कैसे सुरक्षित रखने के लिए व्यक्तिगत डेटा के दौरान आयरिश विलय और अधिग्रहण

विलय और अधिग्रहण (M&A) विकास के लिए महत्वपूर्ण अवसर पैदा करते हैं, लेकिन आयरलैंड में, वे काफी डेटा सुरक्षा जोखिम भी पेश करते हैं। सामान्य डेटा संरक्षण विनियमन (GDPR) और आयरिश डेटा संरक्षण अधिनियम 2018 के तहत, M&A लेनदेन के दौरान व्यक्तिगत डेटा का संचालन करने के लिए सावधानीपूर्वक योजना की आवश्यकता होती है। व्यक्तिगत डेटा की रक्षा करने में विफलता गंभीर दंड, प्रतिष्ठात्मक क्षति और हितधारक विश्वास की हानि का परिणाम हो सकता है। यह लेख आयरलैंड में M&A जीवन चक्र के दौरान व्यक्तिगत डेटा की रक्षा के लिए एक व्यापक गाइड प्रदान करता है।

आयरिश डेटा संरक्षण कानून को समझना

आयरलैंड के डेटा संरक्षण ढांचे को यूरोपीय संघ के कानून से बहुत प्रभावित किया गया है। जीडीपीआर, मई 2018 से सीधे लागू होता है, व्यक्तिगत डेटा के प्रसंस्करण के लिए एक उच्च बार निर्धारित करता है। डेटा प्रोटेक्शन कमीशन (डीपीसी) आयरलैंड का स्वतंत्र पर्यवेक्षकीय प्राधिकरण है, जो जीडीपीआर को लागू करता है और गंभीर उल्लंघनों के लिए वार्षिक वैश्विक टर्नओवर या € 20 मिलियन (जो भी अधिक हो) के 4% तक जुर्माना लगाया जाता है।

M&A लेनदेन के दौरान सभी डेटा प्रोसेसिंग गतिविधियों को GDPR के सिद्धांतों का पालन करना चाहिए: lawiness, निष्पक्षता, पारदर्शिता, उद्देश्य सीमा, डेटा न्यूनीकरण, सटीकता, भंडारण सीमा, अखंडता और गोपनीयता, और जवाबदेही। ये सिद्धांत न केवल विलय संस्थाओं के दिन-प्रतिदिन के संचालन के लिए बल्कि देय परिश्रम और एकीकरण चरणों के लिए भी लागू होते हैं।

इसके अतिरिक्त, आयरिश डेटा संरक्षण अधिनियम 2018 में विशिष्ट प्रावधान शामिल हैं जो जीडीपीआर को पूरक करते हैं, जिसमें कुछ उद्देश्यों के लिए डेटा और छूट की विशेष श्रेणियों के प्रसंस्करण के नियमों सहित। क्रॉस-बॉर्डर एमएंडए सौदों का संचालन करते समय कंपनियों को यूरोपीय संघ विनियमन और राष्ट्रीय कानून दोनों के बारे में जागरूक होना चाहिए।

M&A के दौरान व्यक्तिगत डेटा को सुरक्षित रखने के लिए प्रमुख कदम

इसके बाद, एक लेनदेन के दौरान, और उसके बाद सक्रिय उपायों को लेना चाहिए। अनुपालन और सुरक्षा सुनिश्चित करने के लिए नीचे आवश्यक कार्रवाई की गई है।

1. व्यापक डेटा लेखा परीक्षा का संचालन

किसी भी डेटा को हस्तांतरित या विलय करने से पहले, लक्ष्य कंपनी द्वारा आयोजित सभी व्यक्तिगत डेटा की एक पूरी सूची आवश्यक है। इस लेखा परीक्षा में कर्मचारी रिकॉर्ड, ग्राहक डेटाबेस, आपूर्तिकर्ता संपर्क, विपणन सूची और किसी अन्य संरचित या असंरचनात्मक व्यक्तिगत जानकारी शामिल होना चाहिए। प्रत्येक डेटा परिसंपत्ति को टाइप, सोर्स, प्रोसेसिंग, रिटेंशन अवधि और कानूनी आधार द्वारा वर्गीकृत किया जाना चाहिए।

