Articolo a cura di: Redazione - Studio Legale Calvello

Una fusione, un’acquisizione o una cessione d’azienda non comporta soltanto il trasferimento di contratti, rapporti commerciali, personale e asset. Nell’operazione confluiscono spesso anche banche dati di clienti e fornitori, archivi dei dipendenti, account, CRM, mailing list, documentazione amministrativa, dati contenuti nei sistemi informatici e, in alcuni settori, categorie particolari di dati personali. La disciplina privacy deve quindi essere considerata già nella fase di due diligence e poi gestita nel passaggio al nuovo assetto societario.

Dal punto di vista del GDPR, il problema non si risolve affermando che, insieme all’azienda, “passano anche i dati”. Occorre verificare chi potrà trattarli, per quali finalità, sulla base di quale presupposto giuridico e con quali informazioni agli interessati. Cambiano inoltre gli adempimenti a seconda della struttura dell’operazione: una fusione per incorporazione, una cessione di ramo d’azienda e l’acquisizione delle partecipazioni di una società non producono necessariamente gli stessi effetti sulla titolarità dei trattamenti. Una verifica preventiva consente di individuare anche eventuali criticità della società target prima che vengano trasferite o integrate nell’organizzazione dell’acquirente.

Cosa succede ai dati personali quando un’azienda viene fusa, acquisita o ceduta

Il primo passaggio consiste nel comprendere l’effetto giuridico dell’operazione sui trattamenti esistenti. Nella fusione per incorporazione, ad esempio, la società incorporante prosegue nei rapporti giuridici della società incorporata e i dati personali connessi a tali rapporti possono continuare a essere trattati nell’ambito della nuova organizzazione. Il Garante per la protezione dei dati personali ha affrontato specificamente le operazioni di fusione e scissione, considerando anche gli obblighi informativi conseguenti alla modificazione del titolare del trattamento.

Una situazione diversa può presentarsi nella cessione d’azienda o di ramo d’azienda. In questo caso è necessario individuare quali trattamenti e quali archivi siano effettivamente funzionali al complesso aziendale trasferito. La presenza di un database all’interno dei sistemi della società cedente non significa, da sola, che ogni informazione possa essere trasferita all’acquirente e successivamente utilizzata per qualsiasi finalità. Devono essere rispettati i principi di liceità, correttezza, trasparenza, limitazione delle finalità e minimizzazione previsti dal GDPR.

Ancora diverso è il caso dell’acquisizione delle quote o delle azioni di una società. Se il soggetto giuridico che svolge il ruolo di titolare del trattamento rimane il medesimo, il semplice mutamento della compagine societaria non determina automaticamente un cambio del titolare. L’operazione può però modificare profondamente organizzazione, sistemi IT, fornitori, flussi infragruppo, finalità dei trattamenti o modalità di utilizzo delle banche dati. Anche in assenza di un formale cambio di titolarità può quindi essere necessario riesaminare la compliance privacy.

La verifica deve essere svolta per tipologia di dati e di trattamento. Un archivio necessario per proseguire i contratti con i clienti pone questioni diverse da una mailing list utilizzata per marketing; i fascicoli dei dipendenti richiedono valutazioni differenti rispetto ai dati dei semplici referenti commerciali; l’acquisizione di una struttura sanitaria, di una software house o di un’impresa che effettua profilazione può coinvolgere trattamenti con livelli di rischio molto diversi. Non esiste quindi una regola secondo cui la cessione dell’azienda rende automaticamente lecito qualsiasi successivo utilizzo di tutti i dati presenti nei suoi archivi.

Due diligence privacy prima dell’acquisizione: cosa dovrebbe verificare l’impresa

La due diligence privacy nell’acquisizione di un’azienda serve a comprendere non soltanto quali dati verranno acquisiti, ma anche in quali condizioni essi sono stati raccolti e gestiti. Una banca dati commerciale può avere un valore economico rilevante, ma la possibilità di utilizzarla dipende dalle finalità originarie della raccolta, dalle basi giuridiche adottate, dalle informative rese e, quando il trattamento richiede il consenso, dalla possibilità di dimostrarne validamente l’acquisizione. Il problema diventa particolarmente delicato quando il valore dell’operazione dipende proprio dalla disponibilità di database clienti, informazioni comportamentali, dati sanitari, profili degli utenti o grandi quantità di dati personali.

