Spajanje i stjecanje (M&A) stvaraju značajne mogućnosti za rast, ali u Irskoj uvode i znatne rizike za zaštitu podataka. Prema Općoj uredbi o zaštiti podataka (GDPR) i Zakonu o zaštiti podataka iz Irske 2018., rukovanje osobnim podacima tijekom transakcija M&A zahtijeva pedantno planiranje. Neuspjeh zaštite osobnih podataka može rezultirati teškim kaznama, reputacijom štete i gubitkom povjerenja dionika. Ovaj članak pruža sveobuhvatni vodič za zaštitu osobnih podataka u cijeloj M&A životnom ciklusu u Irskoj.

Razumijevanje irskih zakona o zaštiti podataka

Irski okvir za zaštitu podataka pod velikim je utjecajem prava EU-a. GDPR, izravno primjenjiv od svibnja 2018., postavlja visoku granicu za obradu osobnih podataka. Komisija za zaštitu podataka (DPC) je neovisno nadzorno tijelo Irske, provodi GDPR i uvodi novčane kazne do 4% godišnjeg globalnog prometa ili 20 milijuna EUR (koje je veće) za ozbiljne povrede.

Tijekom transakcija M&A, sve aktivnosti obrade podataka moraju se pridržavati načela GDPR-a: zakonitosti, pravednosti, transparentnosti, ograničenju namjene, smanjenju vrijednosti, točnosti, ograničenju pohrane, integritetu i povjerljivosti. Ta načela primjenjuju se ne samo na svakodnevne operacije subjekata koji se spajaju već i na faze dubinske marljivosti i integracije.

Osim toga, Zakon o zaštiti podataka iz Irske 2018. sadržava posebne odredbe koje dopunjuju GDPR, uključujući pravila o obradi posebnih kategorija podataka i izuzeća za određene svrhe. Tvrtke moraju biti svjesne i propisa EU-a i nacionalnog zakonodavstva pri provođenju prekograničnih sporazuma o M&A-u.

Ključni koraci za čuvanje osobnih podataka tijekom M&A

Proaktivne mjere moraju se poduzeti prije, tijekom i nakon transakcije. Ispod su bitne mjere za osiguranje sukladnosti i sigurnosti.

1. Revizija sveobuhvatnih podataka ponašanja

Prije nego što se bilo koji podatak može prenijeti ili spojiti, potreban je puni inventar svih osobnih podataka koje drži ciljno društvo. Ova revizija treba obuhvatiti zapise zaposlenika, baze podataka kupaca, kontakte dobavljača, marketinške liste, i sve druge strukturirane ili nestrukturirane osobne podatke. Svaka imovina podataka treba biti klasificirana po vrsti, izvoru, svrsi obrade, zadržavanju razdoblja, te pravnoj osnovi.

Revizijom se moraju utvrditi i svi osjetljivi ili posebni podaci kategorije (npr. zdravlje, biometrija, politička mišljenja) koji zahtijevaju dodatne zaštitne mjere. Dokumentiranje tokova podataka kako interno tako i procesora trećih strana je kritično, jer je procjena sigurnosnih mjera već na snazi.

2. Provesti minimizaciju podataka

Samo podatke koji su potrebni za specifične svrhe spajanja treba prikupljati, dijeliti ili zadržavati. Tijekom faze dubinske analize poduzeća trebaju zatražiti ograničene skupove podataka često anonimne ili pseudonimizirane gdje god je to moguće. Na primjer, umjesto da se osiguraju puni podaci o plaćama zaposlenika, agregirani raspon plaća može biti dovoljan za procjenu financijskih obveza.

Smanjenje broja podataka smanjuje rizik od izloženosti u slučaju povrede i usklađuje se s GDPR-ovim načelom ograničavanja skladištenja. Nakon zatvaranja transakcije, svi podaci koji više nisu potrebni za integraciju moraju se sigurno izbrisati ili arhivirati u skladu s zakonskim zahtjevima zadržavanja.

