Зміст
- Три фази M&A і GDPR
- Фаза 1: Due diligence – обмін даними
- Data room – підхід, сумісний із GDPR
- Правова підстава для обміну даними під час due diligence
- Фаза 2: Виконання угоди (signing → closing)
- Фаза 3: Постінтеграція
- Успадкована відповідальність за GDPR
- Контрольний список GDPR due diligence
- Найпоширеніші помилки в M&A і GDPR
- Практичний timeline
- Поширені запитання
Злиття та поглинання (M&A) належать до найскладніших бізнес-транзакцій – і GDPR додатково ускладнює цей процес. У кожній M&A-угоді передаються й обробляються значні обсяги персональних даних: працівників, клієнтів, постачальників, контрагентів. Без належного планування та процесу, сумісного з GDPR, ви ризикуєте не лише штрафами, а й зривом самої угоди. Нижче ми розглядаємо кожну фазу M&A крізь призму захисту персональних даних.
Три фази M&A і GDPR
З погляду GDPR процес M&A поділяється на три фази, кожна з яких має різні правові підстави, обов'язки та ризики:
| Фаза | Основна правова підстава | Ключовий ризик GDPR |
|---|---|---|
| Due Diligence | Законний інтерес (ст. 6(1)(f)) | Надмірне розкриття персональних даних у віртуальній кімнаті даних |
| Виконання | Договір (ст. 6(1)(b)) + юридичний обов'язок (ст. 6(1)(c)) | Неповідомлення суб'єктів даних (працівників, клієнтів) |
| Постінтеграція | Різні – залежно від конкретного оброблення | Успадкована відповідальність + несумісні системи |
Фаза 1: Due diligence – обмін даними
Під час due diligence покупець (або його консультанти) отримує доступ до інформації про цільову компанію, щоб оцінити ризики та вартість. Ця інформація неминуче містить персональні дані:
Якими персональними даними обмінюються під час due diligence
| Категорія | Приклади | Ризик щодо GDPR |
|---|---|---|
| Дані працівників | Імена, посади, заробітні плати, стаж, бонуси, оцінки | Високий – чутлива HR-інформація |
| Дані ключових осіб | Керівники, прокуристи, члени правління | Середній – частина з них є загальнодоступною |
| Дані клієнтів | Клієнтські бази, договори, контакти | Високий – комерційна таємниця + персональні дані |
| Дані постачальників | Договори, контакти постачальників – фізичних осіб | Середній |
| Правові спори | Дані сторін у справах, скарги до Комісії із захисту персональних даних (КЗЛД) | Високий – може містити чутливу інформацію |
| Документація GDPR | ROPA, DPA, DPIA, записи про витоки | Низький – не містить даних суб'єктів |
Data room – підхід, сумісний із GDPR
Лише поетапне розкриття у віртуальній кімнаті даних сумісне з принципом мінімізації (ст. 5(1)(c) GDPR) (ст. 5(1)(c) GDPR). Розкриття має бути пропорційним етапу угоди:
Поетапне розкриття за фазами
Етап 1: Рання фаза (попередня зацікавленість)
Що розкривати:
- Агреговані/анонімізовані дані: кількість працівників, розподіл за відділами, середні заробітні плати за посадами
- Фінансові показники без персональних даних
- Структурна інформація про відповідність GDPR (чи є DPO, ROPA, кількість обробників)
НЕ розкривайте: імена, ЄГН (єдиний громадянський номер), індивідуальні заробітні плати, списки клієнтів
Етап 2: Середній етап (після листа про наміри (Letter of Intent))
Що розкривати:
- Псевдонімізовані дані: посади та заробітні плати без імен
- Узагальнені клієнтські дані (кількість, сектор, оборот без імен)
- Правові спори (анонімізовані)
- DPA та договори (з відредагованими персональними даними)
Вимоги: NDA, підписана покупцем
Етап 3: Фінальний етап (перед closing)
Що можна розкрити:
- Індивідуальні дані ключових осіб (керівників, вищого керівного персоналу)
- Обмежений доступ до клієнтських договорів (з NDA + DPA)
- Повна документація GDPR для оцінки ризиків
Вимоги: NDA + DPA з постачальником віртуальної кімнати даних + обґрунтованість кожного доступу
Критично: NDA (угода про нерозголошення) не є достатньою заміною DPA. Якщо віртуальну кімнату даних надає третя сторона (Intralinks, Datasite, Ansarada тощо), ця сторона є обробником персональних даних і з нею має бути укладено DPA відповідно до ст. 28 GDPR. NDA і DPA виконують різні функції – потрібні обидва документи.