लेखा परीक्षा में किसी भी संवेदनशील या विशेष श्रेणी के डेटा (जैसे स्वास्थ्य, बॉयोमीट्रिक्स, राजनीतिक विचारों) की भी पहचान करनी चाहिए, जिसके लिए अतिरिक्त सुरक्षा की आवश्यकता होती है। डेटा को आंतरिक रूप से प्रवाहित करने और तीसरे पक्ष के प्रोसेसर के लिए महत्वपूर्ण है, जैसा कि पहले से ही जगह में सुरक्षा उपायों का आकलन कर रहा है।

2. डेटा मिनिमाइज़ेशन लागू करें

केवल उन डेटा को जो विलय के विशिष्ट प्रयोजनों के लिए आवश्यक हैं उन्हें एकत्र किया जाना चाहिए, साझा किया जाना चाहिए या बनाए रखा जाना चाहिए। देय परिश्रम चरण के दौरान, कंपनियों को सीमित डेटासेट का अनुरोध करना चाहिए - अक्सर समानीकृत या छद्म नामकरण - जहां भी संभव हो। उदाहरण के लिए, पूर्ण कर्मचारी पेरोल विवरण प्रदान करने के बजाय, समेकित वेतन रेंज वित्तीय देयताओं का मूल्यांकन करने के लिए पर्याप्त हो सकती है।

डेटा मिनिमाइज़ेशन स्टोरेज सीमा के जीडीपीआर सिद्धांत के साथ उल्लंघन की स्थिति में जोखिम को कम करता है। लेनदेन बंद होने के बाद, एकीकरण के लिए अब आवश्यक कोई भी डेटा कानूनी प्रतिधारण आवश्यकताओं के अनुसार सुरक्षित रूप से हटा या संग्रहीत किया जाना चाहिए।

3. सुरक्षित डेटा ट्रांसफर

M&A के दौरान संस्थाओं के बीच व्यक्तिगत डेटा को स्थानांतरित करने के लिए मजबूत एन्क्रिप्शन और सुरक्षित चैनल की आवश्यकता होती है। आयरलैंड यूरोपीय आर्थिक क्षेत्र (EEA) के भीतर है, इसलिए EEA के भीतर स्थानांतरण आम तौर पर प्रतिबंधित है। हालांकि, अगर अधिग्रहण करने वाली पार्टी EEA (जैसे UK पोस्ट ब्रेक्सिट, या US) के बाहर आधारित है, तो अतिरिक्त हस्तांतरण तंत्र का उपयोग किया जाना चाहिए, जैसे कि मानक अनुबंधीय क्लॉज (SCCs) या बाध्यकारी कॉर्पोरेट नियमों (BCRs)।

ट्रांजिट में सभी डेटा को TLS 1.2 या उससे अधिक का उपयोग करके एन्क्रिप्ट किया जाना चाहिए। बाकी डेटा को एन्क्रिप्ट किया जाना चाहिए। स्थानांतरण प्रक्रिया के दौरान किसी भी अनधिकृत पहुँच का पता लगाने के लिए एक्सेस लॉग को बनाए रखा जाना चाहिए।

4. गोपनीयता नीति और नोटिस अद्यतन करें

GDPR के अनुच्छेद 13 और 14 के तहत, डेटा विषयों को यह सूचित करने का अधिकार है कि उनका डेटा कैसे संसाधित किया जाता है। विलय करने वाली संस्थाओं को M&A से संबंधित नई प्रसंस्करण गतिविधियों को प्रतिबिंबित करने के लिए अपनी गोपनीयता नीतियों की समीक्षा और अद्यतन करना चाहिए। इसमें डेटा नियंत्रक, प्रसंस्करण के उद्देश्य और डेटा प्रतिधारण अनुसूची में परिवर्तन शामिल हो सकते हैं।

यह कर्मचारियों, ग्राहकों और आपूर्तिकर्ताओं के लिए सीधे इन परिवर्तनों को संवाद करने का अच्छा अभ्यास है। विपणन संचार के लिए स्पष्ट भाषा और आसान ऑप्ट-आउट तंत्र को जहां लागू किया जाना चाहिए।

