Lični podaci u M&A podatkovnoj sobi: svrha, primaoci i brisanje

Lični podaci smiju se otkrivati u M&A podatkovnoj sobi samo za određenu svrhu dubinske analize i u obimu koji je za tu provjeru potreban. Prije učitavanja treba zato utvrditi kategorije podataka, pravni osnov, primaoce, prava pristupa i postupanje sa materijalom nakon završetka transakcije.

Podatkovna soba često sadrži ugovore, personalne spise, podatke klijenata, kontaktne podatke, sporove, finansijsku dokumentaciju i tehničke zapise. Oznaka transakcije sama po sebi ne završava provjeru prema GDPR-u. Ovaj tekst pokazuje kako pripremiti izbor i otkrivanje podataka, a da se cijela poslovna arhiva ne pretvori u otvorenu kopiju za sve učesnike.

M&A podatkovna soba je organizovano otkrivanje dokumenata određenoj grupi osoba. Obrada počinje već izborom, sastavljanjem i razvrstavanjem dokumenata. Zato obuhvata i datoteke koje niko na kraju ne otvori. Prije odobrenja pristupa treba evidentirati fazu transakcije, pitanje provjere i predviđenu grupu primalaca.

Lični podaci mogu se nalaziti u gotovo svakom poslovnom dokumentu. To uključuje imena i kontakte u ugovorima, podatke zaposlenih, odnose sa klijentima i dobavljačima, podatke o plaćanju, zapise podrške, evidencije pristupa i spise sporova. Činjenica da društvo već posjeduje podatke sama po sebi ne dozvoljava njihovo otkrivanje potencijalnim kupcima.

Član 5 stav 1 tačke a do c i f GDPR-a traži zakonitu, poštenu i transparentnu obradu, ograničenje svrhe, svođenje obima podataka i odgovarajuću sigurnost. Podatkovna soba zato treba vlastitu odluku o odobrenju. Opšte dijeljenje fascikle samo prebacuje stvarnu provjeru na primaoce.

Svrha treba opisati transakciju i područje provjere koje zaista zahtijeva određene informacije. Procjena cijene, provjera ugovornih rizika i priprema odluke o integraciji mogu tražiti različite podatke. Za svaku obradu treba odrediti koji podatak je potreban za koju odluku i ko tu odluku donosi.

Član 6 stav 1 GDPR-a zahtijeva odgovarajući pravni osnov za obradu. U zavisnosti od okolnosti mogu biti važni zakonska obaveza, ugovor, legitimni interesi ili drugi osnov iz Uredbe. Ako se oslanja na legitimne interese, treba dokumentovati interes i uticaj na lica na koja se podaci odnose.

Obaveze informisanja iz članova 13 i 14 GDPR-a i dalje važe. Lica na koja se podaci odnose treba u pravilu razumljivo obavijestiti o svrhama i primaocima obrade. Obavijest koja samo govori o mogućem prenosu poslovanja može ostati previše opšta za stvarni tok podataka.

Spisak podataka treba razlikovati matične podatke, ugovore, komunikaciju, finansijske informacije, personalne spise i tehničke zapise. Za svaku kategoriju treba navesti zbog čega je potrebna za provjeru. Slobodni tekst, privatni kontakti i cijeli lanci elektronske pošte često sadrže dodatne informacije bez veze sa transakcijom.

Posebne kategorije prema članu 9 GDPR-a zahtijevaju posebnu provjeru. To mogu biti zdravstveni podaci u personalnim spisima ili informacije o članstvu u sindikatu. Član 10 GDPR-a odnosi se na lične podatke o krivičnim osudama i krivičnim djelima. Takve informacije treba uključiti samo kada postoji konkretna potreba provjere i odgovarajući pravni osnov.

Redakcija, pristup u fazama i zbirni podaci mogu podržati provjeru. Redigovani zapis ipak mora ostati upotrebljiv za konkretnu odluku. U odobrenju treba navesti šta je uklonjeno, ko je provjerio redakciju i pod kojim uslovima bi kasnije otkrivanje bilo moguće.

Ciljano društvo ili prodavac može biti rukovalac za sastavljanje materijala. Potencijalni kupac može imati vlastitu odgovornost za odluku koju donosi na osnovu provjere. Savjetnici mogu biti rukovaoci, zajednički rukovaoci ili izvršioci obrade u zavisnosti od naloga i moći odlučivanja. Pružalac podatkovne sobe može za jednu aktivnost raditi prema uputama, a za vlastite funkcije imati drugačiju ulogu.

Član 4 tačke 7 do 9 GDPR-a usmjerava se na svrhe, sredstva, upute i stvarnog primaoca. Član 24 traži odgovarajuće mjere rukovaoca. Članovi 26 i 28 uređuju različite situacije. Odredba u kupoprodajnom ugovoru ili ugovoru o podatkovnoj sobi ne može promijeniti stvarnu organizaciju obrade.

U tekstu o zajedničkoj odgovornosti agencije ili platforme objašnjena je provjera prema članu 26 GDPR-a. Pitanje da li tehnički pružalac radi prema uputama ili ostvaruje vlastite svrhe razrađeno je u tekstu o SaaS ugovoru i ulozi rukovaoca ili izvršioca obrade. Obje provjere odnose se na konkretan tok podataka.

