如果并购前未进行GDPR合规性检查，买方会面临什么情况？是否会产生法律责任？

1. 引言：你收购了公司，但你也收购了它的数据吗？

在当今商业世界中，并购是企业快速发展并获得竞争优势的途径之一。然而，在这个过程中，不仅企业的有形资产，个人数据的控制权也会转移。那么，如果收购公司没有审查所收购的数据是否依法收集和处理，会发生什么呢？

根据《个人数据保护法》（KVKK），在任何交易发生之前，必须对公司的数据清单、明确的同意机制、信息文本和数据安全基础设施进行评估。否则，接收公司可能面临严重的行政处罚和声誉损害。.

---

2.《个人数据保护法》（KVKK）在并购过程中的作用

《土耳其个人数据保护法》（KVKK）的目的是什么？

土耳其《个人数据保护法》（第6698号）规范了土耳其境内的个人数据处理，对数据控制者规定了诸多义务，例如获得明确同意、告知公众、确保数据安全以及删除数据。即使公司发生转让或合并，这些义务仍然有效。.

为什么这很重要？

• 在并购交易中，属于数据主体（客户、员工、业务合作伙伴）的数据会被转移到另一家公司。.

• 此次传输构成数据共享，根据《土耳其个人数据保护法》（KVKK）第 8/1 条的规定，未经数据主体明确同意，不得进行传输。.

• 如果接收方不了解其所接收数据的法律依据，则可能发生交易后数据泄露。.

---

3. 法律理论基础

 A) 《个人数据保护法》第十条——告知义务

数据控制者有义务在收集数据时告知数据主体数据处理的目的、数据将传输给谁、法律依据以及他们的权利。.

 B) KVKK 第 12 条——数据安全义务

数据控制者负责确保个人数据的保密性和完整性。即使公司发生转让，这项责任仍然有效。.

 C) KVKK 第 8 条——数据传输

只有在法律有义务这样做或者获得明确同意的情况下，公司才能将其数据传输给其他法人实体。.

 D) 董事会决策及执行

个人数据保护机构的决定明确规定了收购公司在被收购公司的数据并非依法收集的情况下应承担的责任。.

---

4. 存在哪些风险？

---

5. 虚构事件：“H控股公司与N公司收购”

活动概要：

H Holding 收购了 N A.Ş.，一家开发营销软件的公司。收购前，仅进行了财务尽职调查，并未对数据处理程序进行法律评估。.

收购后的发展：

1. 未获得明确同意：
   N 的数据库包含 30 万人的电子邮件地址和电话号码。然而，这些数据并未获得明确同意。

2. 缺少数据保护声明：
   客户在注册过程中未被告知其数据将如何以及出于何种目的进行处理。

3. GDPR投诉：
   一位前客户向GDPR（土耳其个人数据保护局）提出投诉，声称其在未经同意的情况下收到了营销信息。

4. 委员会决定：
   个人数据保护委员会 (KVKK) 裁定，整个数据库均未获得明确同意或提供相关信息，并对购买公司 H Holding 处以 1,750,000 土耳其里拉的行政罚款。

5. 商业声誉危机：
   事件经媒体报道后，以“大型控股公司发生数据泄露”为题，行业信誉受损。客户关系管理（CRM）软件合同被终止。

---

6. 合同保护机制

 1. 数据合规性审查（数据隐私尽职调查）

购买前：

• 应编制数据清单。

• 应核查同意书和信息文件。

• 应审查与第三方的数据共享协议。.

2. 声明和承诺条款

卖方必须在合同中明确声明其遵守土耳其个人数据保护法（KVKK），已获得明确同意，并且已建立数据安全基础设施。.

3. 赔偿条款

条款和条件必须包含以下条款：卖方将对任何未来违约行为所造成的一切损失和处罚承担责任。.

 4. 数据提取条件

买方可规定被收购公司删除或匿名化不符合土耳其个人数据保护法（KVKK）的数据。.

---

7. 实用建议

---

8. 结论：数据不仅仅是信息，更是一种责任。

在并购交易中，不仅资产负债表会转移，数据也会随之转移。然而，如果数据管理不当，可能会造成严重的法律后果。买方“购买数据的同时，也购买了相应的责任”。.

如果交易处理过程中未检查是否符合 GDPR 规定：

• 行政处罚

• 商业合同损失

• 客户诉讼，

• 声誉下滑
  是不可避免的。

因此，并购流程成功的关键在于：明确数据，明确责任，并通过合同加以保障。.

法学院学生 Gamze Akbulut