5. आवश्यक कार्मिकों तक पहुंच सीमित करें

डेटा एक्सेस को भूमिका-आधारित होना चाहिए और केवल उन लोगों को दिया जाना चाहिए जिन्हें विशिष्ट M&A कार्य करने की आवश्यकता होती है। इसमें कानूनी सलाहकार, वित्तीय लेखा परीक्षक, एकीकरण प्रबंधक और IT सुरक्षा कर्मचारी शामिल हैं। सभी एक्सेस की समीक्षा की जानी चाहिए और एक बार व्यक्ति की भागीदारी समाप्त होने के बाद रद्द कर दी जानी चाहिए।

किसी भी लीक का पता लगाने के लिए दानेदार एक्सेस कंट्रोल और वॉटरमार्क्ड दस्तावेज़ों के साथ आभासी डेटा रूम (VDRs) का उपयोग करें। सभी पक्षों द्वारा गैर-डिस्क्लोज़र समझौते (NDAs) पर हस्ताक्षर किए जाने चाहिए और एक्सेस प्रदान करने से पहले डेटा सुरक्षा दायित्वों पर प्रशिक्षण दिया जाना चाहिए।

कानूनी और नियामक विचार

आयरिश M&A लेनदेन कॉर्पोरेट वकीलों, डेटा सुरक्षा अधिकारियों (डीपीओ) और लक्ष्य की अनुपालन टीमों के बीच करीबी सहयोग की मांग करते हैं। कानूनी ढांचा स्थिर नहीं है; हाल के घटनाक्रम जैसे कि यूरोपीय संघ डेटा गवर्नेंस अधिनियम और प्रस्तावित डेटा अधिनियम डेटा साझा करने और पोर्टेबिलिटी के लिए अधिक दायित्व जोड़ सकते हैं।

डेटा संरक्षण परिप्रेक्ष्य से नियत परिश्रम

कानूनी देय परिश्रम में लक्ष्य कंपनी के डेटा संरक्षण अनुपालन इतिहास की पूरी समीक्षा शामिल करनी चाहिए। इसमें डीपीसी द्वारा किसी भी पूर्व जांच या प्रवर्तन कार्यों की जांच करना शामिल है, तीसरे पक्षों के साथ मौजूदा डेटा प्रोसेसिंग समझौते (डीपीए) और डेटा विषयों से किसी भी लंबित विषय अभिगम अनुरोध (एसएआर) या शिकायतें शामिल हैं।

अधिग्रहणकर्ता को लक्ष्य के डेटा संरक्षण पदचिह्न को समझना चाहिए, जिसमें सभी डेटा प्रोसेसिंग गतिविधियों, कानूनी आधारों को सीमित किया गया है, और सुरक्षा उपायों की पर्याप्तता शामिल है। गैर-अनुपालन के क्षेत्रों की पहचान करने के लिए एक डेटा संरक्षण अंतर विश्लेषण किया जाना चाहिए, जिसे बंद होने से पहले या बाद में उपचार की आवश्यकता होती है।

डाटा प्रोसेसिंग एग्रीमेंट्स (डीपीए)

यदि लक्ष्य कंपनी तीसरे पक्ष के डेटा प्रोसेसर (जैसे क्लाउड सर्विस प्रोवाइडर्स, पेरोल कंपनियों, विपणन एजेंसियों) का उपयोग करती है, तो अधिग्रहणकर्ता को उन अनुबंधों की शर्तों की समीक्षा करनी चाहिए। GDPR के अनुच्छेद 28 के तहत, DPA को विषय वस्तु, अवधि, प्रकृति और प्रसंस्करण के उद्देश्य, व्यक्तिगत डेटा के प्रकार और प्रोसेसर के दायित्वों को निर्दिष्ट करना चाहिए।

M&A के दौरान इन समझौतों को नवीकृत, समाप्त या पुनर्जन्म करने की आवश्यकता हो सकती है। अधिग्रहणकर्ता को यह सुनिश्चित करना चाहिए कि सभी प्रोसेसर GDPR के अनुरूप हैं और यह उपयुक्त डेटा प्रोसेसिंग शर्तें पोस्ट-मरगर संचालन के लिए होती हैं।

