Cambio de dueño de la empresa: ¿qué sucede con los datos personales?

¿Tienes razón?

Un cambio de dueño no implica automáticamente que puedas usar los datos para cualquier fin distinto del original. Los elementos que determinan si la transferencia de datos es correcta son: 1) la base legal con la que se obtuvieron esos datos (consentimiento, ejecución de contrato, interés legítimo, etc.); 2) si la finalidad del tratamiento que figura en las políticas originales es compatible con la nueva titularidad; 3) si existen limitaciones contractuales con los interesados o con terceros (por ejemplo, cláusulas en contratos de clientes o empleados); y 4) las obligaciones impuestas por la normativa de protección de datos en materia de información y responsabilidad.

Si los datos se obtuvieron con un consentimiento específico para una finalidad limitada, puede que tengas que recabar un nuevo consentimiento o, en su defecto, basar el tratamiento en otra base legal que sea aplicable. En casos de datos necesarios para la ejecución de contratos, la transmisión suele estar más clara, pero conviene documentarlo.

Además, la operación de compraventa debería incluir un inventario de tratamientos y una valoración de riesgos: qué datos se ceden, quién será el nuevo responsable, qué transferencias internacionales existen y qué medidas técnicas y organizativas se mantienen.

Cómo se soluciona

1) Identifica y clasifica los datos. Crea un listado exhaustivo: datos de empleados, clientes, proveedores y usuarios. Señala los datos especialmente protegidos o que requieren un tratamiento más riguroso.

2) Revisa la base legal original. Para cada conjunto de datos, anota la base legal (consentimiento, contrato, obligación legal, interés legítimo) y las finalidades recogidas en las políticas o contratos.

3) Pacta la transmisión en el contrato de compraventa. Incluye cláusulas que especifiquen quién es responsable de notificar a los interesados, cómo se ajustarán las finalidades y qué garantías ofrece el vendedor (por ejemplo, que las bases legales son correctas y que no existen reclamaciones pendientes). Determina también quién responde de incumplimientos anteriores.

4) Informa a los interesados cuando proceda. Si la trasmisión modifica la finalidad del tratamiento o implica nuevos riesgos, informa a las personas afectadas con un texto claro: quién será el nuevo responsable, finalidades, derechos y cómo ejercerlos.

5) Regula transferencias internacionales. Si la adquisición implica que datos saldrán del Espacio Económico Europeo, verifica que hay garantías adecuadas y, si procede, cláusulas contractuales tipo o decisiones de adecuación.

6) Actualiza contratos y documentación. Cambia los encargos de tratamiento, las cláusulas de privacidad en contratos comerciales y las políticas internas. Exige a encargados terceros que mantengan medidas equivalentes.

Qué puedes hacer ya: identifica los ficheros y la base legal. Qué hace falta de un profesional: redactar las cláusulas de compraventa y de transferencia de datos, preparar comunicaciones a interesados y revisar riesgos regulatorios.

Qué puede pasar

1) Se arregla con una comunicación y ajustes contractuales. En muchas compraventas, el problema se soluciona pactando responsabilidades y notificando a los afectados cuando corresponde. Un acuerdo claro reduce riesgos regulatorios y comerciales.

2) Acuerdo sobre responsabilidades. Vendedor y comprador pueden repartirse la responsabilidad por hechos pasados y futuros mediante indemnizaciones y retenciones en el precio. Aceptar un reparto práctico puede ser preferible a litigios largos.

3) Procedimiento administrativo o reclamación individual. Si se incumplieron deberes de información o se usaron datos fuera de la finalidad, la autoridad de protección de datos puede investigar. En vía civil, los afectados pueden reclamar daños. Si pierdes, una sanción administrativa o una indemnización puede imponerse; la ejecución dependerá de la solvencia de la parte responsable.

Y si ganas, ¿cobras? Si demandas por incumplimiento contractual, la ejecución depende del patrimonio del condenado y de garantías pactadas en la operación.

Errores que arruinan el caso

• No identificar todas las categorías de datos antes de firmar. Dejar datos fuera del inventario crea agujeros de responsabilidad.
• No documentar la base legal ni las finalidades. Si falta esta documentación, la autoridad puede interpretar que hubo trato indebido.
• Olvidar las obligaciones laborales: datos de empleados requieren atención especial y, muchas veces, información adicional.
• Negociar clausulas de indemnidad vagas: las retenciones por riesgos deben cuantificarse y justificarse.