Korisnik treba da vidi samo grupe dokumenata koje su mu potrebne za dodijeljeni zadatak. Tim kupca, revizori, pravni savjetnici, finansijeri i tehnički procjenitelji često trebaju različite izvode. Član 25 GDPR-a zahtijeva zaštitu podataka kroz dizajn i zadane postavke. Podatkovna soba treba tu obavezu pretvoriti u uloge, grupe i odobrenja.

Član 32 GDPR-a zahtijeva nivo sigurnosti primjeren riziku. Mjere mogu uključivati jaku autentifikaciju, upravljanje pravima, šifrovanje, evidenciju, ograničenja preuzimanja i kontrolisan pristup podrške. One dokumentuju tehničku organizaciju, ali ne odgovaraju na pitanje da li se određena kategorija uopšte smije otkriti.

Provjerite i izvozne datoteke, snimke ekrana, lokalne fascikle, štampane primjerke i sigurnosne kopije. Podatkovna soba može evidentirati pristup platformi, a da ne kontroliše kasniju upotrebu. Odobrenje zato treba sadržati odgovornu osobu, period, grupu dokumenata i kraj prava pristupa.

Član 5 stav 1 tačka e GDPR-a traži da se lični podaci čuvaju u obliku koji omogućava identifikaciju samo onoliko dugo koliko je potrebno za svrhe obrade. Nakon završetka transakcije određeni dokazi mogu i dalje biti potrebni za ugovor ili pravnu odbranu. Nakon prekida treba odlučiti koji materijal se vraća ili briše i koji ograničeni dokaz smije ostati.

Član 17 GDPR-a treba čitati zajedno sa zakonskim obavezama čuvanja, pravnim zahtjevima i drugim ograničenjima brisanja. Iz toga ne proizlazi jedinstveni rok za sve zapise podatkovne sobe. Za svaku kategoriju odluka treba navesti svrhu, pravni osnov, događaj koji završava rok, mjesto čuvanja i odgovornu stranu.

Za izvršioca obrade ugovor prema članu 28 stav 3 tačka g GDPR-a treba urediti brisanje ili vraćanje nakon završetka usluge, osim kada pravo Unije ili države članice zahtijeva čuvanje. Član 30 podržava evidenciju aktivnosti obrade. Kopije kod savjetnika treba pratiti posebno, jer brisanje zapisa u podatkovnoj sobi ne briše automatski te kopije.

Ako kupac, savjetnik, tim podrške ili podizvršilac pristupa podacima izvan Evropskog ekonomskog prostora, treba provjeriti Poglavlje V GDPR-a. To može biti važno i kada je pružalac ugovorno smješten u Evropi, ako podrška, administracija ili podizvršioci uključuju pristup iz treće zemlje.

Članovi 44 do 49 GDPR-a traže da prenos i naredna obrada osiguraju nivo zaštite saglasan Uredbi. Provjera treba obuhvatiti primaoca, kategorije podataka, puteve pristupa, instrument prenosa, dodatne zaštitne mjere i stvarni tehnički lanac. Mjesto podatkovnog centra ne odgovara na sva pitanja.

Član 48 GDPR-a odnosi se na presude ili odluke organa ili sudova treće zemlje. Standardne ugovorne klauzule prema članu 46 mogu biti jedan instrument prenosa, ali ne uklanjaju potrebu za provjerom ostalih okolnosti. Matrica odluke treba zato sadržati kanale podrške, udaljenu administraciju, podizvršioce i postupanje po zahtjevima organa.

Korisna matrica povezuje kategoriju podataka, konkretnu svrhu, pravni osnov, lica na koja se podaci odnose, primaoce, ulogu, pristup, element treće zemlje, mjesto čuvanja, događaj brisanja i odgovornu osobu. Treba prikazati i da li su informacije objedinjene, redigovane, puštene u fazama ili potpuno zadržane.

Član 5 stav 2 GDPR-a traži odgovornost za poštovanje načela. Član 24 traži odgovarajuće mjere i njihovu provjeru. Dokaz zato treba sadržati više od potpisane liste. Verzija, provjerilac, datum odobrenja, promjene grupe kupaca i tehnička primjena treba da budu sačuvani zajedno.

Procjena uticaja na zaštitu podataka prema članu 35 GDPR-a može biti potrebna kada je vjerovatno da obrada predstavlja visok rizik za prava i slobode fizičkih lica. Matrica odluke ne zamjenjuje takvu procjenu. Ona daje osnov za pregled rizika, zaštitnih mjera i odluke o odobrenju.

Provjeravamo fazu transakcije, kategorije podataka, svrhu i pravni osnov, primaoce i uloge, lanac pristupa, elemente trećih zemalja te koncept vraćanja i brisanja. Za prvu procjenu korisni su struktura podatkovne sobe, matrica odobrenja, predviđene grupe korisnika, ugovori sa pružaocima i planirani dokazi. Obratite nam se ako lični podaci za dubinsku analizu prije učitavanja treba da budu sigurno određeni.