Aplicable en España — basado en normativa española (BOE).La presunción de licitud de los tratamientos de datos necesarios en fusiones, adquisiciones y otras operaciones mercantiles
Resumen rápido: La due diligence de protección de datos es, en el Derecho español, la presunción de licitud que el artículo 21 de la LOPDGDD establece para los tratamientos de datos personales -incluida su comunicación previa- que puedan derivarse de una operación de modificación estructural de sociedades o de la aportación o transmisión de un negocio o rama de actividad empresarial.
Definición flash: En fusiones, adquisiciones y ventas de negocio, la comunicación previa de datos necesaria para la operación se presume lícita (art. 21.1 LOPDGDD).
Etiqueta lingüística
La ley no usa la expresión inglesa "due diligence", sino que regula bajo el rótulo "Tratamientos relacionados con la realización de determinadas operaciones mercantiles" lo que en la práctica profesional se conoce universalmente como el proceso de due diligence: el examen previo de una empresa -incluidos sus ficheros de datos personales- antes de una fusión, adquisición o venta de rama de actividad.
Definición técnica
El artículo 21.1 de la LOPDGDD dispone que, salvo prueba en contrario, se presumirán lícitos los tratamientos de datos -incluida su comunicación con carácter previo- que pudieran derivarse del desarrollo de cualquier operación de modificación estructural de sociedades, o de la aportación o transmisión de negocio o de rama de actividad empresarial, siempre que esos tratamientos sean necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad en la prestación de los servicios. El apartado 2 añade una consecuencia importante si la operación finalmente no se concluye: la entidad cesionaria -quien recibió los datos para la due diligence- deberá proceder de forma inmediata a su supresión, sin que le sea aplicable la obligación de bloqueo que, con carácter general, prevé la LOPDGDD para otros supuestos de supresión de datos.
Aplicación práctica
En la práctica, este artículo es el fundamento legal que permite a los asesores de una operación de M&A acceder y comunicar datos personales -de empleados, clientes o proveedores de la empresa objetivo- durante la fase de auditoría previa, sin necesitar el consentimiento individual de cada afectado, siempre que la comunicación sea necesaria para la operación; y obliga a borrar de inmediato esos datos, sin plazo de bloqueo, si la operación finalmente se frustra.
Contexto legal en España
La due diligence de protección de datos se regula en el artículo 21 de la Ley Orgánica 3/2018 (LOPDGDD), dentro de su Título IV, dedicado a las «Disposiciones aplicables a tratamientos concretos».
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Cesión de datos (art. 21.2 LOPDGDD)
- La due diligence (art. 21.1) es la presunción de licitud del tratamiento y comunicación de datos MIENTRAS la operación está en curso. La cesión de datos regulada en el art. 21.2 es la consecuencia -supresión inmediata, sin bloqueo- si la operación NO llega a concluirse.
Términos relacionados
Dato de autoridad
El artículo 21.1 de la LOPDGDD dispone que «se presumirán lícitos los tratamientos de datos, incluida su comunicación con carácter previo», en las operaciones mercantiles estructurales que describe.
Preguntas frecuentes sobre due diligence de protección de datos
¿Necesita el consentimiento de cada empleado una empresa que va a ser comprada para comunicar sus datos al comprador durante la due diligence?
No necesariamente: el artículo 21.1 LOPDGDD presume lícita esa comunicación, salvo prueba en contrario, si es necesaria para el buen fin de la operación de modificación estructural.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.