Персональные данные при слиянии и поглощении компаний: правовые риски сделки

Сделки по объединению бизнеса почти всегда затрагивают массивы клиентских и кадровых сведений. Именно поэтому персональные данные при M&A становятся фактором, который влияет на цену, структуру и сроки закрытия сделки. Нарушение требований 152‑ФЗ «О персональных данных», риски по локализации и трансграничной передаче, ошибки при раскрытии в data room способны обернуться штрафами, предписаниями регулятора и последующими имущественными претензиями контрагента. Когда на кону актив с широкой клиентской базой, персональные данные при M&A требуют отдельного правового анализа и четких договорных механизмов распределения ответственности.

Почему данные влияют на цену, условия и ответственность по сделке

Практическая ценность цифровых активов напрямую зависит от того, насколько корректно и законно они собирались и обрабатывались. Если у компании нет надлежащих согласий, процедуры хранения и удаления не формализованы, а трансграничная передача происходила без правовых оснований, инвестиционный кейс меняется. Покупатель закладывает расходы на приведение процессов к требованиям закона, на возможные штрафы по статье 13.11 КоАП РФ и на исправление унаследованных нарушений. Это отражается в ценообразовании, формулировках гарантий и заверений, размерах удержаний и условий escrow.

Даже при сделке купли-продажи долей или акций, когда юридическое лицо не меняется, персональные данные при M&A затрагивают распределение рисков между сторонами. Репутационные и регуляторные последствия утечек, предписаний и проверок нередко приводят к искам о возмещении убытков и пересмотру коммерческих договоренностей. На этапе структуры сделки полезно привлечь корпоративных юристов, чтобы связать вопросы приватности с финансовыми и корпоративными условиями: заверениями и гарантиями, ковенантами, условиями отлагательного характера.

Нормативная база и ключевые обязанности оператора

Российский режим персональных данных строится на 152‑ФЗ «О персональных данных». Закон определяет базовые понятия, принципы и условия обработки, режимы специальных и биометрических категорий, порядок трансграничной передачи, а также меры по обеспечению безопасности. Отдельная обязанность касается локализации первичного сбора персональных данных граждан России на серверах, расположенных в Российской Федерации. Административная ответственность за нарушения предусмотрена статьей 13.11 КоАП РФ, а убытки и компенсация морального вреда могут быть предметом гражданско-правовых требований.

Сделки реорганизации подпадают под нормы Гражданского кодекса о правопреемстве. В случае слияния или присоединения действует универсальное правопреемство согласно статье 58 ГК РФ, а передаточный акт и разделительный баланс формируются по статье 59 ГК РФ. Это важно для переноса статуса оператора и законности последующей обработки. Если же продается изолированный актив, например, база контактов без договорной связи с получателем, ситуация иная. Такая передача приравнивается к раскрытию третьему лицу и требует самостоятельного правового основания по 152‑ФЗ, чаще всего согласия субъекта либо надлежащей деперсонализации.

Для трансграничной передачи необходима оценка уровня защиты в принимающей стране. При отсутствии адекватного уровня законности передачи добиваются либо через согласие в требуемой форме, либо через иные предусмотренные законом основания, связанные с исполнением договора с участием субъекта или защитой его прав. Наряду с этим закон возлагает на оператора технологические и организационные обязанности: назначить ответственного, утвердить локальные акты, реализовать меры защиты информации в соответствии с требованиями по безопасности, вести учет обращений субъектов и порядок их удовлетворения.

Персональные данные при M&A: due diligence и безопасное раскрытие информации

Любая проверка активов компании неизбежно касается клиентских, маркетинговых и кадровых массивов. Правильно выстроенный due diligence персональных данных снижает риски, помогает покупателю понять объем донастройки процессов и спрогнозировать возможные санкции. Персональные данные при M&A лучше всего проверять по единым критериям, чтобы сопоставить разные юрлица в группе и не упустить критические зоны.

Первый принцип раскрытия для потенциального покупателя прост: минимизация и обезличивание. Если бизнесу достаточно показать агрегированные метрики, не следует выгружать идентификаторы. Когда без персоналий не обойтись, нужно оценить правовую основу такого раскрытия и режим доступа к data room. Никакой NDA не превращает стороннего участника торгов в «обработчика», действующего по поручению. В контуре M&A он преследует собственную цель оценки актива, поэтому раскрытие персональные данные при M&A должно быть ограничено и юридически обосновано.

Аудит охватывает не только согласия и уведомления субъектам. Стоит затронуть режимы специальных категорий и биометрии, трансграничные каналы, порядок локализации, сроки хранения и удаления, а также журнал инцидентов безопасности. Для достоверной картины помогает аудит данных перед сделкой, который фиксирует фактические потоки информации и сопоставляет их с локальными актами.

