Gestire i dati personali nelle fusioni e cessioni aziendali: guida pratica

Quando parliamo di operazioni straordinarie, facciamo un generico riferimento alle operazioni che vengono attuate che modificano la struttura societaria, tipicamente fusioni, scissioni, acquisizioni e cessioni della stessa, di suoi rami d’azienda.

Tali operazioni possono essere, in alcuni casi, molto complesse e comportare in alcuni casi anche, ad esempio, la costituzione di c.d. “veicoli” societari creati ad hoc, tipicamente dette “new company” (o “newco”) per il trasferimento di quote o azioni di una società.

In tutti questi contesti, le aziende devono affidarsi a professionisti del settore (es. fiscalisti, consulenti, avvocati) in quanto gli aspetti da tenere in considerazioni possono essere svariati: aspetti giuridico-legali, fiscali, finanziari, amministrativi, ambientali e, ovviamente, pratici.

Gli aspetti relativi alla privacy ed alla protezione dei dati personali

Nell’ambito delle operazioni straordinarie, quali ad esempio una acquisizione o una cessione d’azienda o di un ramo d’azienda, è normale che vengano coinvolti molti asset dell’organizzazione, che spesso contengono o vengono utilizzati proprio per il trattamento di dati personali. Basti pensare ad operazioni su società che detengano tra i propri asset database contenenti anagrafiche di clienti, dipendenti, fornitori, candidati o utenti del servizio reso. Allo stesso modo, non possono essere ignorate le tematiche sulla protezione dei dati personali in operazioni che coinvolgono società che si occupano di marketing oppure di ricerca e selezione del personale.

Quindi, cosa fare?

Quando ci troviamo di fronte a dati personali, gli stessi deve essere opportunamente gestiti in quanto presumibilmente il trasferimento o la comunicazione di tali dati da un soggetto ad un altro può determinare conseguenze rilevanti. In tale contesto, dunque, è necessario seguire le regole in materia di protezione dei dati personali sancite dal Regolamento UE n. 2016/679 GDPR e dalla normativa nazionale applicabile oltreché attenersi a quanto prescritto dall’Autorità Garante per la protezione dei dati personali.

Le linee guida del Garante della privacy italiano

Sembrerà datato, ma non per questo antiquato, il provvedimento generale denominato “Prescrizioni in materia di operazioni di fusione e scissione fra società – 8 aprile 2009 – [doc. web n. 1609999][1]” emanato dal Garante che, come vedremo nel prosieguo, invece, viene tuttora citato in recenti provvedimenti dalla stessa Autorità.

Tale provvedimento, come indicato nello stesso, si era reso necessario a fronte di richieste avanzate dalle società che, in alcune operazioni nel settore bancario, si erano trovate a dover gestire una mole molto elevata di dati personali appartenenti ai soggetti interessati.

Si badi bene che, in materia di fusione o scissione, viene confermato nel provvedimento come “le operazioni di scissione e fusione trovano una disciplina apposita e articolata nel codice civile (e nel testo unico delle leggi in materia bancaria) – della quale è necessario tener conto in ragione dei riflessi che la stessa può spiegare rispetto ai profili di protezione dei dati personali – che presenta misure atte a consentire, snellendo gli adempimenti e preservando in pari tempo i legittimi interessi dei soggetti in esse (a vario titolo) coinvolti, la prosecuzione dei rapporti giuridici oggetto delle operazioni societarie”.

In tale contesto, il Garante ha voluto spiegare quali siano gli adempimenti da tenere in considerazione nei casi di operazione societarie affinché possa ritenersi conforme il trattamento dei dati personali alla normativa in materia di protezione dei dati personali ed infatti, ha chiarito “che, a seguito del processo di fusione o scissione, le società coinvolte informino tutti i soggetti interessati (clienti, lavoratori, fornitori etc.) su chi sia il titolare e il nuovo responsabile del trattamento dei dati personali in possesso dell´impresa, al quale potersi rivolgere per esercitare il diritto di accesso e tutti gli altri diritti previsti dal Codice sulla privacy. Al fine di semplificare gli adempimenti nella fase di cambiamento societario, l’Autorità ha inoltre deciso che i necessari aggiornamenti rispetto all´informativa resa potranno essere forniti in due tempi:

• comunicazione generale immediata sul sito Web: non appena definito il nuovo assetto societario, alle società coinvolte nelle operazioni di fusione o di scissione sarà richiesto di pubblicare l´aggiornamento rispetto all´informativa solo sui propri siti Web;
• comunicazione personale, alla prima circostanza utile: le società dovranno comunque inviare i nuovi riferimenti a tutti gli interessati non appena si presenti la prima occasione utile di contatto, indipendentemente dalla sua finalità: ad esempio, allegandola alla spedizione di informazioni di natura commerciale o legale.”

