Si vendes la empresa y necesitas revisar el traspaso de bases de datos

¿Tienes razón?

Transferir bases de datos en una venta es una práctica habitual y lícita si respetas los principios de la ley de protección de datos: licitud, finalidad, proporcionalidad y transparencia. No basta con incluir las bases en un paquete de activos: debes demostrar que los datos fueron recabados para las finalidades que el comprador pretende seguir. Las claves que determinan si estás obligado y si la operación es segura son: 1) la naturaleza del consentimiento original (si lo hubo) y su alcance; 2) si la finalidad prevista por el comprador encaja con la informada a los titulares; 3) si existen datos sensibles o de menores; y 4) las garantías contractuales que pactes para responder ante reclamaciones. Si vendes sin revisar, la autoridad o los titulares podrían exigir medidas o sanciones al comprador y al vendedor por responsabilidades compartidas.

Cómo se soluciona

1. Audita las bases de datos.

• Clasifica datos por origen, finalidad, fecha de captura y evidencia de consentimiento. Identifica datos sensibles o de menores y marca listas que carecen de prueba.

1. Informa al comprador y negocia el alcance.

• Proporciona un dossier técnico y legal que incluya políticas de privacidad vigentes, historiales de tratamiento, incidentes previos y medidas de seguridad. Determina si el comprador seguirá las mismas finalidades o si necesita reconfirmaciones.

1. Prevé cláusulas contractuales específicas en la compraventa.

• Incluye representaciones y garantías sobre legitimidad de las bases, indemnizaciones por reclamaciones derivadas de incumplimientos previos, obligaciones de notificar incidentes y cláusulas sobre continuidad en el ejercicio de derechos de los titulares.

1. Diseña un plan de información a titulares.

• Si vas a cambiar el responsable del tratamiento, debes informar a los titulares sobre la cesión y las nuevas finalidades. El método y alcance dependen del estado de la base; documenta el aviso.

1. Ajusta la conservación y medidas de seguridad.

• Asegura que el comprador mantenga o mejore las medidas técnicas y administrativas. Exige un inventario de accesos y controles.

1. Resuelve listados problemáticos.

• Para datos sin prueba de consentimiento, valora estrategias: eliminar antes de la operación, reconfirmar por campaña o pactar cláusulas indemnizatorias que cubran riesgos.

Tareas que puedes hacer sin abogado: auditar la documentación y preparar un inventario. Necesitas abogado para negociar cláusulas de indemnización, preparar avisos a titulares y resolver discrepancias sobre responsabilidades.

Qué puede pasar

1) Se resuelve con ajustes contractuales y avisos.

• Lo habitual es que vendedor y comprador pacten remedios: limpiar listas, informar titulares y establecer responsabilidades. Un acuerdo bien redactado reduce riesgos posteriores.

2) Acuerdo o reclamación administrativa.

• Si los titulares o la autoridad consideran que la transferencia vulnera derechos, puede derivar en medidas correctivas, requerimientos de información y sanciones. Negociar una salida que obligue a remediar prácticas suele ser la solución práctica.

3) Controversia larga y costosa.

• Reclamaciones colectivas o inspecciones profundas pueden obligar a auditorías, medidas correctivas extensas y, en casos graves, sanciones económicas. Aunque se gane un litigio, la ejecución depende de la solvencia de las partes y de la práctica empresarial.

Y si ganas, ¿cobras? Una sentencia que te dé la razón frente a reclamaciones no evita el daño reputacional ni el coste de implementar las medidas correctivas exigidas; además, la eficacia de una indemnización depende de la capacidad del obligado a pagar.

Errores que arruinan el caso

• Incluir bases en la venta sin auditar su legalidad.
• No negociar indemnizaciones claras por pasivos de datos.
• No informar a los titulares cuando hay un cambio de responsable.
• Transferir datos sensibles sin verificaciones adicionales.
• Dejar en manos del comprador la remediación sin controles o plazos concretos.