Question 1

Abbiamo acquisito una società tre mesi fa. Oggi scopriamo che prima della fusione c'è stato un data breach mai notificato. Siamo noi a dover comunicare al Garante o resta responsabilità della vecchia governance?

— Roberto

Accepted Answer

La società acquirente è ora l'unico titolare del trattamento e deve notificare il data breach al Garante Privacy entro 72 ore dalla scoperta odierna, valutando il rischio per gli interessati. Con la fusione avete assunto tutti i diritti e obblighi privacy della società incorporata, inclusa la responsabilità per violazioni pregresse mai comunicate. La vecchia governance non ha più responsabilità diretta, ma avreste dovuto verificare la compliance privacy in fase di due diligence. È urgente consultare un esperto per valutare i termini di notifica e procedere tempestivamente.

Question 2

In fase di integrazione IT abbiamo trovato tracce di un accesso non autorizzato risalente a otto mesi fa, prima del closing. Le 72 ore decorrono da quando lo scopriamo noi o da quando è avvenuto?

Accepted Answer

Le 72 ore per notificare il data breach al Garante decorrono dal momento in cui la vostra società ne è venuta a conoscenza durante l'integrazione IT, non dalla data dell'accesso non autorizzato avvenuto otto mesi fa. La società risultante dalla fusione è ora unico titolare del trattamento e responsabile della notifica tempestiva secondo l'articolo 33 del GDPR. Il Garante può sanzionare l'intera catena di responsabilità per omissioni di sicurezza pregresse, quindi procedete immediatamente con la notifica telematica includendo tutti i dettagli dell'incidente. Contestualmente, verificate eventuali vulnerabilità residue e armonizzate le procedure di sicurezza post-fusione.

Question 3

Se il Garante sanziona un data breach avvenuto nella società acquisita prima della fusione, la multa ricade sulla newco o possiamo dimostrare che la responsabilità è del precedente management?

Accepted Answer

In caso di data breach avvenuto nella società acquisita prima della fusione, la sanzione del Garante ricade sulla newco, che subentra automaticamente come titolare del trattamento per universalità di beni e rapporti secondo l'articolo 2504-bis del Codice Civile. Non è possibile esonerare la società incorporante spostando la responsabilità sul precedente management, poiché la titolarità dei dati personali e le connesse obbligazioni privacy passano integralmente alla nuova società. Tuttavia, è possibile ridurre la sanzione dimostrando collaborazione attiva con il Garante, notifica tempestiva del breach entro 72 ore dalla scoperta e adozione di misure correttive post-fusione. Per mitigare i rischi economici, è consigliabile prevedere clausole contrattuali di garanzia o polizze assicurative specifiche che coprano le sanzioni derivanti da violazioni pregresse emerse durante la due diligence.

Question 4

Stiamo finalizzando l'acquisizione di una PMI. Voglio inserire garanzie contrattuali per evitare di ereditare passività GDPR. Quali clausole specifiche devo pretendere sulla conformità privacy e data breach pregressi?

— Martina

Accepted Answer

Durante una fusione aziendale, l'acquirente diventa automaticamente il nuovo titolare del trattamento dei dati personali preesistenti, assumendo tutti gli obblighi e le eventuali passività GDPR del target. Per proteggersi, è fondamentale inserire nel contratto clausole di rappresentanza e garanzia che attestino la piena conformità GDPR del venditore, l'assenza di data breach pregressi (o la loro corretta gestione con notifica al Garante), e prevedano meccanismi di indennizzo illimitato o capped per violazioni pre-closing. Inoltre, è opportuno negoziare un holdback del 10-20% del prezzo per 18-24 mesi come garanzia contro passività privacy, accompagnato da una due diligence approfondita su registri dei trattamenti, DPIA, policy di sicurezza e log degli incidenti. Infine, il venditore deve impegnarsi a cooperare per aggiornare tempestivamente le informative privacy post-acquisizione, comunicando ai soggetti interessati il cambio di titolare.

