Question 1

Sto valutando l'acquisizione di un e-commerce che gestisce migliaia di clienti. Quali documenti sulla privacy devo farmi dare prima di firmare? Ho paura che manchino consensi o nomine importanti e che poi tocchi a me sistemare tutto.

— Roberto

Accepted Answer

Prima di acquisire un e-commerce è essenziale condurre una due diligence GDPR approfondita per evitare di ereditare responsabilità e sanzioni. Devi richiedere il Registro dei Trattamenti aggiornato, le informative privacy complete, la Cookie Policy con prove tecniche di acquisizione del consenso (log e timestamp), tutti i contratti DPA firmati con i responsabili esterni (hosting, corrieri, CRM) e l'eventuale valutazione d'impatto DPIA se l'azienda tratta dati su larga scala. L'assenza o l'incompletezza di questi documenti può ridurre significativamente il valore dell'acquisizione e comportare costi di adeguamento elevati, oltre a possibili sanzioni.

Question 2

Abbiamo già fatto l'offerta e vogliono chiudere in 60 giorni. È un tempo sufficiente per verificare tutta la compliance privacy dell'azienda target? O rischio di scoprire problemi quando ormai ho già comprato?

— Andrea

Accepted Answer

Sì, verificare la compliance GDPR dell'azienda target prima dell'acquisizione è fondamentale. Sessanta giorni sono generalmente insufficienti per un audit completo, che richiede mappatura dei dati, verifica delle basi giuridiche, analisi dei contratti con fornitori e valutazione delle misure di sicurezza. Senza questa verifica rischi di ereditare sanzioni pendenti, violazioni di sicurezza non gestite, contratti mancanti con i responsabili del trattamento e responsabilità per trattamenti illeciti pregressi. Come nuovo titolare del trattamento, diventi responsabile di questi passivi. È consigliabile almeno condurre un audit mirato sulle aree critiche e inserire clausole di garanzia e indennizzo nel contratto di acquisizione per tutelare la tua posizione.

Question 3

Se scopro che l'azienda che sto comprando ha problemi di compliance, quanto potrebbe costarmi metterla a norma dopo? Tra sanzioni, consulenti e sistemazioni, ho paura di trovarmi con costi imprevisti enormi.

— Stefano

Accepted Answer

Prima di acquisire un'altra azienda è assolutamente necessario verificarne la compliance GDPR attraverso una due diligence approfondita. L'acquirente infatti diventa responsabile anche delle violazioni precedenti, rischiando sanzioni fino a 20 milioni di euro o il 4% del fatturato annuo globale. I costi di adeguamento post-acquisizione possono variare da poche migliaia di euro per piccole realtà fino a oltre un milione per aziende complesse, includendo consulenze legali, audit tecnici, formazione del personale, implementazione di misure di sicurezza e possibili risarcimenti. Una verifica preventiva permette di negoziare il prezzo di acquisto, inserire garanzie contrattuali e clausole di indennizzo, evitando sorprese economiche che potrebbero compromettere gravemente l'investimento.

Question 4

L'azienda che voglio acquisire ha ricevuto un data breach sei mesi fa ma non l'ha notificato al Garante. Se compro adesso, divento responsabile io di quella violazione? Posso essere sanzionato per cose successe prima?

— Paolo

Accepted Answer

Sì, è fortemente consigliabile verificare la compliance GDPR prima dell'acquisizione. Acquistando l'azienda, diventi il nuovo titolare del trattamento dei dati e potresti diventare responsabile delle violazioni pregresse, compresa l'omessa notifica del data breach. L'obbligo di notifica entro 72 ore è autonomo e la sua violazione persiste anche dopo l'acquisizione. Il Garante può sanzionare il titolare attuale per omissioni del passato, con multe fino a 10 milioni di euro o il 2% del fatturato mondiale. Per proteggerti, inserisci nel contratto garanzie specifiche, clausole di indennizzo o condizioni sospensive che obblighino il venditore a regolarizzare la situazione prima del closing.

Question 5

Dopo l'acquisizione un cliente della vecchia società potrebbe fare reclamo al Garante per uso scorretto dei suoi dati. Chi risponde? Io come nuovo proprietario o il venditore? Come mi tutelo nel contratto di compravendita?

