O quadro jurídico europeu não se resume ao regulamento geral sobre a proteção de dados. As empresas ativas no mercado interno enfrentam um emaranhado normativo onde diretrizes setoriais, regulamentos de aplicação direta e transposições nacionais coexistem, às vezes com cronogramas desfasados de vários anos entre os Estados membros.
Dever de diligência CSDDD: um cronograma em três ondas que a maioria dos guias omite
A diretiva (UE) 2024/1760 sobre o dever de diligência em matéria de sustentabilidade (CSDDD, também designada CS3D) adotada em 13 de junho de 2024 estrutura suas obrigações segundo três níveis sucessivos. Recomendamos às direções jurídicas que mapeiem desde já sua posição neste cronograma.
- Em 2027, as empresas da UE com mais de 5.000 funcionários e 1,5 bilhão de euros de faturamento líquido global entram no âmbito de aplicação.
- Em 2028, o limite desce para 3.000 funcionários e 900 milhões de euros de faturamento.
- Em 2029, toda empresa com mais de 1.000 funcionários e 450 milhões de euros é afetada, incluindo algumas empresas de países terceiros que geram esse montante na UE.
O escopo foi restringido por modificações posteriores à adoção inicial. As obrigações abrangem toda a cadeia de valor, o que implica uma auditoria dos fornecedores de segundo nível e além. Os Estados membros devem transpor a diretiva entre 2026 e 2027 segundo as versões consolidadas.
Na prática, uma empresa abaixo do limite de 2027 pode entrar no âmbito em 2028 após uma aquisição. A vigilância sobre os limites deve ser contínua, não pontual. Os recursos disponíveis em o site Europe Entreprises para o jurídico permitem acompanhar a evolução das transposições nacionais em curso.
Direito das sociedades europeu: liberdade de estabelecimento e formas jurídicas transfronteiriças
O artigo 49 e o artigo 54 do tratado sobre o funcionamento da União Europeia (tratado FUE) fundamentam a liberdade de estabelecimento das sociedades dentro do mercado interno. Esta base continua subutilizada pelas PME, que continuam a criar filiais nacionais clássicas sem examinar as formas jurídicas unificadas.
A Societas Europaea (SE) permite constituir uma sociedade de direito europeu operando em vários Estados membros sob um único estatuto. A diretiva sobre fusões transfronteiriças, revisada nos últimos anos, facilita as reestruturações entre entidades localizadas em diferentes países da UE.
A Comissão Europeia prossegue com a digitalização dos procedimentos de constituição de sociedades. Os registros de comércio interconectados via o sistema BRIS (Business Registers Interconnection System) oferecem acesso centralizado às informações sobre as sociedades registradas nos Estados membros. Esta interconexão reduz os prazos de verificação durante operações transfronteiriças.
Diretiva sobre os direitos dos acionistas e governança
A diretiva direitos dos acionistas (SRD II) impõe às sociedades cotadas obrigações de transparência sobre a política de remuneração dos dirigentes e sobre as transações com partes relacionadas. Os investidores institucionais devem publicar sua política de engajamento acionarial.
Observamos que as empresas não cotadas frequentemente negligenciam esses padrões de governança, enquanto um adquirente ou um fundo realizará uma auditoria de conformidade baseada nessas mesmas exigências durante uma due diligence.
Cibersegurança regulatória: NIS 2 e Cyber Resilience Act
O aspecto de cibersegurança do direito europeu dos negócios foi significativamente fortalecido. A diretiva NIS 2 amplia o escopo das entidades sujeitas a obrigações de notificação de incidentes e de gestão de riscos. O Cyber Resilience Act impõe requisitos de segurança desde a concepção para produtos que contêm elementos digitais colocados no mercado europeu.
Para uma empresa que comercializa objetos conectados ou softwares, ignorar o Cyber Resilience Act equivale a correr o risco de uma retirada do mercado. As sanções previstas pela NIS 2 podem atingir uma porcentagem significativa do faturamento global, dependendo da categoria da entidade (importante ou significativa).
Articulação entre regulamentações setoriais e direito comum
A sobreposição entre RGPD, NIS 2 e Cyber Resilience Act cria zonas de sobreposição. Uma violação de dados pessoais aciona simultaneamente uma notificação RGPD (72 horas) e, se a entidade estiver coberta pela NIS 2, uma notificação complementar à autoridade competente em cibersegurança.
Centralizar a gestão de incidentes em uma célula única evita duplicações e prazos de notificação inconsistentes entre os dois regimes. O registro de tratamentos RGPD e o mapeamento dos sistemas de informação NIS 2 ganham a ser construídos sobre um referencial comum.
Conformidade multijurisdicional: estruturar a vigilância jurídica na empresa
O direito europeu estabelece o piso. As transposições nacionais adicionam camadas específicas, às vezes contraditórias entre os Estados membros durante os períodos de transição. A França, a Alemanha e os Países Baixos raramente transpoem no mesmo ritmo nem com as mesmas opções regulamentares.
Recomendamos manter uma tabela de acompanhamento por diretiva, cruzando o estado de transposição em cada jurisdição onde o grupo opera. Esta tabela deve ser atualizada no mínimo a cada trimestre e integrar os projetos de lei em curso, não apenas os textos adotados.
- Identificar as diretrizes de transposição obrigatória que afetam a atividade (CSDDD, NIS 2, SRD II, diretiva sobre fusões transfronteiriças).
- Mapear as opções nacionais escolhidas por cada Estado membro envolvido.
- Antecipar os desfasamentos de cronograma entre países, que podem criar obrigações assimétricas dentro de um mesmo grupo.
A complexidade regulatória europeia não diminuirá. As empresas que estruturam sua vigilância jurídica antecipadamente absorvem as novas obrigações sem ruptura operacional, enquanto aquelas que reagem após a publicação dos textos enfrentam custos de conformidade significativamente mais altos.
