Mergere og oppkjøp (M&A) skaper betydelige muligheter for vekst, men i Irland, de også introdusere betydelig databeskyttelsesrisiko. I henhold til den generelle databeskyttelsesforordningen (GDPR) og den irske databeskyttelsesloven 2018 krever håndtering av personopplysninger under M&A transaksjoner nøye planlegging. Manglende å beskytte personopplysninger kan resultere i alvorlige straffer, rykteskader og tap av interessenter tillit. Denne artikkelen gir en omfattende veiledning for å beskytte personopplysninger i hele M&A livssyklusen i Irland.

Forstå irsk databeskyttelseslov

Irlands databeskyttelsesrammeverk er sterkt påvirket av EU-retten. GDPR, direkte gjeldende siden mai 2018, setter en høy strek for behandling av personopplysninger. Databeskyttelseskommisjonen (DPC) er Irlands uavhengige tilsynsmyndighet, håndhever GDPR og pålegger bøter på opptil 4% av den årlige globale omsetningen eller 20 millioner euro (som er høyere) for alvorlige brudd.

Under M&A-transaksjoner må alle databehandlingsaktiviteter overholde prinsippene i GDPR: lovlighet, rettferdighet, åpenhet, formålsbegrensning, dataminimering, nøyaktighet, lagringsbegrensning, integritet og konfidensialitet og ansvarlighet. Disse prinsippene gjelder ikke bare for de sammenslående enhetenes daglige virksomhet, men også for de due diligence- og integrasjonsfaser.

I den irske databeskyttelsesloven 2018 er det i tillegg særlige bestemmelser som supplerer GDPR, herunder regler for behandling av spesielle kategorier av data og unntak til visse formål. Selskapet må være oppmerksom på både EU-forskriften og nasjonal lovgivning når det gjelder å gjennomføre grenseoverskridende M&A-avtaler.

Viktige skritt for å beskytte personopplysninger under M&A

Proaktive tiltak må treffes før, under og etter en transaksjon. Nedenfor er de viktige tiltakene for å sikre overholdelse og sikkerhet.

1. Opptre omfattende datarevisjoner

Før data kan overføres eller slås sammen, er det nødvendig å ha en fullstendig fortegnelse over alle personopplysninger som innehas av målselskapet. Denne revisjonen bør dekke medarbeiderregistre, kundedatabaser, leverandørkontakter, markedsføringslister og andre strukturerte eller ustrukturerte personopplysninger. Hver datakilde bør klassifiseres etter type, kilde, formål med behandling, lagringsperiode og rettslig grunnlag.

Revisoren må også identifisere sensitive eller spesielle kategorier (f.eks. helse, biometriske, politiske meninger) som krever ytterligere garantier. Dokumentasjon av datastrømmene både internt og til tredjepartsbehandlere er kritisk, som det er ved vurdering av sikkerhetstiltakene som allerede er på plass.

2. Implementer dataminimisering

Bare data som er nødvendig for de spesifikke formålene med fusjonen bør samles inn, deles eller beholdes. I løpet av due diligence-fasen bør selskapene be om begrensede datasett ⁇ ofte anonymisert eller pseudonymisert ⁇ der det er mulig. For eksempel kan aggregerte lønnsintervaller i stedet for å gi full lønnsdetaljer, være tilstrekkelig til å vurdere finansielle forpliktelser.

Dataminimering reduserer risikoen for eksponering i tilfelle et brudd og tilpasser seg GDPR-prinsippet om lagringsbegrensning. Etter at transaksjonen stenger, må alle data som ikke lenger er nødvendig for integrasjonen slettes eller arkiveres sikkert i samsvar med juridiske oppbevaringskrav.

3. Sikker dataoverføring

Overføring av personopplysninger mellom enheter under M&A krever robust kryptering og sikre kanaler. Irland er innenfor Det europeiske økonomiske samarbeidsområde (EØS), så overføringer i EØS er generelt ubegrenset. Men hvis den kjøpende part er basert utenfor EØS (f.eks. Storbritannia etter Brexit eller USA), må det brukes ytterligere overføringsmekanismer, som standard kontraktsbestemte klausuler (SCC) eller bindende selskapsregler (BCR).

