Protection des données dans les transactions M&A

Protection des données dans les transactions M&A
Catégories :

Protection des données lors de la vente d'une entreprise

Est Protection des données important dans les transactions M&A ? Ou est-il "nice to have" et peut-il être négligé par rapport aux faits "durs" de la gestion d'entreprise ? Il est facile de répondre à ces questions. La protection des données conforme à la loi est définitivement un facteur économique. En cas de non-respect des exigences de la RGPD s'exposent à des amendes pouvant atteindre 20 millions d'euros ou jusqu'à 4 % du chiffre d'affaires mondial de l'année précédente.

Le groupe hôtelier Marriott, par exemple, a reçu en 2019 une amende de 110 millions d'euros pour les conséquences d'une cyberattaque contre un groupe hôtelier qu'il avait racheté en 2014. Certes, cette Amende réduit par la suite à 20 millions d'euros, mais il montre clairement que des lacunes dans l'organisation de la protection des données d'une entreprise cible peuvent entraîner des risques considérables pour l'acheteur.

En outre, il convient de déterminer sur quelle base juridique données à caractère personnel peuvent être transmises par l'entreprise cible à l'acheteur potentiel. Faut-il ici une Consentement? Ou peut-on s'appuyer sur l'intérêt légitime ? Là aussi, les pièges sont nombreux.

 

La protection des données dans le cadre de la diligence raisonnable

 

Quel que soit le type de transaction envisagé (transfert d'actions, asset deal ou fusion), la question de la protection des données doit absolument faire partie de la due diligence. Une due diligence est une analyse économique et juridique détaillée de l'entreprise cible. Il s'agit ici d'identifier les risques, de les réduire et/ou d'en "fixer le prix".

 

La liste de questions suivante peut être utile à cet égard :

  1. Quelles catégories de données à caractère personnel l'entreprise cible traite-t-elle ? Quels risques peuvent en découler ? Quelles sont les lois applicables ?
  2. Comment et à quelles fins les données de l'entreprise cible seront-elles utilisées à l'avenir ? Quelle base juridique peut être utilisée à cet effet ? Existe-t-il par exemple des consentements documentés à des fins publicitaires ? Quels sont les Obligations d'information sont-elles en vigueur vis-à-vis des personnes concernées ?
  3. Quel est le statut de l'organisation de protection des données de l'entreprise cible ? Est-ce que Registre de traitementpolitique de protection des données, processus nécessaires concernant Traitement des commandes, Droits des personnes concernées ou les transferts de données vers des pays tiers sont-ils complets et à jour ? Si ce n'est pas le cas, quelles sont les ressources nécessaires pour parvenir à une situation réelle acceptable ?
  4. Existe-t-il des mesures technico-organisationnelles appropriées au sein de l'entreprise cible et de ses prestataires de services ?
  5. Quelles indications les violations de données du passé donnent-elles sur les risques qui continuent d'exister dans l'entreprise cible ?

 

Une fois les risques identifiés, les conséquences et les contre-mesures possibles doivent faire l'objet d'une analyse approfondie, en quelque sorte d'un "Merger Impact Assessment".

Dans le cadre de la due diligence, un acheteur potentiel peut avoir accès à des systèmes informatiques contenant des données personnelles de collaborateurs et de clients de l'entreprise cible. Au préalable, il est indispensable d'obtenir des déclarations de confidentialité et des engagements de non-divulgation. En outre, la base juridique d'un transfert de données de l'entreprise cible à l'acheteur potentiel doit être clarifiée. Cela pourrait, pour un petit nombre de personnes seulement Consentement Pour un très grand nombre d'entre eux, l'intérêt légitime peut être invoqué, mais seulement après avoir trouvé un équilibre entre les intérêts en jeu, et dans tous les cas, conformément aux articles 13 ou 14. RGPD et que le droit d'opposition doit être mentionné. Il convient également d'examiner si les mêmes objectifs ne peuvent pas être atteints avec des données agrégées ou pseudonymisées. Les principes de minimisation des données et de Minimisation des données s'appliquent également ici.

Dans la mesure du possible, aucune catégorie particulière de données à caractère personnel ne devrait être stockée dans la "Data Room". Si cela s'avérait nécessaire, ce ne serait qu'avec l'accord préalable de l'utilisateur. Consentement des personnes concernées. En outre, les documents devraient être munis d'une protection contre la copie et d'un blocage de l'imprimante, et un contrat de Traitement des commandes être conclu avec le fournisseur de la data room.

Après la réalisation de la transaction

Après la conclusion d'une transaction de fusion et d'acquisition, une nouvelle organisation de protection des données doit généralement être mise en place et, le cas échéant, répondre aux exigences légales de plusieurs pays : Des obligations en matière de responsabilité, d'information et de notification aux droits des personnes concernées. Le cas échéant, il faut également Bases juridiques être vérifiées, par exemple en cas d'utilisation des données clients de l'entreprise rachetée à des fins publicitaires de l'acheteur.

Même lors de la fusion de différents systèmes informatiques, les exigences de la RGPD doivent être respectées. En outre, il convient de vérifier les mesures techniques et organisationnelles des prestataires de services et de conclure des contrats de traitement des commandes ou des contrats d'assurance. Clauses contractuelles types de fermer l'entreprise. Il convient également de vérifier, le cas échéant, même en cas de fermeture (partielle) de l'entreprise reprise, les obligations d'effacement et de conservation plus poussée.

Votre entreprise envisage-t-elle une reprise ? Ou doit-elle être reprise ? 2B Advice vous conseille volontiers et de manière compétente sur la manière d'identifier, de réduire et de maîtriser les risques éventuels liés à la protection des données lors d'une transaction M&A.

 

N'hésitez pas à nous contacter dès aujourd'hui ! Nous nous réjouissons de relever un défi passionnant avec vous : 0228 / 926165 -100.

Les tags :
Partager ce post :