ในเศรษฐกิจดิจิทัลในปัจจุบัน ข้อมูลดิจิทัลของลูกค้ามักเป็นหนึ่งในสินทรัพย์ที่มีมูลค่าสูงที่สุดที่บริษัทครอบครอง ผู้ซื้อจำนวนมากมักใช้ขนาด คุณภาพ และศักยภาพเชิงพาณิชย์ของฐานข้อมูลลูกค้าของบริษัทเป้าหมายเป็นเหตุผลสนับสนุนการจ่ายราคาซื้อกิจการในระดับพรีเมียม กลยุทธ์การตลาด การวิเคราะห์ข้อมูลลูกค้า โอกาสในการขายผลิตภัณฑ์หรือบริการเพิ่มเติมให้แก่ลูกค้าเดิม โครงการริเริ่มด้านปัญญาประดิษฐ์ และการคาดการณ์รายได้ในอนาคต มักตั้งอยู่บนสมมติฐานว่าข้อมูลที่ได้มาสามารถนำไปใช้ประโยชน์ได้อย่างถูกกฎหมายภายหลังการทำธุรกรรมเสร็จสมบูรณ์
อย่างไรก็ตาม ผู้ซื้อกิจการจำนวนเพิ่มขึ้นกำลังพบกับข้อเท็จจริงที่ไม่อาจมองข้ามได้ว่า สินทรัพย์ข้อมูลไม่ได้เป็นข้อมูลที่สามารถนำไปใช้ได้อย่างถูกกฎหมายทั้งหมด
ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย (PDPA) การเก็บรวบรวม ใช้ เปิดเผย และเก็บรักษาข้อมูลส่วนบุคคลจะทำได้ก็ต่อเมื่อองค์กรมีฐานทางกฎหมายที่ถูกต้องและปฏิบัติตามข้อกำหนดของกฎหมายเกี่ยวกับความโปร่งใส ความยินยอม การรักษาความมั่นคงปลอดภัย และสิทธิของเจ้าของข้อมูลส่วนบุคคล หากไม่เป็นไปตามข้อกำหนดเหล่านี้ ฐานข้อมูลลูกค้าอาจมีมูลค่าเชิงพาณิชย์ในทางปฏิบัติเพียงเล็กน้อยหรือไม่มีเลย แม้ในระหว่างการเจรจาซื้อขายจะดูเหมือนเป็นสินทรัพย์ที่มีมูลค่าสูงก็ตาม
ในมุมมองของการควบรวมและซื้อกิจการ (M&A) ข้อมูลส่วนบุคคลที่เก็บรวบรวมอย่างไม่ถูกต้องอาจกลายเป็นสิ่งที่ผู้เชี่ยวชาญด้านธุรกรรมเรียกกันมากขึ้นว่า “สินทรัพย์พิษ” (Toxic Asset) กล่าวคือ เป็นสินทรัพย์ที่ดูมีมูลค่าในเอกสาร แต่กลับก่อให้เกิดความรับผิดทางกฎหมาย ด้านกฎระเบียบ การเงิน และการดำเนินงานหลังจากได้มาซึ่งสินทรัพย์นั้น
ปัญหานี้มักเกิดขึ้นเมื่อบริษัทเป้าหมายสะสมข้อมูลลูกค้ามาเป็นเวลาหลายปีโดยไม่ได้จัดให้มีขั้นตอนการดำเนินงานที่สอดคล้องกับ PDPA ฐานข้อมูลเดิมอาจประกอบด้วยข้อมูลส่วนบุคคลที่เก็บรวบรวมผ่านแบบฟอร์มบนเว็บไซต์ที่ล้าสมัย แคมเปญการตลาดในอดีต รายชื่อผู้สนใจซื้อสินค้าที่จัดซื้อจากบุคคลภายนอก โปรแกรมสมาชิก แอปพลิเคชันบนมือถือ หรือกิจกรรมพัฒนาธุรกิจที่เกิดขึ้นก่อนการบังคับใช้มาตรฐานการคุ้มครองข้อมูลในปัจจุบัน ในระหว่างการตรวจสอบสถานะกิจการ (Due