Персональные данные при слиянии и поглощении компаний: правовые риски сделки

Сделки по покупке бизнеса редко ограничиваются передачей долей, акций, оборудования и прав по договорам. Почти всегда в контур оценки попадают сведения о работниках, клиентах, подрядчиках, пациентах, пользователях сервисов и иных лицах, чьи данные компания собирала в ходе своей деятельности. Именно поэтому персональные данные при M&A становятся не технической деталью, а самостоятельным блоком правовых рисков. Ошибка на этом участке может повлиять на цену сделки, вызвать претензии со стороны Роскомнадзора, осложнить интеграцию активов и спровоцировать споры о действительности передачи отдельных массивов информации.

Проблема в том, что покупатель часто воспринимает клиентскую базу, CRM, архивы кадровых документов и историю взаимодействия с контрагентами как обычный актив. С точки зрения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» такой подход неверен. Для закона значение имеет не коммерческая ценность массива, а законность его получения, цели обработки, состав субъектов, режим доступа, основания передачи и объем обязанностей оператора. Поэтому персональные данные при M&A нужно анализировать отдельно от финансового и налогового due diligence.

Почему персональные данные при M&A влияют на структуру и цену сделки

В классической сделке M&A стороны оценивают корпоративную структуру, права на активы, долговую нагрузку, судебные споры и налоговые последствия. Но если бизнес построен на постоянной работе с физическими лицами, объем правомерно собранных данных прямо влияет на реальную полезность приобретаемого актива. Это особенно заметно в IT, e-commerce, медицине, образовании, логистике, ритейле, сервисном обслуживании и HR-сфере. Формально база существует, но вопрос в другом: можно ли законно продолжать ее использовать после закрытия сделки.

Если покупатель получает доли или акции компании, оператор персональных данных как юридическое лицо обычно сохраняется. Однако смена контроля не устраняет уже допущенные нарушения. Если в компании отсутствуют надлежащие согласия, политика обработки, локальные акты, договоры поручения с обработчиками, режим хранения и удаления данных, риск остается внутри приобретаемого бизнеса. В результате персональные данные при M&A становятся предметом переговоров о гарантиях продавца, удержаниях из цены, специальных условиях о возмещении потерь и основаниях для постклоузинговых требований.

На практике отдельного внимания требует due diligence персональных данных. Он позволяет проверить не только факт наличия документов, но и то, соответствуют ли они реальной модели обработки. Такая проверка особенно важна, когда в составе актива есть онлайн-сервисы, программы лояльности, колл-центры, медицинские информационные системы или распределенные базы пользователей. Если в процессе сделки обнаруживается незаконная передача базы клиентов при сделке либо неочевидная цепочка доступа к данным через подрядчиков, коммерческая ценность бизнеса может оказаться ниже первоначальных ожиданий.

Как закон регулирует персональные данные при M&A

Ключевое регулирование содержится в Законе № 152-ФЗ. Для M&A особенно значимы положения статьи 5 о принципах обработки персональных данных, статьи 6 об основаниях обработки, статьи 18.1 об обязанностях оператора по принятию мер, статьи 19 о безопасности персональных данных, а также нормы о трансграничной передаче, поручении обработки и правах субъекта на доступ, уточнение и уничтожение данных. Если речь идет о специальных категориях данных, в том числе о сведениях о состоянии здоровья, применяются дополнительные ограничения статьи 10 Закона № 152-ФЗ.

Нельзя забывать и о гражданско-правовом контуре. При продаже долей или акций стороны обычно используют механизмы заверений об обстоятельствах по статье 431.2 ГК РФ, возмещения потерь по статье 406.1 ГК РФ, а также договорные положения об ответственности за скрытые риски. Если покупатель после закрытия сделки сталкивается с предписанием регулятора, блокировкой информационного ресурса или требованиями субъектов данных, решающим становится вопрос, как именно продавец описал состояние системы обработки и какие юридические гарантии дал в договоре.

Отдельное значение имеет КоАП РФ. За нарушения в сфере персональных данных предусмотрена административная ответственность по статье 13.11 КоАП РФ. Составов в этой статье несколько, и санкции зависят от характера нарушения: отсутствия законного основания обработки, непредставления обязательной информации субъекту, нарушения требований к хранению, избыточного объема собираемых данных, несоблюдения обязанностей при публикации политики обработки и иных обстоятельств. Для покупателя это не абстрактный риск. Если нарушения длятся, их последствия возникают уже после перехода контроля над бизнесом.

