As fusões e aquisições (M&A) criam oportunidades significativas de crescimento, mas na Irlanda também introduzem riscos consideráveis de proteção de dados.No âmbito do Regulamento Geral sobre a Proteção de Dados (RGPD) e da Lei Irlandesa sobre a Proteção de Dados 2018, o tratamento de dados pessoais durante as transações de M&A requer um planejamento meticuloso.A falha em proteger dados pessoais pode resultar em severas penalidades, danos na reputação e perda de confiança dos stakeholders.Este artigo fornece um guia abrangente para proteger dados pessoais durante todo o ciclo de vida de M&A na Irlanda.

Compreender as Leis Irlandesas de Protecção de Dados

O quadro de proteção de dados da Irlanda é fortemente influenciado pela legislação da UE. O RGPD, diretamente aplicável desde maio de 2018, estabelece uma alta margem para o tratamento de dados pessoais. A Comissão de Proteção de Dados (DPC) é a autoridade de supervisão independente da Irlanda, aplicando o RGPD e aplicando multas de até 4% do volume de negócios global anual ou 20 milhões de euros (o que for mais elevado) para violações graves.

Durante as transações de M&A, todas as atividades de processamento de dados devem cumprir os princípios do RGPD: legalidade, equidade, transparência, limitação de finalidade, minimização de dados, precisão, limitação de armazenamento, integridade e confidencialidade e responsabilização. Esses princípios se aplicam não só às operações do dia-a-dia das entidades incorporadas, mas também às fases de devida diligência e integração.

Além disso, a Lei Irlandesa sobre a Proteção de Dados 2018 contém disposições específicas que complementam o RGPD, incluindo regras sobre o tratamento de categorias especiais de dados e isenções para certos fins. As empresas devem estar cientes tanto da regulamentação da UE como da legislação nacional na condução de acordos transfronteiriços de M&A.

Passos-chave para proteger os dados pessoais durante a M&A

As medidas proativas devem ser tomadas antes, durante e após uma transação. Abaixo estão as ações essenciais para garantir a conformidade e segurança.

1. Realizar auditorias de dados abrangentes

Antes de qualquer dado ser transferido ou fundido, é necessário um inventário completo de todos os dados pessoais detidos pela empresa-alvo, que deverá abranger os registos dos funcionários, bases de dados de clientes, contactos com fornecedores, listas de marketing e quaisquer outras informações pessoais estruturadas ou não estruturadas. Cada activo de dados deve ser classificado por tipo, fonte, finalidade do tratamento, período de retenção e base jurídica.

A auditoria deve também identificar quaisquer dados sensíveis ou de categoria especial (por exemplo, saúde, biometria, opiniões políticas) que exijam salvaguardas adicionais. A documentação dos fluxos de dados tanto internamente como para os processadores de terceiros é fundamental, tal como a avaliação das medidas de segurança já em vigor.

2. Implementar a Minimização de Dados

Só devem ser recolhidos, partilhados ou conservados dados necessários para os fins específicos da fusão. Durante a fase de diligência devida, as empresas devem solicitar conjuntos de dados limitados – muitas vezes anonimizados ou pseudônimos – sempre que possível. Por exemplo, em vez de fornecerem dados completos sobre a folha de pagamento dos empregados, os intervalos de salário agregados podem ser suficientes para avaliar responsabilidades financeiras.

A minimização de dados reduz o risco de exposição em caso de violação e se alinha ao princípio do RGPD de limitação de armazenamento. Após o encerramento da transação, quaisquer dados que não sejam mais necessários para a integração devem ser excluídos ou arquivados de forma segura de acordo com os requisitos de retenção legal.

3. Transferências de dados seguras

A transferência de dados pessoais entre entidades durante a M&A requer uma criptografia robusta e canais seguros. A Irlanda está dentro do Espaço Económico Europeu (EEE), pelo que as transferências no EEE são geralmente irrestritas. No entanto, se a parte adquirente estiver baseada fora do EEE (por exemplo, o Reino Unido pós-Brexit, ou os EUA), devem ser utilizados mecanismos de transferência adicionais, tais como Cláusulas Contratuais Padrão (CCE) ou Regras Corporativas Vinculativas (RCB).

Todos os dados em trânsito devem ser criptografados usando TLS 1.2 ou superior. Os dados em repouso também devem ser criptografados. Os registros de acesso devem ser mantidos para detectar qualquer acesso não autorizado durante o processo de transferência.

4. Atualizar Políticas de Privacidade e Avisos

Nos termos dos artigos 13.o e 14.o do RGPD, os titulares dos dados têm o direito de ser informados sobre a forma como os seus dados são tratados. As entidades incorporadas devem rever e actualizar as suas políticas de privacidade para reflectirem novas actividades de processamento relacionadas com o M&A. Isto pode incluir alterações ao responsável pelo tratamento dos dados, as finalidades do tratamento e o calendário de retenção de dados.

É uma boa prática comunicar estas alterações directamente aos trabalhadores, clientes e fornecedores, devendo ser facultados, sempre que aplicável, mecanismos claros e de fácil exclusão das comunicações de marketing.