Nella verifica della società target analizziamo, in relazione alle caratteristiche dell’operazione, il registro delle attività di trattamento, le informative, le basi giuridiche, i consensi rilevanti, i tempi di conservazione, le nomine e le istruzioni agli autorizzati, i contratti con i responsabili del trattamento ai sensi dell’art. 28 GDPR, le eventuali DPIA, i trasferimenti verso Paesi terzi e l’assetto delle misure tecniche e organizzative. Quando necessario, la verifica riguarda anche precedenti data breach, reclami, richieste degli interessati, interlocuzioni con il Garante e altre situazioni che possono incidere sulla valutazione del rischio dell’operazione. Per comprendere la funzione e l’aggiornamento di uno degli strumenti centrali di questa analisi è utile il nostro approfondimento sul registro delle attività di trattamento.

Una particolare cautela è necessaria già durante la due diligence. Prima del closing, infatti, l’acquirente non può considerarsi libero di accedere indiscriminatamente a tutti i dati personali detenuti dalla società target. La data room deve essere organizzata secondo criteri coerenti con minimizzazione e necessità: in funzione del caso possono essere utilizzati dati aggregati, documenti anonimizzati o oscurati, accessi selettivi e differenti livelli di autorizzazione. La necessità commerciale di conoscere l’azienda che si intende acquistare non rende automaticamente necessaria la conoscenza dell’identità di ogni cliente, dipendente o altro interessato.

La due diligence dovrebbe inoltre distinguere le carenze documentali dai problemi che incidono direttamente sulla liceità o sulla sicurezza dei trattamenti. Un registro non aggiornato, una DPIA mancante dove necessaria, consensi non dimostrabili, informative incoerenti con i trattamenti effettivi, conservazioni indefinite o misure di sicurezza inadeguate hanno natura e conseguenze differenti. Se emergono criticità, occorre stabilire quali debbano essere affrontate prima del closing, quali possano essere oggetto di specifiche previsioni contrattuali e quali richiedano un piano di adeguamento successivo all’acquisizione.

Questa analisi assume rilievo anche nella negoziazione dell’operazione. Le dichiarazioni e garanzie relative alla conformità privacy devono corrispondere alla situazione effettivamente verificata e alle caratteristiche della società, evitando formule generiche che trattano la compliance GDPR come una semplice dichiarazione formale. Quando la documentazione è frammentaria o non più aderente ai trattamenti reali, può essere necessario procedere a un riesame della documentazione privacy aziendale e individuare con precisione le attività da correggere prima che sistemi, archivi e processi vengano integrati nella struttura dell’acquirente.

Informative, registro dei trattamenti e responsabilità dopo il closing

Una volta perfezionata l’operazione, occorre verificare se e in quale misura debbano essere aggiornate le informazioni rese agli interessati. Quando l’operazione determina un effettivo cambiamento del titolare del trattamento, il nuovo assetto deve essere valutato alla luce degli obblighi di trasparenza previsti dagli artt. 13 e 14 del GDPR. Non è corretto risolvere il problema presumendo che sia sempre necessario acquisire un nuovo consenso: consenso e informativa rispondono a funzioni diverse. Il consenso è soltanto una delle possibili basi giuridiche del trattamento, mentre l’obbligo di informare gli interessati deve essere valutato sulla base delle modalità con cui i dati sono stati acquisiti e del nuovo contesto nel quale saranno utilizzati.

Particolare attenzione richiedono i dati che l’acquirente intenda utilizzare per finalità ulteriori rispetto a quelle per cui erano originariamente trattati. È il caso, ad esempio, di un database clienti che, dopo l’acquisizione, venga integrato in un nuovo CRM oppure utilizzato per campagne commerciali diverse. La disponibilità materiale del database non equivale alla possibilità giuridica di impiegarlo liberamente. Occorre ricostruire provenienza dei dati, finalità originarie, base giuridica, contenuto delle informative, eventuali consensi e compatibilità degli utilizzi successivi. La stessa verifica riguarda mailing list, profilazione e altri trattamenti commerciali che l’acquirente intenda mantenere o ampliare.

