La adquisición de una empresa tecnológica activa, casi de inmediato, una pregunta que no siempre recibe la atención que merece: ¿qué está haciendo realmente con los datos que trata? La respuesta, cuando llega tarde, suele ser costosa. El comprador hereda no solo los activos digitales y la base de clientes de la target, sino también las obligaciones, los incumplimientos y la responsabilidad frente a la Agencia Española de Protección de Datos (AEPD) que lleva años acumulándose en silencio.
Una empresa de software o de plataformas digitales construye su valor sobre flujos de datos. Su base de usuarios, sus modelos de analítica, sus integraciones con terceros: todo ello implica tratamientos de información personal que quedan regulados por el RGPD y la LOPDGDD. Cuando un comprador adquiere esa empresa, adquiere también esos tratamientos.
El problema, como hemos constatado asesorando con regularidad a inversores en este tipo de operaciones, no es que las empresas tecnológicas ignoren la normativa de protección de datos. El problema es que, en muchos casos, han crecido rápido y han pospuesto la adaptación. Han implantado una política de privacidad en la web – suficiente para pasar el primer filtro de un inversor no especializado – pero no han construido el andamiaje real del cumplimiento: el registro de tratamientos, los contratos con encargados, el protocolo de brechas de seguridad, la evaluación de impacto cuando procede.
¿Cuál es el riesgo para el comprador? Asumir pasivo oculto. La AEPD puede iniciar un procedimiento sancionador sobre la entidad adquirida incluso después del cierre. Si la integración ya se ha producido, ese pasivo afecta al grupo comprador.
En nuestra experiencia, este riesgo es uno de los más infravalorados en las operaciones de M&A tecnológico en España.
La diligencia debida de datos no es una revisión aislada de la política de privacidad publicada en la web. Es una auditoría estructurada que abarca varios planos.
El primero es el registro de actividades de tratamiento. El RGPD exige que cualquier organización que trate datos de forma no ocasional mantenga un registro actualizado que describa qué datos recoge, para qué, en qué base jurídica, durante cuánto tiempo y a quién los cede. La ausencia de este registro, o su estado incompleto, es ya un incumplimiento formal que puede derivar en procedimiento sancionador.
El segundo plano son las bases jurídicas de cada tratamiento. Una empresa tecnológica puede tratar datos en virtud del consentimiento del usuario, en ejecución de un contrato, en cumplimiento de una obligación legal o por interés legítimo. Cada una de estas bases tiene requisitos propios. En nuestra práctica hemos observado que es frecuente encontrar tratamientos apoyados sobre un consentimiento que en realidad no fue válido porque se obtuvo de forma predeterminada o vinculado a la prestación del servicio, lo que lo invalida.
El tercero abarca los contratos con encargados de tratamiento. Si la target utiliza proveedores de nube, herramientas de analítica, plataformas de envío de comunicaciones comerciales o cualquier otro servicio que acceda a datos de sus usuarios, debe tener firmados contratos de encargado de tratamiento conformes al RGPD. La ausencia de estos contratos es una de las deficiencias más habituales y, a la vez, una de las más fácilmente reparables si se detecta con tiempo.
El cuarto plano, el más delicado, es el historial de brechas de seguridad. El RGPD impone la obligación de notificar a la AEPD cualquier brecha que suponga un riesgo para los derechos de los interesados en un plazo de 72 horas desde que se tiene conocimiento de ella. Las empresas con una cultura de cumplimiento débil tienden a no documentar los incidentes de seguridad o a no calificarlos correctamente. El comprador que descubre brechas pasadas no notificadas asume un riesgo de procedimiento sancionador que, en el peor de los casos, es retroactivo.
Por último, cuando la target opera en sectores sensibles – salud, finanzas, empleo, menores – el RGPD puede exigir la realización de una evaluación de impacto relativa a la protección de datos (EIPD). La ausencia de esta evaluación donde es obligatoria es otro pasivo que el comprador debe identificar.
La due diligence de datos bien ejecutada tiene fases claramente diferenciadas. No se realiza en paralelo a la due diligence financiera como un anexo menor: debe integrarse desde el principio y sus conclusiones deben retroalimentar la negociación del precio y de las garantías.
La primera fase es el análisis documental. El comprador, a través de su equipo jurídico, solicita al vendedor un inventario de toda la documentación de cumplimiento: el registro de tratamientos, las políticas de privacidad internas y externas, los contratos con encargados, los acuerdos de confidencialidad (NDA) con empleados y colaboradores que manejen datos, los registros de consentimiento, la documentación de la EIPD si existe y el historial de incidentes de seguridad. Este inventario revela, por sí solo, el estado de madurez del programa de compliance de la target.
La segunda fase es la revisión técnica. Las brechas de seguridad no siempre dejan rastro documental. Hemos comprobado que un análisis de las medidas técnicas y organizativas implantadas – políticas de acceso, cifrado, gestión de contraseñas, logs de acceso, procedimientos de respuesta a incidentes – aporta una imagen mucho más fiable del estado real del cumplimiento que la documentación aportada por el vendedor. Esta revisión la realizamos en coordinación con los equipos de ciberseguridad del comprador o con especialistas técnicos de confianza.
