LGPD no mercado de capitais: a ANPD pune pouco, mas o custo já está embutido no preço de M&A de gestoras e fintechs

Síntese

Tese: Seis anos após a vigência plena da Lei 13.709/2018, a Autoridade Nacional de Proteção de Dados aplicou multas administrativas de porte modesto e nenhuma sanção pública sobre gestora, corretora ou fintech regulada pela CVM. O risco LGPD, porém, deslocou-se da esfera sancionadora federal para o contrato: representações, garantias e ajustes de preço em operações de M&A envolvendo administradores de carteira e distribuidores digitais já precificam a exposição, com desconto observável em transações de 2024-2026. Previsão: até dezembro de 2026, a ANPD publica pelo menos uma sanção administrativa contra instituição regulada pela CVM ou pelo Banco Central por incidente de tratamento de dados de investidores, com valor inferior a R$ 10 milhões, mantendo o padrão de dosimetria contida da Resolução CD/ANPD 4/2023. Ação: gestoras, distribuidores e fintechs em rodada de captação ou processo de venda devem reavaliar o inventário de operações de tratamento (art. 37 da LGPD), o encarregado (DPO) e o registro de incidentes antes que a exigência apareça como condição precedente em term sheet, não depois.

Contexto

O dólar fechou 22 de julho em R$ 5,0612, com tendência semanal de queda de 1,68%; o Ibovespa subiu 1,21% no dia, o WTI saltou 2,21% e o ouro avançou 1,99%. Selic em 14,25%, IPCA acumulado de 4,64% em doze meses ainda acima do teto contínuo de 4,50%, Copom já em ciclo de corte. Cenário de repricing global de risco combinado com apetite doméstico por ativos financeiros e por consolidação no setor. Dias assim tendem a acelerar conversas de M&A que estavam paradas na mesa desde o começo do ciclo restritivo.

Nesse ambiente, o item mais silencioso da diligência ganhou peso desproporcional. Não é o passivo trabalhista, não é a contingência tributária: é o inventário de dados pessoais que a target detém e a arquitetura contratual que assumiu ao coletá-los. A tese aqui é direta. A LGPD entrou no mercado financeiro brasileiro por porta administrativa e sai por porta contratual. A ANPD ainda pune pouco; o comprador desconta muito.

O que mudou

A Lei 13.709/2018 entrou em vigor em setembro de 2020, com sanções administrativas exigíveis desde agosto de 2021 (Lei 14.010/2020). A Autoridade Nacional foi criada pela Medida Provisória 869/2018, convertida na Lei 13.853/2019, com estrutura definitiva consolidada na Lei 14.460/2022, que a transformou em autarquia de natureza especial. O Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD 4, de 24 de fevereiro de 2023) padronizou critérios de gravidade, boa-fé, cooperação e reincidência, com teto de 2% do faturamento no Brasil por infração, limitado a R$ 50 milhões.

O histórico de enforcement é conservador. A primeira multa pública da ANPD saiu em julho de 2023, contra a Telekall Infoservice, no valor de R$ 14.400 por falhas em fase de investigação preliminar. As sanções subsequentes seguiram na mesma escala. Os casos de maior visibilidade envolveram termos de ajustamento (Serasa, 2022; Meta, 2024) em vez de multa cheia. Nenhuma instituição regulada pela CVM ou pelo BCB foi objeto de sanção pública da ANPD até esta data. O regulador de dados brasileiro chegou tarde à mesa e ainda está calibrando peso.

A intersecção com a CVM opera em três frentes normativas. A Resolução CVM 21/2021 exige do administrador de carteiras política de segurança da informação e segregação de bases de clientes. A Resolução CVM 35/2021, sobre distribuição, estabelece regras de sigilo e finalidade no uso de dados cadastrais. A Resolução CVM 175/2022 impõe às gestoras de fundos deveres fiduciários que incluem a proteção de informações de cotistas. O BCB, por sua vez, tratou o tema no Open Finance (Resolução BCB 32/2020) e nas obrigações de PLD/FT (Resolução BCB 119/2021), que exigem tratamento intensivo de dados cadastrais e transacionais. Uma instituição financeira sob dupla supervisão precisa fazer o dado ser suficiente para KYC/PLD e limitado o bastante para LGPD, no mesmo processo, com finalidades declaradas em bases legais distintas.