Alle data under transitt bør krypteres ved hjelp av TLS 1.2 eller høyere. Data i hvile må også krypteres. Adgangslogger bør opprettholdes for å oppdage uautorisert tilgang under overføringsprosessen.

4. Oppdater personvernerklæringer og personvernerklæringer

I henhold til artikkel 13 og 14 i GDPR har de registrerte rett til å bli informert om hvordan dataene behandles. De sammenslående enhetene må gjennomgå og oppdatere personvernerklæringene sine for å gjenspeile nye behandlingsaktiviteter knyttet til M&A. Dette kan omfatte endringer i dataansvarlig, formålene med behandling og databevaringsplan.

Det er god praksis å kommunisere disse endringene direkte til ansatte, kunder og leverandører. Klart språk og enkle opt-out mekanismer for markedsføringskommunikasjon bør gis der det er aktuelt.

5. Begrens tilgangen til essensiell personell

Datatilgang bør være rollebasert og kun gis til de som trenger det for å utføre bestemte M&A-oppgaver. Dette inkluderer juridiske rådgivere, finansielle revisorer, integrasjonsledere og IT-sikkerhetspersonale. All tilgang bør gjennomgås og trekkes tilbake når personens engasjement avsluttes.

Bruk virtuelle datarom (VDR) med granular tilgangskontroll og vannmerkede dokumenter for å spore alle lekkasjer. Ikke-disclosure avtaler (NDAs) bør signeres av alle parter, og opplæring i databeskyttelsesplikt bør gis før tilgang er gitt.

Rettslige og regulatoriske vurderinger

Irske M&A-transaksjoner krever tett samarbeid mellom selskapsadvokater, databeskyttelsesansvarlige (DPO) og målets compliance team. Rettslige rammeverk er ikke statisk; nylige utviklinger som EUs lov om dataforvaltning og den foreslåtte dataloven kan legge til ytterligere forpliktelser for datadeling og portabilitet.

Due Diligence fra et databeskyttelsesperspektiv

Juridisk due diligence bør inneholde en grundig gjennomgang av målselskapets databeskyttelseshistorie. Dette innebærer å sjekke for eventuelle tidligere undersøkelser eller håndhevelsestiltak fra DPC, eksisterende databehandlingsavtaler (DPA) med tredjeparter og eventuelle avventende anmodninger om tilgang til personer (SAR) eller klager fra registrerede.

Oppkjøperen må forstå målets databeskyttelsesavtrykk, inkludert alle databehandlingsaktiviteter, juridiske grunnlag som er avhengige av og tilstrekkeligheten av sikkerhetstiltak. En databeskyttelsesgapanalyse bør gjennomføres for å identifisere områder med manglende overholdelse som trenger å utbedres før eller etter stenging.

Databehandlingsavtaler (DPA)

Hvis målselskapet bruker tredjeparts databehandlere (f.eks. skytjenesteleverandører, lønnsselskaper, markedsføringsbyråer), må erververen vurdere vilkårene i disse kontraktene. I artikkel 28 i GDPR, må DPAs angi det aktuelle emnet, varigheten, arten og formålet med behandlingen, typen personopplysninger og forpliktelsene til prosessoren.

Under M&A kan disse avtalene måtte ikke oversettes, avsluttes eller omforhandles. Erververen bør sikre at alle prosessorer er i samsvar med GDPR og at det finnes passende databehandlingsbetingelser for post-merger-operasjonene.

Datatilsynets rolle (DPO)

Både kjøps- og målselskapene kan ha DPO-er. Deres engasjement i M&A-prosessen er viktig, spesielt for å vurdere databehandlingsaktiviteter, rådføre seg med risikoreduserende tiltak og sikre at konsekvensvurderingen av databeskyttelse (DPIA) utføres når det kreves. DPOs bør være en del av integrasjonsprosjektteamet for å gi kontinuerlig veiledning.

