取得中のデータプライバシー法の遵守の確保

対象となる会社の既存のポリシーおよび慣行にこれらの原則をマッピングすることは、徹底したコンプライアンス監査に基づいて形成されます。 []]欧州データ保護委員会(EDPB)]]は、データ保護とM&の間のインタープレイに関する特定のガイドラインを発行しました。デューデリジェンスは、新しい高リスク処理活動の可能性に対処しなければならないことではありません。

事前要件デューデリジェンス: ディープ・ダイブ

デューデリジェンスは、コンプライアンスの礎です。プライバシーポリシーの重大な見直しは不十分です。買収者は、ターゲット企業のデータ処理活動が法的要件と一致し、そのデータエコシステムに隠れた負債がないことを確認しなければなりません。 構造化されたデューデリジェンスプロセスは、通常、データガバナンス、同意および権利、セキュリティ、サードパーティの関係、および事前の執行行動の5つのドメインをカバーしています。

データガバナンスとドキュメント

対象会社のを要求することによって開始します。処理活動の記録(ROPA)]、プライバシー方針、内部データ処理手順、およびデータ保護の影響評価(DPIAs)が実施しました。これらの文書は、処理の規模、法的根拠が確実に反映され、組織内のデータフローが行われます。ROPAが完了し、最新の状態までであるかを判断すると、ギャップは、非開示や法的情報処理のリスクを明示したり、特定の情報収集したり、特定の情報収集したり、特定の情報収集したり、または特定の情報収集したりするような情報収集したりすることができます。

一貫性とデータ主体の権利

ターゲット会社がマーケティング、プロファイリング、または第三者と共有するための同意を得る方法を検討してください。 GDPRの下で、同意は、自由に与えられ、特定の、情報、および非曖昧でなければなりません。 同意の年齢を検証する - 同意がもはや現在の解釈の下で「非合法」または「自由」の基準を満たしていない可能性が低い場合。 買収がコントロールまたは所有権の変更を伴う場合には、既存の同意は自動的に転送されない場合があります。 対象となる情報は、必要に応じて、新しい要求を撤回し、その要求を速やかに確認することができます。

セキュリティの姿勢とブリーチの歴史

データ侵害は、再仲介に費用がかかり、買収を認める可能性があります。 ターゲットのセキュリティポリシー、インシデントレスポンスプラン、および過去3〜5年間に提出された侵害通知を見直します。 ターゲットが機密データを処理する場合、独立したセキュリティ評価者を負い、脆弱性評価を実施します。 暗号化慣行の成熟度を評価し、アクセス制御、およびデータライフサイクル管理。 ターゲットが決定する脆弱性やセキュリティ対策の侵害を検証することは、ターゲットが重要であるかどうかを検証します。 [FORLD は、 組織の脆弱性を検証するかどうかを検証します。]

第三者およびベンダーリスク

ほとんどの企業は、クラウドストレージ、分析、給与、顧客関係管理のためにサードパーティベンダーに依存しています。各ベンダーは、法的に聞こえなければならない潜在的なデータフローを表しています。既存の[]]と一緒に、すべてのデータプロセッサとサブプロセッサのリストを要求する]]]データ処理契約(DPA)]。 DPAは、データセキュリティの義務、侵害通知プロトコル、およびクロスオーダーの制限などの必要な条項が、ベンダーが、特定のベンダーに制限されていないか確認します。

事前の執行行動と訴訟

事前の執行行動、罰金、またはターゲットを含む同意の法令については、パブリックレコードと規制データベースを検索します。 ケースが責任の入学なしで解決されたとしても、基礎的な慣行は継続している可能性があります。 継続的な調査やデータ主体の苦情に関する内部の法的およびコンプライアンスチームにインタビュー。 データ侵害に関連する分類訴訟は、米国ではますます一般的であり、最終的に却下された場合でも、その費用は実質的である可能性があります。

契約上の安全を守る

デューデリジェンスは、リスクを明らかにします。契約上の保護は、それらを割り当てます。買収契約には、データプライバシーに関する特定の表明と保証、ならびに標識と閉鎖の間の暫定期間の間にコンプライアンスを維持するためにターゲットを必要とする契約者が含まれます。一般的な条項は次のとおりです。

• [プライバシーの表明と保証[ - 対象がすべての適用可能なプライバシー法に従わせている声明、未公開の侵害を経験していない、すべての必要な同意を得、正確なROPAを維持している。 ブランケットステートメントではなく、例外の特定のスケジュールを必要とすることを考える。
• []宣言条項 - 取得者を非調和に保たれ、罰金、罰、是正コスト、およびサードパーティの主張を含むプライバシー違反を、侵害する。 特定のキャップとバスケットを交渉し、GDPR罰金は、他の補償を課す世界的な年間売上高の4%に達することができることを念頭に置いています。
• [] ポスト・クロージング・コベント[ – データの統合に協力するための要件、プライバシー通知を更新し、不要になったデータを削除または匿名化します。 また、調査が終了している場合、規制当局のデータを保存するためのコベントも含まれています。
• []エスクローまたはホールドバックアレンジ[ - 購入価格の一部が閉鎖後に発見された潜在的なプライバシー関連の損失をカバーするために保持されることがあります。プライバシー違反は、月または年後に表面に及ぶ可能性があることを約束し、プライバシーの担当者のための生存期間は助言可能です。
• データ転送機構 - 国境を超えた転送が関与している場合、契約上、有効な転送メカニズム(標準契約条項または拘束企業規則)を維持し、転送影響評価ポストクローズに協力するためにターゲットが必要です。

さらに、取得者がシステム間でデータを統合または結合しようとすると、契約は、個人にリスクが高い結果をもたらす可能性がある新しい処理活動のために[[[データ保護影響評価(DPIA)の必要性に対処する必要があります。 EUの]]])とGDPRのテキストおよび欧州データ保護委員会[FLT:]は、特にM&Aの重要な要素である場合、多くのストレスが重要である。