Karolína Nováková Při prodeji online businessu se vždy převádějí osobní údaje — zákaznické profily, e-mailové adresy, historie objednávek, analytická data. GDPR (Nařízení EU 2016/679) stanoví přísná pravidla pro zpracování těchto údajů, a to i v kontextu M&A transakcí.
GDPR dopad dle typu transakce
Share deal — jednodušší
Při prodeji podílu v s.r.o. se správce osobních údajů nemění — stále jím je s.r.o., jen se mění jeho vlastník. Proto:
- ❌ Není nutný souhlas zákazníků s převodem dat
- ❌ Nemusíte zákazníky informovat o změně vlastníka
- ✅ Stávající právní základ zpracování zůstává v platnosti
- ✅ Consent pro marketing zůstává platný
Ale: Doporučujeme zákazníky proaktivně informovat o změně vlastníka — buduje to důvěru.
Asset deal — složitější
Při prodeji aktiv se mění správce osobních údajů. Kupující je novým správcem a musí mít vlastní právní základ pro zpracování:
- ✅ Transakční údaje — oprávněný zájem kupujícího (plnění stávajících smluv)
- ✅ Kontaktní údaje pro zákaznický servis — plnění smlouvy
- ⚠️ E-mail marketing — vyžaduje nový souhlas nebo re-consent kampaň
- ⚠️ Profilování a analytika — nutné posouzení oprávněného zájmu (balancing test)
Fáze GDPR compliance v M&A
1. Due diligence fáze
Kupující potřebuje přístup k datům pro posouzení transakce. GDPR řešení:
- Anonymizace/pseudonymizace — sdílejte anonymizovaná data (kohorty, agregáty)
- Právní základ: Oprávněný zájem prodávajícího na dokončení transakce
- NDA: Kupující se zavazuje k ochraně dat
- Minimalizace: Sdílejte jen data nutná pro DD
2. Signing fáze
V kupní smlouvě ošetřete:
- Prohlášení prodávajícího o GDPR compliance
- Seznam zpracovávaných osobních údajů
- Platné souhlasy a právní základy
- DPA (Data Processing Agreement) pro přechodné období
3. Closing a transition
- Aktualizace privacy policy — nový správce, kontaktní údaje DPO
- Informování subjektů údajů — dle čl. 13/14 GDPR
- Re-consent kampaň — pro e-mail marketing (asset deal)
- Aktualizace záznamů o zpracování — čl. 30 GDPR
Informační povinnost vůči zákazníkům
Co sdělit (asset deal)
- Identita nového správce a jeho kontaktní údaje
- Účely zpracování (zůstávají stejné)
- Právní základ zpracování
- Práva subjektů údajů (přístup, výmaz, přenositelnost)
- Kontakt na DPO (pokud je jmenován)
Jak informovat
- E-mail — nejefektivnější pro existující zákazníky
- Web — aktualizace privacy policy + oznámení na webu
- Při prvním kontaktu — nový zákaznický servis informuje při prvním kontaktu
E-mail marketing — speciální pozornost
E-mail marketing je oblast s nejvyšším rizikem při M&A:
Zákon č. 480/2004 Sb. (o některých službách informační společnosti)
- § 7 vyžaduje předchozí souhlas příjemce s obchodními sděleními
- Výjimka: Stávající zákazníci pro podobné výrobky/služby (soft opt-in)
- Souhlas je vázán na konkrétního odesílatele
Doporučený postup při asset deal
- Prodávající odešle poslední e-mail s informací o převodu
- Kupující odešle uvítací e-mail s možností opt-out
- Pro aktivní marketing spusťte re-consent kampaň
- Kontakty bez re-consentu přesuňte do „suppression list"
DPA (Data Processing Agreement)
Během přechodného období, kdy prodávající ještě zpracovává data jménem kupujícího, je nutná smlouva o zpracování osobních údajů dle čl. 28 GDPR:
- Předmět a doba zpracování
- Povaha a účel zpracování
- Kategorie osobních údajů a subjektů
- Práva a povinnosti správce (kupující)
- Zabezpečení dat
- Sub-zpracovatelé
Přeshraniční převod dat
Pokud kupující sídlí mimo EU/EEA, je nutné zajistit adekvátní úroveň ochrany:
- Rozhodnutí o adekvátnosti — UK, Švýcarsko, Japonsko, Kanada aj.
- Standardní smluvní doložky (SCC) — pro ostatní země
- Výjimky čl. 49 GDPR — souhlas, plnění smlouvy, veřejný zájem
GDPR checklist pro M&A
- Identifikujte všechny osobní údaje v scope transakce
- Zmapujte právní základy zpracování
- Proveďte data mapping a záznamy o zpracování
- Ověřte platnost souhlasů pro marketing
- Připravte informační sdělení pro zákazníky
- Uzavřete DPA pro přechodné období
- Aktualizujte privacy policy
- Naplánujte re-consent kampaň (asset deal)
- Zabezpečte data během DD (anonymizace)
- Ověřte požadavky na přeshraniční převod