I enkelte tilfeller kan fusjonen opprette et nytt konsernet foretak som krever en ny DPO-betegnelse, spesielt hvis det kombinerte foretaket behandler stor skala av spesielle kategorier av data eller deltar i systematisk overvåking av enkeltpersoner.

Behandling av rettigheter til den registrerte under M&A

De registrerte beholder alle sine GDPR-rettigheter under en M&A-transaksjon. Dette inkluderer rettigheter til tilgang, rettelse, sletting, restriksjon av behandling, dataportabilitet og innvending. Selskaper må ha mekanismer til å svare på slike forespørsler uten unødig forsinkelse, selv i forbindelse med driftsforstyrrelser i en fusjon.

For eksempel kan en kunde be om sletting av sine personopplysninger i henhold til artikkel 17 (rett til sletting). Det kjøpende selskapet må vurdere om opplysningene fortsatt er nødvendig for legitime formål i M&A eller fremtidig virksomhet. Hvis ikke, bør sletting behandles umiddelbart. I noen tilfeller kan retten til å slette være balansert mot potensielle juridiske forpliktelser for å lagre data av regulatoriske eller kontraktsmessige grunner.

I tillegg har ansatte i målselskapet tydelige rettigheter til sine personopplysninger. HR-filer bør separateres under due diligence og kun deles etter å ha fått samtykke eller avhengig av et annet lovlig grunnlag, som f.eks. transaksjonens legitime interesse når de kombineres med tilstrekkelige garantier.

Beste praksis for datasikkerhet i M&A

Datasikkerhet er grunnlaget for personvern under sammenslåinger og oppkjøp. Følgende praksis bidrar til å redusere risiko og demonstrere ansvarlighet.

Implementer sterke cybersikkerhetstiltak

Alle systemer som er involvert i overføring og lagring av personopplysninger må beskyttes av brannmurer, inntrengningsdetekteringssystemer, anti-malware-verktøy og regelmessig sårbarhetsskanning. Multi-faktor-autentisering (MFA) bør være obligatorisk for tilgang til sensitive dataarkiver eller VDR-er.

Penetrasjonstest av målselskapets infrastruktur før transaksjonen kan avdekke svakheter som kan utnyttes under eller etter fusjonen. Erveren bør også vurdere målets cyberhygien, inkludert retningslinjer for håndtering av patch og hendelsesresponsplaner.

Personaleopplæring og bevissthet

Medarbeidere som håndterer data under M&A bør få målrettet opplæring om de spesifikke risikoene knyttet til transaksjonen. Dette inkluderer å gjenkjenne phishingforsøk, forstå dataklassifisering og vite hvordan å rapportere et brudd. Opplæringen bør oppdateres etter hvert som integrasjonen utvikles og nye systemer innføres.

Det er også kritisk å skape en databeskyttelseskultur som strekker seg utover M&A-teamet. Alle ansatte bør vite at det er forbudt å dele personopplysninger eksternt uten tillatelse.

Etablere inkvisitt responsprotokoller

Selv med de beste sikkerhetstiltakene kan databrudd oppstå. Selskaper må ha en klar hendelsesresponsplan skreddersydd til M&A-scenarier. Denne planen bør definere roller, kommunikasjonslinjer og eskalering prosedyrer. Under GDPR må et brudd som påvirker personopplysninger, underrettes til DPC innen 72 timer, og i høyrisikotilfeller må berørte registrerte også informeres.

Under M&A, der flere juridiske enheter og IT-systemer er involvert, er samordningen viktig. Et felles hendelsesresponsteam fra både kjøperen og målet bør dannes før transaksjonen stenger.