Question 5

Abbiamo scoperto che l'azienda acquisita aveva subito una violazione dati mai comunicata. Se non la notifichiamo ora, rischiamo sanzioni anche noi come società incorporante? O possiamo considerarla chiusa?

— Stefano

Accepted Answer

Con la fusione per incorporazione, la vostra società diventa unico titolare del trattamento dati e acquisisce tutti gli obblighi dell'azienda incorporata, inclusi quelli non adempiuti come la notifica di data breach. Non potete considerare la violazione "chiusa": il termine di 72 ore per comunicarla al Garante decorre dalla vostra scoperta effettiva, e omettere la notifica vi espone a sanzioni fino al 4% del fatturato globale annuo. Dovete valutare immediatamente la gravità del breach, notificarlo al Garante se comporta rischi per gli interessati e, se il rischio è elevato, informare anche i soggetti coinvolti aggiornando le informative con i vostri dati come nuovo titolare.

Question 6

Stiamo per chiudere un'operazione importante. Il nostro advisor suggerisce un audit GDPR completo prima del closing per mappare eventuali data breach nascosti. Ne vale davvero la pena o è eccessivo?

Accepted Answer

L'audit GDPR pre-closing non è eccessivo ma necessario. Nella fusione, la società incorporante o risultante assume automaticamente tutti i dati e le responsabilità GDPR della società acquisita, inclusi eventuali data breach nascosti non notificati. Se emerge una violazione pregressa non gestita correttamente, risponde la nuova società davanti al Garante, rischiando sanzioni fino a 20 milioni di euro o il 4% del fatturato globale. L'audit pre-closing identifica questi rischi nascosti, verifica completezza del registro trattamenti, valutazioni d'impatto e procedure di notifica, permettendo di gestire criticità prima che diventino responsabilità irreversibili. La protezione dati è fattore determinante per il successo dell'operazione.

Question 7

Durante la due diligence vorrei capire se la target ha mai subito data breach e se i processi privacy sono conformi. Quali documenti devo chiedere per non trovarmi sorprese dopo la firma?

Accepted Answer

Durante la due diligence devi richiedere il registro delle violazioni di dati personali degli ultimi cinque anni, le comunicazioni con il Garante per eventuali data breach notificati, il registro dei trattamenti aggiornato e le valutazioni di impatto privacy (DPIA). Verifica anche le nomine del DPO, i contratti con responsabili esterni, le policy interne e la documentazione sulle misure di sicurezza adottate. Ricorda che dopo la fusione la società incorporante risponde al Garante per tutte le violazioni pregresse della target, quindi è essenziale mappare ogni criticità prima della firma. Eventuali breach non notificati o inadempienze privacy diventano responsabilità della nuova entità, con rischio di sanzioni fino al quattro per cento del fatturato globale.

Question 8

Nel contratto di cessione quote non avevamo previsto clausole specifiche su data breach. Ora emerge una violazione grave pre-acquisizione. Posso comunque rivalermi sui soci cedenti per danni e sanzioni?

— Claudia

Accepted Answer

La responsabilità verso il Garante ricade sul titolare del trattamento al momento della scoperta della violazione, quindi sull'acquirente post-cessione. Senza clausole contrattuali specifiche su garanzie privacy o indennizzi per data breach, la rivalsa automatica sui soci cedenti è complessa e richiede la prova di dolo o colpa grave nell'occultamento della violazione. Il principio di accountability GDPR impone all'acquirente una due diligence preventiva sui rischi dati, e la sua mancanza può precludere la rivalsa. Potresti invocare eventuali garanzie contrattuali generali su assenza di contenziosi nascosti o perseguire responsabilità extracontrattuale ex art. 2043 c.c., dimostrando l'occultamento doloso e il nesso causale con i danni subiti. È essenziale notificare tempestivamente il Garante entro 72 ore e consultare un legale per audit forense e valutazione contrattuale specifica.