Browsing by Author "Salonen, Anna"

Due diligence -tarkastuksella tarkoitetaan yritysjärjestelyn kohteen tarkastusta, jonka tavoitteena on antaa tarkastuksen suorittavalle osapuolelle riittävän selkeä kuva yritysjärjestelyn kohteesta ja arvosta sekä vähentää yrityskaupan tuntemattomiin vastuisiin liittyvää riskiä. Tarkastuksen suorittamista varten yrityskauppaprosessin myyjä antaa ostajaehdokkaiden tutustua myytävän yrityksen tai organisaation asiakirjajäljennöksiin, jotka käytännössä aina sisältävät henkilötietoja. Tutkimuksessa selvitetään yrityskaupan kohdeyrityksen työntekijöiden ja asiakkaiden henkilötietojen luovuttamista Euroopan unionissa ja Euroopan talousalueella sekä erityisesti Suomessa tapahtuvissa yrityskaupoissa toukokuussa 2018 sovellettavaksi tulevan EU:n uuden yleisen tietosuoja-asetuksen (2016/679) ja Suomessa asetusta täydentämään ehdotetun tietosuojalain valossa. Tutkimuskysymyksiä lähestytään ensin tarkastelemalla henkilötietojen suojan ja omaisuuden suojan kollisiotilannetta, minkä jälkeen tarkastellaan henkilötietojen luovuttamisen perusteita ja henkilötietojen käsittelyä koskevia vaatimuksia. Henkilötietojen luovuttamisen kannalta keskiöön nousevat erityisesti käyttötarkoitussidonnaisuus ja tietojen minimointi, jotka yhdessä edellyttävät, että henkilötietoja ei luovuteta alkuperäisen käsittelytarkoituksen kanssa yhteen sopimattomalla tavalla ja että henkilötietojen luovuttaminen on tarpeellista yrityskaupan toteuttamiseksi. Yrityskaupoissa käytetään usein signing–closing -rakennetta, jolloin ensin tehdään yrityskauppasopimus (signing), jonka jälkeen omistusoikeus kaupan kohteeseen siirretään ja kauppa tulee varsinaisesti voimaan myöhemmin (closing). Tutkimuksessa osoitetaan, että käytettäessä signing–closing -rakennetta yrityskauppa toteutuu henkilötietolainsäädännön näkökulmasta closingissa. Kohdeyrityksen työntekijöiden ja asiakkaiden henkilötietoja sisältäviä kokonaisia asiakasrekistereitä voidaan luovuttaa vasta tämän jälkeen. Lisäksi tutkimuksessa katsotaan, että ennen closingia voidaan luovuttaa sellaisia työntekijöiden välittömästi tarpeellisia tietoja kuten pätevyystietoja, jotka ovat tarpeellisia yrityskaupan toteutumiseksi esimerkiksi kohdeyrityksen toimialan takia. Tutkimuksessa erotetaan kohdeyrityksen johtoryhmä ja muut avainhenkilöt muista työntekijöistä. Johtuen avainhenkilöiden merkittävyydestä kohdeyrityksen liiketoiminnalle ja siten yrityskaupan toteutumiselle, heistä voidaan luovuttaa yksityiskohtaisempia tietoja kuin muista työntekijöistä. Tutkimuksessa tällaisiksi yksityiskohtaisemmiksi tiedoiksi katsottiin esimerkiksi työsopimus. Asiakkaiden henkilötietojen osalta tutkimuksessa katsotaan, että merkittävien henkilöasiakkaiden sellaisia henkilötietoja, kuten nimi ja asiakassopimuksen sisältö, voidaan henkilötietolainsäädännön näkökulmasta luovuttaa ennen yrityskaupan toteutumista closingissa. Tavallisten henkilöasiakkaiden tietoja ei voida luovuttaa ennen closingia, koska nämä eivät ole välttämättömiä yrityskaupan toteuttamiseksi. Tutkimuksessa osoitetaan, että rekisteröityjen oikeussuoja edellyttäisi sitä, että rekisterinpitäjän informointivelvollisuudesta olisi säädetty tietosuoja-asetuksessa yksityiskohtaisemmin. Tietosuoja-asetuksen 13 ja 14 artiklan informointivelvollisuus ei edellytä, että yrityskaupan myyjä kertoo rekisteröidylle mitä henkilötietoja yrityskaupassa ollaan luovuttamassa tai kenelle tietoja luovutetaan. Ostajaehdokkaiden puolestaan ei tarvitse kertoa rekisteröidylle, koska henkilötiedot on luovutettu niille. Lisäksi yrityskaupan myyjä ja ostajaehdokkaat voivat myös laiminlyödä informointivelvollisuutensa ja velvollisuutensa ilmoittaa tietoturvaloukkauksesta tietosuoja-asetuksen 33 artiklan nojalla ilman varteenotettavaa riskiä kiinnijäämisestä. Rekisteröidyllä ei tällöin ole realistisia mahdollisuuksia käyttää tietosuoja-asetuksen mukaisia oikeuksiaan. Tutkimuksessa nähdään pilliinpuhaltaminen (englanniksi whistleblowing) keskeisenä kanavana henkilötietojen lainvastaisen luovuttamisen ilmi käymiseksi yrityskauppaprojekteissa ja katsotaan, että johdon henkilökohtainen vastuu edistäisi yritysten tietosuojavelvoitteiden noudattamista.