O contraste internacional dimensiona o gap de escala sancionatória. A CNIL francesa aplicou multa de €150 milhões ao Google em janeiro de 2022 por design de consentimento de cookies. A DPC irlandesa multou a Meta em €1,2 bilhão em maio de 2023 por transferência internacional de dados sem base legal adequada, no caso Data Protection Commission v. Meta Platforms Ireland. Não se trata de defender que a ANPD siga esse padrão: trata-se de reconhecer que o mercado global de M&A precifica LGPD com referência ao GDPR, mesmo quando a autoridade local opera em outra ordem de grandeza.

Impacto prático

O deslocamento do risco para a esfera contratual é o dado que importa a quem opera capital.

Cláusulas de representação em SPAs. Contratos de compra e venda de participação em gestoras, corretoras e fintechs passaram a incluir representations específicas sobre conformidade LGPD: existência de inventário de operações de tratamento, nomeação formal de encarregado, registro de incidentes, base legal declarada para cada finalidade, contratos com operadores. Em 2024 e 2025, um subconjunto crescente de transações no setor de administração de recursos exigiu auditoria específica de conformidade LGPD antes do fechamento, com ajuste de preço vinculado ao resultado. O ajuste não é grande em valor absoluto; é significativo quando comparado ao patrimônio líquido de gestoras pequenas.

Diligência técnica em fundos com base de investidores relevante. Gestoras que administram FIPs, FIDCs e fundos de participação passaram a receber, na diligência de cotistas institucionais, questionário estruturado sobre LGPD com peso comparável ao de compliance financeiro. A base legal para o tratamento de dados de investidores é geralmente execução de contrato (art. 7º, V, da LGPD), mas usos secundários (marketing, pesquisa, oferta de produtos correlatos) exigem consentimento ou legítimo interesse justificado. A confusão entre bases legais é achado recorrente e vira condição precedente para desembolso adicional.

Risco de dupla sanção. Uma instituição regulada pela CVM que sofra vazamento de dados de investidores pode responder simultaneamente perante a ANPD (LGPD) e perante a CVM (Resolução 21/2021, art. 4º, e Resolução 35/2021). A comunicação obrigatória ao titular e à ANPD em caso de incidente de segurança (art. 48 da LGPD) coincide com a obrigação de reporte à CVM em situações que afetem a integridade da prestação de serviços. Programas de resposta a incidentes que não coordenam as duas comunicações produzem inconsistência documental que qualquer diligência captura.

O ponto teórico de fundo. Rafael La Porta, Florencio Lopez-de-Silanes, Andrei Shleifer e Robert Vishny, em Law and Finance (Journal of Political Economy, 1998), mostraram que jurisdições de tradição romano-germânica tendem a produzir proteção ao investidor via norma escrita detalhada, com enforcement variável. O Brasil replica o padrão no capítulo LGPD: norma abrangente, princípios espelhados no GDPR, autoridade instituída, sanção efetiva ainda concentrada em casos pequenos. A consequência prevista pelo modelo LLSV é conhecida: o mercado supre o gap de enforcement público via contrato privado, e o custo desse ajuste é pago por quem vende ativo com passivo LGPD não mapeado.

Pontos de atenção

Encarregado formal não é suficiente: A nomeação de DPO (art. 41 da LGPD) sem inventário de operações, sem política de retenção e sem log de incidentes é achado recorrente em diligência. A ANPD aceita a nomeação como cumprimento parcial; o comprador em M&A não aceita. A diferença entre conformidade regulatória mínima e conformidade contratual explorável é mensurável em desconto de preço.
Termo de ajustamento como via preferencial: O padrão observado nos casos Serasa (2022) e Meta (2024) sinaliza preferência da ANPD por acordos de conformidade em vez de multa cheia. Instituições sob investigação preliminar têm janela real para negociar compromisso com custo operacional definido, evitando processo administrativo sancionador com efeito reputacional prolongado.
Revisão anual do inventário e do RIPD: O Relatório de Impacto à Proteção de Dados Pessoais (art. 38 da LGPD) e o inventário de operações precisam ser revistos com periodicidade compatível com a evolução dos produtos. Para gestoras e fintechs, a revisão anual sincronizada com a atualização de política de suitability (Resolução CVM 30/2021) reduz custo de auditoria e uniformiza documentação.

