Question 1

En Suisse, comment la Datenschutzrichtlinie s'applique-t-elle dans une transaction M&A cross-border impliquant la France ou l'UE ?

Accepted Answer

La Suisse n'est pas membre de l'UE mais a adopté des standards comparables via sa Loi fédérale sur la protection des données (LPD, révision 2023). En M&A cross-border, les parties doivent respecter le RGPD (UE) et la nLPD (Suisse). Lors d'un transfert de données personnelles lors de l'acquisition, la due diligence doit vérifier la conformité des consentements, les accords de transfert (Standard Contractual Clauses), et les registres des traitements. En share deal, la Datenschutzrichtlinie impacte l'évaluation des risques légaux et les warranties relatives aux violations antérieures. Les cantons (FINMA, ORF) supervisent les entités financières.

Question 2

Quels ajustements de valorisation appliquer si une cible suisse présente des lacunes en Datenschutzrichtlinie détectées en due diligence ?

Accepted Answer

Les violations ou non-conformité en protection des données génèrent des ajustements négatifs sur l'EBITDA de 3 à 8%, selon la gravité (données sensibles, absence de registre, no DPA). En Suisse, une amende LPD peut atteindre CHF 250'000. En M&A, cela justifie une retenue de garantie (escrow 6-12 mois) couvrant les risques de poursuites ou mise en conformité post-closing. Les multiples sectoriels (ex. SaaS 10-13x EBITDA) se réduisent de 10-15% si audit révèle exposition data critique. Asset deal privilégie le buyer pour limiter héritages de passifs.

Question 3

Quelles clauses contractuelles insérer dans le SPA pour encadrer la Datenschutzrichtlinie post-closing en M&A Suisse-UE ?

Accepted Answer

Le SPA doit inclure: (1) Warranty spécifique sur conformité RGPD/LPD antérieure à closing; (2) Indemnité pour violations détectées post-acquisition (délai 36 mois minimum); (3) Obligation de Data Processing Agreement (DPA) si données transférées cross-border; (4) Représentation sur registre des traitements (LPD art. 12); (5) Disclosure sur violations passées (RGPD art. 33). En Suisse, le droit des obligations (CO) exige bonne foi; les garanties illimitées sont sanctionnées. GAP insurance optionnel couvre risques data. Earn-out conditionnable à certification post-closing par auditeur tiers (Swiss DPA auditor).

Question 4

Comment structurer l'audit Datenschutzrichtlinie pour une acquisition suisse impliquant transfert transfrontalier Suisse-France-Belgique ?

Accepted Answer

L'audit doit valider: (1) Cartographie des flux data (LPD ch. 2, RGPD ch. IV); (2) Légalité des bases juridiques (consentement, contrat, obligation légale); (3) Existence de DPA signés avec sous-traitants (obligation légale Suisse-UE); (4) Conformité droits des personnes (accès, rectification, oubli); (5) Registres de traitements auditables. Audit spécialisé (cabinet CH agréé: 3-5 semaines, budget CHF 30-50k) doit être contractualisé avant LOI. Résultats intégrés dans SPA warranties avec carve-outs sectoriels. Calendrier: audit lancé J-60 signing. Post-closing: plan de remédiation (100j) et certification indépendante couverte par earn-out ou bonus seller.

Datenschutzrichtlinie

Besprechen Sie Ihre nächsten Schritte vertraulich