GDPR e cessione d'impresa: come gestire il trasferimento dei dati utenti

Il GDPR (Regolamento UE 2016/679) disciplina rigorosamente i trasferimenti di dati in M&A. Gli errori possono bloccare un deal nella due diligence, esporre l'acquirente a sanzioni (CNIL Francia, DSB Austria, FDPIC Svizzera) o innescare procedimenti collettivi degli utenti.

Share deal vs asset deal: impatto GDPR

In uno share deal, la società rimane la stessa, non c'è tecnicamente un "nuovo titolare del trattamento". Scenario più semplice dal punto di vista del GDPR. In un asset deal, c'è un cambio di titolare, che può richiedere un'informativa preventiva agli utenti (Articolo 14 GDPR). La base giuridica più frequentemente invocata è il legittimo interesse (Art. 6.1.f), documentato tramite un Legitimate Interest Assessment (LIA).

Due diligence GDPR: checklist acquirente

• Registro dei trattamenti (Art. 30): elenca trattamenti, basi giuridiche, durate di conservazione, subprocessori. La sua assenza = segnale d'allarme importante.
• DPA con tutti i subprocessori (AWS, Stripe, Intercom, Mixpanel…): aggiornati e conformi post-Schrems II (trasferimenti fuori UE).
• Politica sulla privacy conforme al GDPR (diritto alla cancellazione, portabilità, opposizione): una politica del 2018 non aggiornata non supera più la due diligence 2026.
• Incidenti di sicurezza degli ultimi 36 mesi (Art. 33): un incidente non notificato all'autorità entro 72h rappresenta un rischio legale residuo da mettere in escrow.