3. Prijenos sigurnih podataka

Prijenos osobnih podataka između subjekata tijekom M&A zahtijeva robusnu enkripciju i sigurne kanale. Irska je unutar Europskog gospodarskog prostora (EEA), tako da su transferi unutar EGP-a općenito neograničeni. Međutim, ako se stranka koja je preuzela ugovor temelji izvan EEA (npr., UK nakon Brexita ili SAD-a), moraju se koristiti dodatni mehanizmi prijenosa, kao što su Standardni ugovorni klauzule (SCC) ili Binding Corporate Rules (BCR).

Sve podatke u tranzitu treba kriptirati pomoću TLS 1.2 ili više. Podaci u mirovanju također moraju biti kriptirani. Dnevnici pristupa trebaju biti održavani kako bi se otkrio bilo koji neovlašteni pristup tijekom procesa prijenosa.

4. Ažuriranje privatnosti Pravila i napomene

Prema članku 13. i 14. GDPR-a, ispitanici imaju pravo biti informirani o tome kako se njihovi podaci obrađuju. subjekti koji se spajaju moraju preispitati i ažurirati svoje politike privatnosti kako bi odražavali nove aktivnosti obrade vezane uz M&A. To može uključivati promjene u kontroloru podataka, svrhe obrade i raspored zadržavanja podataka.

Dobra je praksa da se te promjene izravno priopće zaposlenicima, kupcima i dobavljačima. Ako je primjenjivo, potrebno je osigurati jasne jezike i mehanizme za jednostavno odbijanje marketinških komunikacija.

5. Ograničeni pristup esencijalnom osoblju

Pristup podacima treba temeljiti i dodijeliti samo onima kojima je potreban za obavljanje posebnih zadaća M&A. To uključuje pravne savjetnike, financijske revizore, upravitelje integracijama i osoblje IT sigurnosti. Svi pristup treba pregledati i ukinuti nakon što osoba je uključenost završava.

Koristite virtualne sobe s podacima (VDR) s kontrolama pristupa granularnim i dokumentima označenim vodom kako bi se upratilo bilo kakvo curenje. Sporazume o neotkrivanju (NDA) trebaju potpisati sve strane, a obuku o obvezama zaštite podataka treba osigurati prije nego što se odobri pristup.

Pravna i regulatorna razmatranja

Irske M&A transakcije zahtijevaju blisku suradnju između korporativnih odvjetnika, službenika za zaštitu podataka (DPO-ovi) i timova za usklađivanje ciljeva. Pravni okvir nije statičan; nedavna kretanja poput Zakona o upravljanju podacima EU-a i predloženog Zakona o podacima mogu dodati daljnje obveze za razmjenu podataka i prenosivost.

U skladu s člankom 4. stavkom 2.

Pravna dubinska analiza trebala bi uključivati temeljitu reviziju povijesti usklađenosti ciljnog poduzeća sa zaštitom podataka. To uključuje provjeru prethodnih istraga ili provedbenih mjera od strane DPC-a, postojećih sporazuma o obradi podataka (DPA-ova) s trećim stranama, te svih zahtjeva za pristup subjektu u tijeku (SAR-ovi) ili pritužbi ispitanika.

Stjecanje mora razumjeti otisak zaštitnog traga cilja, uključujući sve aktivnosti obrade podataka, pravne baze oslanjaju se na, i primjerenost sigurnosnih mjera. Analiza jaza u zaštiti podataka treba biti provedena kako bi se utvrdila područja nesukladnosti koja treba popraviti prije ili nakon zatvaranja.

Sporazumi o obradi podataka (DPA)

Ako ciljno društvo koristi treće strane procesore podataka (npr. pružatelji usluga u oblaku, platna društva, marketinške agencije), stjecatelj mora preispitati uvjete tih ugovora. Prema članku 28. GDPR-a, DPA-i moraju odrediti predmet, trajanje, prirodu i svrhu obrade, vrstu osobnih podataka i obveze procesora.

Tijekom M&A, ti sporazumi će možda trebati biti novirani, prekinuti ili ponovno pregovarati. Stjecatelj bi trebao osigurati da su svi procesori u skladu s GDPR-om i da su na snazi odgovarajući uvjeti obrade podataka za operacije nakon knjiženja.

Uloga službenika za zaštitu podataka (DPO)

I stjecanje i ciljana poduzeća mogu imati DPO-ove. Njihovo sudjelovanje u procesu M&A je bitno, posebno za procjenu aktivnosti obrade podataka, savjetovanje o ublažavanju rizika, te osiguravanje da se procjena učinka na zaštitu podataka (DPIA) provodi po potrebi. DPO-ovi bi trebali biti dio tima za integraciju projekta kako bi se osiguralo stalno vodstvo.

