Prowadzenie badania prawnego a ochrona danych osobowych
W trakcie badania prawnego poprzedzającego zawarcie transakcji kupujący często ma dostęp do dokumentów zawierających dane osobowe różnych osób. Sam ten fakt może rodzić dla niego szereg obowiązków wynikających z ustawy o ochronie danych osobowych.
W procesie badania prawnego (due diligence), poprzedzającego zwykle zawarcie transakcji, kupujący niejednokrotnie uzyskuje dostęp do dokumentów zawierających dane osobowe różnych osób. W przypadku umów mogą to być dane osobowe kontrahentów, osób reprezentujących takich kontrahentów itp. Niekiedy w procesie badania udostępniana jest również lista pracowników badanego podmiotu.
Jak wynika z praktyki, analizie kwestii dysponowania danymi osobowymi otrzymywanymi w celu prowadzenia procesu badania prawnego nie zawsze poświęcana jest dostateczna uwaga.
Tymczasem należy zwrócić uwagę, że z samego faktu otrzymania przez kupującego lub jego doradców materiałów do badania prawnego wynikać może szereg obowiązków określonych w ustawie z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (UODO).
Szukając podstawy prawnej do przetwarzania danych osobowych przez kupującego w takiej sytuacji można rozważać art. 23 ust. 1 pkt 5 UODO, to jest korzystanie z danych osobowych dla prawnie usprawiedliwionych celów administratora danych. Dane te muszą być jednak przetwarzane wyłącznie w związku z planowaną transakcją. W standardowej sytuacji kupujący będzie miał status administratora danych i będzie poddany przypisanym administratorowi obowiązkom dotyczącym rejestracji zbiorów danych oraz obowiązkom informacyjnym wobec osób, których dane są przetwarzane.
Gdy przekazane materiały stanowią zbiór danych osobowych, zbiór ten podlega zgłoszeniu do Generalnego Inspektora Ochrony Danych Osobowych. Uchybienie rejestracji jest zagrożone nawet sankcją karną.
Wypełniając obowiązek informacyjny, kupujący powinien poinformować osoby, których dane osobowe pozyskał w procesie badania, między innymi o celu zbierania danych, odbiorcach danych (np. swoich doradcach ekonomicznych lub prawnych), jak również o źródle pozyskania danych. Przekazanie informacji zainteresowanej osobie powinno nastąpić niezwłocznie po utrwaleniu zebranych danych.
Dopełnienie obowiązków, o których mowa powyżej, może spowodować ujawnienie informacji o planowanej transakcji, co zwykle nie leży w interesie stron.
Aby zapobiec takim problemom, coraz częściej dane są anonimizowane przed przekazaniem ich osobom prowadzącym badanie prawne. Można też przed przekazaniem materiałów zawierających dane osobowe zawrzeć umowę, o której mowa w przepisach art. 31 UODO, dotyczącą powierzenia kupującemu danych osobowych w celu ich przetwarzania.
Konsekwencją zastosowania takiej umowy jest wyłączenie obowiązku informacyjnego i obowiązku zarejestrowania bazy danych osobowych. Należy jednak pamiętać, by umowa o powierzenie danych do przetwarzania określała zakres i cel przetwarzania danych.
Podobnie doradca kupującego, przystępując do badania dokumentów z danymi osobowymi, powinien upewnić się, że zapisy umowy zawartej z klientem będą zawierać klauzulę o powierzeniu danych do przetwarzania w ustalonym zakresie i celu.
Agnieszka Szydlik, Grupa Transakcyjna kancelarii Wardyński i Wspólnicy
Zobacz także A. Szydlik, M. Szydłowski, Ryzyka prawne związane z ochroną danych osobowych w: P. Ciećwierz, I. Zielińska-Barłożek (red.), Ryzyka prawne w transakcjach fuzji i przejęć, Warszawa 2013, s. 565 i n.
