GDPR при M&A сделки и корпоративен due diligence

Кратък отговор: GDPR се прилага пълноценно при M&A сделки — от due diligence фазата до постинтеграцията. Споделянето на данни на служители и клиенти в виртуална стая за данни изисква правно основание (обикновено легитимен интерес), поетапно разкриване и DPA с доставчика на виртуална стая за данни. Купувачът наследява GDPR отговорността на целевото дружество, включително за минали нарушения. 55% от M&A специалистите в Европа сочат, че са ставали свидетели на провалени сделки заради проблеми с данните.

Сливанията и придобиванията (M&A) са сред най-сложните бизнес транзакции — и GDPR усложнява процеса допълнително. При всяка M&A сделка се обменят и обработват значителни обеми лични данни: на служители, клиенти, доставчици, контрагенти. Без правилно планиране и GDPR-съвместим процес, рискувате не само глоби, но и провал на самата сделка. По-долу разглеждаме всяка фаза на M&A през призмата на защитата на личните данни.

Кои са трите фази на M&A през призмата на GDPR?

Директен отговор: M&A процесът се дели на три фази: due diligence преди сделката, изпълнение от signing до closing и постинтеграция след приключване. Основното основание при due diligence е легитимният интерес (чл. 6(1)(е)), при изпълнението — договор (чл. 6(1)(б)) и законово задължение (чл. 6(1)(в)), а ключовите рискове са прекомерно разкриване, неинформиране на субектите и наследена отговорност.

От GDPR перспектива, M&A процесът се разделя на три фази, всяка с различни правни основания, задължения и рискове:

Какви лични данни се обменят при due diligence (Фаза 1)?

Директен отговор: При due diligence купувачът и неговите консултанти получават достъп до лични данни на служители (имена, длъжности, заплати, оценки), на управители и прокуристи, на клиенти и на доставчици, както и до данни по правни спорове. Най-висок GDPR риск носят HR информацията, клиентските бази и споровете; GDPR документацията (ROPA, DPA, DPIA) не съдържа данни на субекти.

При due diligence купувачът (или неговите консултанти) получава достъп до информация за целевото дружество, за да оцени рисковете и стойността. Тази информация неизбежно включва лични данни:

Какви лични данни се обменят при due diligence

Как да организираме виртуалната стая за данни по GDPR?

Директен отговор: Само поетапното разкриване е съвместимо с принципа за минимизация (чл. 5(1)(в) GDPR): в ранната фаза — агрегирани и анонимизирани данни; след писмо за намерения — псевдонимизирани, срещу NDA; преди closing — индивидуални данни на ключови лица. Доставчикът на виртуалната стая за данни е обработващ и изисква DPA по чл. 28 GDPR — NDA не го замества.

Само поетапното разкриване във виртуалната стая за данни е съвместимо с принципа за минимизация (чл. 5(1)(в) GDPR) (чл. 5(1)(в) GDPR). Разкриването трябва да е пропорционално на етапа на сделката:

Поетапно разкриване по фази

На какво основание се споделят данните при due diligence?

Директен отговор: Основното основание при due diligence е легитимният интерес (чл. 6(1)(е) GDPR) — продавачът има интерес да продаде бизнеса си, а купувачът да оцени рисковете; изисква се документирана LIA. След подписване на SPA работи и договорното основание (чл. 6(1)(б)). Съгласието не се препоръчва — непрактично е да се получи от хиляди клиенти и служители.

Продавачът (seller), който разкрива лични данни в виртуална стая за данни, трябва да има правно основание за това споделяне:

LIA при due diligence

При използване на легитимен интерес е необходима оценка на легитимния интерес (LIA). Тристепенният тест се прилага така:

1. Легитимен интерес: Продавачът има легитимен интерес да продаде бизнеса си. Купувачът има интерес да извърши задълбочена проверка преди сделката. CJEU е потвърдил, че комерсиалните интереси са легитимни.
2. Необходимост: Споделянето на определени данни е обективно необходимо за оценка на стойността и рисковете. Поетапният подход гарантира минимизация.
3. Балансиране: Интересите на субектите (служители, клиенти) се защитават с NDA, ограничен кръг получатели на достъп, поетапно разкриване и анонимизация или псевдонимизация в ранните фази.

Какви задължения възникват между signing и closing (Фаза 2)?

Директен отговор: Между подписването на SPA и closing администраторът се сменя, затова субектите се уведомяват по чл. 14 GDPR — служители, клиенти, доставчици и контрагенти. При прехвърляне на предприятие по чл. 123 КТ трудовите правоотношения преминават автоматично, но информационните задължения по GDPR остават. Срокът е разумен, обикновено до 1 месец (чл. 14(3)(а)).

