuation, seja como desconto no preço, seja como retenção em escrow, seja como condição precedente ao fechamento.
Seguro cyber e cibersegurança. Seguradoras que operam linhas de seguro cyber no Brasil incluem, nos questionários de subscrição, perguntas sobre existência de registro de operações de tratamento, política de privacidade ativa e designação de encarregado. Empresas sem governança documentada pagam prêmios maiores ou recebem coberturas mais restritivas.
Custo de remediação tardia. Construir o programa após a reprovação, sob pressão e com prazo para uma nova tentativa, custa entre duas e quatro vezes mais do que um programa planejado. Isso inclui horas de consultoria em regime de urgência, revisão de contratos em andamento, treinamento acelerado de equipes e eventual necessidade de auditoria externa para validação.
Somando as dimensões: o custo da inação, neste caso, ultrapassa em múltiplos o investimento que teria sido necessário para estruturar o programa de governança antes da due diligence. A razão entre remediação e prevenção, mesmo em cenário conservador, situa-se entre 10:1 e 20:1. Para uma empresa de médio porte com faturamento na faixa de R$ 50 milhões, isso representa a diferença entre investir R$ 150 mil em governança preventiva e absorver perdas de R$ 1,5 milhão a R$ 3 milhões em contratos, remediação e impacto regulatório.
Espelhe na sua operação
As perguntas abaixo não são retóricas. Elas replicam o roteiro que qualquer comprador corporativo estruturado aplicará ao avaliar seu fornecedor.
1. Você consegue apresentar, agora, o registro de todas as operações de tratamento de dados pessoais da sua empresa? Se a resposta for "está em construção" ou "temos um rascunho", o risco é o mesmo do fornecedor deste caso.
2. Para cada operação que utiliza legítimo interesse como base legal, existe uma LIA documentada e revisada? Utilizar o legítimo interesse sem avaliação formalizada é tratar dados sem base legal auditável. Isso é exatamente o que um comprador sofisticado detecta em minutos.
3. Quantas operações de tratamento de dados pessoais a sua empresa realiza sem RIPD elaborado? Multiplique esse número pelo risco unitário. Cada operação sem RIPD é uma infração potencial independente para fins de dosimetria da ANPD.
4. Qual é o maior contrato B2B que você tem em negociação agora? Ele sobreviveria a uma due diligence de privacidade aplicada amanhã? Esse é o exercício de realidade. Se a resposta gerar dúvida, o risco já está ativo.
5. Mini cálculo para o leitor:
Exposição regulatória estimada = Faturamento bruto anual no Brasil (excluídos tributos) × 2% × número de infrações identificadas (mínimo 3, neste caso) Exemplo com faturamento de R$ 60 milhões: R$ 60.000.000 × 2% × 3 = R$ 3.600.000 Teto por infração: R$ 50.000.000 (LGPD, art. 52, II) Aplica-se o menor valor entre o percentual e o teto.
Esse número não inclui o contrato perdido, o custo de remediação nem o impacto em valuation. É apenas a faixa regulatória.
O aprendizado
A falha deste caso não é técnica. É de gestão. A empresa tinha meses, possivelmente anos, para estruturar o que a LGPD exige desde 2020. Não o fez porque privacidade era tratada como projeto futuro, não como requisito operacional presente.
O resultado foi perder o maior contrato do ano em uma etapa que poderia ter sido eliminada com antecedência. Não houve incidente. Não houve sanção. Não houve vazamento. Houve apenas a ausência de documentação que qualquer comprador responsável exige antes de compartilhar seus dados com um terceiro.
A LGPD2U estrutura programas de conformidade contínua que endereçam exatamente esse cenário: mapeamento e registro de operações de tratamento, elaboração e manutenção de RIPDs, condução de LIAs, designação e suporte ao encarregado, e monitoramento periódico da aderência ao framework regulatório. O programa não é construído para passar em uma due diligence pontual. É construído para que a empresa esteja sempre em condição de ser auditada, porque compradores corporativos, investidores e reguladores não anunciam quando vão olhar.
Governança de privacidade não é custo de compliance. É condição de acesso a mercados, a capital e a contratos. Este caso demonstra que o custo de não ter é sempre maior do que o custo de construir.
Fontes
- Lei nº 13.709/2018 (LGPD), art. 7º (bases legais para tratamento), art. 10 (legítimo interesse), art. 37 (registro de operações), art. 38 (relatório de impacto), art. 46 (segurança), art. 52 (sanções administrativas): https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
- ANPD, Guia Orientativo sobre Legítimo Interesse, 2022 (referência ao RIPD como obrigação vinculada ao art. 10, §3º): https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia-orientativo-sobre-legitimo-interesse.pdf
- ANPD, Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023): https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-4-de-24-de-fevereiro-de-2023-467059512
- ANPD, Nota Técnica sobre Registro de Operações de Tratamento de Dados Pessoais (referência à obrigatoriedade do art. 37 em processos de fiscalização): https://www.gov.br/anpd/pt-br