RGPD - 08.07.2019

Préparer la vente de son entreprise : attention au RGPD

Importance du RGPD

Traitement de données personnelles

Le RGPD énonce des règles applicables à tout «traitement» de «données à caractère personnel», ce qui inclut évidemment toutes les données des clients B2C. Cela concerne toutefois aussi les informations relatives aux travailleurs et aux personnes de contact chez vos fournisseurs et clients B2B. Le «traitement» désigne tout usage de ces données : collecte, transfert, communication, suppression, etc.

Le transfert et l’accès à des données à caractère personnel de travailleurs, de clients et de fournisseurs (personnes de contact comprises) à des acheteurs potentiels et à leurs conseillers, dans le cadre de la vente de votre entreprise, doivent dès lors être conformes à toutes les dispositions du RGPD. En outre, il est important pour l’acheteur de savoir dans quelle mesure vous êtes «RGPD compliant», afin de savoir s’il peut continuer à utiliser en toute sécurité les données achetées dans le cadre de la transaction. Une éventuelle non-conformité influencera par conséquent le prix de rachat, puisque l’acheteur voudra se ménager une marge de sécurité pour les mesures qu’il sera tenu de prendre et pour faire face aux éventuelles amendes.

Share deal ou asset deal

Contrairement à ce qui arrive en cas de «share deal», qui ne modifie que l’actionnariat, dans le cadre d’un «asset deal», les données à caractère personnel, qui relèvent de l’actif vendu, reviennent au nouveau propriétaire (le «responsable du traitement» en vertu du RGPD). Un tel transfert de données entraîne alors, par définition, des obligations majeures, ce qui n’est a priori pas le cas dans un share deal.

Data room

Informer ?

Il n’est généralement pas nécessaire de demander l’autorisation des personnes dont vous transmettez les données dans le cadre d’une vente car, bien souvent, le transfert est alors justifié par l’intérêt légitime (à documenter) de l’entreprise concernée.

Les personnes concernées ont néanmoins le droit de savoir comment et pourquoi leurs données sont utilisées. Veillez dès lors, au moins, à ce que la transmission de données personnelles dans le cadre d’une vente d’actions figure dans les déclarations standards relatives au respect de la vie privée de vos travailleurs, clients et fournisseurs.

Minimiser

Ne communiquez que les données à caractère personnel strictement nécessaires et pertinentes dans le cadre de la procédure de due diligence. L’ampleur et le niveau de détail des informations doivent toujours correspondre à la phase du processus de rachat.

L’Autorité belge de protection des données (APD) recommande, lors d’une première phase, en présence de plusieurs acheteurs potentiels, de ne mettre à disposition que des informations générales et agrégées (rendues anonymes). Au fur et à mesure que le nombre de candidats diminue, vous pouvez donner plus d’informations. Concrètement, vous devez mettre à disposition des modèles (de contrats de clients ou de travailleurs), éventuellement accompagnés d’une liste de clauses spécifiques usuelles, plutôt que des contrats signés individuels.

Organiser

L’utilisation d’une data room réduit fortement le risque de fuite de données. Ayez toujours recours à des prestataires dont la politique en matière de data room et de respect de la vie privée satisfait toutes les normes relatives à la protection de ces informations.

Ainsi, généralement, une data room implique un cryptage des données à caractère personnel, un accès limité (sur la base «need to know») et contrôlé, des fonctionnalités d’impression, de téléchargement et de suppression limitées, etc. N’oubliez pas de conclure un contrat de sous-traitance avec le fournisseur de la data room. Dans le cadre du contrat de confidentialité conclu avec les acheteurs potentiels (et leurs conseillers), prévoyez également des dispositions concernant les personnes qui ont accès aux données et le traitement qui sera réservé à ces données au terme de la procédure de due diligence.

Mettez également en œuvre les procédures nécessaires pour gérer les fuites de données et veillez à ce que toutes les parties qui sont impliquées dans la data room ou y ont accès connaissent ces procédures, par exemple en les reprenant dans le contrat de sous-traitance et de confidentialité. Prenez le temps de préparer la data room et faites-vous assister par un spécialiste du RGPD.

Due diligence et contrat

Soyez préparé

Un acheteur potentiel examinera les fins auxquelles vous traitez des données à caractère personnel. Votre secteur d’activité est alors important. Ainsi, dans le secteur automobile, un numéro de châssis est considéré comme une donnée à caractère personnel. Si vous êtes actif dans le secteur des technologies de l’information, une adresse IP en est également une.

Pour l’acheteur, le registre des activités de traitement représente un excellent baromètre de la maturité de l’entreprise sur le plan de la protection des données et ce sera généralement la première information à laquelle il voudra avoir accès. Il vous posera également des questions concernant le traitement licite des données à caractère personnel, les finalités, les procédures d’exercice des droits des personnes concernées, la localisation des données, les contrats de sous-traitance et ceux conclus avec les responsables du traitement, la sécurité des données à caractère personnel, la désignation d’un «data protection officer» (DPO), etc.

La culture de la protection des données

Pour l’acheteur, il est également important de savoir si la protection des données est inscrite dans votre culture et si les mesures que vous avez prises ne constituent pas un effort unique fourni en vue de la due diligence. Il vérifiera si les procédures établies sont également effectivement appliquées et si des incidents se sont produits par le passé, tels que des fuites de données ou une enquête de l’APD.

Déclarations et exonérations

Aujourd’hui, on utilise encore souvent une garantie générale, qui confirme que l’objectif est conforme à la législation applicable, afin de couvrir les risques liés à la législation sur la protection des données.

Or, de plus en plus souvent, l’acheteur vous demandera de garantir explicitement que la société a mis en place sa propre politique en matière de protection des données, des déclarations relatives au respect de la vie privée, des procédures adéquates et des mesures de sécurité, et qu’elle n’a pas connaissance de fuites de données ou de plaintes y relatives, etc.

L’acheteur demandera par ailleurs généralement une exonération de responsabilité spécifique pour les risques concrets (plaintes, fuites de données, ...) que la due diligence a mis en lumière.

Intérêt du vendeur

En tant que vendeur, vous avez également intérêt à clairement définir votre future responsabilité, ainsi que l’utilisation future des données à caractère personnel par l’acheteur. Il n’est en effet pas exclu que vous soyez tenu pour (co)responsable d’une utilisation de ces données par l’acheteur qui soit incompatible avec les finalités pour lesquelles vous les avez recueillies.