La protezione dei dati come fattore di rischio nelle operazioni di M&A
L’accesso alla virtual data room (VDR) rappresenta una fase ordinaria di qualsiasi operazione di M&A, poiché consente al potenziale acquirente di esaminare la situazione societaria, finanziaria, contrattuale e giuslavoristica della target e di individuare eventuali criticità prima di procedere all’acquisizione. Quando, tuttavia, l’operazione coinvolge UE e Cina, anche una fase apparentemente ordinaria come la consultazione della documentazione può assumere una particolare rilevanza sotto il profilo della protezione e della circolazione dei dati. Contratti di lavoro, informazioni sui dipendenti e sui clienti, documentazione commerciale e altri dati operativi possono infatti essere messi a disposizione del buyer, del legal team e degli altri advisor situati in una giurisdizione diversa da quella della società target. Diventa pertanto necessario valutare non soltanto quali informazioni siano necessarie ai fini della due diligence, ma anche quali dati possano essere condivisi, con quali soggetti e secondo quali modalità.
La questione assume particolare rilievo nelle operazioni tra Unione Europea e Cina, dove il Regolamento (UE) 2016/679 (GDPR) e la normativa cinese in materia di protezione e sicurezza dei dati disciplinano in modo diverso il trattamento e la circolazione transfrontaliera delle informazioni. Una valutazione tardiva di questi aspetti può rendere necessario riorganizzare la disclosure o limitare l’accesso alla VDR quando la due diligence è già in corso, con possibili conseguenze sulle tempistiche e sul valore dell’operazione.
Il quadro normativo europeo e cinese
Dal lato europeo, la disclosure di documenti contenenti dati personali nell’ambito di una due diligence deve essere effettuata nel rispetto dei principi e degli obblighi previsti dal GDPR. La finalità connessa all’operazione di M&A non consente infatti una condivisione indiscriminata dei dati, ma richiede di valutare la base giuridica del trattamento e di rispettare, tra gli altri, i principi di finalità, necessità e minimizzazione. Qualora la documentazione venga resa accessibile a soggetti situati al di fuori dello Spazio Economico Europeo, occorre inoltre verificare l’applicabilità delle disposizioni relative ai trasferimenti internazionali e l’eventuale necessità di ricorrere agli strumenti previsti dal GDPR.
Un’analoga esigenza di valutazione si pone, nell’ambito di un quadro normativo differente, quando i dati provengono dalla Cina. La Personal Information Protection Law (PIPL), la Data Security Law (DSL) e le ulteriori disposizioni in materia di data export possono assumere rilevanza quando la target cinese consente al buyer o ai suoi advisor situati all’estero di accedere alla propria documentazione. In particolare, il fatto che la VDR sia ospitata su server situati in Cina non esclude necessariamente l’esistenza di un trasferimento transfrontaliero, poiché anche l’accesso dall’estero a dati conservati nel territorio cinese può assumere rilevanza ai fini della disciplina sul data export.
La definizione del perimetro della disclosure e dell’accesso transfrontaliero ai dati
In entrambe le giurisdizioni assume quindi particolare importanza comprendere, prima dell’apertura della data room, quali informazioni saranno effettivamente condivise: documenti relativi a dipendenti, clienti e controparti possono contenere dati personali e, in alcuni casi, informazioni soggette a una tutela rafforzata, quali, nell’UE, le categorie particolari di dati personali e, sul versante cinese, le sensitive personal information, gli important data o informazioni soggette a specifiche discipline settoriali.
Una volta definito il perimetro della disclosure, occorre individuare le modalità attraverso le quali i dati possono essere resi accessibili al deal team. Nell’UE, qualora la condivisione comporti un trasferimento verso un Paese terzo, può rendersi necessario ricorrere agli strumenti previsti dal GDPR, quali una decisione di adeguatezza o, in assenza di questa, garanzie adeguate come le clausole contrattuali standard (SCC), ove applicabili; in Cina, invece, la disciplina applicabile varia in funzione, tra l’altro, della natura e del volume dei dati e delle caratteristiche del soggetto che effettua il trasferimento, potendo trovare applicazione specifiche esenzioni oppure meccanismi quali lo Standard Contract, la certificazione o la security assessment.
