Si vendes la empresa y necesitas revisar el traspaso de bases de datos

¿Tienes razón?

Que las bases de datos sean parte del activo de la empresa no significa que se puedan transferir sin condiciones. Tres elementos definen si el traspaso es lícito: la base legal del tratamiento y si contempla la cesión, las cláusulas contractuales con terceros (proveedores, encargados del tratamiento) y las expectativas de privacidad de los titulares. Si el consentimiento obtenido de los titulares prevé la posibilidad de cesión a terceros o la operación se enmarca en una figura contractual que permite la transmisión de activos, la transferencia es más sencilla. Si no, deberá gestionar nuevas autorizaciones o imponer restricciones contractuales a la compradora.

También debe considerar posibles límites por sector: ciertas bases (datos sensibles, información de salud, datos de empleados) tienen tratamientos que requieren medidas adicionales y en algunos casos limitaciones para su transferencia. En definitiva, antes de firmar, hay que hacer due diligence específica de privacidad para detectar riesgos que pueden afectar el valor del negocio.

Cómo se soluciona

1) Haga un inventario exhaustivo. Liste cada base de datos: origen, finalidad, campos tratados, volumen, categoría de datos (sensibles o no), ubicación física o en la nube, proveedores que procesan esos datos y medidas de seguridad aplicadas.

2) Revise la documentación de consentimiento. Para cada base, localice los formularios, cláusulas y pruebas que muestren si los titulares fueron informados sobre la cesión de sus datos a terceros o sobre la transferencia en casos de reestructuración empresarial.

3) Evalúe contratos con terceros. Identifique encargados del tratamiento y determine si sus contratos permiten la transferencia de datos a un tercero comprador. Si hay restricciones, determine si es posible obtener autorizaciones o renegociar contratos antes del cierre.

4) Clasifique por riesgo. Separe las bases que requieren acción previa (p. ej., datos sensibles o de empleados) de las que pueden transferirse con garantías contractuales. Para las de riesgo, plantee planes: obtención de consentimientos adicionales, anonimización previa o establecimiento de obligaciones estrictas para el comprador.

5) Redacte cláusulas en el contrato de compraventa. Incluya representaciones y garantías sobre la legalidad de las bases, inventario y soporte documental; obligaciones de la compradora respecto al tratamiento; límites de finalidad; cláusulas de indemnización por incumplimiento; y medidas de transición y soporte.

6) Plan de comunicación y ejercicio de derechos. Asegure que la operación contemple cómo se informará a los titulares, cómo se atenderán solicitudes y quién será responsable de las peticiones recibidas durante la transición.

7) Medidas técnicas y de seguridad. Establezca procedimientos para la entrega segura de datos (transferencias cifradas, acceso controlado), así como pruebas de borrado de copias residuales en los sistemas del vendedor si así se acuerda.

8) Considere la auditoría post cierre. Reserve la facultad de auditar el cumplimiento por parte de la compradora y acuerde mecanismos de supervisión o multas contractuales en caso de incumplimiento.

Qué puede pasar

1) Cierre y comunicación ordenada. Lo más habitual es que, con la debida diligencia y cláusulas contractuales, el traspaso se haga con garantías: la compradora se subroga en obligaciones y se informa a los titulares según lo pactado.

2) Acuerdo ondulado o mitigación. Si se detectan deficiencias en consentimientos, se acuerda un plan de remediación: reconfirmación de titulares, anonimización de datos sensibles o limitación de uso por parte de la compradora hasta obtener nuevas autorizaciones.

3) Reclamaciones o sanciones. Si se transfiere una base sin la base legal adecuada o sin informar a los titulares, pueden surgir reclamaciones individuales y procedimientos ante la Superintendencia. Además, la compradora puede enfrentar demandas o sanciones que derivan en indemnizaciones.

Y si gana, ¿cobra? Una resolución que ordene reparación puede dar lugar a indemnizaciones; pero la realidad práctica depende de la situación financiera del responsable y de la ejecución de las obligaciones por la parte compradora.

Errores que arruinan el caso

• No hacer due diligence específica de datos. Firmar sin inventario y sin revisar consentimientos deja la empresa vendida expuesta a contingencias.
• Transferir datos sensibles sin medidas adicionales ni consentimientos. Eso suele generar reclamaciones serias.
• Olvidar revisar contratos con encargados. Muchos contratos impiden la cesión sin autorización previa.
• No acordar indemnizaciones claras por incumplimientos. Sin garantías contractuales, el vendedor conserva riesgo post cierre.
• No prever la comunicación a titulares y el tratamiento de solicitudes durante la transición.