Adquisición de empresa y due diligence del archivo
Una adquisición de empresa llega con data rooms llenas de contratos, estados financieros, carteras de propiedad intelectual y resúmenes de RRHH. Lo que rara vez o nunca está en esas data rooms. El archivo físico y digital de la sociedad objetivo. Y, sin embargo, ese archivo es una fuente de riesgo, costes y obligaciones jurídicas que, como comprador, acabas teniendo en tu mesa tras el cierre. Este artículo muestra qué implica una due diligence sólida del archivo.
Por qué el archivo forma parte de la due diligence
Tres motivos.
- Se asume la responsabilidad del RGPD. Los datos personales de clientes y (ex)trabajadores en el archivo antiguo pasan a ser tu responsabilidad tras el cierre. Incluidos los posibles defectos en la política de conservación del vendedor.
- Las obligaciones fiscales y jurídicas de conservación se transfieren. Administración de 7 años, contratos con obligaciones en curso, expedientes de litigios.
- Costes operativos de la gestión del archivo. Una empresa por adquirir con 30 armarios de administración antigua cuesta tiempo y dinero de ordenar.
La checklist de due diligence del archivo
Volumen y composición
- ¿Cuántos metros lineales de archivo en papel?
- ¿Cuánto archivo digital (TB en el servidor de archivos, SharePoints)?
- ¿Qué categorías de antigüedad?
- ¿Qué tipo de soportes (papel, HDD, cinta, microfilm, lee microfilm y cintas antiguas)?
Estado de cumplimiento
- ¿Existe un registro de actividades de tratamiento, lee registro de actividades de tratamiento?
- ¿Están fijados los plazos de conservación?
- ¿Se hacen cumplir esos plazos?
- ¿Hay un protocolo de destrucción?
- ¿Hay certificados de destrucciones anteriores?
BSN y datos personales especiales
- ¿Cuántas menciones de BSN en la administración antigua? Lee el BSN en la administración antigua.
- ¿Datos personales especiales (médicos, religiosos, de sindicato)?
- ¿Copias de documentos de identidad?
Brechas de datos e incidentes
- ¿Registro de brechas de datos disponible?
- ¿Incidentes abiertos o notificados a la AP?
- ¿Reclamaciones o demandas pendientes?
La pregunta no es solo «¿qué tiene la empresa en cuanto a archivo?», sino «¿qué legado de riesgo RGPD llega con la adquisición?».
Categorías de riesgo
Riesgo bajo
- Administración de plazos de conservación pulcra, certificados de destrucción recientes.
- Sin copias de DNI fuera de una base legal.
- Sistemas en la nube con política de retención.
Riesgo medio
- Archivo sin ordenar desde hace más de 7 años, pero sin datos personales especiales.
- Registro de actividades de tratamiento rudimentario.
- Sin protocolo de destrucción formalmente fijado.
Riesgo alto
- Menciones de BSN sin base legal.
- Copias de DNI en el archivo de organizaciones sin base Wwft ni de empleador.
- Buzones de correo de empleados que se fueron aún activos.
- Sin certificados de destrucciones anteriores.
- Incidente de brecha de datos abierto.
Lo que puedes negociar en el SPA
En el Sale and Purchase Agreement, tres cláusulas son relevantes.
- Declaraciones y garantías sobre el cumplimiento, incluidos el RGPD y los plazos de conservación.
- Indemnización específica para reclamaciones relacionadas con el archivo del periodo previo al cierre.
- Saneamiento previo al cierre. El vendedor ejecuta una limpieza dirigida antes del cierre, con certificado de destrucción incluido.
Limpieza previa al cierre: qué y cómo
Un enfoque popular. El vendedor organiza en las pocas semanas previas al cierre un servicio de destrucción dirigido.
- Identifica los riesgos transferibles (BSN, expedientes antiguos de RRHH).
- Planifica la destrucción móvil in situ.
- Destruye en DIN P-5 / H-5.
- Entrega el certificado al comprador como anexo del paquete de cierre.
Ventaja para el vendedor: menor indemnización en el SPA. Ventaja para el comprador: menor riesgo heredado.
Tras el cierre: integración
Tras el cierre, el archivo de la sociedad objetivo se integra o se mantiene aparte.
Integración
El archivo se mezcla con el del comprador. Las exigencias del RGPD se transfieren. Actualiza el registro de actividades de tratamiento.
Mantener aparte
La sociedad objetivo sigue existiendo como entidad. Archivo y cumplimiento propios. A menudo en carve-outs o adquisiciones autónomas.
Práctico para asesores de M&A
Cada vez más asesoras añaden la due diligence del archivo a su proceso estándar. Para el componente de archivo.
- Pide un resumen del volumen de archivo (consulta estimación del volumen de papel).
- Pide los últimos certificados de destrucción.
- Pide el registro de actividades de tratamiento.
- Evalúa la conservación del BSN en empresas sanitarias o de RRHH.
- Planifica, si procede, una limpieza previa al cierre con un proveedor externo.
Limpieza previa al cierre, móvil in situ.
Planificamos servicios de destrucción para operaciones de M&A con un paquete de certificados que encaja en el paquete de cierre.
Solicite un presupuesto¿Planea una adquisición o una venta? Escríbanos a desnipperaar.nl sobre la limpieza de archivo previa al cierre. Con discreción y documentación impecable.