Si vendes la empresa y necesitas revisar el traspaso de bases de datos

¿Tienes razón?

Vender una empresa conlleva la transferencia de activos y, con frecuencia, de bases de datos. La cuestión clave es si los tratamientos existentes permiten la cesión de los datos a un tercero: en algunos casos el consentimiento de los interesados incluía la posibilidad de cesión; en otros hubo consentimiento sólo para una finalidad determinada y no para el traspaso. Además, hay que distinguir entre diferentes tipos de datos: clientes, empleados, proveedores y potenciales clientes. Los datos de empleados están sometidos a reglas específicas y su traslado exige justificación y, en ocasiones, información previa específica.

Analiza la base legal de cada fichero: consentimiento, ejecución de contrato, obligación legal o interés legítimo. Si dependes del consentimiento y este no prevé la cesión, tendrás que obtener un nuevo consentimiento o buscar otra base legal. También revisa contratos con proveedores y cláusulas de confidencialidad y subcontratación que puedan afectar.

Otro punto importante es la figura del responsable y del encargado: la venta puede suponer un cambio de responsable. Si se produce una cesión de datos, debes documentarla y notificar a los interesados cuando proceda.

Cómo se soluciona

1) Inventario y clasificación: realiza un inventario exhaustivo de todas las bases de datos, indicando su finalidad, la base legal, el tipo de datos y la procedencia. Separa datos sensibles y los relativos a empleados.

2) Revisa la documentación de consentimiento y contratos: localiza cláusulas que permitan la cesión o la transmisión por causa de venta. Si existen cláusulas claras, documenta su alcance. Si no existen, prepara un plan para obtener nuevos consentimientos o para justificar otra base legal.

3) Due diligence: facilita al comprador un dossier con la descripción de las bases, medidas de seguridad y las reclamaciones pendientes; establece acuerdos de confidencialidad para proteger la información durante el proceso.

4) Redacta el acuerdo de compraventa con cláusulas de protección de datos: incluye representaciones y garantías sobre la legalidad de los tratamientos, indemnizaciones por incumplimiento, y cláusulas que regulen quién es responsable tras la operación. Define si hay una transmisión de responsabilidad o si se configura un encargo temporal para permitir la transición.

5) Información a los interesados: valora si hay obligación de informar a los afectados sobre el cambio de responsable y, en su caso, prepara las comunicaciones necesarias. Describe el nuevo responsable, las finalidades y los medios para ejercer derechos.

6) Transferencia de datos de empleados: verifica la normativa laboral aplicable y consulta convenios o representantes de los trabajadores. La transferencia de datos laborales puede requerir medidas y justificaciones adicionales.

7) Seguridad y control postventa: pacta con el comprador las medidas de seguridad, accesos y el tratamiento de copias de seguridad. Asegura la eliminación de datos que no deban transmitirse.

8) Si no puedes obtener consentimientos: negocia medidas alternativas como anonimización o conservación por parte del vendedor para finalidades limitadas.

Vendedor y comprador pueden realizar muchas de estas tareas internamente, pero la redacción de cláusulas contractuales, la evaluación de riesgos y la negociación de indemnizaciones conviene hacerlas con un abogado especializado.

Qué puede pasar

1. Transmisión ordenada con ajustes contractuales. La mejor salida es documentar la transferencia, informar a los interesados si procede y acordar garantías contractuales. Esto evita reclamaciones posteriores y facilita la integración.

1. Requerimiento o reclamación por parte de interesados. Si algún interesado entiende que sus datos se han cedido sin base legal, puede reclamar ante la empresa o ante la AEPD. En ese caso, una respuesta documentada y medidas correctoras pueden minimizar el impacto.

1. Litigio o sanción por cesión irregular. Si la transferencia se realiza sin base legal y la AEPD considera que hay infracción, se pueden imponer medidas correctoras y sanciones; además, puede haber reclamaciones de indemnización. El riesgo es mayor cuando se transmiten datos sensibles o se venden listas a terceros.

Y si ganas, ¿cobras? Una resolución que confirme la legalidad de la transferencia no compensa los costes reputacionales ni siempre garantiza la ausencia de reclamaciones civiles posteriores. Las indemnizaciones, si proceden, dependen de la vía civil y de la solvencia de las partes.

Errores que arruinan el caso

• No auditar todas las bases de datos antes de la operación: omitir ficheros o copias de seguridad lleva a sorpresas y riesgos legales.

• Vender datos sin cláusulas contractuales claras sobre responsabilidades y garantías.

• No informar a empleados y no revisar la normativa laboral aplicable.

• Subestimar la necesidad de due diligence y no pedir garantías sobre la procedencia de datos importados.

• No prever qué ocurre con las copias y las copias de seguridad tras la transmisión.