Между подписването на договора за покупко-продажба (SPA) и closing-а настъпват допълнителни GDPR задължения:

Информиране на субектите на данни

При промяна на администратора (от продавач към купувач) е необходимо уведомяване по чл. 14 GDPR:

• Служители: Информирайте ги, че данните им ще бъдат предадени на новия собственик. При промяна на работодателя по чл. 123 КТ (прехвърляне на предприятие или част от него) трудовите правоотношения преминават автоматично, но информационните задължения по GDPR остават.
• Клиенти: Уведомете ги за промяната в администратора. Актуализирайте privacy notice-а.
• Доставчици и контрагенти: Информирайте ги за новия контролиращ субект.

Преглед на DPA

Ако целевото дружество има DPA с обработващи (счетоводители, IT доставчици, облачни услуги), тези договори трябва да бъдат прегледани и потенциално предоговорени след промяната на собствеността.

Какво изисква GDPR след приключване на сделката (Фаза 3)?

Директен отговор: След closing privacy notice трябва да се актуализира до 1 месец, ROPA и DPA с обработващите се обединяват и предоговарят до 3 месеца, а миграцията на базите данни и хармонизирането на сроковете за съхранение отнемат 3-6 месеца. Нуждата от ДЛЗД се преценява незабавно. Съгласия, дадени на стария администратор, по правило не покриват новия.

След приключване на сделката започва най-сложната GDPR фаза — интеграцията на две (или повече) организации с потенциално различни GDPR практики:

Ключови задачи при постинтеграция

Обединяване на клиентски бази данни

Един от най-чувствителните етапи при постинтеграция е обединяването на клиентските бази данни. Ако и двете дружества имат клиенти, за които се разчита на различни правни основания (напр. съгласие при едното и легитимен интерес при другото), трябва внимателно да оцените:

• Дали правните основания остават валидни след промяната на администратора
• Дали съгласията обхващат обработката от нов администратор (обикновено — не)
• Дали има необходимост от ново съгласие или друго основание
• Дали обединената база създава нови рискове (профилиране, по-голям обем данни)

Наследява ли купувачът GDPR отговорността на дружеството?

Директен отговор: Да — при придобиване на дялове или акции юридическото лице остава същото и новият собственик наследява GDPR отговорността, включително за минали нарушения. Marriott придоби Starwood през 2016 г., а ICO наложи на Marriott глоба от 18,4 млн. GBP за пробив, започнал през 2014 г. и засегнал 339 милиона записа.

Един от най-сериозните рискове при M&A е наследяването на GDPR отговорност за нарушения, извършени преди сделката. Договорното покриване на този риск — декларации и гаранции в договора за покупко-продажба, клаузи за обезщетяване и escrow — е част от правния дю дилиджънс и структурирането на сделката, извън обхвата на GDPR анализа.

Какво включва GDPR due diligence контролният списък?

Директен отговор: Червените флагове са липса на ROPA и на DPA с обработващите, неуредени жалби или производства пред КЗЛД, липсващо ДЛЗД когато е задължително, международни трансфери без законен механизъм (DPF, SCCs) и маркетингови списъци без доказателство за съгласие. Зелени сигнали са актуален ROPA, DPA с всички обработващи, DPIA за високорисковите обработки и чиста история пред КЗЛД.

При оценка на целевото дружество, включете следните GDPR проверки:

Червени флагове (red flags)

Зелени сигнали

Как GDPR рисковете влияят на цената

GDPR рисковете все по-често се отразяват в ценообразуването на M&A сделки:

• Цена на GDPR привеждане в съответствие: Разходите за привеждане в съответствие след сделката (ROPA, DPA, privacy notice, обучения) могат да бъдат значителни и трябва да се калкулират
• Потенциални глоби: Ако due diligence разкрие минали нарушения, потенциалната глоба трябва да бъде отчетена в цената или покрита с гаранции и обезщетения клаузи в SPA
• Стойност на клиентските данни: Ако клиентските данни са основна причина за придобиването (напр. база за маркетинг), но са събрани без валидно правно основание — стойността им за купувача е практически нулева

Кои са най-честите грешки при M&A и GDPR?

Директен отговор: Най-честите грешки са разкриване на индивидуални данни на служители в ранна фаза на due diligence, липса на DPA с доставчика на виртуалната стая за данни, приемането че NDA е достатъчен, пропуснато GDPR due diligence, неуведомяване на служителите след closing и автоматично използване на маркетинговите списъци на придобитото дружество.

Как изглежда практическият GDPR timeline на сделката?

Директен отговор: Преди писмото за намерения се разкриват само анонимизирани данни срещу NDA; след него — псевдонимизирани, с LIA и DPA за виртуалната стая за данни. Преди signing тече GDPR due diligence и се договарят GDPR клаузите в SPA. До 1 месец след closing се уведомяват субектите (чл. 14), а до 3 месеца се обединяват ROPA и DPA.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.