Ciudad de México, 14 de diciembre de 2022.
Privacidad y protección de datos personales en los procesos de auditoria legal en operaciones de fusiones y adquisiciones.
Uno de los temas que ha cobrado más relevancia en materia de ESG es la privacidad y protección de datos personales que deben implementar las empresas como una métrica fundamental respecto a los procesos y prácticas de gobierno y ética corporativa.
Dentro de las transacciones en las que las medidas de privacidad y protección de datos con las que cuenta una empresa o la falta de estas toman particular importancia es a través de los procesos de auditoria en operaciones de fusiones y adquisiciones (M&A).
A este respecto, los puntos relativos a privacidad y protección de datos a considerarse dentro de este tipo de transacciones son:
Auditoria legal
Uno de los pasos más relevantes en los procesos de M&A es la auditoria legal a la empresa o empresas que serán adquiridas o que participarán en el proceso de fusión.
Durante este proceso la empresa que será vendida o fusionada pone a disposición del posible adquirente cierta información, relacionada con sus clientes, proveedores y empleados, entre otros; dicha información puede incluir datos personales sujetos a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).
En virtud de lo anterior, algunas de las consideraciones más relevantes a tomar en cuenta son las siguientes:
- Verificar que la sociedad vendedora determine e identifique la información y datos personales que potencialmente serán divulgados como parte de la auditoría. Respecto de ellos, se debe solicitar los avisos de privacidad con los que cuente la parte vendedora, a fin de revisar que cumplan con los requisitos que establece la regulación de protección de datos en México. Por su parte, el potencial adquirente debe también determinar a quién se les dará acceso a los datos protegidos, incluyendo asesores externos que participarán en la auditoría.
- Previo a que se lleve a cabo la divulgación de datos personales, es indispensable confirmar con la vendedora que esta cuenta con los consentimientos necesarios para llevar a cabo la divulgación.
- Asumiendo que se cuenta con las autorizaciones correspondientes, una vez se determine y delimite la existencia y alcance de la divulgación tanto la parte vendedora como la parte compradora y los demás involucrados como la empresa objeto de la operación, o sus accionistas (dependiendo el alcance de la operación), deberán celebrar un convenio de transferencia de datos en el que establecerán las disposiciones relativas al alcance y contenido de la transferencia. Además, se debe proporcionar al tercero una copia del aviso de privacidad que se proporcionó a los titulares para que dicho responsable receptor procese los datos de la misma manera que el responsable cedente.
Todo el tratamiento de datos por parte del responsable receptor debe estar de acuerdo con el aviso de privacidad, y asumirá las mismas obligaciones que bajo la LFPDPPP, tiene el responsable que transfirió los datos.
Lo anterior, supone un proceso que debe revisarse detenidamente ya que de igual forma entra en juego el tema de confidencialidad de la operación y el manejo de comunicaciones con asesores externos, stakeholders, como empleados o clientes. Así como el resto de las obligaciones que, en materia de protección de datos, dependiendo del alcance de la operación, será relevante garantizar al interior de la empresa vendedora, por ejemplo, contar con medidas de seguridad necesarias y proporcionales.
- Posterior la firma del convenio antes establecido, la empresa vendedora podrá proporcionar al potencial comprador los datos personales para su análisis en los términos y parámetros establecidos en el convenio.
- Finalmente, para el cierre de la auditoria legal desde el punto de vista de protección de datos, existen dos posibles escenarios ya sea que la operación se concrete y por tanto se confirme la transferencia del “control” sobre los datos o bien que esta no se lleve a cabo y por tanto el potencial comprador no asuma dicho “control”. A este respecto, si la transacción se concreta, entonces la información será controlada por el adquirente quien deberá respetar los términos del aviso de privacidad bajo los cuales se obtuvo la información o bien obtener nuevamente el consentimiento de los titulares bajo su propio aviso o bien, de no concretarse el potencial adquirente deberá devolver, destruir o borrar la información que se utilizó en la auditoria de acuerdo a los términos del convenio de transferencia de datos que se hubiere firmado.
Sincerely yours:
Renata Denisse Buerón Valenzuela
Gerson Vaca