Правова підстава для обміну даними під час due diligence
Продавець (seller), який розкриває персональні дані у віртуальній кімнаті даних, повинен мати правову підставу для такої передачі:
| Правова підстава | Застосовність у M&A | Примітки |
|---|---|---|
| Законний інтерес (ст. 6(1)(f)) | Основна підстава для фази due diligence | Продавець має законний інтерес у продажу свого бізнесу, а покупець – в оцінці ризиків |
| Договір (ст. 6(1)(b)) | Після підписання SPA – для виконання договору | Лише якщо оброблення об'єктивно необхідне для виконання |
| Юридичний обов'язок (ст. 6(1)(c)) | Специфічні регуляторні вимоги | Напр., повідомлення Комісії із захисту конкуренції (КЗК) про концентрацію |
| Згода (ст. 6(1)(a)) | НЕ рекомендується | Непрактично – неможливо отримати від тисяч клієнтів і працівників |
LIA під час due diligence
У разі використання законного інтересу необхідна оцінка законного інтересу (LIA). Тристадійний тест застосовується так:
- Законний інтерес: Продавець має законний інтерес продати свій бізнес. Покупець має інтерес провести ретельну перевірку перед угодою. CJEU підтвердив, що комерційні інтереси є законними.
- Необхідність: Передача певних даних об'єктивно необхідна для оцінки вартості та ризиків. Поетапний підхід гарантує мінімізацію.
- Збалансування: Інтереси суб'єктів даних (працівників, клієнтів) захищаються за допомогою NDA, обмеженого кола отримувачів доступу, поетапного розкриття та анонімізації або псевдонімізації на ранніх фазах.
Recital 48 GDPR: Передача персональних даних у межах групи підприємств для внутрішніх адміністративних цілей визнається законним інтересом. Це застосовно і до M&A, коли угода досягла достатньо зрілої фази.
Плануєте M&A-угоду? Забезпечте відповідність GDPR
- GDPR due diligence цільової компанії
- Структурування віртуальної кімнати даних відповідно до GDPR
- LIA для обміну даними під час due diligence
- Постінтеграційний план GDPR
Фаза 2: Виконання угоди (signing → closing)
Між підписанням договору купівлі-продажу (SPA) і closing виникають додаткові обов'язки за GDPR:
Інформування суб'єктів даних
У разі зміни контролера (з продавця на покупця) необхідне повідомлення відповідно до ст. 14 GDPR:
- Працівники: Повідомте їх, що їхні дані буде передано новому власникові. У разі зміни роботодавця за ст. 123 Кодексу праці (КТ) (передача підприємства або його частини) трудові правовідносини переходять автоматично, проте інформаційні обов'язки за GDPR зберігаються.
- Клієнти: Повідомте їх про зміну контролера. Оновіть privacy notice.
- Постачальники та контрагенти: Поінформуйте їх про нового контролюючого суб'єкта.
Timing: Повідомлення працівників до closing може створити бізнес-ризики (плинність кадрів, дії конкурентів). Однак GDPR вимагає, щоб інформування відбулося «в розумний строк» після отримання даних новим контролером – зазвичай до 1 місяця (ст. 14(3)(a)). Ретельно оцініть момент з огляду на конкретні ризики для бізнесу та нормативні строки.
Перегляд DPA
Якщо цільова компанія має DPA з обробниками (бухгалтерами, IT-постачальниками, хмарними сервісами), ці договори необхідно переглянути та, можливо, переукласти після зміни власності.
Фаза 3: Постінтеграція
Після завершення угоди починається найскладніша фаза з погляду GDPR – інтеграція двох (або більше) організацій із потенційно різними практиками щодо GDPR:
Ключові завдання під час постінтеграції
| Завдання | Що охоплює | Строк |
|---|---|---|
| Оновлення privacy notice | Новий контролер, нові цілі, нові отримувачі | До 1 місяця після closing |
| Об'єднання баз даних | Міграція клієнтських і HR-даних; перевірка правових підстав | 3-6 місяців |
| Перегляд ROPA | Об'єднання реєстрів; нові види діяльності з оброблення | До 3 місяців |
| Перегляд і переукладення DPA | Усі DPA з обробниками мають відображати нового контролера | До 3 місяців |
| Гармонізація політики зберігання | Уніфікація строків зберігання | 3-6 місяців |
| Перегляд згод | Перевірка, чи охоплюють наявні згоди нові цілі | До 3 місяців |
| Призначення DPO | Чи потребує об'єднана організація посадової особи із захисту даних (ДЛЗД) | Негайно |
Об'єднання клієнтських баз даних
Одним із найчутливіших етапів постінтеграції є об'єднання клієнтських баз даних. Якщо обидві компанії мають клієнтів, щодо яких спираються на різні правові підстави (напр., згода в одній і законний інтерес в іншій), необхідно ретельно оцінити:
- Чи залишаються правові підстави чинними після зміни контролера
- Чи охоплюють згоди оброблення новим контролером (зазвичай – ні)
- Чи є потреба в новій згоді або іншій підставі
- Чи створює об'єднана база нові ризики (профілювання, більший обсяг даних)
Маркетинг після M&A: Якщо придбана компанія мала маркетингові списки на підставі згоди, новий власник не може автоматично їх використовувати. Згоду надано конкретному контролерові для конкретних цілей. Необхідна або нова згода, або інша правова підстава.