Il post-closing richiede poi un intervento sulla struttura della compliance. Il registro delle attività di trattamento deve rappresentare i trattamenti effettivamente svolti dopo la riorganizzazione; le informative privacy devono essere coerenti con il nuovo assetto; devono essere riesaminati i soggetti autorizzati, le istruzioni interne e i rapporti con i fornitori che trattano dati per conto dell’impresa. Se cambiano provider cloud, gestionali, piattaforme HR, CRM o altri servizi esterni, devono essere verificati anche i contratti con i responsabili del trattamento ai sensi dell’art. 28 GDPR e gli eventuali trasferimenti di dati verso Paesi terzi.

L’integrazione dei sistemi informatici merita una valutazione autonoma. La migrazione di database da una società all’altra, l’unificazione degli account, l’accorpamento dei CRM o dei sistemi HR e l’apertura di nuovi flussi di dati infragruppo possono modificare concretamente modalità e rischi del trattamento. Prima di procedere è quindi opportuno stabilire quali informazioni debbano effettivamente essere migrate, quali possano essere eliminate perché non più necessarie, chi debba accedervi e quali misure di sicurezza debbano accompagnare il trasferimento. Se la modifica comporta un rischio elevato per i diritti e le libertà delle persone fisiche, deve essere verificata anche la necessità di effettuare o aggiornare una DPIA.

Devono essere riesaminati anche il ruolo del DPO e l’eventuale obbligo di designazione. Un’acquisizione può modificare dimensioni dell’organizzazione, categorie di interessati, natura e scala dei trattamenti o struttura del gruppo societario. Se le condizioni previste dall’art. 37 GDPR rendono obbligatoria la designazione del responsabile della protezione dei dati, l’assetto risultante dall’operazione deve essere coerente con tale obbligo. Nei gruppi imprenditoriali il GDPR consente, alle condizioni previste dalla normativa, la designazione di un unico DPO purché sia facilmente raggiungibile da ciascuno stabilimento. Anche quando la nomina non è obbligatoria, l’opportunità di mantenere o riorganizzare questa funzione dipende dalla complessità concreta dei trattamenti.

Le irregolarità della società acquisita non devono infine essere considerate tutte allo stesso modo. La presenza di documentazione non aggiornata non comporta automaticamente una sanzione, così come una precedente criticità non consente di presumere una futura contestazione del Garante. Occorre ricostruire il singolo trattamento, la condotta tenuta, le responsabilità coinvolte e gli effetti dell’operazione societaria. Proprio per questo l’adeguamento GDPR aziendale successivo a una fusione o acquisizione dovrebbe partire dalle criticità effettivamente rilevate, assegnando priorità agli interventi che incidono sulla liceità dei trattamenti, sui diritti degli interessati e sulla sicurezza dei dati.

Un caso pratico: l’acquisizione di una società con database e documentazione privacy da riorganizzare

Consideriamo, a titolo esemplificativo e in forma anonimizzata, il caso di un’impresa che acquisisce una società dotata di un proprio database clienti, di un CRM, di archivi relativi ai dipendenti e di diversi fornitori informatici. Durante la verifica emerge che la documentazione privacy esiste, ma è stata predisposta in momenti differenti e non rappresenta più con precisione tutti i trattamenti effettivamente svolti; alcune informative devono essere confrontate con le finalità attuali e la posizione di alcuni fornitori deve essere riesaminata.

Prima di integrare i database della società acquisita nei sistemi dell’acquirente, l’attività consiste nel ricostruire i flussi di dati, verificare le basi giuridiche e le informative applicabili, individuare quali dati possano essere mantenuti e per quali finalità, riesaminare i rapporti con i responsabili del trattamento e definire gli aggiornamenti necessari al registro e alla documentazione interna. L’aspetto che richiede maggiore attenzione è il database commerciale: l’acquirente intende utilizzarlo all’interno del proprio CRM, ma occorre distinguere i dati necessari alla prosecuzione dei rapporti contrattuali da quelli utilizzati per finalità di marketing, verificando separatamente i presupposti dei relativi trattamenti.

L’integrazione viene quindi organizzata per fasi, evitando il trasferimento indistinto di tutti gli archivi nel nuovo sistema. La documentazione viene riallineata ai trattamenti che proseguiranno dopo l’acquisizione e vengono ridefiniti accessi, ruoli e rapporti con i fornitori. Il caso mostra perché, nelle operazioni societarie, la privacy non dovrebbe essere affrontata soltanto dopo la migrazione dei dati: molte delle decisioni rilevanti devono essere assunte quando è ancora possibile stabilire quali dati trasferire, quali trattamenti proseguire e a quali condizioni integrarli nella nuova organizzazione.

