Vstup Všeobecného nariadenia o ochrane údajov (GDPR) do platnosti v máji 2018 znamenal transformačný moment pre spôsob, akým podniky zaobchádzajú s osobnými údajmi. Jeho rozsiahly dosah sa neobmedzuje len na každodenné operácie, ale hlboko preniká aj do strategických transakcií, akými sú akvizície a predaje podnikov. Predtým zamerané predovšetkým na finančné, právne a operačné aspekty, procesy due diligence sa dnes musia intenzívne venovať aj dôkladnému posúdeniu súladu cieľovej spoločnosti s požiadavkami GDPR. Nejde len o formálnu záležitosť, ale o kritický faktor ovplyvňujúci hodnotu transakcie, s ňou spojené riziká a celkovú životaschopnosť dohody. Pochopenie a efektívne riadenie týchto aspektov je kľúčové pre každého účastníka transakcie.

1. GDPR a jeho zásadný vplyv na fúzie a akvizície (M&A)

Všeobecné nariadenie o ochrane údajov (GDPR) predstavuje komplexný právny rámec, ktorý dramaticky zmenil pravidlá hry v oblasti ochrany súkromia a osobných údajov. Pre procesy fúzií a akvizícií (M&A) to znamená, že osobná dáta už nie sú len „digitálnym majetkom“, ale stávajú sa potenciálnym zdrojom obrovských rizík alebo naopak, ukazovateľom dobre riadenej spoločnosti.

Akvizičné transakcie prirodzene zahŕňajú prevod kontroly nad aktívami, záväzkami a v neposlednom rade aj nad dátami. Medzi tieto dáta patria kľúčové informácie o zamestnancoch, zákazníkoch, dodávateľoch a ďalších subjektoch údajov, ktorých spracúvanie podlieha prísnym reguláciám GDPR. Kupujúci preberá zodpovednosť za dodržiavanie GDPR zo strany nadobudnutej spoločnosti, a to nielen za budúce operácie, ale často aj za minulé porušenia, ak neboli riadne identifikované a ošetrené v rámci due diligence.

Kľúčové aspekty, ktoré robia GDPR tak relevantným pre M&A, sú:

• Vysoké sankcie: Možnosť udelenia pokút až do výšky 20 miliónov EUR alebo 4 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia. Takéto finančné postihy môžu výrazne ovplyvniť hodnotu transakcie a finančnú stabilitu novovzniknutej entity.
• Reputačné riziko: Porušenia GDPR často vedú k poškodeniu dobrého mena, strate dôvery zákazníkov a negatívnej publicite, čo môže mať dlhodobé dôsledky.
• Prevádzkové prerušenia: Nápravné opatrenia nariadené dozornými orgánmi, ako je zastavenie spracúvania dát alebo povinnosť vymazať určité dáta, môžu narušiť kľúčové obchodné procesy.
• Zvyšujúca sa komplexnosť: Due diligence musí teraz zahŕňať hĺbkovú analýzu postupov ochrany údajov, čo si vyžaduje špecializované znalosti a zdroje.

Pred akvizíciou alebo predajom sa preto nevyhnutne vyžaduje komplexná revízia všetkých dátových aktív, procesov spracúvania osobných údajov a súvisiacich rizík. Cieľom je nielen identifikovať potenciálne problémy, ale aj pochopiť mieru ich závažnosti a dopad na budúcu prevádzku a reputáciu kupujúceho.

2. Rozšírenie rozsahu due diligence o ochranu údajov

Tradičné due diligence sa zameriavalo na finančné výkazy, právne záväzky, daňové záležitosti, pracovné vzťahy a prevádzkovú efektivitu. S nástupom GDPR sa však tento rámec významne rozšíril. Dnes je nevyhnutné začleniť detailné posúdenie súladu s ochranou údajov ako samostatný a kritický pilier due diligence. Toto „privacy due diligence“ alebo „GDPR due diligence“ si vyžaduje špecializovaný prístup.

