Что происходит с персональными данными при продаже и закрытии бизнеса
Клиентская база — это персональные данные, и при продаже или закрытии бизнеса ими нельзя распоряжаться как обычным активом. Разбираем, когда согласие субъектов переходит новому владельцу автоматически, а когда его нужно получать заново, и что делать с базой при ликвидации компании без правопреемника.
При продаже компании покупатель получает не только офис и оборудование, а ещё клиентскую базу с телефонами, адресами и историей заказов. Это персональные данные, и 152-ФЗ определяет, кто вправе их обрабатывать после сделки и на каком основании. Ответ зависит от того, как оформлена сделка и что происходит с компанией дальше.
При реорганизации данные переходят вместе с компанией
При слиянии, присоединении или преобразовании юрлица правопреемник получает все права и обязанности прежней компании, включая обязанности оператора персональных данных. Субъектам не нужно давать новое согласие. Цель обработки не меняется, меняется только название организации, которая ведёт базу.
Но обновить документы всё равно стоит. Пропишите в политике обработки персональных данных новые реквизиты оператора и сообщите об этом клиентам через сайт, рассылку или уведомление в личном кабинете. Так вы снимете вопросы у субъектов данных и у Роскомнадзора, если он решит проверить компанию после реорганизации.
При продаже активов база не переходит автоматически
Иначе устроена сделка, где бизнес продают не через реорганизацию, а как имущественный комплекс или отдельно передают клиентскую базу по договору. Юридическое лицо остаётся прежним или вовсе не участвует в сделке, а покупатель становится самостоятельным новым оператором.
Согласие, которое субъект давал продавцу, автоматически на покупателя не распространяется. Прежде чем включать базу в сделку, проверьте формулировки согласий и политики обработки. Разрешают ли они передачу данных третьим лицам при смене собственника бизнеса. Если такой оговорки нет, есть два варианта.
- Получить новое согласие субъектов на обработку новым оператором.
- Уведомить клиентов о передаче базы и дать им возможность отказаться до сделки.
Условия по персональным данным стоит прописать прямо в договоре купли-продажи. Кто отвечает за законность обработки на момент сделки, что делать с данными, если согласий не хватает, и кто возмещает убытки, если Роскомнадзор найдёт нарушение.
Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд
При ликвидации данные нельзя просто оставить
Если компания закрывается без правопреемника, часть данных всё ещё нужно хранить по закону, например для бухгалтерской и налоговой отчётности. Остальные данные, которые больше не нужны для этих целей, оператор обязан уничтожить, а не забыть на сервере или в архиве.
Уничтожение оформляют актом с указанием, что уничтожено, когда и кем. Этот документ пригодится, если после ликвидации у Роскомнадзора или у бывших клиентов возникнут вопросы к базе. Продать клиентскую базу отдельно от бизнеса как самостоятельный актив нельзя. У покупателя не будет законного основания её обрабатывать.
Что делать перед сделкой
- Определите форму сделки, реорганизация это или покупка активов. От этого зависит, нужно ли новое согласие субъектов.
- Проверьте формулировки в согласиях и политике обработки персональных данных на предмет передачи третьим лицам.
- При покупке активов получите новые согласия или уведомите субъектов и дайте им возможность отказаться.
- Пропишите ответственность за персональные данные в договоре купли-продажи бизнеса.
- При ликвидации уничтожьте данные, которые не нужны для хранения по закону, и составьте акт.
- Актуализируйте сведения об операторе в реестре Роскомнадзора, если изменились название, адрес или реквизиты.
Нужно ли уведомлять РКН? — пройти тест
Следующий шаг: поднять действующие согласия и политику обработки персональных данных ещё до переговоров о продаже или ликвидации компании. Тогда сделка не превратится в источник претензий от бывших клиентов или Роскомнадзора.
Частые вопросы
Нужно ли получать новое согласие субъектов при реорганизации компании?
Нет, если меняется только правовая форма или происходит присоединение к другому юрлицу. Правопреемник продолжает обработку на прежних основаниях, но стоит обновить политику обработки и указать в ней новые реквизиты оператора.
Может ли покупатель бизнеса получить клиентскую базу вместе с оборудованием?
Не автоматически. Если сделка оформлена как купля-продажа активов, а не реорганизация, нужно проверить, покрывает ли действующее согласие передачу данных новому лицу, или получить согласие заново.
Что делать с персональными данными при ликвидации компании без правопреемника?
Данные, которые больше не нужны для исполнения обязательств или обязательного хранения, нужно уничтожить и оформить акт. Продать базу отдельно от бизнеса без законного основания у покупателя нельзя.
Нужно ли уведомлять Роскомнадзор о смене собственника бизнеса?
Да, если меняются сведения об операторе в реестре, например название, адрес или другие реквизиты. Их нужно актуализировать через уведомление в Роскомнадзор.