Diligence) ฝ่ายบริหารอาจนำเสนอฐานข้อมูลที่มีประวัติลูกค้าหลายแสนรายการและประเมินว่าสินทรัพย์ดังกล่าวมีมูลค่าสูง อย่างไรก็ตาม หากไม่สามารถแสดงหลักฐานยืนยันฐานทางกฎหมายสำหรับการประมวลผลข้อมูลได้ ผู้ซื้ออาจพบหลังจากธุรกรรมเสร็จสมบูรณ์แล้วว่าไม่สามารถใช้ข้อมูลดังกล่าวได้อย่างถูกกฎหมายตามวัตถุประสงค์ที่ใช้เป็นเหตุผลสนับสนุนการจ่ายราคาซื้อกิจการในระดับพรีเมียม
ผลกระทบที่เกิดขึ้นไม่ได้จำกัดอยู่เพียงการปฏิบัติตามกฎระเบียบเท่านั้น ในธุรกรรมจำนวนมาก ฐานข้อมูลลูกค้าได้รับการจัดประเภทเป็นสินทรัพย์ไม่มีตัวตนที่สามารถระบุได้ในระหว่างกระบวนการจัดสรรราคาซื้อ (Purchase Price Allocation) กระบวนการบัญชีสำหรับการซื้อกิจการอาจกำหนดมูลค่าที่มีนัยสำคัญให้แก่ความสัมพันธ์กับลูกค้า ฐานข้อมูลการตลาด โปรไฟล์ผู้ใช้งาน ข้อมูลพฤติกรรม และสินทรัพย์ดิจิทัลที่เกี่ยวข้อง โดยทั่วไป การประเมินมูลค่าเหล่านี้ตั้งอยู่บนสมมติฐานว่าข้อมูลที่ได้มาจะสามารถสร้างประโยชน์เชิงเศรษฐกิจในอนาคตได้
หากการตรวจสอบหลังจากธุรกรรมเสร็จสมบูรณ์พบว่าบริษัทเป้าหมายไม่มีบันทึกความยินยอมที่ถูกต้อง ไม่สามารถแสดงฐานทางกฎหมายที่เหมาะสมสำหรับการประมวลผลข้อมูล หรือไม่ปฏิบัติตามข้อกำหนดของ PDPA ผู้ซื้ออาจเผชิญกับข้อจำกัดอย่างมากในการนำข้อมูลดังกล่าวไปใช้ แคมเปญการตลาดอาจจำเป็นต้องระงับ โครงการวิเคราะห์และจัดทำโปรไฟล์ลูกค้าอาจมีข้อสงสัยด้านความชอบด้วยกฎหมาย การแบ่งปันข้อมูลระหว่างบริษัทในเครืออาจต้องมีมาตรการกำกับดูแลเพิ่มเติม และในกรณีร้ายแรง อาจจำเป็นต้องลบข้อมูลบางส่วนออกจากฐานข้อมูลทั้งหมด
เมื่อประโยชน์เชิงเศรษฐกิจที่คาดการณ์ไว้ไม่สามารถเกิดขึ้นได้ ผลกระทบทางบัญชีอาจมีนัยสำคัญ ภายใต้มาตรฐานการรายงานทางการเงินที่เกี่ยวข้อง ฝ่ายบริหารต้องประเมินว่าสินทรัพย์ไม่มีตัวตนที่ได้มานั้นยังคงมีมูลค่าตามบัญชีที่บันทึกไว้รองรับอยู่หรือไม่ หากประโยชน์เชิงเศรษฐกิจในอนาคตลดลงเนื่องจากข้อจำกัดทางกฎหมายในการใช้ข้อมูล ผู้ซื้ออาจต้องรับรู้ผลขาดทุนจากการด้อยค่าของสินทรัพย์ไม่มีตัวตนที่เกี่ยวข้องกับลูกค้าเป็นจำนวนมาก ผลที่ตามมาอาจรวมถึงกำไรที่ลดลงทันที อัตราส่วนทางการเงินที่สำคัญแย่ลง และการปรับลดมูลค่าสินทรัพย์ที่เพิ่งซื้อมาเมื่อไม่กี่เดือนก่อนอย่างมีนัยสำคัญ