Когда сделка затрагивает структуру управления обществом, порядок одобрения крупных решений, ответственность директора и отношения между участниками, правовая оценка выходит за пределы чисто договорного анализа. В таких ситуациях нередко требуется участие корпоративных юристов, поскольку персональные данные при M&A тесно связаны с корпоративной документацией, внутренними регламентами и механизмом раскрытия информации покупателю.

Что именно нужно проверять в рамках due diligence персональных данных

Полноценный анализ начинается не с вопроса о том, есть ли у компании база клиентов, а с выяснения правовой карты обработки. Нужно установить, кто является оператором, в каких целях данные собирались, на каком основании они обрабатываются, кому передавались, где хранятся и каков жизненный цикл каждого массива. Иначе персональные данные при M&A будут оценены формально, а основные риски проявятся уже после закрытия сделки.

Аудит данных перед сделкой обычно включает проверку уведомления Роскомнадзора, если обязанность по уведомлению возникала, наличия политики в отношении обработки персональных данных, внутренних положений, согласий субъектов, форм на сайте, cookie-механик, договоров с подрядчиками, документов по информационной безопасности, порядка реагирования на запросы субъектов и инциденты утечки. Важно не просто собрать папку документов, а сопоставить их с реальным бизнес-процессом.

Особую ценность имеет проверка следующих обстоятельств:

• соответствует ли состав собираемых данных заявленным целям обработки и нет ли избыточных сведений;

• имеются ли правовые основания для передачи данных аффилированным лицам, подрядчикам, франчайзи, сервисным провайдерам и новым владельцам бизнеса;

• можно ли подтвердить получение согласий в надлежащей форме, если обработка не основана на законе или договоре с субъектом;

• настроены ли сроки хранения и процедуры уничтожения данных после достижения целей обработки;

• зафиксированы ли роли участников обработки, включая случаи, когда одно лицо поручает обработку другому.

Если компания использует подрядчиков для маркетинга, колл-центра, хостинга, облачных сервисов, бухгалтерии или кадрового администрирования, нужно проверять договоры поручения на обработку персональных данных. Закон № 152-ФЗ требует, чтобы в таком договоре были определены перечень действий с данными, цели обработки, требования к конфиденциальности и безопасности. Отсутствие этих условий означает, что персональные данные при M&A несут риск не только административной ответственности, но и споров о законности самой бизнес-модели.

Для компаний с регулярной договорной нагрузкой и большим количеством внутренних процессов подобная проверка часто становится частью системной правовой поддержки. В таких случаях полезно заранее выстроить модель абонентского юридического обслуживания, при которой документы по данным обновляются не под конкретную сделку, а в обычной хозяйственной деятельности.

Передача базы клиентов при сделке: где проходит граница между активом и нарушением

Самый чувствительный вопрос в M&A связан с тем, допустима ли передача базы клиентов при сделке. Универсального ответа нет, потому что многое зависит от структуры сделки. Если покупатель приобретает доли или акции, оператор остается прежним юридическим лицом, а значит, формально передачи данных иному лицу может не происходить. Но и в такой модели нельзя игнорировать цели обработки, доступ новых контролирующих лиц к массивам данных и законность последующего использования клиентской базы для маркетинга, кросс-продаж или интеграции с другими бизнесами группы.

Иная ситуация возникает при продаже предприятия, выделении бизнеса, передаче отдельных договоров, переводе клиентского портфеля или миграции базы в другую компанию группы. Здесь передача базы клиентов при сделке уже требует самостоятельного правового основания. Нельзя исходить из того, что коммерческий интерес покупателя автоматически позволяет переместить любой массив данных в другую организацию. Для части процессов основанием может быть исполнение договора с субъектом, но если новый оператор не является стороной такого договора или использует данные для иных целей, потребуется отдельное согласие либо иное законное основание, прямо вытекающее из закона.