Как обрабатывать персональные данные при M&A: правовые основания и передача базы

Правовые основания обработки закреплены в 152‑ФЗ. В структуре M&A критично различать сделки с сохранением юрлица и сделки, где актив передается третьему лицу. При продаже долей или акций оператор не меняется, компания продолжает обрабатывать данные на прежних основаниях. В активных сделках, когда осуществляется передача базы клиентов при сделке, нужно оценить, сохраняется ли договорная связка с каждым субъектом и хватает ли существующих уведомлений или согласий для нового получателя.

Как правило, законность обработки опирается на один из нескольких сценариев:

• исполнение договора с участием субъекта, если меняется сторона по договору и это документально оформлено;
• согласие субъекта в требуемой форме на передачу третьему лицу, включая трансграничную передачу при необходимости;
• обезличивание и предоставление статистических сведений без возможности идентификации;
• иные предусмотренные законом основания, связанные с защитой жизни и здоровья, прав и законных интересов субъекта либо оператора при наличии условий закона.

При этом персональные данные при M&A нельзя «подменять» общими коммерческими договоренностями. Например, оговорка в SPA о свободной передаче любых сведений не заменяет согласия субъекта и не расширяет юридические основания обработки. Когда речь идет об HR‑массивах, важны трудовые документы и локальные акты. Здесь ошибка в сроках хранения, целях или перечнях личных данных быстро приводит к претензиям регулятора и штрафам по статье 13.11 КоАП РФ.

Чтобы наглядно сопоставить правовые последствия, уместно посмотреть на различия по типам сделок.

Тип сделки	Кто остается оператором	Нужны ли новые согласия	Ключевые действия
Купля-продажа долей/акций	То же юрлицо	Как правило, нет, если цели и способы не меняются	Проверить локальные акты, уведомления, трансграничные потоки, локализацию
Продажа актива в виде отдельной базы	Получатель становится самостоятельным оператором	Чаще всего да, либо необходима деперсонализация	Оценить правовую основу передачи, формат согласий, договорные ограничения
Реорганизация в форме слияния/присоединения	Правопреемник по ГК РФ	Обычно нет при сохранении целей и способов	Отразить массивы в передаточном акте, обновить политику и уведомления

Персональные данные при M&A следует сопровождать документально: фиксировать перечни баз, цели и категории данных, порядок передачи, а также назначать ответственных на обеих сторонах. Для внешних подрядчиков обязателен договор поручения обработки с инструкциями по обеспечению конфиденциальности и безопасности.

Постпокупочная интеграция: правопреемство оператора ПДн, кадровые массивы и безопасность

Даже в структуре универсального правопреемства новые владельцы должны подтвердить соблюдение локальных процедур. Правопреемство оператора ПДн подразумевает, что у правопреемника есть все необходимые политики, положения о защите персональных данных, назначен ответственный, а ИБ‑средства соответствуют уровню защищенности. Если в группе несколько юрлиц, процедуры лучше унифицировать, не забывая о локализации первичного сбора данных граждан РФ.

Особое внимание требует кадровый контур. Здесь высокие объемы документов, сроки хранения и доступ большого круга лиц. Проверка штатных расписаний доступа, журналов, настроек архивов и удаленного доступа помогает предотвратить инциденты. Когда интеграция затрагивает перевод персонала между юрлицами, разумно синхронизировать документы и локальные акты с учетом требований трудового и персонального законодательства. В подобных проектах полезна экспертиза в области кадрового аудита, чтобы кадровые и приватностные требования были согласованы между собой.

Персональные данные при M&A на этапе интеграции нередко обновляются и структурируются заново. Это подходящий момент, чтобы уточнить сроки хранения, зафиксировать процедуры удаления и блокирования, пересмотреть уведомления субъектам с указанием правопреемника и реализуемых целей. Если планируются новые маркетинговые каналы или сквозная аналитика, стоит заранее проверить, покрывают ли действующие согласия соответствующие цели и инструменты.

Договорные инструменты: гарантии, ковенанты и возмещение убытков за нарушения приватности

Юридическая техника сделки помогает застраховаться от унаследованных нарушений. В блоке заверений и гарантий фиксируют полноту согласий и уведомлений, отсутствие несанкционированных трансграничных передач, корректность локализации, историю проверок и инцидентов. Ковенанты продавца после закрытия дополняют защиту и обязывают устранить выявленные несоответствия, передать недостающие согласия и документацию. Персональные данные при M&A в таких оговорках описывают предельно конкретно, с отсылкой к внутренним реестрам данных, чтобы снизить риск спорной трактовки.

Рассмотреть стоит и механизм освобождения от ответственности, страхование киберрисков, а также исключения из заверений. Если покупатель знает о конкретных несоответствиях и учитывает их при цене, справедливо закрепить это письменно. Когда обсуждается выделенный резерв или escrow, основу формул лучше соотносить с оборотно‑штрафными рисками и затратами на приведение процессов в соответствие закону. В сделках с широким периметром активов распределение рисков целесообразно обсуждать вместе с корпоративными юристами, чтобы выдержать баланс между регуляторным комплаенсом и коммерческой логикой.

