Protección de datos en operaciones M&A y procedimientos Due Diligence

El proceso que estudia previamente la viabilidad de una operación de compraventa de empresas o de reestructuraciones societarias («due diligence») requiere una investigación pormenorizada que analice la situación económica y legal. 

En este procedimiento el potencial comprador/inversor –buyer- debe identificar los riesgos que presenta la empresa objetivo –target– analizada para determinar la conveniencia de la operación. La due diligence supone, en consecuencia, un acceso a información de diversa índole: balances contables y financieros, relaciones con proveedores, obligaciones fiscales, aspectos administrativos y expedientes laborales de los trabajadores, contratación con clientes… 

Por lo tanto, en la medida en que este acceso repercuta a datos de carácter personal supone un tratamiento de datos (artículo 4.2 Reglamento General de Protección de Datos -RGPD, en adelante-): cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación supresión o destrucción.

Y todo tratamiento de datos debe fundamentarse en una de las bases legitimadoras recogidas en el artículo 6.1 RGPD: 

1. Consentimiento. 
2. Ejecución de un contrato en el que el interesado es parte o aplicación a petición de este de medidas precontractuales. 
3. Cumplimiento de una obligación legal aplicable al responsable del tratamiento. 
4. Protección de intereses vitales del interesado o de otra persona física. 
5. Cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. 
6. Satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por parte de un tercero. 

En consecuencia, ¿cuál es la base que legitima el acceso del inversor a los datos personales responsabilidad de la empresa analizada? 

La respuesta se encuentra en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales (LOPDGDD, en adelante).  Concretamente, en su artículo 21.1 («Tratamientos relacionados con la realización de determinadas operaciones mercantiles») se establece una presunción iuris tantum de la licitud de estos tratamientos de datos: 

Salvo prueba en contrario, se presumirán lícitos los tratamientos de datos, incluida su comunicación con carácter previo, que pudieran derivarse del desarrollo de cualquier operación de modificación estructural de sociedades o la aportación o transmisión de negocio o de rama de actividad empresarial, siempre que los tratamientos fueran necesarios para el buen fin de la operación y garantice, cuando proceda, la continuidad en la prestación de los servicios. 

Esta norma establece el interés legítimo del inversor como base legitimadora del tratamiento y el buen fin de la operación (es decir, el análisis de la idoneidad del negocio) como su finalidad. En este punto es importante recordar que deben respetarse siempre los principios relativos al tratamiento (art. 5 RGPD), particularmente:

• Limitación de la finalidad: todos los datos personales accedidos (de clientes, trabajadores, etc.) sólo podrán utilizarse para valorar la conveniencia («el buen fin») de la operación societaria y nunca para una finalidad incompatible o diferente. 
• Minimización de datos: no tratar datos excesivos, es decir, tratar únicamente los datos personales precisos que sean necesarios para cumplir con la finalidad.

Asimismo, la LOPDGDD (Art. 21.2) establece otra importante obligación para tener en cuenta si la operación societaria no llega a concluirse: el inversor deberá suprimir inmediatamente los datos personales tratados.   

En conclusión, el acceso a los datos personales responsabilidad de la empresa analizada, en el marco de una due diligence, se presume legítimo ya que está basado en el interés del inversor en comprobar la viabilidad de la operación. No obstante, a pesar de que el interés legítimo se delimite en la norma como una presunción iuris tantum es necesario llevar a cabo un ejercicio de ponderación entre dicho interés y los derechos fundamentales de los afectados (clientes, proveedores, trabajadores…). Habrá de atenderse a las circunstancias concretas de cada operación, pero, a priori, puede entenderse que el interés del tercero (inversor) en acceder a los datos solicitados prevalecería sobre el derecho a la protección de datos de los afectados cuya información es comunicada debido a las siguientes cuestiones: 

• El interés está motivado en la comprobación de la situación económica y legal de la empresa objetivo. 
• Para poder llevar a cabo dicho análisis es necesario acceder a los datos personales. 

No obstante lo anterior, y en virtud del principio de responsabilidad proactiva (art. 5.2 RGPD), sería conveniente adoptar medidas técnicas y organizativas para reforzar la garantía del cumplimiento normativo, tales como: 

• Anonimización de datos personales.
• Compromiso de confidencialidad con todas las personas que intervengan en el tratamiento (expertos del proyecto, asesores externos…) en cumplimiento del art. 5.1 LOPDGDD. 
• Establecer mecanismos óptimos de destrucción de la información tras el proceso. 
• Firma de un NDA (acuerdo de confidencialidad) específico que recoja expresamente las condiciones y obligaciones en materia de protección de datos. 

Por todo ello, es muy recomendable que el Delegado de Protección de Datos esté involucrado en el proceso due diligence en virtud de evitar riesgos y sanciones, así como garantizar el cumplimiento de las exigencias derivadas de la normativa de protección de datos.