Отдельную сложность создают маркетинговые коммуникации. Согласие на рассылку, оформление личного кабинета, участие в программе лояльности и согласие на обработку персональных данных не тождественны друг другу. Если до сделки компания собирала контакты на сайте с формулировками, не предусматривающими передачу данных иному лицу, то последующее использование этой базы новым оператором может быть оспорено. Именно поэтому персональные данные при M&A нельзя анализировать только на уровне общего согласия «на обработку».

В договорной части вопрос обычно решается через специальные условия о том, какие массивы данных передаются, на каком основании это допустимо, какие действия продавец обязан совершить до закрытия и что происходит с данными, которые не могут быть переданы законно. Если этого не сделать, покупатель рискует приобрести бизнес, значительная часть клиентского массива которого недоступна для дальнейшего использования без повторного сбора согласий.

Реорганизация и правопреемство оператора ПДн

Когда бизнес передается через слияние, присоединение, разделение, выделение или преобразование, встает вопрос о том, как работает правопреемство оператора ПДн. Гражданско-правовой механизм правопреемства сам по себе не отменяет требований Закона № 152-ФЗ, но существенно влияет на оценку законности дальнейшей обработки. При слиянии и присоединении права и обязанности переходят к правопреемнику в порядке универсального правопреемства, что подтверждается передаточным актом. Однако это не означает автоматического исчезновения всех рисков, связанных с исходной моделью сбора данных.

Правопреемство оператора ПДн имеет практическое значение прежде всего для ответа на два вопроса. Первый касается возможности продолжать обработку данных в прежних целях без повторного получения согласий. Второй относится к обязанностям нового оператора по информированию субъектов, корректировке внутренних документов и обеспечению режима безопасности. Если после реорганизации меняются цели, состав обрабатываемых данных, каналы взаимодействия с субъектами или перечень лиц, имеющих доступ к массивам, прежнего правового основания может оказаться недостаточно.

Особенно внимательно следует подходить к специальным категориям данных. В медицинских организациях, клиниках, лабораториях, страховых и социальных проектах персональные данные при M&A часто включают сведения о здоровье. Здесь применяются более строгие требования статьи 10 Закона № 152-ФЗ, а также профильное регулирование в соответствующей отрасли. При реорганизации нужно сопоставлять не только правила о правопреемстве, но и режим врачебной тайны, требования к информационным системам и основания доступа персонала к сведениям о пациентах.

Когда последствия сделки приводят к спору между участниками общества, директором и новым собственником, спор часто выходит в арбитражную плоскость. Если разногласия касаются заверений продавца, передачи корпоративной информации, доступа к документам или возмещения потерь, значение приобретает последующее разрешение корпоративных споров с учетом того, как стороны описали режим персональных данных в документах сделки.

Какие документы и доказательства имеют значение при оценке рисков

С точки зрения покупателя недостаточно получить общую справку о соблюдении законодательства. Нужны документы, которые позволяют проверить реальную управляемость риска. Обычно анализируется не только юридическая форма, но и доказуемость каждого ключевого обстоятельства. Если продавец утверждает, что все согласия получены, это должно подтверждаться архивом электронных форм, журналами событий, текстами оферт, версиями пользовательских соглашений и данными о моменте акцепта. Если речь идет о работниках, проверяются трудовые договоры, локальные акты, согласия там, где они действительно требуются, а также порядок доступа кадровых и бухгалтерских служб.

В сделках, где персональные данные при M&A связаны с цифровыми платформами, сайтами и мобильными приложениями, ценность приобретают технические доказательства. К ним относятся схемы потоков данных, описания интеграций с внешними сервисами, сведения о логах доступа, протоколы инцидентов, договоры с хостингом и облачными провайдерами, документы по локализации баз данных российских граждан на территории РФ, если такая обязанность возникала. Юрист в таком проекте работает на стыке права и IT-процессов, иначе оценка будет оторвана от реальности.

Для наглядности можно выделить основные группы документов, которые обычно запрашиваются у продавца:

• внутренние акты оператора: политика обработки, положения, приказы, инструкции, документы о назначении ответственных лиц;

• внешние документы: формы согласий, тексты договоров с клиентами, пользовательские соглашения, публичные оферты, уведомления субъектам;

• договоры с обработчиками и подрядчиками, получающими доступ к данным;

• документы по информационной безопасности, хранению, резервированию, уничтожению и реагированию на инциденты;

• переписка и материалы, подтверждающие исполнение запросов субъектов и требований регулятора.