Персональные данные при M&A: практические документы и доказательства для проверки

Ключ к снижению рисков в том, чтобы проверять не только тексты политик, но и фактические потоки данных. На этапе проверки уместно запросить и сопоставить несколько групп документов. Персональные данные при M&A требуют сквозной связки между правовыми основаниями, ИТ‑процессами и бухгалтерией.

• Политики и локальные акты по обработке и защите данных, приказы о назначении ответственного, распределение ролей и доступов.
• Макеты согласий, тексты уведомлений субъектам, подтверждения акцепта и формы отзыва согласий.
• Карты потоков данных, описания API и интеграций, перечень подрядчиков‑обработчиков с договорами поручения.
• Отчеты по инцидентам безопасности, результаты внутренних и внешних проверок, переписка и предписания регулятора.
• Документы по трансграничной передаче и локализации, условия хранения и удаления, сведения о бэкапах.

Если процессинговая инфраструктура распределена по нескольким странам, полезно синхронизировать требования российского права с режимами иных юрисдикций. Это особенно актуально при совместном использовании облачных сервисов, а также при использовании инструментов аналитики и таргетинга в маркетинге, где персональные данные при M&A пересекаются с договорной ответственностью провайдеров.

Персональные данные при M&A и трансграничная передача

Трансграничный компонент требует отдельного контроля. Покупатель должен понимать, в каких странах размещены серверы и подрядчики, какая правовая основа использовалась для передачи и есть ли письменные согласия, если принимающая страна не обеспечивает адекватной защиты. В некоторых случаях цель обработки меняется после закрытия сделки, что может потребовать новых согласий. Персональные данные при M&A в трансграничном контуре нужно планировать заранее, чтобы не остановить бизнес‑процессы на этапе интеграции.

Споры и ответственность: регуляторные проверки и гражданско-правовые последствия

За нарушения закона о персональных данных предусмотрены штрафы по статье 13.11 КоАП РФ, а также предписания об устранении нарушений. При системных несоответствиях проверяющие могут приостановить отдельные операции по обработке до устранения нарушений. В гражданско-правой плоскости возможны иски о возмещении убытков, компенсации морального вреда и споры по заверениям и гарантиям. Если продавец заверил соблюдение требований, а после закрытия вскрылись инциденты, спор переходит в плоскость корпоративных договоренностей. Для отстаивания права на компенсацию может потребоваться сопровождение арбитражного спора, особенно когда речь идет о крупных корректировках цены и соблюдении постклоузинговых ковенантов.

Персональные данные при M&A неизбежно пересекаются с требованиями информационной безопасности. Инцидент после закрытия может быть следствием более ранних уязвимостей. В такой ситуации важно зафиксировать факты, провести независимую экспертизу, документально подтвердить причинно‑следственную связь и размер убытков, а также соблюсти обязательный претензионный порядок, если он предусмотрен договором. Разумная стратегия сочетает регуляторную коммуникацию с точными процессуальными шагами, иначе спор перейдет в стадию слабо подготовленного судебного процесса.

Как мы помогаем заказчикам учесть приватность в структуре сделки

Юридическая проработка приватности не должна тормозить коммерческую динамику сделки. Мы совмещаем три уровня работы. Сначала выстраиваем due diligence персональных данных с фокусом на фактических потоках и рисках по КоАП РФ. Затем адаптируем условия SPA/SHA и вспомогательных соглашений к выявленным рискам, согласуя репрезентации, ковенанты и условия ответственности. И, наконец, сопровождаем интеграцию, настраивая правопреемство оператора ПДн, локализацию, договоры с обработчиками и коммуникации с субъектами. Персональные данные при M&A при таком подходе становятся управляемым блоком, который учитывает регуляторные, технологические и финансовые аспекты сделки.

Когда актив ориентирован на розничный сегмент или медицину, нагрузка на приватность возрастает. В здравоохранении добавляются специальные категории данных и медицинская тайна, в e‑commerce масштабируются маркетинговые и аналитические практики. Персональные данные при M&A в этих отраслях требуют особенно аккуратной документации правовых оснований и разделения ролей между совместными операторами и обработчиками, чтобы затем не спорить о границах ответственности.

В завершение отметим: аудит данных перед сделкой и корректно организованное раскрытие снижают риски корректировки цены и штрафов, а также ускоряют постклоузинговую интеграцию. Если с учетом структуры активов предполагается передача базы клиентов при сделке, эту часть лучше проговорить документально еще до подписания финальных документов и отразить в приложениях и технических регламентах. Персональные данные при M&A не должны остаться на уровне общих деклараций в SPA, им нужна доказуемая и технологически выполнимая архитектура обработки.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.