Успадкована відповідальність за GDPR
Одним із найсерйозніших ризиків у M&A є успадкування відповідальності за GDPR за порушення, вчинені до угоди.
Справа: Marriott / Starwood (2020)
Факти: Marriott придбала Starwood Hotels у 2016 р. У 2018 р. з'ясувалося, що хакери мали доступ до бази даних Starwood із 2014 р., що зачепило 339 мільйонів записів.
Результат: ICO наклало штраф у розмірі 18,4 млн GBP на Marriott – попри те, що злам розпочався до придбання.
Висновок: GDPR due diligence має критичне значення – покупець повинен з'ясувати, чи має цільова компанія відомі або потенційні порушення, до closing.
Контрольний список GDPR due diligence
Оцінюючи цільову компанію, включіть такі перевірки щодо GDPR:
Червоні прапорці (red flags)
- Відсутність ROPA
- Відсутність DPA з обробниками (бухгалтер, хостинг, SaaS)
- Неврегульовані скарги або провадження в КЗЛД
- Відсутність ДЛЗД (DPO), коли її призначення обов'язкове
- Міжнародні передачі без законного механізму (DPF, SCCs)
- Історія витоків даних без належного повідомлення
- Відсутність задокументованих правових підстав для оброблення
- Відсутність privacy notice або його неактуальність
- Маркетингові списки без доказів згоди
- Дані, що зберігаються понад законодавчо встановлені строки
Зелені сигнали
- Актуальний ROPA, що охоплює всі види діяльності з оброблення
- DPA з усіма обробниками, зокрема з хмарними сервісами
- Призначена ДЛЗД (коли це необхідно)
- Задокументовані правові підстави для кожного оброблення
- Актуальний privacy notice, доступний онлайн
- Процедура повідомлення про витік даних
- Чиста історія в КЗЛД (без штрафів або неврегульованих скарг)
- DPIA для високоризикових видів оброблення
- Навчання персоналу з GDPR
Як ризики GDPR впливають на ціну
Ризики GDPR дедалі частіше відображаються в ціноутворенні M&A-угод:
- Вартість приведення у відповідність GDPR: Витрати на приведення у відповідність після угоди (ROPA, DPA, privacy notice, навчання) можуть бути значними, і їх слід калькулювати
- Потенційні штрафи: Якщо due diligence виявить минулі порушення, потенційний штраф слід урахувати в ціні або покрити застереженнями про гарантії та відшкодування в SPA
- Вартість клієнтських даних: Якщо клієнтські дані є основною причиною придбання (напр., база для маркетингу), але їх зібрано без чинної правової підстави – їхня вартість для покупця практично нульова
GDPR due diligence для Вашої M&A-угоди
- Повна оцінка цільової компанії щодо GDPR
- Структурування віртуальної кімнати даних відповідно до GDPR
- GDPR warranty та indemnity застереження в SPA
- Постінтеграційний план відповідності GDPR
Найпоширеніші помилки в M&A і GDPR
- Розкриття індивідуальних даних працівників на ранній фазі due diligence
- Відсутність DPA з постачальником віртуальної кімнати даних
- Припущення, що NDA достатньо (NDA ≠ DPA)
- Непроведення GDPR due diligence (лише фінансового та юридичного)
- Неповідомлення працівників після closing
- Об'єднання баз даних без перевірки правових підстав
- Автоматичне використання маркетингових списків придбаної компанії
- Відсутність застережень про гарантії та відшкодування щодо GDPR у SPA
- Нехтування внутрішньогруповими передачами після інтеграції
- Поетапне розкриття: анонімізовані → псевдонімізовані → індивідуальні дані
- DPA з постачальником віртуальної кімнати даних (Intralinks, Datasite тощо)
- LIA для обміну даними під час due diligence
- Контрольний список GDPR due diligence як стандартна частина процесу
- Повідомлення суб'єктів даних у розумний строк після closing
- Постінтеграційний план GDPR з конкретними строками
- GDPR representations та indemnities у SPA
Практичний timeline
| Період | Дія | Відповідальна особа |
|---|---|---|
| До LoI | Анонімізовані дані у віртуальній кімнаті даних; NDA | Продавець + M&A-консультант |
| Після LoI | Псевдонімізовані дані; LIA; DPA з віртуальною кімнатою даних | Продавець + консультант з GDPR |
| Перед signing | GDPR due diligence цільової компанії; застереження щодо GDPR у SPA | Покупець + адвокат |
| Signing → Closing | Підготовка повідомлень; перегляд DPA | Обидві сторони |
| 0-1 місяць після closing | Повідомлення суб'єктів даних (ст. 14); оновлення privacy notice | Покупець (новий контролер) |
| 1-3 місяці після closing | Об'єднання ROPA; переукладення DPA | Покупець + DPO |
| 3-6 місяців після closing | Міграція баз даних; гармонізація політики зберігання | Покупець + IT + DPO |
Поширені запитання
Яку правову підставу використовують для обміну даними під час due diligence?