2.1. Identifikácia a mapovanie dátových aktív

Prvým krokom je dôkladná inventarizácia všetkých osobných údajov, ktoré cieľová spoločnosť spracúva. To zahŕňa:

• Typy osobných údajov: Od bežných (meno, adresa, e-mail) po špeciálne kategórie (zdravotné údaje, rasový pôvod, biometrické údaje).
• Kategórie subjektov údajov: Zamestnanci, zákazníci, potenciálni zákazníci, dodávatelia, návštevníci webových stránok.
• Účely spracúvania: Prečo sa tieto údaje zbierajú a používajú (marketing, plnenie zmlúv, analýza, mzdy, HR).
• Miesta uloženia dát: Servery, cloudové služby, fyzické archívy, externí poskytovatelia.
• Toky dát: Kde dáta vznikajú, kam smerujú, kto k nim má prístup (interné oddelenia, externí partneri, medzinárodné prenosy).

Bez jasného prehľadu o dátových aktívach je nemožné posúdiť riziká a súlad s GDPR.

2.2. Vytvorenie multidisciplinárneho tímu

Na efektívne vykonanie GDPR due diligence už nestačí len právny tím. Je potrebná spolupráca odborníkov z viacerých oblastí:

• Právnici: Súčasťou tímu by mali byť právnici špecializujúci sa na ochranu údajov, ktorí dokážu posúdiť právny základ spracúvania, DPA (data processing agreements), politiky a postupy.
• IT a kybernetická bezpečnosť: Experti na IT sú nevyhnutní na audit technických a organizačných bezpečnostných opatrení (TOMs), posúdenie infraštruktúry, detekcie zraniteľností a riešení kybernetickej bezpečnosti.
• Prevádzkoví experti: Pomáhajú pochopiť, ako sa dáta spracúvajú v každodenných operáciách, a identifikovať procesné nedostatky.
• Finanční experti: Posúdia potenciálny finančný dopad rizík spojených s GDPR (pokuty, súdne spory, náklady na nápravu).

Takýto integrovaný prístup zabezpečuje komplexné posúdenie rizík a možností cieľovej spoločnosti v oblasti ochrany údajov.

3. Kľúčové oblasti GDPR due diligence

Hĺbková analýza súladu s GDPR počas due diligence musí systematicky preverovať rôzne aspekty spracúvania osobných údajov. Každá z týchto oblastí môže skrývať potenciálne riziká, ktoré musia byť identifikované, posúdené a ideálne aj kvantifikované.

3.1. Právny základ spracúvania osobných údajov

Kritickým bodom je overenie, či cieľová spoločnosť spracúva osobné údaje na platnom právnom základe v súlade s článkom 6 a v prípade špeciálnych kategórií údajov aj s článkom 9 GDPR. Sem patrí:

• Súhlas: Je súhlas získaný správne (dobrovoľný, konkrétny, informovaný, jednoznačný) a je možné ho kedykoľvek odvolať? Sú záznamy o súhlasoch správne vedené?
• Plnenie zmluvy: Sú údaje nevyhnutné na plnenie zmluvy so subjektom údajov?
• Zákonná povinnosť: Je spracúvanie vyžadované právnymi predpismi (napr. daňové zákony, pracovné právo)?
• Oprávnený záujem: Bol vykonaný tzv. balančný test, ktorý preukazuje, že záujmy alebo základné práva a slobody subjektu údajov neprevažujú nad oprávneným záujmom prevádzkovateľa?
• Ochrana životne dôležitých záujmov: Používa sa len v extrémnych situáciách.
• Plnenie úlohy vo verejnom záujme: Pre verejné orgány.

Nedostatočný alebo neplatný právny základ je jedným z najčastejších porušení GDPR a môže viesť k vážnym pokutám.