5. Limitar o acesso ao pessoal essencial

O acesso aos dados deve ser baseado em funções e concedido apenas àqueles que necessitam para desempenhar tarefas específicas de M&A, incluindo consultores jurídicos, auditores financeiros, gestores de integração e pessoal de segurança informática. Todo o acesso deve ser revisto e revogado quando o envolvimento da pessoa terminar.

Utilizar salas de dados virtuais (VDRs) com controles de acesso granular e documentos com marca d'água para rastrear eventuais vazamentos. Os acordos de não divulgação (NDAs) devem ser assinados por todas as partes, e treinamento sobre obrigações de proteção de dados deve ser fornecido antes de o acesso ser concedido.

Considerações jurídicas e regulamentares

As transacções irlandesas de M&A exigem uma estreita colaboração entre advogados empresariais, responsáveis pela protecção de dados (DPO) e as equipas de conformidade do objectivo. O quadro jurídico não é estático; desenvolvimentos recentes, como a Lei da Governação de Dados da UE e a Lei de Dados proposta, podem acrescentar novas obrigações para a partilha de dados e a portabilidade.

Due Diligence de uma perspectiva de proteção de dados

A devida diligência jurídica deverá incluir uma revisão exaustiva do histórico de conformidade da empresa-alvo em matéria de proteção de dados, que implica a verificação de quaisquer investigações prévias ou medidas de execução por parte do PCD, acordos existentes de tratamento de dados (APD) com terceiros e quaisquer pedidos de acesso (SAR) ou reclamações de titulares de dados.

O adquirente deve compreender a pegada de proteção de dados do alvo, incluindo todas as atividades de processamento de dados, as bases jurídicas em que se baseia e a adequação das medidas de segurança. Deve ser realizada uma análise das lacunas de proteção de dados para identificar áreas de incumprimento que necessitem de remediação antes ou após o encerramento.

Acordos de tratamento de dados (APD)

Se a empresa-alvo utilizar processadores de dados de terceiros (por exemplo, prestadores de serviços de nuvem, empresas de pagamento, agências de marketing), o adquirente deve rever os termos desses contratos. Nos termos do artigo 28.o do RGPD, os DPAs devem especificar o objeto, a duração, a natureza e a finalidade do tratamento, o tipo de dados pessoais e as obrigações do processador.

Durante os M&A, estes acordos podem ter de ser renovados, encerrados ou renegociados, devendo o adquirente assegurar que todos os transformadores estão em conformidade com o GDPR e que estão em vigor condições adequadas de tratamento de dados para as operações pós-fusão.

Papel do responsável pela protecção de dados (DPO)

Tanto as empresas adquirentes como as empresas-alvo podem ter OPDs, sendo essencial a sua participação no processo de M&A, especialmente para avaliar as actividades de tratamento de dados, aconselhar sobre a redução dos riscos e garantir que a avaliação do impacto da protecção de dados (APD) seja realizada quando necessário.

Em alguns casos, a fusão pode criar uma nova entidade do grupo que exija uma nova designação de OPD, especialmente se a entidade combinada processar grandes categorias de dados especiais ou se envolver em monitoramento sistemático de indivíduos.

Lidar com os direitos dos titulares de dados durante os M&A

Os titulares de dados mantêm todos os seus direitos de RGPD durante uma transação M&A. Isto inclui os direitos de acesso, retificação, apagamento, restrição de processamento, portabilidade de dados e objeção. As empresas devem ter mecanismos em vigor para responder a tais pedidos sem demora injustificada, mesmo em meio às interrupções operacionais de uma fusão.

Por exemplo, um cliente pode solicitar a supressão dos seus dados pessoais nos termos do artigo 17.o (direito de apagar). A empresa adquirente deve avaliar se os dados ainda são necessários para os fins legítimos da M&A ou negócios futuros. Se não, a eliminação deve ser tratada prontamente. Em alguns casos, o direito de apagar pode ser equilibrado contra as obrigações legais potenciais de manter dados por razões regulamentares ou contratuais.

Além disso, os funcionários da empresa-alvo têm direitos claros sobre seus dados pessoais. Os arquivos de RH devem ser segregados durante a devida diligência e apenas compartilhados após obter o consentimento ou confiar em outra base legal, como o interesse legítimo da transação quando combinado com salvaguardas adequadas.

Melhores práticas de segurança de dados em M&A

A segurança dos dados é a base da proteção de dados pessoais durante fusões e aquisições. As seguintes práticas ajudam a mitigar o risco e demonstrar a responsabilidade.

Aplicar medidas de segurança cibernética fortes

Todos os sistemas envolvidos na transferência e armazenamento de dados pessoais devem ser protegidos por firewalls, sistemas de detecção de intrusões, ferramentas antimalware e varredura de vulnerabilidade regular. A autenticação multifatorial (MFA) deve ser obrigatória para qualquer acesso a repositórios de dados sensíveis ou VDRs.

Testes de penetração da infraestrutura da empresa-alvo antes da transação podem revelar deficiências que podem ser exploradas durante ou após a fusão. O adquirente deve também avaliar a ciberhigiene da meta, incluindo políticas de gerenciamento de patches e planos de resposta a incidentes.