Ricapitolando, oltre ad identificare nella società risultante dall’operazione l’unico titolare del trattamento “in relazione ai dati personali precedentemente trattati senza che si configuri alcuna (nuova) raccolta di dati”, il Garante aveva prescritto come misura opportuna quella di rendere agli interessati i necessari aggiornamenti rispetto all’informativa resa dalla società scissa e dalle società partecipanti alla fusione e, tra questi, l’indicazione del nuovo Titolare del trattamento per garantire il diritto di accesso ai dati personali da parte degli interessati, secondo le modalità sopra indicate: a. attraverso il sito web delle società interessate in corrispondenza del verificarsi della operazione; b. con comunicazione individualizzata in occasione della prima circostanza utile di contatto agli interessati, anche per altre finalità.

Comunicazione dei dati personali nelle cessioni d’azienda: altri provvedimenti dell’Autorità

In materia di cessione di ramo d’azienda, sempre lo stesso Garante, nel provvedimento n. 664 del 17 dicembre 2015[2], in aderenza a quanto sopra detto, così dispone: “2.2 In merito al profilo relativo alla comunicazione dei dati personali degli interessati da [XXXX-omissis] a [XXXXX-omissis] si rileva che nel caso in questione, essendosi verificata una cessione di ramo di azienda, trovano applicazione gli artt. 2558 (successione nei contratti), 2559 (crediti relativi all´azienda ceduta), 2560 (debiti relativi all´azienda ceduta) e 2112 (mantenimento dei diritti dei lavoratori in caso di trasferimento d´azienda) del codice civile. In ragione di tale peculiare disciplina, sul piano sostanziale si determina una successione legale del nuovo imprenditore in tutti i rapporti giuridici e in tutte le posizioni attive e passive facenti capo al cedente (salvo, riguardo ai contratti, i rapporti aventi carattere personale), sicché, subentrando l´acquirente –per legge– nella stessa posizione dell´alienante, il trattamento dei dati personali di dipendenti, fornitori, rivenditori e clienti (con riguardo a quest´ultima categoria, si fa riferimento al complesso dei trattamenti indicati al punto 1.2) connessi alla gestione del ramo di azienda ceduto, non necessita di alcun consenso, trovando applicazione il presupposto equipollente di cui all´art. 24, comma 1, lett. b) del Codice, che consente di prescindere da esso nel caso in cui il trattamento sia necessario per eseguire obblighi derivanti da un contratto di cui sia parte lo stesso interessato.”

Il quadro che si delinea pertanto è che non sia necessario richiedere agli interessati un consenso specifico ai sensi della normativa privacy per legittimare la comunicazione di dati personali tra cedente e cessionario in quanto la stessa avviene proprio come successione legale della nuova società in tutti i rapporti giuridici facenti capo al cedente, ed il trasferimento avverrebbe proprio per proseguire gli obblighi derivanti dal rapporto intercorrente con l’interessato.

Ciò nonostante, questo non significa che non debbano essere garantiti i principi previsti dalla normativa privacy secondo cui, ad esempio, i dati personali debbano essere trattati secondo “correttezza” e “trasparenza”. Ed infatti è lo stesso Garante che specifica che le garanzie dei diritti e delle libertà fondamentali degli interessati possono essere assicurate fornendo, come sopra detto, i necessari aggiornamenti dell’informativa. In tale provvedimento viene ribadito tale concetto: “2.3 Ciò premesso, resta comunque doveroso il rispetto dell’obbligo posto dall´art. 13 del Codice che, nell´ipotesi in cui –come quella in questione– i dati personali non siano raccolti direttamente presso l´interessato, impone al titolare del trattamento di rendere l´informativa al predetto “all´atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione” (art. 13, comma 4 del Codice).”

Appare utile richiamare altresì il provvedimento n. 285 del 5 agosto 2022[3], con cui il Garante ha sanzionato l’azienda acquirente per violazioni della normativa privacy, il quale oltre a confermare quanto detto, dice qualcosa di più. Infatti:

• nel contratto relativo alla cessione del ramo d’azienda, occorre definire come verrà disciplinato il trattamento dei dati personali degli interessati (es. occorre stabilire che lo stesso prosegua “in termini sostanzialmente invariati rispetto a prima, nel rispetto delle finalità che ne avevano determinato la raccolta e con l’osservanza delle modalità sino ad allora seguite;”);
• occorre comunicare agli interessati l’intervenuta cessione d’azienda;
• la cessionaria deve rendere agli interessati l’informativa secondo le modalità e i termini di cui all’art. 14 del Regolamento (informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato);
• anche se la finalità del trattamento rimane invariata, non viene meno l’obbligo di rendere l’informativa entro un determinato periodo di tempo: “La norma, inoltre, prevede che tali informazioni siano fornite agli interessati entro un termine ragionevole dall’ottenimento dei dati personali, al più tardi entro un mese, e nel caso in cui i dati personali siano destinati alla comunicazione con l’interessato entro un mese dalla prima comunicazione (art. 14, par. 3, lett. a) e b) del Regolamento)”;
• non bisogna confondere il trasferimento dei dati tra titolari con il consenso al marketing da parte terzi: “Va, altresì, chiarito che la cd. autorizzazione alla comunicazione a terzi dei dati personali, prevista dall’art. 22 del contratto di servizio sottoscritta tra le parti, si riferisce alla possibilità di comunicare, nell’ambito delle operazioni di trattamento poste in essere dal titolare e previste dal contratto, i dati personali a soggetti terzi, autorizzati o incaricati del trattamento, e non alla diversa ipotesi (ricorrente nel caso di specie) del trasferimento dei dati a un diverso titolare”;
• l’acquirente ricopre il ruolo di Titolare e deve porre in essere vari adempimenti in ambito privacy: “Quanto poi alla sentenza del Tribunale di Cagliari richiamata dalla Società nelle memorie difensive si evidenzia che la stessa è stata annullata in Cassazione con sentenza n. 27325 del 07/10/2021 (Cass. Civ. sez. I) la quale ha chiarito che “il trasferimento dei dati dal titolare originario ad un altro soggetto, (…), dà luogo alla cessazione del trattamento originario – non alla successione nello stesso – comportando quindi l’inizio di un distinto trattamento ad opera del nuovo titolare, tenuto al rispetto della complessiva disciplina in tema di informativa e consenso”.

Tale provvedimento porta all’attenzione ulteriori aspetti privacy da tenere in considerazione, al di là della comunicazione dei dati personali degli interessati per la continuità aziendale e la successione legale dei rapporti giuridici, quali ad esempio: eventuali consensi al marketing o profilazione richiesti dal cedente che fine fanno? Sono validi? oppure come avviene tecnicamente il trasferimento del database contenente i dati personali dal cedente al cessionario?

Ebbene anche questi aspetti sono molto importanti in chiave privacy e la loro analisi consente le aziende, al verificarsi di specifiche operazioni societarie e proprio per non incorrere in errore, di tenere in considerazione sin da subito gli adempimenti privacy da porre in essere al fine di rispettare quanto indicato dall’Autorità.

Checklist per evitare errori nelle operazioni straordinarie

Quanto detto, consente a ciascuna organizzazione di eseguire le più opportune considerazioni, dato il Titolare del trattamento, deve rispettare la disciplina in materia di protezione dei dati personali ed evitare di sbagliare sin dall’inizio o di non tenere in considerazione tutti i fattori privacy che consentano la riuscita dell’operazione societaria. Tale valutazione dovrà essere effettuata caso per caso anche in ragione della specifica operazione societaria che si vuole realizzare e della specificità del contesto del trattamento, quali, ad esempio, la dimensione del titolare, il numero dei dipendenti, il settore di riferimento, i database e i sistemi informatici su cui girano, le finalità perseguite e la ricorrenza di specifiche situazioni di criticità.

Veniamo infine ad alcune considerazioni da tenere in conto per non commettere errori quali, ad esempio:

• Che operazione societaria si sta effettuando e quali sono le tipologie di interessati coinvolti nella stessa?
• Quali sono gli asset interessati? È solo uno o vi sono diversi database in cui sono contenuti i dati personali?
• È stata valutata tecnicamente la fattibilità di trasferimento dei dati contenuti nel database tra le società coinvolte nell’operazione?
• I dati personali della società ceduta confluiranno in database preesistenti dell’acquirente? Se sì come si allineeranno i due?
• Gli accordi contrattuali prevedono diritti di exit per le parti nel caso in cui il trasferimento non dovesse concludersi per inidoneità dei sistemi informativi atti a ricevere le informazioni?
• È stata presa in considerazione le modalità di rilascio dell’informativa agli interessati?
• Tramite quali canali, viene resa l’informativa agli interessati?
• È stato definito il processo di gestione delle richieste degli interessati nelle fasi di chiusura dell’operazione?
• Sono state verificate le misure di sicurezza, tra cui anche quelle che devono esserci al momento del trasferimento dei dati personali (es. canale cifrati)?
• Nel caso di coinvolgimento di fornitori esterni che supportano le aziende nelle operazioni societarie, sono stati verificati i ruoli privacy?
• È stato aggiornato il registro delle attività di trattamento?

In conclusione, è compito del Titolare, a seconda dei casi concreti, analizzare dall’“alto” l’operazione straordinaria che si intende effettuare, comprendendo sin da subito quali, se ve ne siano, sono i dati personali e gli interessati coinvolti nella stessa operazione, dove sono ubicate le informazioni, come sono strutturati i database e dove confluiranno, al fine di non perdere tasselli fondamentali nella valutazione complessiva, anche in virtù del potenziale coinvolgimento di fornitori estranei alle aziende che possono inevitabilmente aumentare i tempi di implementazione delle scelte del Titolare del trattamento.

Note

[1] https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/1609999

[2] https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4715839

[3] https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9811300