3.2. Súlad s princípmi GDPR

Due diligence by malo preveriť, či cieľová spoločnosť dodržiava základné princípy GDPR:

• Minimalizácia údajov: Zhromažďujú sa len údaje, ktoré sú nevyhnutné na daný účel?
• Obmedzenie účelu: Používajú sa údaje len na účely, na ktoré boli pôvodne získané?
• Presnosť: Sú údaje aktuálne a presné? Existujú mechanizmy na ich aktualizáciu?
• Obmedzenie uchovávania: Existujú jasné retenčné politiky, ktoré zabezpečujú vymazanie údajov po uplynutí potrebnej doby?
• Integrita a dôvernosť: Sú údaje chránené pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením?

3.3. Práva subjektov údajov

GDPR udeľuje subjektom údajov rozsiahle práva. Je nevyhnutné preveriť, či cieľová spoločnosť má zavedené funkčné procesy na ich rešpektovanie a vybavovanie žiadostí:

• Právo na prístup: Dokáže spoločnosť poskytnúť kópiu spracúvaných údajov a informácie o spracúvaní?
• Právo na opravu, vymazanie („právo byť zabudnutý“), obmedzenie spracúvania: Sú zavedené postupy na rýchle a efektívne vybavenie týchto žiadostí?
• Právo na prenosnosť údajov: Dokáže spoločnosť poskytnúť údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte?
• Právo namietať: Existujú procesy na spracovanie námietok, najmä voči spracúvaniu na účely priameho marketingu?

Nedostatočná reakcia na žiadosti subjektov údajov je častým dôvodom sťažností dozorným orgánom.

3.4. Medzinárodné prenosy dát

Ak cieľová spoločnosť prenáša osobné údaje mimo EÚ/EHP, je nevyhnutné overiť, či sú tieto prenosy v súlade s GDPR. To zahŕňa:

• Rozhodnutia o primeranosti: Prenos do krajín, ktoré majú rozhodnutie Európskej komisie o primeranosti (napr. Nový Zéland, Japonsko).
• Štandardné zmluvné doložky (SCCs): Ak sa používajú SCCs, je potrebné preveriť ich správne implementovanie a dodatočné opatrenia (napr. TIA – Transfer Impact Assessment) po rozhodnutí Schrems II.
• Záväzné podnikové pravidlá (BCRs): Pre nadnárodné spoločnosti.
• Iné výnimky: Ako napr. výslovný súhlas subjektu údajov alebo nevyhnutnosť pre plnenie zmluvy.

3.5. Bezpečnosť spracúvania a oznamovanie narušení

Audit technických a organizačných opatrení (TOMs) je kritický. Hodnotí sa:

• Fyzická bezpečnosť: Ochrana serverovní, kancelárií.
• Technická bezpečnosť: Šifrovanie, pseudonymizácia, prístupové práva, firewall, antivírus, zálohovanie, testovanie penetrácií, riadenie zraniteľností.
• Organizačné opatrenia: Interné politiky, školenia zamestnancov, obmedzenie prístupu, riadenie incidentov.
• Plán reakcie na narušenie: Existuje jasný a otestovaný plán, ako reagovať na bezpečnostné incidenty, vrátane povinnosti oznamovania narušení osobných údajov dozornému orgánu a/alebo subjektom údajov do 72 hodín? Sú vedené záznamy o narušeniach?

3.6. Funkcia Zodpovednej osoby (DPO) a Záznamy o spracovateľských činnostiach

Preveruje sa, či:

• Zodpovedná osoba (DPO): Bola vymenovaná, ak je to podľa GDPR povinné? Má DPO dostatočné zdroje a nezávislosť? Ak nie je povinná, kto je zodpovedný za dodržiavanie ochrany údajov?
• Záznamy o spracovateľských činnostiach (RoPA): Sú vedené aktuálne a komplexné záznamy o všetkých spracovateľských činnostiach (čl. 30 GDPR)? Tieto záznamy sú kľúčovým zdrojom informácií pre due diligence.