Linha do tempo

Ago/2018 Sanção da Lei 13.709/2018 (LGPD)
Set/2020 Entrada em vigor da parte material da LGPD; ANPD constituída
Ago/2021 Sanções administrativas passam a ser exigíveis
Fev/2023 Resolução CD/ANPD 4/2023 padroniza dosimetria
Jul/2023 Primeira multa pública da ANPD (Telekall Infoservice, R$ 14.400)
Mai/2023 DPC irlandesa multa Meta em €1,2 bilhão (referência internacional)
2024-2025 LGPD entra como diligência estruturada em M&A de gestoras e fintechs
Jul/2026 Selic em 14,25%, ciclo de corte iniciado; dólar em R$ 5,06 com tendência de queda semanal de 1,68%
Dez/2026 (previsão) Primeira sanção pública da ANPD contra instituição regulada por CVM ou BCB

Conclusão

A LGPD não produziu no Brasil o enforcement sancionatório que o GDPR produziu na Europa, e provavelmente não produzirá no horizonte próximo. Isso não significa que o risco tenha desaparecido: significa que ele mudou de balcão. O comprador de gestora ou de fintech, o cotista institucional em FIP, o investidor em oferta primária de plataforma digital, todos aprenderam a ler o inventário de tratamento antes de assinar. O custo da não conformidade é pago em preço, não em multa. Para muitas targets, o preço é maior.

Três verificações concretas para quem está do lado da venda ou do capital: (1) seu inventário de operações de tratamento cobre todas as finalidades declaradas ao investidor e ao regulador, ou há uso secundário sem base legal explícita? (2) O encarregado nomeado tem canal funcional documentado, e o registro de incidentes tem log capaz de sobreviver a uma diligência técnica? (3) Se a instituição sofresse vazamento amanhã, a comunicação obrigatória ao titular, à ANPD e à CVM sairia coordenada, ou cada área responderia isoladamente? Quem responde "não sei" a qualquer das três está descontando o próprio preço antes do comprador chegar.

Veja também

Fontes

  • Lei 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), arts. 7º, 37, 38, 41, 48
  • Lei 13.853, de 8 de julho de 2019 (institui a ANPD)
  • Lei 14.460, de 25 de outubro de 2022 (transforma a ANPD em autarquia de natureza especial)
  • Resolução CD/ANPD 4, de 24 de fevereiro de 2023 (dosimetria e aplicação de sanções)
  • Resolução CVM 21, de 25 de fevereiro de 2021 (administração de carteiras)
  • Resolução CVM 30, de 11 de maio de 2021 (suitability)
  • Resolução CVM 35, de 26 de maio de 2021 (distribuição de valores mobiliários)
  • Resolução CVM 175, de 23 de dezembro de 2022 (fundos de investimento)
  • Resolução BCB 32, de 29 de outubro de 2020 (Open Finance)
  • Resolução BCB 119, de 4 de junho de 2021 (PLD/FT)
  • Regulamento (UE) 2016/679 (GDPR)
  • Data Protection Commission v. Meta Platforms Ireland Ltd., decisão de 22 de maio de 2023 (€1,2 bilhão)
  • CNIL, decisão SAN-2022-001 de 6 de janeiro de 2022 (Google, €150 milhões)
  • Banco Central do Brasil, SGS e PTAX (bcb.gov.br)
  • IBGE, SIDRA (sidra.ibge.gov.br), IPCA junho/2026
  • Yahoo Finance (^BVSP, ^GSPC, CL=F, GC=F)
  • La Porta, Rafael; Lopez-de-Silanes, Florencio; Shleifer, Andrei; Vishny, Robert. "Law and Finance". Journal of Political Economy, v. 106, n. 6, 1998

Publicado em 22 de julho de 2026. Por Arthur Severiano.