U nekim slučajevima spajanjem se može stvoriti novi skupni subjekt koji zahtijeva novu oznaku DPO-a, posebno ako kombinirani subjekt obrađuje velike razmjere posebnih kategorija podataka ili se bavi sustavnim praćenjem pojedinaca.

Rješavanje prava ispitanika tijekom M&A

Podanici zadržavaju sva svoja prava GDPR-a tijekom transakcije M&A. To uključuje prava pristupa, ispravljanja, brisanje, ograničavanje obrade, prenosivost podataka i prigovor. Tvrtke moraju imati mehanizme u mjestu da odgovore na takve zahtjeve bez nepotrebnog odgađanja, čak i usred operativnih prekida spajanja.

Primjerice, kupac može zatražiti brisanje osobnih podataka iz članka 17. (pravo na brisanje). Tvrtka koja preuzima podatke mora procijeniti jesu li još uvijek potrebni za legitimne svrhe M&A ili budućeg poslovanja. Ako nije, brisanje bi trebalo biti obrađeno odmah. U nekim slučajevima, pravo na brisanje može biti uravnoteženo protiv potencijalnih pravnih obveza zadržavanja podataka iz regulatornih ili ugovornih razloga.

Osim toga, zaposlenici ciljnog društva imaju jasna prava u pogledu svojih osobnih podataka. HR datoteke treba odvojiti tijekom dubinske analize i dijeliti samo nakon dobivanja pristanka ili oslanjanja na drugu zakonitu osnovu, kao što je legitimni interes transakcije kada se kombinira s odgovarajućim zaštitnim mjerama.

Najbolje prakse za sigurnost podataka u M&A

Sigurnost podataka temelj je zaštite osobnih podataka tijekom spajanja i stjecanja. Sljedeće prakse pomažu u ublažavanju rizika i dokazivanju odgovornosti.

Provedi snažne mjere kibernetičke sigurnosti

Svi sustavi uključeni u prijenos i pohranu osobnih podataka moraju biti zaštićeni vatrozidima, sustavima detekcije upada, alatima za anti-malver i redovitim skeniranjem ranjivosti. Višefaktorska autentifikacija (MFA) treba biti obvezna za bilo kakav pristup osjetljivim repozitorijima podataka ili VDR-ovima.

Testiranje penetracije infrastrukture ciljnog poduzeća prije nego što transakcija može otkriti slabosti koje bi se mogle iskoristiti tijekom ili nakon spajanja. Stjecatelj bi također trebao procijeniti kibernetičku higijenu cilja, uključujući politike upravljanja poveznicama i planove odgovora na incidente.

Obuka i svjesnost osoblja

Zaposlenici koji obrađuju podatke tijekom M&A trebaju dobiti ciljanu obuku o specifičnim rizicima povezanima s transakcijom. To uključuje prepoznavanje pokušaja phishinga, razumijevanje klasifikacije podataka, i znajući kako prijaviti kršenje. Obuka treba biti osvježena kako se uvodi integracijski napredak i novi sustavi.

Također je od ključne važnosti stvoriti kulturu zaštite podataka koja se proteže izvan M&A tima. Svo osoblje treba znati da je dijeljenje osobnih podataka izvana bez odobrenja zabranjeno.

Uspostaviti protokole za odgovor na incidente

Čak i uz najbolje zaštitne mjere, mogu se pojaviti povrede podataka. Tvrtke moraju imati jasan plan odgovora na incidente prilagođen M&A scenarijima. Ovaj plan treba definirati uloge, komunikacijske linije, i postupke eskalacije. Prema GDPR, kršenje koje utječe na osobne podatke mora biti obaviješteni na DPC u roku od 72 sata, a u slučajevima visokog rizika, pogođeni ispitanici također moraju biti obaviješteni.

Tijekom M&A, kada su uključene više pravnih osoba i IT sustava, koordinacija je ključna. Zajednički tim odgovor incidenta od strane stjecatelja i cilja treba biti formiran prije zatvaranja transakcije.