3.7. Zmluvné vzťahy s tretími stranami

Ak cieľová spoločnosť využíva externých dodávateľov (spracovateľov), je dôležité preveriť:

• Zmluvy o spracúvaní osobných údajov (DPA): Sú všetky zmluvy v súlade s článkom 28 GDPR? Obsahujú všetky povinné klauzuly a sú aktuálne?
• Due diligence dodávateľov: Má spoločnosť procesy na overovanie súladu svojich dodávateľov s GDPR?

4. Riziká a dôsledky nedodržania GDPR pri akvizíciách

Ignorovanie alebo nedostatočné posúdenie rizík spojených s GDPR počas due diligence môže mať pre kupujúceho katastrofálne následky. Tieto riziká sa rozprestierajú naprieč rôznymi oblasťami podnikania a môžu vážne ohroziť hodnotu a úspešnosť celej transakcie.

4.1. Finančné riziká

Toto je zrejme najviditeľnejší a najbezprostrednejší dôsledok. Patria sem:

• Pokuty od dozorných orgánov: GDPR umožňuje udeliť pokuty až do výšky 20 miliónov EUR alebo 4 % celosvetového ročného obratu podniku za predchádzajúci fiškálny rok, podľa toho, ktorá suma je vyššia. Tieto pokuty sa môžu vzťahovať aj na porušenia, ktoré nastali pred akvizíciou, ak ich kupujúci nenapraví alebo o nich vedel a nepodnikol kroky.
• Súdne spory a náhrady škôd: Subjekty údajov majú právo na náhradu materiálnej i nemateriálnej škody spôsobenej porušením GDPR. Hromadné žaloby alebo individuálne nároky môžu predstavovať značné finančné zaťaženie.
• Náklady na nápravu: Po zistení porušení môžu byť potrebné značné investície do nových systémov, procesov, právneho poradenstva a školení, aby sa dosiahol súlad s GDPR.
• Strata obchodných príležitostí: Potenciálni partneri alebo zákazníci môžu odmietnuť spoluprácu so spoločnosťou, ktorá má problémy s ochranou údajov.

4.2. Reputačné riziká

Poškodenie reputácie je často dlhodobejšie a nákladnejšie ako priame finančné pokuty:

• Strata dôvery zákazníkov: Oznámenie o porušení údajov alebo zistenie nedostatočnej ochrany súkromia môže viesť k odlivu zákazníkov a poškodeniu značky.
• Negatívna publicita: Mediálne pokrytie porušení GDPR môže mať rozsiahly a trvalý dopad na vnímanie spoločnosti verejnosťou.
• Zhoršenie vzťahov s partnermi: Dodávatelia a obchodní partneri môžu prehodnotiť svoje vzťahy s rizikovou spoločnosťou.

4.3. Prevádzkové riziká

Nedodržanie GDPR môže narušiť aj každodenné operácie nadobudnutej spoločnosti:

• Zastavenie spracúvania dát: Dozorný orgán môže nariadiť dočasné alebo trvalé zastavenie spracúvania určitých osobných údajov, čo môže paralyzovať kľúčové obchodné funkcie (napr. marketing, HR, logistika).
• Obmedzenie prístupu k dátam: Niekedy je nutné obmedziť prístup k systémom, čo spomalí alebo zastaví operácie.
• Náklady na prepracovanie systémov a procesov: Integrovanie nevyhovujúcich systémov do už existujúcej infraštruktúry kupujúceho môže byť extrémne drahé a časovo náročné.

4.4. Právne riziká a zrušenie transakcie

V extrémnych prípadoch môžu zistené riziká GDPR viesť k prehodnoteniu alebo dokonca zrušeniu celej transakcie:

• Zmena podmienok transakcie: Kupujúci môže požadovať výrazné zníženie kúpnej ceny alebo špecifické záruky a odškodnenie (indemnities) v zmluve o predaji (SPA – Sale and Purchase Agreement) na pokrytie potenciálnych nákladov spojených s GDPR.
• Zrušenie transakcie: Ak sú riziká príliš vysoké, nekontrolovateľné alebo finančne neúnosné, kupujúci môže odstúpiť od kúpy.
• Záruky a odškodnenie: Je kľúčové, aby SPA obsahovala robustné záruky predávajúceho týkajúce sa súladu s GDPR a adekvátne odškodňovacie klauzuly pre prípad porušenia týchto záruk.