Peraltro, la presenza di dati soggetti a particolari obblighi o restrizioni non implica necessariamente che la due diligence debba essere rallentata o che l’accesso alla documentazione debba essere escluso. Una corretta pianificazione della disclosure può, al contrario, consentire di contemperare le esigenze informative del buyer con gli obblighi applicabili nelle diverse giurisdizioni.
Misure pratiche di tutela nella gestione della virtual data room
Nelle prime fasi dell’operazione può essere opportuno mettere a disposizione dati aggregati, documenti oscurati, contratti campione o sintesi delle informazioni rilevanti, riservando l’accesso alla documentazione integrale ai casi in cui ciò sia effettivamente necessario. Anche la configurazione della VDR può essere modulata in funzione della natura delle informazioni, prevedendo autorizzazioni differenziate, limitazioni al download e alla stampa, sistemi di autenticazione adeguati e registrazione degli accessi.
Per le informazioni maggiormente sensibili può inoltre essere valutato il ricorso a un clean team oppure l’affidamento della revisione a consulenti legali con sede nella giurisdizione della target. In quest’ultimo caso, l’accesso alla documentazione può essere mantenuto all’interno del Paese, mentre al buyer e al deal team situati all’estero vengono condivise soltanto le informazioni necessarie ai fini della valutazione dell’operazione e le principali criticità emerse dalla due diligence. Tale soluzione può risultare particolarmente utile quando la consultazione diretta dall’estero dei documenti comporterebbe ulteriori adempimenti che potrebbero ritardare il closing o quando la natura delle informazioni richiede un maggiore livello di cautela, fermo restando che anche la successiva comunicazione dei risultati al team estero deve essere strutturata tenendo conto della normativa applicabile. La gestione degli accessi dovrebbe pertanto essere definita già nella fase di pianificazione della due diligence, individuando non soltanto la documentazione da mettere a disposizione, ma anche i soggetti che potranno accedervi e i Paesi dai quali avverrà la consultazione. Intervenire soltanto in un momento successivo, quando la VDR è già stata aperta a numerosi advisers, può rendere più complessa la gestione della compliance e determinare ritardi proprio nelle fasi più sensibili dell’operazione.
Implicazioni sulla documentazione contrattuale e sull’integrazione post-closing
Inoltre, le implicazioni legate alla gestione dei dati non si esauriscono con la conclusione della due diligence. Qualora dall’analisi emergano criticità significative, queste possono riflettersi anche sulla negoziazione dello share purchase agreement, attraverso dichiarazioni e garanzie, obblighi di regolarizzazione, specifici indennizzi o condizioni al closing.
Occorre inoltre distinguere l’accesso alla documentazione durante la due diligence dalla successiva migrazione dei dati una volta completata l’acquisizione. Il fatto che il buyer abbia potuto consultare determinati documenti nella VDR non significa infatti che, dopo il closing, possa trasferire liberamente i database della target all’interno dei propri sistemi globali. Questo profilo può assumere una rilevanza economica concreta quando le sinergie previste dall’operazione dipendono dalla centralizzazione di sistemi relativi a personale, clienti, CRM, customer service o altre funzioni operative. Eventuali limitazioni alla circolazione dei dati possono in questi casi incidere sui tempi e sui costi dell’integrazione e dovrebbero pertanto essere considerate già nella valutazione complessiva dell’operazione.
Indicazioni operative per la pianificazione dell’operazione
Da un punto di vista operativo, prima dell’apertura della VDR sarebbe quindi opportuno mappare le categorie di dati che saranno condivise, individuare i soggetti e i Paesi dai quali avverrà l’accesso, verificare se siano necessarie limitazioni, oscuramenti o ulteriori adempimenti e definire fin dall’inizio modalità alternative di review per le informazioni più sensibili. Prima del closing, la stessa analisi dovrebbe essere estesa alla fase di integrazione, verificando quali database il buyer intenda centralizzare, quali accessi saranno necessari all’interno del gruppo e se i trasferimenti previsti possano essere realizzati secondo il modello operativo ipotizzato. In questo modo, la gestione dei dati non interviene come verifica finale di compliance, ma diventa parte della pianificazione del deal, riducendo il rischio che restrizioni non considerate incidano successivamente sulle tempistiche, sui costi o sulle sinergie attese dall’operazione.
