La loi organique 3/2018 du 5 décembre sur la protection des données à caractère personnel a non seulement adapté le système juridique national au Règlement général sur la protection des données, mais a également introduit des précisions qui aideront les responsables du traitement et les sous-traitants à effectuer les opérations de traitement avec une plus grande sécurité juridique.
C’est le cas du traitement des données à caractère personnel effectué dans le cadre des procédures de diligence raisonnable, pour lequel la nouvelle loi sur la protection des données à caractère personnel prévoit enfin et expressément la licéité de ce traitement.
L’échange d’informations personnelles qui a lieu entre les entités participantes avant la réalisation d’une transaction d’entreprise ou commerciale est évident. Ainsi, pour que l’acheteur, l’absorbeur ou le cessionnaire d’une branche d’activité – à quelque titre que ce soit – ait une bonne connaissance de l’entité qui se prépare à acheter, absorber ou recevoir en vertu du transfert correspondant, l’accès aux données personnelles relatives aux employés, aux clients et aux fournisseurs peut être un facteur déterminant pour la bonne fin de la transaction.
Le règlement d’application de la loi sur la protection des données à caractère personnel de 1999, également abrogé, a établi une fiction juridique applicable aux opérations de modification structurelle ou de transfert d’entreprise ou de branche d’activité selon laquelle, une fois l’opération d’entreprise formalisée, il était permis de poursuivre le traitement effectué à l’origine par le responsable précédent, et la communication de données en faveur du nouveau responsable du traitement résultant de l’opération n’était pas considérée comme un transfert de données. Il n’était donc pas nécessaire d’obtenir le consentement des personnes concernées, mais il suffisait de les informer de la succession dans la condition de la personne responsable de leurs données.
Mais que s’est-il passé en pratique lorsque, par exemple, l’entité acquéreuse dans une fusion avait l’intention d’avoir accès aux données à caractère personnel de l’entité cible avant l’exécution de la transaction ? À mon avis, cette situation a créé des problèmes, en particulier lorsque ce traitement était nécessaire pour la réalisation effective de l’opération, car il n’était pas clair si l’accès aux données par le nouveau responsable du traitement était possible avant la conclusion de l’opération.
Cela a conduit à la publication de plusieurs rapports de l’Agence espagnole de protection des données (AEPD) dans lesquels elle déclare la légalité d’un accès préalable aux données personnelles (voir le rapport numéro 518/2009, où dans le cadre d’une fusion initiée et non conclue, l’accès est autorisé à l’entité absorbante aux données de l’entité absorbée pour permettre l’intégration des systèmes d’information des deux entités; dans le même sens, voir le rapport numéro 194/2017 qui analyse l’avant-projet de l’actuelle loi sur la protection des données à caractère personnel).
Dans la nouvelle loi sur la protection des données à caractère personnel, le législateur national a voulu faire écho à ces déclarations de l’AEPD. En effet, l’article 21.1 présume licite le traitement des données issues de toute opération de modification structurelle ou d’apport ou de transfert d’activité ou de branche d’activité, y compris leur communication préalable.
Certes, et sur la base de la légalité de l’intérêt légitime, les communications de données avant la conclusion de l’opération sont autorisées, puisque le législateur comprend qu’elles sont nécessaires à la bonne fin de l’opération et peuvent même garantir la continuité des services qui peuvent être fournis aux personnes concernées. Nous pouvons donc affirmer que l’accès aux données dans le cadre de la diligence requise lors du transfert de données de la société cédante à la société cessionnaire peut être compris comme étant couvert par ce nouveau précepte.
Toutefois, il convient de garder à l’esprit que tant que la transaction n’est pas conclue, il ne sera pas possible pour le cessionnaire d’utiliser les données à d’autres fins que la bonne fin de la transaction, ce qui ne sera possible qu’au moment de sa conclusion.
En outre, la loi ne fait pas de référence sur l’obligation d’informer les personnes concernées sur la communication de données dans le cadre de ces processus, qui – à mon avis – reste également applicable. Toutefois, si l’on considère que le respect de l’obligation d’informer peut sérieusement affecter la réalisation des objectifs de la communication préalable des données, alors cette obligation ne serait pas obligatoire.
Enfin, l’article 21.2 de la nouvelle loi sur la protection des données à caractère personnel oblige l’entité à laquelle les données sont transférées à les supprimer si l’opération n’aboutit pas. Et il est tout à fait logique que ce soit ainsi, étant donné que l’accès aux données aurait été limité à la finalité déclarée (la réussite de l’opération), sans que les entités participantes puissent conserver des informations personnelles sur d’autres personnes.
