Pääomasijoitus, yrityskauppa ja GDPR

 

Pääomasijoitus- tai yrityskauppatilanteessa sijoittajan tai ostajan intressinä on saada kattavasti tietoa kohdeyrityksen toiminnasta mm. arvonmääritystä ja riskien identifioimista varten. Myyjän intressinä taas on antaa ostajalle riittävästi tietoa, jotta yrityskauppa voisi toteutua.

Yrityksen myyjän tulee tietoja luovuttaessaan huolehtia siitä, että henkilötietoja luovutetaan vain tietosuojalainsäädännön sallimalla tavalla ja sen asettamissa rajoissa.

Tietosuoja osana arviota

Tietosuojan toteuttamisen taso voi toimia yhtenä keinona arvioida kohdeyritystä. Due diligence -tarkastuksessa voidaan arvioida tapaa, jolla kohdeyritys on huomioinut tietosuoja-asetuksen henkilötietojen käsittelyä koskettavat velvoitteet ja miten mahdollisiin tietoturvauhkiin on kohdeyrityksessä varauduttu.

Huonosti hoidettu tietosuoja on, varsinkin Vastaamon tapahtuman jälkeen, riski sekä ostajalle että myyjälle.

Ostajatahoa edustava juristi voi olla monelle yritykselle paljon todennäköisempi tietosuojan tarkastaja kuin viranomainen.

Mitä juristit tietosuojasta kysyvät?

Asiantuntijatukeemme tulleiden tapausten perusteella tyypillisesti aluksi pyydetään kirjallisesti:

  • tietosuojaselosteet
  • vapaamuotoinen kuvaus siitä, miten yhtiön tietosuoja-asioita hoidetaan
  • henkilötietojen käsittelysopimukset
  • henkilötietojen käsittelyyn liittyvät sisäiset ohjeistukset ja asiakirjat (mm. tietoturvapolitiikka, selosteet käsittelytoimista, tasapainotestit sekä vaikutustenarvioinnit)
  • tiedot viimeisen 3 vuoden aikana tapahtuneista tietoturvaloukkauksista

Samalla saatetaan myös kohdeyrityksen johtoa pyytää vahvistamaan, jos edellä lueteltuja asiakirjoja tai tietoja ei ole saatavissa. Löydöksillä ja mahdollisilla puutteilla voi olla isoja merkityksiä kaupan toteutumiseen liittyen.

Tietosuojavelvoitteet yrityskaupan jälkeen

Henkilötiedot voidaan yrityskaupan toteutuessa luovuttaa ostajalle. Jos kyse on liiketoimintakaupasta, henkilötietojen mukana myös vastuu henkilötiedoista ja niiden käsittelystä siirtyy ostajalle.

On mahdollista, että myyjän ja ostajan välillä sovitaan lisäksi ns.  ”siirtymäajan palveluista”, joihin voi liittyä myyjän tarve käsitellä henkilötietoja vielä kaupan toteutumisen jälkeen.

Ennakointi onnistumisen ytimessä

Yrityskauppaan tai pääomasijoituksiin on hyvä valmistautua jo ennen kuin keskustelut ostosta tai sijoituksista ovat alkaneet.

Lainmukaisesti toteutettu tietosuoja tuo mukanaan turvallisuutta sekä ostajalle että myyjälle.