डाटा प्रोटेक्शन ऑफिसर (डीपीओ) की भूमिका

दोनों अधिग्रहण और लक्ष्य कंपनियों में डीपीओ हो सकता है। एमएंडए प्रक्रिया में उनकी भागीदारी आवश्यक है, विशेष रूप से डेटा प्रसंस्करण गतिविधियों का मूल्यांकन करने के लिए, जोखिम शमन पर सलाह देने और यह सुनिश्चित करने के लिए कि डेटा सुरक्षा प्रभाव आकलन (डीपीआईए) की आवश्यकता होने पर आयोजित किया जाता है। डीपीओ निरंतर मार्गदर्शन प्रदान करने के लिए एकीकरण परियोजना टीम का हिस्सा होना चाहिए।

कुछ मामलों में, विलय एक नया समूह इकाई बना सकता है जिसके लिए एक नया डीपीओ पदनाम की आवश्यकता होती है, खासकर अगर संयुक्त इकाई डेटा की विशेष श्रेणियों के बड़े पैमाने पर संसाधित करती है या व्यक्तियों की व्यवस्थित निगरानी में संलग्न होती है।

M&A के दौरान डेटा विषय अधिकार को संभालने

डेटा विषय एक M&A लेनदेन के दौरान अपने सभी GDPR अधिकारों को बरकरार रखते हैं। इसमें एक्सेस, सुधार, इरादे, प्रोसेसिंग का प्रतिबंध, डेटा पोर्टेबिलिटी और आपत्ति शामिल है। कंपनियों को ऐसे अनुरोधों को बिना किसी देरी के जवाब देने के लिए तंत्र होना चाहिए, यहां तक कि विलय के परिचालन विघटन के बीच भी।

उदाहरण के लिए, एक ग्राहक अनुच्छेद 17 (अधिकारण के लिए) के तहत अपने व्यक्तिगत डेटा को हटाने का अनुरोध कर सकता है। अधिग्रहण करने वाली कंपनी को यह मूल्यांकन करना चाहिए कि क्या डेटा को अभी भी M&A या भविष्य के व्यवसाय के वैध उद्देश्यों के लिए आवश्यक है। यदि नहीं, तो तुरंत हटाए जाने चाहिए। कुछ मामलों में, नियामक या अनुबंध के कारणों के लिए डेटा को बनाए रखने के लिए संभावित कानूनी दायित्वों के खिलाफ सहमति देने का अधिकार संतुलित हो सकता है।

इसके अतिरिक्त, लक्ष्य कंपनी के कर्मचारियों को अपने व्यक्तिगत डेटा के बारे में स्पष्ट अधिकार हैं। उचित परिश्रम के दौरान HR फ़ाइलों को अलग किया जाना चाहिए और केवल सहमति प्राप्त करने या किसी अन्य वैध आधार पर भरोसा करने के बाद साझा किया जाना चाहिए, जैसे कि पर्याप्त सुरक्षा के साथ संयुक्त होने पर लेनदेन का वैध हित।

M&A में डेटा सुरक्षा के लिए सर्वश्रेष्ठ अभ्यास

डेटा सुरक्षा विलय और अधिग्रहण के दौरान व्यक्तिगत डेटा सुरक्षा की नींव है। निम्नलिखित प्रथाओं जोखिम को कम करने और जवाबदेही प्रदर्शित करने में मदद करते हैं।

मजबूत साइबर सुरक्षा उपाय लागू करना

व्यक्तिगत डेटा के हस्तांतरण और भंडारण में शामिल सभी प्रणालियों को फायरवॉल, घुसपैठ का पता लगाने की प्रणाली, विरोधी मैलवेयर उपकरण और नियमित भेद्यता स्कैनिंग द्वारा संरक्षित किया जाना चाहिए। बहु-फैक्टर प्रमाणीकरण (एमएफए) संवेदनशील डेटा रिपॉजिटिविटी या वीडीआर के लिए किसी भी पहुंच के लिए अनिवार्य होना चाहिए।

लेनदेन से पहले लक्ष्य कंपनी के बुनियादी ढांचे का प्रवेश परीक्षण कमजोरियों को उजागर कर सकता है जो विलय के दौरान या उसके बाद शोषण किया जा सकता है। अधिग्रहणकर्ता को लक्ष्य की साइबर स्वच्छता का भी आकलन करना चाहिए, जिसमें पैच प्रबंधन नीतियों और घटना प्रतिक्रिया योजना शामिल है।

