Privacy and data security due diligence: The importance of implementing post-closing improvements
Authors
Christopher M. Caparelli
Winnie Hu
Alessandra (Ali) Harkness
Privacy law compliance and data security are increasingly material considerations in M&A transactions. Purchasers and sellers alike have an interest in mitigating risk and ensuring compliance with applicable laws and standards. Sellers enhance the value of the target business and minimize their indemnification risks when they prioritize privacy and data security and engage in a transparent sales process. Through effective due diligence, purchasers can uncover deficiencies and create a plan to resolve concerns, avoid violations of law, reduce liability, and prevent reputational harm.
In this article, we review the basics of privacy and data security due diligence and common issues that arise in M&A transactions. Finally, we analyze the importance of remedying deficiencies after closing a transaction.
Basics of privacy and data security due diligence
In today’s environment, a business’s attention to the privacy and security of its data and personal information is paramount. The risks and consequences of a data breach or ransomware attack are well-documented. Attention to these issues, therefore, is pivotal when it comes time to sell a business.
Most businesses are subject to a web of laws and regulations enacted by state, federal and international authorities, not to mention generally accepted industry standards and, in many cases, contractual obligations with vendors and customers. In Canada and Europe, comprehensive requirements are imposed by the Personal Information Protection and Electronic Documents Act (PIPEDA) and General Data Protection Regulation (GDPR). In the United States, privacy issues traditionally have been addressed by industry-specific legislation, such as the Health Insurance Portability and Accountability Act (HIPAA), but states are increasingly adopting their own regimes, led by California’s Consumer Privacy Act (CCPA) and Privacy Rights Act (CPRA).
Accordingly, due diligence of a target’s privacy and data security is critical and includes:
- the existence and content of privacy and data security policies that satisfy applicable legal or contractual obligations;
- procedures and tools to ensure compliance with such policies and regulations, including the business’s compliance with anti-spam laws;
- the existence and breadth of its data security protections, including whether it conducts vulnerability testing and employs personnel dedicated to privacy and data security;
- categories and locations of data collected, stored, shared, transferred and even bought or sold;
- data security polices and practices adopted to address remote working arrangements;
- marketing practices and the content of commercial electronic communications and telecommunications;
- whether, and to what extent, the business has suffered a data breach or ransomware attack and how the business responded and remediated the breach; and
- whether the business has a cyber-insurance policy.
Getting to the bottom of a business’s privacy and data security practices, risks, and exposure requires careful attention to detail and persistence.
Common issues raised in due diligence
The most common issue uncovered during due diligence is that a target business does not have written policies governing the protection of personal information in its possession. Closely related is the absence of a chief privacy officer or other personnel responsible for the company’s privacy and data security. Although less common, a more material concern is learning that a business has incurred one or more data breaches or ransomware incidents. Equally, if not more concerning, is when the target has failed to comply—or worse, is currently out of compliance—with applicable law.
In many instances, a target is seemingly in compliance with law and has not suffered a data incident to its knowledge, but its lack of appropriate policies, systems and procedures make it difficult to rely on the target’s assessment of its risks and exposure. For example, a target may be confident that it has not suffered a breach but does not have sufficient monitoring tools in place to reliably detect breaches.
Additional issues arise for businesses that operate in multiple jurisdictions, store data in those various locations, and share or transfer information internally and with third parties.
The lack of a cyber-insurance policy is a red flag in terms of the financial impact on a target following a breach. However, changes in the cyber insurance market may prevent targets from obtaining comprehensive coverage at a reasonable cost.
While a prospective seller may be able to address some of these issues before a transaction is consummated (for example, requiring the company to adequately password-protect access to its systems where it previously has not done so) it will usually fall to the purchaser to implement changes post-closing.
Importance of adopting post-closing recommendations
When a purchaser discovers risks and concerns during due diligence, it should have a plan to address them promptly after closing the transaction.
Higher-risk issues, such as gaps in data security infrastructure or any noted violations of applicable privacy laws, should be prioritized and resolved as soon as possible. Purchasers should consider hiring third-party specialists to assess data management systems and establish a plan to ensure compliance with applicable laws and regulations. Penetration and vulnerability testing typically is recommended when, as often is the case, the target has not done so.
In remote work environments, where information may be stored on personal computers, it is even more important to perform a full inventory of data housed on employees’ computers and to develop a framework to centralize the housing of any client or company data post-closing.
Decisions typically have to be made about how the acquired company will use, disclose and protect personal information going forward. The purchaser should adopt written policies (or revise existing ones) that are consistent with its own standards and that account appropriately for the scope and location of the newly acquired business.
Obtaining a cyber-insurance policy, or adding the target to the purchaser’s existing policy, is an important risk mitigation consideration, although system and governance enhancements may be required before the acquired company is eligible for appropriate coverage.
Companies must be conscientious in remediating deficiencies identified during due diligence to limit potential exposure to liability for violations of law and data breaches.
Conclusion
Companies need a thorough due diligence process to determine the risks of a breach, whether there is an ongoing breach—and how the company’s systems would hold up in the event of a breach. However, the knowledge gained during the due diligence process must be implemented at all appropriate stages, including post-closing. Efficiently and effectively implementing post-closing recommendations can shield businesses from legal, regulatory and financial risks to the business and its reputation.
Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.
Développement de contre-mesures médicales au Canada
Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.
Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19
Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.
Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada
La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.
Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.
Prochaines étapes
Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.