La tercera fase es la evaluación de riesgos y la valoración del pasivo. No todas las deficiencias detectadas tienen el mismo peso. Algunas son de fácil corrección tras el cierre: actualizar un contrato con un encargado, completar el registro de tratamientos, revisar la política de privacidad pública. Otras son estructurales y pueden afectar al modelo de negocio de la target: si el servicio se sostiene sobre un tratamiento de datos que carece de base jurídica válida, el problema no es de cumplimiento sino de viabilidad del producto. Esta distinción es esencial para el comprador.
La cuarta fase es la negociación de remedios. Las deficiencias detectadas alimentan directamente la negociación. Los mecanismos habituales incluyen ajustes en el precio de compra, garantías e indemnidades específicas del vendedor para el caso de procedimientos sancionadores derivados de incumplimientos previos al cierre, obligaciones de remediación antes del cierre como condición para el mismo, y la retención de parte del precio en depósito hasta la acreditación del cumplimiento.
La due diligence de datos en una operación tecnológica no puede desconectarse del compliance penal de la target. La normativa española permite exonerar o atenuar la responsabilidad penal de una persona jurídica cuando esta ha implantado un programa eficaz de prevención de delitos. En empresas tecnológicas que tratan datos a gran escala, los delitos de descubrimiento y revelación de secretos o de acceso ilícito a sistemas informáticos son riesgos que el programa de compliance debe contemplar.
¿Tiene la target un modelo de organización y gestión que cumpla los requisitos de la legislación penal española? ¿Cuenta con un órgano de supervisión que funcione de forma autónoma? ¿Existe un canal de denuncias operativo? Estas preguntas han cobrado aún más relevancia tras la transposición de la Directiva europea de protección de los denunciantes, que la legislación española ha incorporado exigiendo que empresas de determinado tamaño implanten un canal de denuncias interno que garantice la confidencialidad del informante.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la presencia o ausencia de un canal de denuncias funcional ha resultado ser un indicador muy fiable del nivel de madurez global del programa de cumplimiento. Un canal ausente o meramente formal suele coincidir con otras carencias de mayor calado.
Para el comprador, la ausencia de estos elementos en la target no es solo un riesgo de cumplimiento autónomo. Es una señal de que la cultura organizativa de la empresa adquirida requerirá un trabajo significativo de integración en el grupo.
Para ilustrar cómo se articulan en la práctica estas fases, presentamos un caso anonimizado de una operación en la que participamos en calidad de asesores del comprador.
Situación. Un grupo industrial del centro de España con presencia en varios países europeos identificó como objetivo de adquisición una empresa de software de gestión de recursos humanos con sede en Madrid. La target gestionaba datos laborales – nóminas, evaluaciones de desempeño, información médica relevante para la gestión de bajas – de los empleados de más de doscientas empresas clientes. Su valoración se sustentaba, en gran medida, en esta base de contratos y en los flujos de datos asociados.
Estrategia. La due diligence de datos se inició en paralelo a la revisión financiera. El análisis documental reveló tres deficiencias de primer nivel. En primer lugar, el registro de actividades de tratamiento existía, pero era incompleto: no recogía los tratamientos realizados por los clientes de la target en su calidad de responsables del tratamiento, para los que la target actuaba como encargada. En segundo lugar, varios contratos de encargado de tratamiento con proveedores de infraestructura en la nube no incluían las cláusulas contractuales tipo exigidas por el RGPD para las transferencias internacionales de datos. En tercer lugar, la target había sufrido un incidente de seguridad dos años antes del proceso de compra que no había sido notificado a la AEPD ni a los clientes afectados, pese a que la información comprometida incluía datos de categoría especial.
Esta tercera deficiencia era la más grave. El incidente no notificado abría la posibilidad de un procedimiento sancionador retroactivo sobre la entidad adquirida. En coordinación con el equipo técnico del comprador, realizamos una reconstrucción del incidente a partir de los logs disponibles para dimensionar el alcance real de la brecha y evaluar si procedía la notificación voluntaria a la AEPD con carácter previo al cierre, estrategia que en nuestra experiencia puede mitigar el riesgo sancionador cuando el incidente es anterior y la empresa demuestra proactividad.
Resultado. El comprador negoció una indemnidad específica del vendedor que cubría cualquier procedimiento sancionador derivado del incidente no notificado durante un plazo determinado tras el cierre. Se acordó asimismo un plan de remediación con hitos verificables para la subsanación de las restantes deficiencias antes del cierre. El precio de la operación se ajustó para reflejar el pasivo contingente cuantificado. La integración se completó en el plazo previsto, con un programa de compliance de datos implantado de forma coordinada entre la target y el grupo adquirente.