Domande frequenti sulla privacy nelle fusioni, acquisizioni e cessioni d’azienda

In caso di cessione d’azienda è necessario chiedere nuovamente il consenso privacy ai clienti?

Non necessariamente. Il trasferimento dell’azienda non comporta automaticamente l’obbligo di acquisire un nuovo consenso per ogni trattamento. Occorre verificare quale sia la base giuridica originaria, per quali finalità siano stati raccolti i dati e come il nuovo titolare intenda utilizzarli. Se, ad esempio, determinati dati sono necessari alla prosecuzione di rapporti contrattuali, la questione è diversa dall’utilizzo di una banca dati per nuove attività di marketing. Devono essere valutati separatamente anche gli obblighi informativi conseguenti all’operazione.

Chi acquista un’azienda può utilizzare subito tutto il database clienti?

No, la disponibilità materiale del database non autorizza di per sé qualsiasi utilizzo. Prima dell’integrazione è necessario ricostruire provenienza dei dati, finalità, basi giuridiche, informative rese, eventuali consensi e tempi di conservazione. Un database può contenere dati utilizzabili per alcune finalità e dati che richiedono verifiche ulteriori per finalità differenti. Questo aspetto è particolarmente rilevante per mailing list, profilazione e attività promozionali.

Durante la due diligence l’acquirente può accedere ai dati personali della società target?

L’accesso deve essere limitato a quanto effettivamente necessario per svolgere la verifica. A seconda dei documenti e delle finalità della due diligence, può essere opportuno utilizzare dati aggregati, anonimizzazione o oscuramento delle informazioni identificative, accessi selettivi alla data room e specifiche misure di riservatezza. La necessità di valutare l’operazione societaria non giustifica un accesso indiscriminato a tutti i dati personali detenuti dalla società target.

Dopo una fusione o acquisizione bisogna aggiornare il registro dei trattamenti?

Se l’operazione modifica i trattamenti effettivamente svolti, i flussi di dati, le finalità, le categorie di interessati, i destinatari, i trasferimenti o altri elementi che devono risultare dal registro, questo deve essere aggiornato. Lo stesso principio vale per il resto della documentazione privacy: dopo il closing occorre verificare che quanto risulta formalmente dai documenti corrisponda alla nuova organizzazione e ai trattamenti realmente effettuati.

Cosa succede se durante l’acquisizione emergono problemi GDPR nella società target?

Occorre prima qualificare il problema e valutarne portata e conseguenze. Una carenza documentale, un trattamento privo di un presupposto adeguatamente individuato, una gestione non corretta dei tempi di conservazione, un problema di sicurezza o un precedente data breach pongono questioni differenti. L’analisi serve a stabilire quali interventi siano necessari prima dell’operazione, quali aspetti debbano essere considerati nella documentazione contrattuale e quali possano essere gestiti attraverso un piano di adeguamento successivo al closing.

Assistenza privacy e GDPR nelle operazioni di fusione, acquisizione e cessione d’azienda

Una fusione, un’acquisizione o una cessione d’azienda può modificare titolarità dei trattamenti, flussi informativi, utilizzo dei database, rapporti con fornitori e organizzazione interna. La valutazione deve quindi partire dalla struttura concreta dell’operazione e dai trattamenti effettivamente coinvolti, distinguendo ciò che può proseguire da ciò che richiede nuovi adempimenti o una diversa organizzazione.

Assistiamo le imprese nella due diligence privacy, nella verifica della conformità GDPR della società interessata dall’operazione e nella riorganizzazione dei trattamenti prima e dopo il closing, esaminando anche informative, registri, database, rapporti con responsabili esterni, DPIA, trasferimenti di dati e criticità pregresse quando rilevanti.

Se la vostra azienda sta programmando un’acquisizione, una fusione o una cessione oppure deve gestire gli adempimenti privacy conseguenti a un’operazione già perfezionata, potete richiedere una valutazione in merito al GDPR e alla privacy aziendale. Esamineremo la richiesta per individuare le questioni che richiedono un approfondimento rispetto alla specifica operazione societaria.