Cambio de dueño de la empresa: ¿qué sucede con los datos personales?

¿Tienes razón?

El simple hecho de que una empresa cambie de dueño no autoriza cualquier uso de las bases de datos. Lo que importa es cómo se estableció el tratamiento original: si los titulares dieron consentimiento para la transferencia a terceros, si el aviso de privacidad contemplaba cambios de control y si existen limitaciones legales o contractuales. En muchas operaciones de compraventa se pacta la transmisión de activos, incluidas bases de datos. Pero esa transmisión no puede violar los derechos de los titulares ni las obligaciones previstas por la Ley Federal de Protección de Datos Personales.

Tres elementos determinantes: la naturaleza de los datos (datos sensibles requieren medidas y quizá nuevas autorizaciones), la existencia de consentimientos o cláusulas de aviso que permiten la transferencia y la finalidad del tratamiento por parte del comprador. Si el comprador pretende usar los datos para fines distintos a los originalmente consentidos, necesita comunicarlo a los titulares y, en ocasiones, recabar nuevo consentimiento.

Cómo se soluciona

1. Inventario y clasificación de datos. Antes de la transmisión, haz un inventario que identifique tipos de datos, finalidades, bases legales y cualquier restricción contractual. Identifica datos sensibles y bases con terceros implicados.

1. Revisa consentimientos y avisos de privacidad. Localiza los avisos que informan a los titulares sobre la transferencia de datos y verifica si incluyen la posibilidad de cambio de control. Si no, prepara un plan de comunicación para actualizar información y, si procede, recabar nuevos consentimientos.

1. Pacta la transmisión en el contrato de compraventa. El acuerdo entre comprador y vendedor debe regular la cesión de bases de datos: qué exactamente se transmite, responsabilidades sobre pasivos en materia de protección de datos, garantías de limpieza de datos y cláusulas de indemnización por incumplimientos.

1. Establece obligaciones de seguridad y cumplimiento. El contrato debe imponer al comprador medidas de seguridad equivalentes o superiores a las existentes, auditorías posteriores y la obligación de respetar los fines originales del tratamiento.

1. Informa a los titulares. Según el alcance y la finalidad, prepárate para notificar a los titulares por el medio más adecuado, actualizando el aviso de privacidad y explicando qué cambio de control ocurre y cómo afecta sus datos.

1. Ajusta contratos con terceros. Si hay encargados de tratamiento o proveedores, revisa y, si hace falta, renegocia contratos para reflejar al nuevo responsable.

1. Conserva registros de la operación. Documenta la cadena de custodia, autorizaciones y comunicaciones con titulares; esto será crucial si surge un reclamo.

Acciones que puedes hacer sin abogado: inventario de datos y revisión preliminar de avisos. Acciones que conviene hacer con licenciado: redactar y negociar cláusulas de transferencia en la venta, valorar riesgos y gestionar comunicaciones masivas a titulares.

Qué puede pasar

1. Se resuelve con pactos contractuales y comunicación. En la mayoría de los casos, el vendedor y el comprador acuerdan la transmisión, el comprador asume obligaciones y se informa a los titulares. Todo queda documentado y la operación sigue adelante.

1. Acuerdo con medidas adicionales. Las partes pactan garantías e indemnizaciones y el comprador acepta realizar auditorías y remediaciones si se detectan incumplimientos previos. Esto reduce el riesgo legal para el comprador.

1. Reclamo de titulares o sanción administrativa. Si la transferencia se realizó sin respetar los consentimientos o sin informar a los titulares, estos pueden presentar quejas ante la autoridad de protección de datos o solicitar medidas de reparación. En ese caso, la discusión será sobre si hubo legitimidad en la transferencia y qué remedios corresponden.

Y si ganas, ¿cobras? En un conflicto contra el comprador o vendedor, una sentencia puede ordenar reparaciones, pero la efectividad depende de las garantías pactadas y de los activos disponibles. Por eso incluir cláusulas de indemnización y retenciones en la compraventa es una práctica habitual.

Errores que arruinan el caso

• Transferir bases sin inventario ni limpieza previa: conservar datos obsoletos o incorrectos genera riesgos de incumplimiento.
• No revisar consentimientos y avisos de privacidad: asumir que todo está permitido sin comprobarlo.
• Olvidar datos sensibles en el paquete transferido: requieren tratamiento especial.
• No pactar indemnizaciones o retenciones en el precio para cubrir pasivos de protección de datos.
• No informar a titulares cuando la finalidad del tratamiento cambia.