Lecciones. Este caso ilustra tres principios que guían nuestra práctica en este tipo de operaciones. Primero: la due diligence de datos debe comenzar desde el primer momento del proceso, no como un apéndice de la revisión jurídica general. Segundo: la valoración del pasivo de datos no es solo jurídica sino también técnica; sin un análisis de los sistemas reales, los logs y las medidas de seguridad implantadas, la foto es incompleta. Tercero: la detección temprana convierte un riesgo que podría bloquear la operación en un elemento negociable que refuerza la posición del comprador.
Más allá del análisis técnico-jurídico, la due diligence de datos obliga a la dirección del comprador a tomar decisiones de gobierno corporativo que condicionarán la integración.
La primera decisión es la de notificación proactiva o gestión post-cierre. Cuando se detectan brechas no notificadas, el comprador debe decidir si impulsa la notificación voluntaria a la AEPD antes del cierre – asumiendo visibilidad frente al regulador pero con potencial de mitigación del riesgo sancionador – o si gestiona el riesgo como un pasivo contingente cubierto por garantías del vendedor. No existe una respuesta universal; la decisión depende del alcance de la brecha, del sector de actividad, del perfil de los datos afectados y de la estrategia de integración del grupo.
La segunda decisión es la de integración del programa de compliance de datos. ¿Se mantiene la target como entidad independiente con su propio programa o se integra en el programa del grupo adquirente? En operaciones transfronterizas, esta decisión afecta a la estructura de delegados de protección de datos, a la designación de la autoridad de control principal en el seno de la Unión Europea y a la gestión centralizada o descentralizada del registro de tratamientos. Coordinamos habitualmente con abogados locales de confianza en las jurisdicciones correspondientes para alinear estas decisiones con los requisitos de cada país.
La tercera decisión es la de comunicación a los clientes de la target. Una operación de adquisición puede suponer, en sí misma, una cesión de datos entre el vendedor y el comprador que requiera información a los interesados o, en determinadas circunstancias, la obtención de nuevos consentimientos. Identificar y gestionar esta obligación antes del cierre evita incidentes reputacionales y procedimientos administrativos post-operación.
Un argumento que escuchamos con cierta frecuencia durante los procesos de negociación es que la due diligence de datos es un coste adicional que se puede diferir al período de integración. Nuestra posición es contraria.
La razón es sencilla. El coste de detectar y corregir una deficiencia durante la due diligence es, en todos los casos que hemos gestionado, significativamente inferior al coste de gestionar esa misma deficiencia como pasivo emergente tras el cierre. Una notificación a la AEPD después de que el procedimiento sancionador ya está en marcha tiene un recorrido muy distinto al de una actuación proactiva antes de que el regulador tenga conocimiento del incidente. Una garantía del vendedor que cubre el pasivo tiene un valor real solo si el vendedor mantiene solvencia y está dispuesto a activarla; en práctica, muchos vendedores de empresas tecnológicas son personas físicas o sociedades holding sin activos relevantes tras el cierre.
El asesoramiento temprano, además, aporta valor más allá de la gestión del riesgo inmediato. Una due diligence de datos bien realizada genera un mapa de cumplimiento de la target que se convierte en el documento de referencia para la integración: qué hay que mantener, qué hay que corregir y en qué plazo, qué se puede aprovechar del programa de la target para enriquecer el programa del grupo. Este mapa tiene un valor positivo que supera con creces el coste del análisis.
La adaptación al RGPD de la empresa adquirida no puede tratarse como una formalidad post-cierre. Es parte del proceso de creación de valor de la operación. Y la ventana temporal para gestionarla con todas las cartas sobre la mesa se cierra en el momento en que se firma la escritura de compraventa.
A modo de síntesis operativa, reproducimos los elementos que, en nuestra práctica, conforman el núcleo de cualquier due diligence de datos en una operación de M&A tecnológico.
Este inventario no es exhaustivo. Cada operación tiene sus especificidades, y el peso relativo de cada elemento varía según el sector, el volumen de datos tratados y la estructura de la target. Lo que sí es constante es la necesidad de abordarlo con la misma sistematicidad que la revisión financiera o la auditoría laboral.
Si evalúa una adquisición en el sector tecnológico y quiere entender cómo estructurar la due diligence de datos, le invitamos a plantear su caso. Escriba a info@velardevidal.com y uno de nuestros especialistas analizará su situación concreta.
La due diligence de datos se integra habitualmente en el marco más amplio de la práctica de protección de datos y compliance de Velarde & Vidal, que abarca desde la implantación de programas de cumplimiento hasta la representación ante la AEPD en procedimientos sancionadores. Para operaciones en sectores con un perímetro regulatorio específico, como el financiero, puede ser igualmente relevante revisar cómo hemos abordado la due diligence de datos en el contexto de servicios financieros y fintech. En empresas con canales de denuncia recientemente implantados, la experiencia en la estructuración del canal de denuncias en sectores con cadenas de suministro complejas ofrece también patrones relevantes para la integración post-adquisición.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.