Redovito pregledajte i ažurirajte sigurnosne politike

Sigurnosne politike koje su bile dovoljne za samostalno društvo mogu biti neadekvatne za kombinirani subjekt. Nakon što je stjecatelj trebao bi provesti sveobuhvatnu reviziju svih sigurnosnih politika, uključujući kontrolu pristupa, enkripciju, zadržavanje podataka i kontinuitet poslovanja. Politika bi trebala biti usklađena s novom organizacijskom strukturom i regulatornim zahtjevima.

Kontinuirano praćenje i periodične revizije pomažu osigurati da sigurnosne mjere ostanu učinkovite. DPC očekuje od poduzeća da se proaktivni pristup sigurnosti podataka, a redovite revizije pokazuju odgovornost.

Razmatranja u irskom M&A

Mnoge transakcije M&A u Irskoj uključuju tvrtku koja se bavi kupnjom izvan EU-a, kao što su Sjedinjene Države ili Azija. Nakon Brexita, UK je treća zemlja pod BDPR-om, tako da prijenos osobnih podataka iz Irske u UK zahtijeva odgovarajući mehanizam prijenosa, obično SCC-ovi ili odluka o primjerenosti (ako je to na snazi).

Novi standardni ugovorni klauzule EU-a (objavljene 2021) obvezne su za nove sporazume o prijenosu podataka. Tvrtke moraju osigurati da ugovori s prekomorskim strankama uključuju te klauzule i da su dopunjene odgovarajućom procjenom rizika (Procjena učinka Transfer).

Nadalje, odluka o Schremsu II iz CJE-a pojačala je nadzor transfera u zemlje poput SAD-a. Irska je zauzela čvrst stav o provedbi, pa poduzeća moraju provjeriti da zemlja primateljica nudi odgovarajuću razinu zaštite podataka.

Integracija i usklađenost nakon mergera

Nakon spajanja, rad ne završava. Kombinirani subjekt mora osigurati da osobni podaci iz oba poduzeća su integrirani u usklađen način. To uključuje pomirenje različitih rasporeda zadržavanja podataka, spajanje pravila privatnosti, i konsolidiranje registara obrade podataka.

Mapiranje podataka treba biti ponovno reflektirati nove tokove podataka. Struktura kontrolera se mijenja: gdje je prije postojao neovisni kontroler, sada može postojati zajednički odnos kontrolera ili jedan kontroler apsorbira drugi. Pravni temelj za obradu može se promijeniti, tako da novi zahtjevi za privolu mogu biti potrebni.

Savjetuje se provesti reviziju zaštite podataka u prvih šest mjeseci nakon podnošenja zahtjeva za utvrđivanje bilo kakvih nedostataka ili problema s nesukladnošću. DPC očekuje da integrirani subjekt ima čvrst okvir upravljanja podacima, uključujući DPO ako je to potrebno, dokumentirane procese i tekuće programe osposobljavanja osoblja.

Zaključak

Zaštita osobnih podataka tijekom irskih spajanja i stjecanja nije samo zakonska obveza; to je poslovni imperativ. Posljedice nesukladnosti visoke novčane kazne, gubitak povjerenja kupaca i operativni poremećaj daleko nadmašuju ulaganja u odgovarajuće prakse zaštite podataka.

Provođenjem temeljitih revizija podataka, minimiziranjem prikupljanja podataka, osiguranjem transfera, ažuriranjem politika, ograničavanjem pristupa i uključivanjem stručnjaka za zaštitu podataka rano, poduzeća mogu s povjerenjem upravljati procesom M&A. Ključ je ugrađivati zaštitu podataka u svaku fazu transakcije, od početne dubinske analize do integracije nakon uvoza.

Za službene smjernice, tvrtke bi trebale konzultirati Irska komisija za zaštitu podataka web-stranicu i pregledati puni tekst GDPR. Dodatni resursi kao što su UK ICO-vo vodstvo na M&A i izvješća vodećih pravnih tvrtki kao što su Mason Hayes & Curran također mogu pružiti vrijedne uvide.

S pažljivim planiranjem i pridržavanjem gore navedenih načela, irska poduzeća mogu izvršavati transakcije M&A-om uz zaštitu osobnih podataka i održavanje povjerenja svih dionika.