Formação e Consciência do Pessoal

Os funcionários que lidam com dados durante os M&A devem receber formação específica sobre os riscos específicos associados à transação, incluindo o reconhecimento de tentativas de phishing, a compreensão da classificação dos dados e o conhecimento de como comunicar uma violação.

É igualmente fundamental criar uma cultura de protecção de dados que se estenda para além da equipa de M&A. Todo o pessoal deve saber que é proibido partilhar dados pessoais externamente sem autorização.

Estabelecer protocolos de resposta a incidentes

Mesmo com as melhores salvaguardas, podem ocorrer violações de dados. As empresas devem ter um plano de resposta de incidentes claro adaptado aos cenários de M&A. Este plano deve definir funções, linhas de comunicação e procedimentos de escalada. No âmbito do GDPR, uma violação que afecte os dados pessoais deve ser notificada ao PCD no prazo de 72 horas, e em casos de alto risco, os titulares de dados afectados devem também ser informados.

Durante os M&A, em que estão envolvidas múltiplas entidades jurídicas e sistemas informáticos, é essencial coordenar uma equipa conjunta de resposta a incidentes, tanto do adquirente como do alvo, antes do encerramento da transacção.

Regularmente revise e atualize as políticas de segurança

Políticas de segurança suficientes para uma empresa autônoma podem ser inadequadas para uma entidade combinada. Pós-fusão, o adquirente deve realizar uma revisão abrangente de todas as políticas de segurança, incluindo controle de acesso, criptografia, retenção de dados e continuidade de negócios. Políticas devem ser alinhadas com a nova estrutura organizacional e requisitos regulamentares.

O monitoramento contínuo e auditorias periódicas ajudam a garantir que as medidas de segurança permaneçam eficazes.O DPC espera que as empresas tomem uma abordagem proativa para a segurança de dados, e revisões regulares demonstram a responsabilidade.

Considerações cruzadas em matéria de M&A irlandesa

Muitas transacções de M&A na Irlanda envolvem uma empresa adquirente com sede fora da UE, como os Estados Unidos ou a Ásia. Após a Brexit, o Reino Unido é um país terceiro ao abrigo do GDPR, pelo que as transferências de dados pessoais da Irlanda para o Reino Unido requerem um mecanismo de transferência adequado, normalmente SCCs ou uma decisão de adequação (se for caso disso).

As novas cláusulas contratuais-tipo da UE (lançadas em 2021) são obrigatórias para novos acordos de transferência de dados. As empresas devem assegurar que os contratos com partes no exterior incluam essas cláusulas e que sejam complementadas com uma avaliação de risco adequada (Avaliação de Impacto de Transferência).

Além disso, a decisão Schrems II da CJEU aumentou o escrutínio das transferências para países como os EUA. O DPC da Irlanda tomou uma posição firme sobre a aplicação da lei, pelo que as empresas devem verificar que o país receptor oferece um nível adequado de proteção de dados.

Integração pós-merger e conformidade contínua

Uma vez que a fusão termine, o trabalho não termina. A entidade combinada deve garantir que os dados pessoais de ambas as empresas sejam integrados de forma compatível, incluindo conciliar diferentes horários de retenção de dados, políticas de privacidade de fusão e a consolidação de registros de processamento de dados.

O mapeamento de dados deve ser refeito para refletir os novos fluxos de dados. A estrutura do controlador muda: onde havia anteriormente um controlador independente, agora pode haver uma relação de controle conjunto ou um controlador absorvendo outro. A base legal para o processamento pode mudar, então novas solicitações de consentimento podem ser necessárias.

É aconselhável realizar uma auditoria de proteção de dados nos primeiros seis meses após a fusão para identificar quaisquer lacunas ou problemas de não conformidade.O PCD espera que a entidade integrada tenha um quadro de governança de proteção de dados robusto, incluindo um DPO, se necessário, processos documentados e programas de treinamento de pessoal em andamento.

Conclusão

A salvaguarda dos dados pessoais durante as fusões e aquisições irlandesas não é apenas uma obrigação legal; é um imperativo comercial.As consequências do não cumprimento – elevadas multas, perda de confiança dos clientes e perturbação operacional – ultrapassam em muito o investimento em práticas adequadas de protecção de dados.

Ao realizar auditorias de dados completas, minimizar a coleta de dados, garantir transferências, atualizar políticas, limitar o acesso e envolver os especialistas em proteção de dados precocemente, as empresas podem navegar com confiança no processo de M&A. A chave é incorporar a proteção de dados em todas as etapas da transação, desde a devida diligência inicial até a integração pós-fusão.

Para orientação oficial, as empresas devem consultar o Irish Data Protection Commission] e rever o texto completo do GDPR[. Recursos adicionais, como as orientações da OIT sobre M&A e relatórios de empresas de direito líderes como Mason Hayes & Curran[] podem também fornecer informações valiosas.

Com um planeamento cuidadoso e a adesão aos princípios acima descritos, as empresas irlandesas podem executar transacções de M&A, protegendo simultaneamente os dados pessoais e mantendo a confiança de todas as partes interessadas.