Regulært gjennomlese og oppdatere sikkerhetspolitikk

Sikkerhetspolicyer som var tilstrekkelige til et frittstående selskap kan være utilstrekkelige for et kombinert foretak. Post-merger, bør erververen gjennomføre en omfattende gjennomgang av alle sikkerhetspolitikker, inkludert tilgangskontroll, kryptering, dataoppbevaring og forretningskontinuitet. Politikker bør tilpasses den nye organisasjonsstrukturen og reguleringskravene.

Kontinuerlig overvåking og periodiske revisjoner bidrar til å sikre at sikkerhetstiltakene forblir effektive. DPC forventer at selskapene tar en proaktiv tilnærming til datasikkerhet, og regelmessige vurderinger viser ansvarlighet.

Overveielser i Irsk M&A

Mange M&A-transaksjoner i Irland involverer et kjøpende selskap som er basert utenfor EU, som for eksempel USA eller Asia. Etter Brexit er Storbritannia et tredjeland under GDPR, så overføring av personopplysninger fra Irland til Storbritannia krever en passende overføringsmekanisme, vanligvis SCC eller en tilstrekkelig beslutning (hvis det er i kraft).

Nye EU-standardkontraktklausuler (utgitt i 2021) er obligatoriske for nye dataoverføringsavtaler. Selskapet må sikre at kontrakter med utenlandske parter inkluderer disse klausulene og at de suppleres med en passende risikovurdering (fleire konsekvensvurdering).

Videre har Schrems II-beslutningen fra CJEU økt kontroll av overføringer til land som USA. Irlands DPC har tatt et fast standpunkt på håndhevelse, så selskaper må kontrollere at mottakerlandet tilbyr et tilstrekkelig nivå av databeskyttelse.

Integrasjon etter fusjonsmiddel og løpende overholdelse

Når fusjonen avsluttes, avsluttes ikke arbeidet. Det kombinerte foretaket må sikre at personopplysninger fra begge selskapene er integrert på en samsvarende måte. Dette inkluderer å forene ulike datalagringsplaner, slå sammen personvernpolicyer og konsolidere databehandlingsregister.

Datakartlegging bør være omgjort for å gjenspeile de nye datastrømmene. Den kontrollerende strukturen endres: der det tidligere var en uavhengig kontroller, kan det nå være et felles kontrollorganisasjon eller en kontroller absorberer en annen. Rettsgrunnlaget for behandling kan endres, så nye samtykkeforespørsler kan være nødvendig.

Det er tilrådelig å gjennomføre en databeskyttelsesrevisjon innen de første seks månedene etter at en person har funnet hull eller manglende overholdelse. DPC forventer at den integrerte enheten har en robust databeskyttelsesstyringsramme, inkludert en DPO om nødvendig, dokumentert prosesser og pågående opplæringsprogrammer for ansatte.

Konklusjon

Beskyttelse av personopplysninger under irske sammenslåinger og oppkjøp er ikke bare en juridisk forpliktelse; det er et forretningsmessig avgjørende. Konsekvensene av manglende overholdelse ⁇ høye bøter, tap av kundetillit og driftsforstyrrelser ⁇ langt høyere enn investeringen i riktig databeskyttelsespraksis.

Ved å gjennomføre grundige datarevisjoner, minimere datainnsamling, sikre overføringer, oppdateringspolitikker, begrense tilgangen og involvere databeskyttelseseksperter tidlig, kan selskaper navigere i M&A-prosessen med tillit. Nøkkelen er å inneslutte databeskyttelse i alle trinn av transaksjonen, fra initial due diligence til post-merger integrasjon.

For offisiell veiledning bør selskapene konsultere Irsk databeskyttelseskommisjonen] og se gjennom hele teksten på GDPR]. Ytterligere ressurser som UK ICOs veiledning om M&A og rapporter fra ledende advokatfirmaer som ]Mason Hayes & Curran kan også gi verdifull innsikt.

Med nøye planlegging og overholdelse av prinsippene som er beskrevet ovenfor kan irske selskaper gjennomføre M&A-transaksjoner samtidig som de beskytter personopplysninger og opprettholder tilliten til alle interessenter.