Preto je nevyhnutné nielen identifikovať riziká, ale aj posúdiť ich pravdepodobnosť a dopad, a následne vyjednať adekvátne podmienky v zmluve, ktoré tieto riziká zmiernia.

5. Strategické odporúčania pre efektívnu GDPR Due Diligence

Úspešná GDPR due diligence nie je náhodná; vyžaduje si strategické plánovanie, systematický prístup a zapojenie správnych odborníkov. Dodržiavanie nasledujúcich odporúčaní môže výrazne znížiť riziká a zabezpečiť hladký priebeh transakcie.

5.1. Včasné začlenenie GDPR do plánovania due diligence

Ochrana údajov by nemala byť dodatočnou kontrolou na konci procesu. Mala by byť integrovaná už do počiatočných fáz plánovania due diligence. To umožňuje:

• Včasnú identifikáciu potenciálnych „červených vlajok“.
• Alokáciu dostatočných zdrojov a času na hĺbkovú analýzu.
• Možnosť požiadať cieľovú spoločnosť o relevantné dokumenty už na začiatku, čím sa minimalizujú oneskorenia.

5.2. Systematický prístup pomocou checklistov a dotazníkov

Pre zabezpečenie komplexnosti a konzistencie je vhodné vyvinúť detailné checklisty a dotazníky zamerané na GDPR súlad. Tieto by mali pokrývať všetky kľúčové oblasti spomenuté v kapitole 3, vrátane:

• Otázok týkajúcich sa záznamov o spracovateľských činnostiach (RoPA).
• Dokumentácie politík a procedúr (ochrana údajov, retenčné politiky, bezpečnosť).
• Existencie a obsahu DPA s dodávateľmi.
• Postupov pre vybavovanie žiadostí subjektov údajov.
• Historie narušení osobných údajov a ich riešenia.
• Implementovaných bezpečnostných opatrení (technické a organizačné).

5.3. Dôkladná analýza dokumentácie

Žiadne informácie by nemali byť prijaté bez overenia. Detailná revízia všetkej relevantnej dokumentácie je kľúčová:

• Interné politiky a smernice o ochrane údajov.
• Záznamy o spracovateľských činnostiach podľa čl. 30 GDPR.
• Zmluvy o spracúvaní osobných údajov (DPA) s tretími stranami.
• Zásady ochrany osobných údajov (privacy notices) pre zamestnancov, zákazníkov, užívateľov webu.
• Záznamy o bezpečnostných incidentoch a narušeniach údajov.
• Výsledky interných a externých auditov bezpečnosti a ochrany údajov.
• Korešpondencia s dozornými orgánmi alebo subjektmi údajov.

5.4. Interview s kľúčovým personálom

Dokumentácia poskytuje len časť obrazu. Rozhovory s kľúčovými osobami môžu odhaliť prevádzkové realitu a potenciálne slabé miesta:

• Zodpovedná osoba (DPO): Ak je vymenovaná, posúdiť jej nezávislosť, zdroje a prehľad o dátových procesoch.
• IT manažéri a personál kybernetickej bezpečnosti: Pre pochopenie technických opatrení a reakcie na incidenty.
• Právne oddelenie: Pre vysvetlenie právnych základov a zmluvných záväzkov.
• Manažéri oddelení, ktoré spracúvajú veľké množstvo dát (HR, marketing, zákaznícka podpora): Pre získanie pohľadu na reálne operácie a potenciálne „shadow IT“.

5.5. Valuácia rizík a ich kvantifikácia

Po identifikácii rizík je dôležité ich nielen popísať, ale aj ohodnotiť a, ak je to možné, kvantifikovať. To znamená:

• Odhad pravdepodobnosti: Aká je pravdepodobnosť, že sa riziko materializuje?
• Odhad dopadu: Aký bude finančný, prevádzkový a reputačný dopad, ak sa riziko materializuje?
• Finančné modelovanie: Vytvorenie scenárov potenciálnych pokút, nákladov na nápravu a právnych poplatkov.

