Zaštita podataka u dubinskoj analizi: osobni podaci i GDPR kod kupnje poduzeća

Podaci koje prodavatelj otkriva u podatkovnoj sobi redovito sadrže osobne informacije: imena zaposlenika i kupaca, plaće, ugovore i ponekad zdravstvene ili druge osjetljive podatke. Svaka obrada takvih podataka treba prema GDPR-u pravnu osnovu. Za otkrivanje u okviru transakcije praksa se obično oslanja na legitiman interes prema čl. 6. GDPR-a.

Legitiman interes zahtijeva procjenu između interesa stranaka za provjerom i interesa ispitanika. Ta se procjena treba dokumentirati kako bi se u slučaju spora mogla dokazati. Kod osobito osjetljivih podataka legitiman interes često nije dovoljan, ovdje je potrebno dodatno osiguranje.

Važno je razjasniti pravnu osnovu prije otvaranja podatkovne sobe. Tko prvo otkrije podatke, a osnovu traži tek kasnije, već je proveo obradu. Kako se to pitanje uklapa u ukupnu provjeru pokazuje članak o kontrolnoj listi dubinske analize.

I uz pravnu osnovu vrijedi načelo smanjenja količine podataka. Otkriti treba samo ono što provjera doista zahtijeva. U praksi to znači zacrnjenje i pseudonimizaciju: imena se uklanjaju, plaće objedinjuju, pojedine osobe više nisu izravno prepoznatljive. Tako se može provjeriti gospodarski sadržaj informacije bez nepotrebnog otkrivanja ispitanika.

Dodatno vrijedi načelo nužnog pristupa: pristup dobiva samo onaj kome podaci trebaju za njegovu zadaću. Za osobito osjetljive informacije, primjerice konkurentske podatke ili pojedine plaće, dokazao se clean team. Pritom usko ograničen, često vanjski krug vidi sirove podatke i prosljeđuje strankama samo objedinjene rezultate.

Te mjere štite ne samo ispitanike, nego i same stranke, primjerice od bojazni u pravu tržišnog natjecanja kod razmjene osjetljivih konkurentskih podataka. Pojam dubinske analize produbljujemo na našoj tematskoj stranici o dubinskoj analizi.

Kod zatvaranja transakcije pitanje zaštite podataka postavlja se ponovno. U asset dealu podaci prelaze na kupca zajedno s pogonom, taj je prijelaz zasebna obrada s vlastitom pravnom osnovom i vlastitim obvezama informiranja. Zaposlenike i kupce treba obavijestiti o novom voditelju obrade čim pogon prijeđe.

U share dealu podaci pak ostaju kod društva jer se mijenja samo imatelj udjela. Prijenos na novog voditelja obrade ne događa se, obveze informiranja ravnaju se prema konkretnoj situaciji. To razlikovanje slijedi opću strukturu koju članak o katalogu jamstava preuzima za ugovorno osiguranje.

Treba uzeti u obzir i postojeće ugovore o izvršenju obrade. Ako poduzeće koristi pružatelje usluga, primjerice za obračun plaća ili cloud, odgovarajući se ugovori moraju nastaviti ili sklopiti iznova. Gdje IT i cloud obrađuju osobne podatke, zaštita podataka se isprepliće s IT-ugovorima, kako pokazuje članak o IP-u i IT-u u dubinskoj analizi.

Uz samu transakciju, zrelost ciljanog poduzeća u zaštiti podataka zaseban je predmet provjere. Provjeravaju se evidencija aktivnosti obrade, tehničke i organizacijske mjere, postupanje s povredama podataka i ispunjenje prava ispitanika poput pristupa i brisanja. Poduzeće s nepotpunom usklađenošću nosi latentan rizik.

Takvi nalazi utječu na procjenu vrijednosti i na jamstva. Uobičajena su jamstva o usklađenosti s GDPR-om, o postojanju evidencija obrade i o nepostojanju otvorenih postupaka zaštite podataka. Prepoznati rizici, primjerice tekuća nadzorna provjera, mogu se osigurati ciljanim oslobođenjem od odgovornosti.

U praksi se isplati zaštitu podataka rano uključiti u provjeru jer dotiče otkrivanje, zatvaranje i procjenu vrijednosti istodobno. Prvu procjenu ukupnih rizika daje naš M&A profil rizika transakcije.