Protection des données dans les transactions M&A

Est Protection des données important dans les transactions M&A ? Ou est-il "nice to have" et peut-il être négligé par rapport aux faits "durs" de la gestion d'entreprise ? Il est facile de répondre à ces questions. La protection des données conforme à la loi est définitivement un facteur économique. En cas de non-respect des exigences de la RGPD s'exposent à des amendes pouvant atteindre 20 millions d'euros ou jusqu'à 4 % du chiffre d'affaires mondial de l'année précédente.

Le groupe hôtelier Marriott, par exemple, a reçu en 2019 une amende de 110 millions d'euros pour les conséquences d'une cyberattaque contre un groupe hôtelier qu'il avait racheté en 2014. Certes, cette Amende réduit par la suite à 20 millions d'euros, mais il montre clairement que des lacunes dans l'organisation de la protection des données d'une entreprise cible peuvent entraîner des risques considérables pour l'acheteur.

Il convient en outre de déterminer sur quelle base juridique données à caractère personnel peuvent être transmises par l'entreprise cible à l'acheteur potentiel. Faut-il ici une Consentement? Ou peut-on s'appuyer sur l'intérêt légitime ? Là aussi, les pièges sont nombreux.

La protection des données dans le cadre de la diligence raisonnable

Quel que soit le type de transaction envisagé (transfert d'actions, cession d'actifs ou fusion), la question de la protection des données doit impérativement être intégrée au processus de due diligence. La due diligence est une analyse économique et juridique approfondie de la société cible. Elle consiste à identifier les risques, à les atténuer et/ou à en „ évaluer le coût “.

La liste de questions suivante peut être utile à cet égard :

1. Quelles catégories de données à caractère personnel la société cible traite-t-elle ? Quels risques peuvent en découler ? Quelles sont les lois applicables ?
2. Comment et à quelles fins les données de la société cible seront-elles utilisées à l'avenir ? Quelle base juridique peut être invoquée à cet effet ? Existe-t-il, par exemple, des consentements documentés à des fins publicitaires ? Quels Obligations d'information Existent-elles à l'égard des personnes concernées ?
3. Quel est le statut de l'organisation de protection des données de l'entreprise cible ? Est-ce que Registre de traitementpolitique de protection des données, processus nécessaires concernant Traitement des commandes, Droits des personnes concernées ou les transferts de données vers des pays tiers sont-ils complets et à jour ? Si ce n'est pas le cas, quelles ressources sont nécessaires pour parvenir à une situation actuelle acceptable ?
4. L'entreprise cible et ses prestataires de services ont-ils mis en place des mesures techniques et organisationnelles adéquates ?
5. Quelles indications les violations de données du passé donnent-elles sur les risques qui continuent d'exister dans l'entreprise cible ?

Une fois les risques identifiés, il convient de procéder à une analyse approfondie de leurs répercussions et des mesures correctives envisageables, en quelque sorte une „ évaluation d'impact de la fusion “.

Dans le cadre de la due diligence, un acheteur potentiel peut avoir accès à des systèmes informatiques contenant des données personnelles de collaborateurs et de clients de l'entreprise cible. Au préalable, il est indispensable d'obtenir des déclarations de confidentialité et des engagements de non-divulgation. En outre, la base juridique d'un transfert de données de l'entreprise cible à l'acheteur potentiel doit être clarifiée. Cela pourrait, pour un petit nombre de personnes seulement Consentement Pour un très grand nombre d'entre eux, l'intérêt légitime peut être invoqué, mais seulement après avoir trouvé un équilibre entre les intérêts en jeu, et dans tous les cas, conformément aux articles 13 ou 14. RGPD et que le droit d'opposition doit être mentionné. Il convient également d'examiner si les mêmes objectifs ne peuvent pas être atteints avec des données agrégées ou pseudonymisées. Les principes de minimisation des données et de Minimisation des données s'appliquent également ici.

Dans la mesure du possible, aucune catégorie particulière de données à caractère personnel ne devrait être stockée dans la "Data Room". Si cela s'avérait nécessaire, ce ne serait qu'avec l'accord préalable de l'utilisateur. Consentement des personnes concernées. En outre, les documents devraient être munis d'une protection contre la copie et d'un blocage de l'imprimante, et un contrat de Traitement des commandes être conclu avec le fournisseur de la data room.

Après la réalisation de la transaction

Après la conclusion d'une transaction de fusion et d'acquisition, une nouvelle organisation de protection des données doit généralement être mise en place et, le cas échéant, répondre aux exigences légales de plusieurs pays : Des obligations en matière de responsabilité, d'information et de notification aux droits des personnes concernées. Le cas échéant, il faut également Bases juridiques doivent être vérifiées, par exemple lorsque les données clients de l'entreprise rachetée sont utilisées à des fins publicitaires par l'acquéreur.

Même lors de la fusion de différents systèmes informatiques, les exigences de la RGPD doivent être respectées. En outre, il convient de vérifier les mesures techniques et organisationnelles des prestataires de services et de conclure des contrats de traitement des commandes ou des contrats d'assurance. Clauses contractuelles types de fermer. Il convient également de vérifier les obligations en matière de destruction et de conservation prolongée des documents, y compris, le cas échéant, en cas de fermeture (partielle) de l'entreprise rachetée.

Votre entreprise envisage-t-elle une reprise ? Ou doit-elle être reprise ? 2B Advice vous conseille volontiers et de manière compétente sur la manière d'identifier, de réduire et de maîtriser les risques éventuels liés à la protection des données lors d'une transaction M&A.

N'hésitez pas à nous contacter dès aujourd'hui ! Nous nous réjouissons de relever un défi passionnant avec vous : 0228 / 926165 -100.