स्टाफ प्रशिक्षण और जागरूकता

एमएंडए के दौरान डेटा को संभालने वाले कर्मचारियों को लेनदेन से जुड़े विशिष्ट जोखिमों पर लक्षित प्रशिक्षण प्राप्त होना चाहिए। इसमें फ़िशिंग प्रयास को पहचानने, डेटा वर्गीकरण को समझने और यह जानने के लिए कि कैसे एक उल्लंघन की रिपोर्ट करने के लिए। प्रशिक्षण को एकीकरण प्रगति के रूप में ताज़ा किया जाना चाहिए और नई प्रणालियों को पेश किया जाना चाहिए।

यह भी एक डेटा संरक्षण संस्कृति है कि M&A टीम से परे फैली बनाने के लिए महत्वपूर्ण है। सभी कर्मचारियों को पता होना चाहिए कि व्यक्तिगत डेटा को बाहरी रूप से साझा करना बिना प्राधिकरण के प्रतिबंधित है।

घटना प्रतिक्रिया प्रोटोकॉल स्थापित करें

यहां तक कि सबसे अच्छा सुरक्षा उपायों के साथ, डेटा उल्लंघन हो सकता है। कंपनियों को M & A परिदृश्य के अनुरूप एक स्पष्ट घटना प्रतिक्रिया योजना होनी चाहिए। इस योजना को भूमिकाओं, संचार लाइनों और एस्केलेटर प्रक्रियाओं को परिभाषित करना चाहिए। GDPR के तहत, व्यक्तिगत डेटा को प्रभावित करने वाले एक उल्लंघन को 72 घंटों के भीतर DPC को सूचित किया जाना चाहिए, और उच्च जोखिम वाले मामलों में, प्रभावित डेटा विषयों को भी सूचित किया जाना चाहिए।

M&A के दौरान, जहां कई कानूनी संस्थाओं और आईटी सिस्टम शामिल हैं, समन्वय आवश्यक है। लेनदेन बंद होने से पहले अधिग्रहण और लक्ष्य दोनों से एक संयुक्त घटना प्रतिक्रिया टीम बनाई जानी चाहिए।

नियमित रूप से समीक्षा और अद्यतन सुरक्षा नीतियों

एक स्टैंडअलोन कंपनी के लिए पर्याप्त सुरक्षा नीतियां एक संयुक्त इकाई के लिए अपर्याप्त हो सकती हैं। पोस्ट-मर्डर, अधिग्रहणकर्ता को सभी सुरक्षा नीतियों की व्यापक समीक्षा करनी चाहिए, जिसमें एक्सेस कंट्रोल, एन्क्रिप्शन, डेटा रिटेंशन और बिजनेस निरंतरता शामिल है। नीतियों को नए संगठनात्मक संरचना और नियामक आवश्यकताओं के साथ संरेखित किया जाना चाहिए।

सतत निगरानी और आवधिक लेखा परीक्षा यह सुनिश्चित करने में मदद करती है कि सुरक्षा उपाय प्रभावी रहे। डीपीसी कंपनियों को डेटा सुरक्षा के लिए सक्रिय दृष्टिकोण लेने की उम्मीद करता है, और नियमित समीक्षा जवाबदेही प्रदर्शित करती है।

आयरिश M&A में क्रॉस-बॉर्डर विचार

आयरलैंड में कई M&A लेनदेन में यूरोपीय संघ के बाहर आधारित एक कंपनी शामिल है, जैसे कि संयुक्त राज्य अमेरिका या एशिया। Brexit के बाद, ब्रिटेन GDPR के तहत एक तीसरा देश है, इसलिए आयरलैंड से ब्रिटेन तक व्यक्तिगत डेटा के हस्तांतरण के लिए उपयुक्त हस्तांतरण तंत्र की आवश्यकता होती है, आम तौर पर SCC या पर्याप्त निर्णय (यदि प्रभाव में हो)।

नए यूरोपीय संघ के मानक अनुबंध क्लॉज (2021) में जारी नए डेटा हस्तांतरण समझौतों के लिए अनिवार्य हैं। कंपनियों को यह सुनिश्चित करना चाहिए कि विदेशी पार्टियों के साथ अनुबंधों में इन खंड शामिल हैं और वे एक उचित जोखिम मूल्यांकन (ट्रांसफर इम्पैक्ट असेसमेंट) के साथ पूरक हैं।