Основною правовою підставою є законний інтерес (ст. 6(1)(f) GDPR). Продавець має законний інтерес продати бізнес, покупець – оцінити ризики. Необхідна задокументована LIA, яка враховує поетапне розкриття та заходи захисту (NDA, обмежений доступ, анонімізацію).
Як організувати віртуальну кімнату даних відповідно до GDPR?
Застосовуйте поетапне розкриття: рання фаза – лише агреговані/анонімізовані дані; середня фаза – псевдонімізовані (без імен); фінальна – індивідуальні дані лише ключових осіб. Укладіть DPA з постачальником віртуальної кімнати даних. Обмежте доступ мінімально необхідним колом осіб. Документуйте кожен доступ.
Чи успадковую я штрафи за GDPR у разі придбання компанії?
Так. У разі придбання часток/акцій юридична особа залишається тією самою, і новий власник успадковує всі зобов'язання, зокрема відповідальність за GDPR. Справа Marriott/Starwood показала, що покупця можуть оштрафувати за порушення, які розпочалися до придбання. Тому GDPR due diligence має суттєве значення.
Коли я маю поінформувати працівників цільової компанії?
Відповідно до ст. 14(3)(a) GDPR – «в розумний строк» після отримання даних, але не пізніше ніж через 1 місяць. На практиці повідомлення зазвичай надсилають одразу після closing, щоб не скомпрометувати конфіденційність угоди. Повідомлення має містити всі елементи, передбачені ст. 14.
Чи потрібна DPA з постачальником віртуальної кімнати даних?
Так, обов'язково. Постачальник віртуальної кімнати даних (Intralinks, Datasite, Ansarada тощо) є обробником персональних даних відповідно до ст. 28 GDPR. Необхідна DPA з усіма обов'язковими елементами. Більшість постачальників пропонують готову DPA – перевірте, чи охоплює вона ст. 28(3). Див. статтю про DPA з хмарними постачальниками.
Як обробляти клієнтські дані придбаної компанії після угоди?
Перевірте, на якій правовій підставі зібрано дані. Якщо це згода – ймовірно, потрібна нова, оскільки згоду надано конкретному контролерові. Якщо це договір або законний інтерес – підстава може залишатися чинною, але оновіть privacy notice. Ніколи не об'єднуйте бази даних без попереднього аналізу щодо GDPR.
Що таке GDPR due diligence і що слід перевірити?
GDPR due diligence – це оцінка відповідності цільової компанії вимогам GDPR. Перевірте: наявність ROPA, DPA з обробниками, privacy notice, ДЛЗД, DPIA для високоризикових видів оброблення, історію витоків і скарг, міжнародні передачі, політику зберігання та задокументовані правові підстави. Кожна прогалина – це потенційний фінансовий ризик.
Чи може порушення GDPR знизити ціну M&A-угоди?
Так, і це дедалі поширеніша практика. Потенційні штрафи за GDPR, витрати на приведення у відповідність і ризик успадкованої відповідальності калькулюються в ціні. У разі серйозних порушень (відсутність ROPA, незаконні передачі, неврегульовані скарги) покупці зазвичай вимагають зниження ціни або спеціальних indemnity-застережень.
Комплексна послуга з GDPR для M&A-угод
- GDPR due diligence цільової компанії
- Структурування віртуальної кімнати даних, сумісної з GDPR
- Підготовка GDPR representations та warranties для SPA
- Постінтеграційний план GDPR з timeline
- Навчання команди з інтеграції