— Marco

Accepted Answer

Sì, è essenziale verificare la compliance GDPR prima dell'acquisizione attraverso una due diligence approfondita. Dopo l'acquisizione, tu come nuovo proprietario rispondi legalmente dei reclami al Garante, anche per violazioni commesse dal venditore prima dell'operazione, poiché subentri automaticamente in tutti i rapporti giuridici inclusi quelli relativi al trattamento dati. Per tutelarti, inserisci nel contratto di compravendita garanzie specifiche sulla conformità privacy, clausole di indennizzo che obbligano il venditore a risarcirti per sanzioni e costi derivanti da violazioni pregresse, meccanismi di aggiustamento del prezzo se emergono problemi, e disciplina chiara sulle modalità di trasferimento dei dati e informazione agli interessati. Una due diligence accurata e clausole contrattuali solide sono la tua migliore protezione contro responsabilità future.

Question 6

La mia azienda ha 15 dipendenti, quella che acquisto ne ha 40 e tratta molti dati sensibili per un software HR. Dopo la fusione sarò obbligato a nominare un DPO? E se loro non ce l'avevano, sono già in violazione?

— Luca

Accepted Answer

Sì, è fortemente consigliabile verificare la compliance GDPR dell'azienda target prima dell'acquisizione, poiché eventuali violazioni pregresse potrebbero trasformarsi in tue responsabilità. Dopo la fusione sarai obbligato a nominare un DPO, in quanto l'attività principale del software HR comporta il trattamento su larga scala di categorie particolari di dati sensibili, indipendentemente dal numero totale di dipendenti. Se l'azienda acquisita non ha già un DPO, è molto probabile che sia in violazione dell'articolo 37 del GDPR, con rischio di sanzioni fino a 10 milioni di euro o il 2% del fatturato mondiale annuo. È essenziale condurre un audit di compliance prima della chiusura dell'operazione e valutare l'inserimento di clausole di garanzia nel contratto per tutelarti da eventuali sanzioni future.

Question 7

L'azienda target usa piattaforme cloud e CRM esterni. Come faccio a capire se i contratti con questi fornitori sono conformi al GDPR come processori? Ho sentito che molte aziende usano contratti standard non validi.

— Davide

Accepted Answer

Sì, verificare la compliance GDPR dell'azienda target è fondamentale prima dell'acquisizione, soprattutto per i contratti con fornitori cloud e CRM che agiscono come responsabili del trattamento. Devi controllare che i contratti includano tutte le clausole obbligatorie dell'Articolo 28 GDPR: oggetto e durata del trattamento, misure di sicurezza, gestione dei sub-responsabili, assistenza nei diritti degli interessati, cancellazione dati e possibilità di audit. Molti contratti standard commerciali non contengono queste clausole specifiche e risultano quindi non conformi. Se i fornitori sono extra-UE, verifica che siano presenti le Clausole Contrattuali Standard aggiornate al 2021 per garantire la legalità dei trasferimenti internazionali. Durante la due diligence, richiedi copie dei DPA, registro dei trattamenti, eventuali DPIA e documentazione degli audit effettuati, per mappare tutti i rischi prima di procedere con l'acquisizione.

Question 8

Nel contratto di acquisizione posso inserire clausole che obbligano il venditore a risarcirmi se emergono problemi privacy dopo la firma? Oppure una volta comprato l'azienda è tutto a mio rischio?

Accepted Answer

Sì, devi assolutamente verificare la compliance GDPR prima dell'acquisizione attraverso una Privacy Due Diligence approfondita. Nel contratto di acquisizione puoi e devi inserire clausole di indennizzo che obbligano il venditore a risarcirti per problemi privacy emersi dopo la firma ma derivanti da violazioni precedenti. Senza queste protezioni contrattuali, come nuovo titolare del trattamento rischi di pagare sanzioni fino a 20 milioni di euro o il 4% del fatturato per violazioni commesse dal precedente proprietario. È prassi comune includere dichiarazioni e garanzie sulla compliance GDPR, clausole di manleva e limiti di responsabilità negoziati. Una volta acquisita l'azienda non è automaticamente tutto a tuo rischio, ma solo se hai negoziato adeguate tutele contrattuali prima della firma.