इसके अलावा, CJEU से Schrems II निर्णय ने अमेरिका जैसे देशों में स्थानांतरण पर जांच की है। आयरलैंड के डीपीसी ने प्रवर्तन पर एक दृढ़ता की स्थिति ली है, इसलिए कंपनियों को यह सत्यापित करना होगा कि प्राप्त करने वाला देश डेटा संरक्षण का पर्याप्त स्तर प्रदान करता है।

पोस्ट-मरगर इंटीग्रेशन और ऑनगोइंग अनुपालन

एक बार विलय बंद हो जाने पर, काम समाप्त नहीं होता है। संयुक्त इकाई को यह सुनिश्चित करना चाहिए कि दोनों कंपनियों से व्यक्तिगत डेटा एक अनुरूप तरीके से एकीकृत हो। इसमें विभिन्न डेटा प्रतिधारण अनुसूची, गोपनीयता नीतियों को विलय और डेटा प्रोसेसिंग रजिस्टरों को समेकित करना शामिल है।

डेटा मैपिंग को नए डेटा प्रवाह को प्रतिबिंबित करने के लिए फिर से जाना चाहिए। नियंत्रक संरचना में परिवर्तन: जहां पहले एक स्वतंत्र नियंत्रक था, अब एक संयुक्त नियंत्रक संबंध हो सकता है या एक नियंत्रक दूसरे को अवशोषित कर सकता है। प्रसंस्करण के लिए कानूनी आधार शिफ्ट हो सकता है, इसलिए नई सहमति अनुरोध आवश्यक हो सकता है।

यह सलाह दी जाती है कि पहले छह महीने के बाद विलय के भीतर किसी भी अंतराल या गैर अनुपालन मुद्दों की पहचान करने के लिए डेटा सुरक्षा ऑडिट का संचालन करें। डीपीसी उम्मीद करता है कि एकीकृत इकाई में एक मजबूत डेटा संरक्षण प्रशासन ढांचा है, जिसमें डीपीओ शामिल है यदि आवश्यक हो, तो दस्तावेज प्रक्रियाएं और चल रहे कर्मचारी प्रशिक्षण कार्यक्रम।

निष्कर्ष

आयरिश विलय और अधिग्रहण के दौरान व्यक्तिगत डेटा की सुरक्षा करना केवल एक कानूनी दायित्व नहीं है; यह एक व्यवसायी अनिवार्य है। गैर-अनुपालन के परिणाम - उच्च जुर्माना, ग्राहक विश्वास की हानि, और परिचालन विघटन - उचित डेटा संरक्षण प्रथाओं में निवेश को दूर करने के लिए।

पूरी तरह से डेटा ऑडिट आयोजित करके, डेटा संग्रह को कम करना, स्थानांतरण को सुरक्षित करना, नीतियों को अद्यतन करना, पहुंच को सीमित करना और डेटा सुरक्षा विशेषज्ञों को शामिल करना, कंपनियां विश्वास के साथ M&A प्रक्रिया को नेविगेट कर सकती हैं। कुंजी लेनदेन के हर चरण में डेटा संरक्षण को एम्बेड करना है, प्रारंभिक देय परिश्रम से लेकर पोस्ट-मर्डर एकीकरण तक।

आधिकारिक मार्गदर्शन के लिए, कंपनियों को ]Irish Data Protection Commission] वेबसाइट पर परामर्श करना चाहिए और GDPR]]]] के पूर्ण पाठ की समीक्षा करना चाहिए। अतिरिक्त संसाधन जैसे UK ICO's M&A]]] पर मार्गदर्शन और प्रमुख कानून फर्मों जैसे Mason Hayes & Curran]] भी मूल्यवान अंतर्दृष्टि प्रदान कर सकते हैं।

ऊपर उल्लिखित सिद्धांतों के लिए सावधानीपूर्वक योजना और पालन के साथ, आयरिश कंपनियां व्यक्तिगत डेटा की रक्षा करते समय एम एंड ए लेनदेन को निष्पादित कर सकती हैं और सभी हितधारकों के विश्वास को बनाए रख सकती हैं।