Если продавец не может представить связный комплект документов, это не всегда означает критичность сделки, но почти всегда требует корректировки договорной конструкции. Нередко именно на этом этапе становится ясно, что аудит данных перед сделкой нужно было проводить до начала переговоров, а не в последние недели перед подписанием документов.

Ошибки сторон, которые осложняют сделку и последующую интеграцию

Первая типичная ошибка заключается в том, что персональные данные при M&A проверяются только формально. Продавец передает комплект шаблонных локальных актов, покупатель сверяет наличие документов и считает вопрос закрытым. Затем после интеграции выясняется, что реальная обработка шла по иным сценариям: данные собирались через старые формы сайта, подрядчик имел чрезмерный доступ, сроки хранения не соблюдались, а часть архивов вообще не подлежит дальнейшему использованию.

Вторая ошибка связана со смешением правовых режимов. Часто предполагается, что если в компании есть договор с клиентом, то любые операции с его данными допустимы. Это неверно. Основание для обработки нужно оценивать применительно к каждой цели. Передача базы внутри группы компаний, маркетинговые рассылки, профилирование, подключение внешних сервисов и аналитика не всегда укладываются в исполнение основного договора. Из-за этого персональные данные при M&A могут стать источником претензий уже после смены собственника.

Третья ошибка проявляется в структуре самого SPA, договора купли-продажи долей, акций или актива. Если продавец дает слишком общие заверения о соблюдении закона, без описания конкретных массивов, инцидентов и ограничений, покупателю трудно доказать нарушение и размер потерь. Напротив, детальное описание состояния системы обработки, выявленных исключений, перечня спорных массивов и обязательств по их «очистке» до или после закрытия снижает вероятность спора о толковании условий сделки.

Когда последствия нарушения перерастают в претензии контрагентов, требования о возмещении убытков или спор о действительности передачи отдельных прав, ситуация нередко переходит в судебную стадию. Здесь важно заранее оценивать доказательства, предмет требований и перспективы арбитражного спора, особенно если цена вопроса связана с существенной частью приобретенного бизнеса.

Как строится юридическая работа по снижению рисков до и после закрытия сделки

Эффективная работа с этой темой начинается задолго до подписания. Продавцу разумно провести внутренний аудит данных перед сделкой, устранить очевидные дефекты в документах и описать ограничения честно, а не пытаться скрыть их общими формулировками. Покупателю важно поставить перед консультантами правильный вопрос: не просто есть ли нарушения, а какие из них влияют на возможность использовать конкретные массивы после закрытия и как это должно отразиться на цене, условиях оплаты и договорной ответственности.

В зависимости от структуры проекта юридическая работа обычно включает анализ модели обработки, подготовку перечня запросов к продавцу, проверку оснований передачи данных, разработку заверений и специальных ковенантов, согласование порядка доступа к базам на этапе переговоров, а также постклоузинговые меры. К последним могут относиться обновление политик, внесение изменений в пользовательские документы, настройка новых договоров поручения, уведомление субъектов в необходимых случаях, изменение архитектуры хранения и разграничение доступа для сотрудников и подрядчиков.

Если персональные данные при M&A затрагивают несколько юрисдикций, трансграничную инфраструктуру или специальные категории сведений, проект требует особенно точной координации. Здесь нельзя ограничиться «приложением о персональных данных» в конце пакета документов. Нужна полноценная правовая позиция по каждому крупному массиву, иначе цена ошибки проявится уже после интеграции: в остановке маркетинга, невозможности объединить CRM, необходимости повторного сбора согласий, спорах с клиентами и санкциях регулятора.

Персональные данные при M&A не являются второстепенным вопросом сопровождения сделки. Это участок, где встречаются корпоративное право, договорная ответственность, защита информации и права физических лиц. Чем раньше стороны видят этот риск как отдельный объект переговоров, тем меньше вероятность, что ценность приобретаемого бизнеса окажется ниже ожидаемой. Юридическая поддержка в таких проектах полезна не абстрактным советом, а точной проверкой оснований обработки, документов, маршрутов передачи данных и договорных механизмов распределения риска. Именно такой подход позволяет превратить спорный массив сведений в управляемый элемент сделки, а не в источник последующих претензий.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.