Tieto informácie sú kľúčové pre vyjednávanie kúpnej ceny, špecifických záruk a odškodnení v zmluve o kúpe (SPA).

5.6. Post-akvizičná integračná stratégia

Due diligence by nemala končiť podpisom zmluvy. Súčasťou strategického prístupu by mal byť aj plán na integráciu systémov a procesov ochrany údajov po akvizícii.

• Identifikácia nesúladných procesov a systémov, ktoré je potrebné prispôsobiť.
• Stanovenie priorít pre nápravné opatrenia.
• Alokácia rozpočtu a zdrojov na post-akvizičné zosúladenie.
• Implementácia jednotných politík a školení v celej novovzniknutej entite.

Proaktívny prístup k integračnej stratégii minimalizuje riziko odhalenia problémov po dokončení akvizície, kedy už je náprava komplikovanejšia a drahšia.

Zhrnutím, efektívna GDPR due diligence je kritickým nástrojom pre riadenie rizík a maximalizáciu hodnoty pri M&A transakciách. Vyžaduje si nielen právne znalosti, ale aj technické a prevádzkové pochopenie spracúvania dát, aby sa zabezpečilo, že kupujúci získa nielen obchodné aktívum, ale aj súladný a bezpečný dátový ekosystém.

Vplyv GDPR na procesy due diligence pri akvizíciách a predaji podnikov je neodškriepiteľný a transformatívny. Už nejde len o „pekne mať“, ale o absolútnu nevyhnutnosť pre každú transakciu. Ako sme podrobne rozobrali, GDPR rozširuje tradičný rozsah due diligence o komplexnú a hĺbkovú analýzu súladu s ochranou osobných údajov, ktorá sa zameriava na aspekty od právneho základu spracúvania cez implementované bezpečnostné opatrenia až po riadenie práv subjektov údajov a medzinárodné prenosy dát. Integrácia špecializovaného „privacy due diligence“ do skorých fáz akvizičného procesu je kľúčová pre včasnú identifikáciu potenciálnych rizík a príležitostí.

Ignorovanie týchto požiadaviek alebo povrchné posúdenie môže viesť k rozsiahlym a dlhodobým dôsledkom, vrátane astronomických pokút, rozsiahleho poškodenia reputácie, prevádzkových prerušení a dokonca k zrušeniu alebo prehodnoteniu celej transakcie. Kupujúci preberá zodpovednosť nielen za budúce, ale často aj za minulé porušenia, čo podčiarkuje dôležitosť detailného preverenia všetkých dátových procesov pred prevodom vlastníctva. Vzhľadom na neustále sa vyvíjajúce digitálne prostredie a zvyšujúcu sa citlivosť na ochranu súkromia sa investícia do robustnej GDPR due diligence stáva nielen právnou, ale aj strategickou a etickou požiadavkou.

Odporúča sa preto pri akvizíciách a predaji podnikov prijať multidisciplinárny prístup, ktorý spája právnych expertov, IT špecialistov a prevádzkových manažérov. Takýto tím dokáže nielen identifikovať riziká, ale aj ohodnotiť ich dopad a navrhnúť adekvátne riešenia, ktoré môžu zahŕňať úpravu kúpnej ceny, špecifické záruky a odškodnenia v zmluve o predaji, alebo detailný post-akvizičný plán integrácie. Úspešná transakcia v dobe GDPR je tá, ktorá nielen maximalizuje finančnú hodnotu, ale zároveň zabezpečuje dlhodobú udržateľnosť, reputačnú integritu a plný súlad s ochranou osobných údajov. Pre kupujúceho to znamená ochranu investície; pre predávajúceho zase zvýšenie atraktivity a hodnoty predávanej spoločnosti.