ด้วยเหตุนี้ การตรวจสอบสถานะด้านการคุ้มครองข้อมูลส่วนบุคคลในปัจจุบันจึงขยายขอบเขตไปไกลกว่าการตรวจสอบนโยบายความเป็นส่วนตัวของบริษัท ผู้ซื้อที่มีความรอบคอบจะประเมินกรอบการกำกับดูแลข้อมูล กลไกการเก็บรวบรวมความยินยอม นโยบายการเก็บรักษาข้อมูล มาตรการรักษาความมั่นคงปลอดภัยทางไซเบอร์ ข้อตกลงการแบ่งปันข้อมูลกับบุคคลภายนอก การโอนข้อมูลระหว่างประเทศ ประวัติการละเมิดข้อมูล และฐานทางกฎหมายที่รองรับการประมวลผลข้อมูลส่วนบุคคลแต่ละประเภทของธุรกิจเป้าหมายอย่างละเอียด เป้าหมายไม่ได้อยู่เพียงการระบุความเสี่ยงด้านกฎระเบียบ แต่ยังรวมถึงการตรวจสอบว่าสินทรัพย์ข้อมูลที่กำลังจะได้มาสามารถสร้างมูลค่าทางเศรษฐกิจได้จริงตามที่สะท้อนอยู่ในราคาซื้อหรือไม่
ประเด็นนี้มีความสำคัญเป็นพิเศษในอุตสาหกรรมที่มูลค่ากิจการขึ้นอยู่กับข้อมูลลูกค้าเป็นอย่างมาก ธุรกิจอีคอมเมิร์ซ แพลตฟอร์มดิจิทัล ผู้ให้บริการซอฟต์แวร์ บริษัทเทคโนโลยีทางการเงิน บริษัทเทคโนโลยี ผู้ประกอบการด้านการดูแลสุขภาพ ผู้ให้บริการด้านการศึกษา เอเจนซีการตลาด และธุรกิจที่ใช้รูปแบบการสมัครสมาชิก มักมีมูลค่ากิจการส่วนสำคัญที่มาจากสินทรัพย์ข้อมูลลูกค้า ในอุตสาหกรรมเหล่านี้ การปฏิบัติตาม PDPA ไม่ใช่เพียงประเด็นทางกฎหมายอีกต่อไป แต่เป็นองค์ประกอบพื้นฐานของการประเมินมูลค่าสินทรัพย์
เนื่องจากผลกระทบที่อาจรุนแรง ผู้ซื้อจึงเรียกร้องมาตรการคุ้มครองที่เกี่ยวข้องกับ PDPA ในสัญญาซื้อขายหุ้น (Share Purchase Agreement หรือ SPA) เพิ่มมากขึ้น ผู้ขายอาจต้องให้คำรับรองและคำรับประกันโดยละเอียดว่าข้อมูลส่วนบุคคลได้รับการเก็บรวบรวม ประมวลผล จัดเก็บ และเปิดเผยอย่างสอดคล้องกับกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ผู้ซื้อมักเรียกร้องคำรับรองเฉพาะเกี่ยวกับบันทึกความยินยอม ประกาศความเป็นส่วนตัว มาตรการรักษาความมั่นคงปลอดภัยทางไซเบอร์ เหตุการณ์ข้อมูลรั่วไหล การประมวลผลข้อมูลโดยบุคคลภายนอก และการไม่มีการสอบสวนจากหน่วยงานกำกับดูแล ในกรณีที่สินทรัพย์ข้อมูลเป็นองค์ประกอบสำคัญของมูลค่าธุรกรรม คำรับรองและคำรับประกันทั่วไปมักได้รับการเสริมด้วยข้อกำหนดการชดใช้ค่าเสียหายเฉพาะ เพื่อคุ้มครองผู้ซื้อจากความสูญเสียในอนาคตที่เกิดจากการไม่ปฏิบัติตามกฎหมายก่อนวันปิดธุรกรรม
ความสำคัญของมาตรการคุ้มครองเหล่านี้ไม่อาจมองข้ามได้ ต่างจากความเสี่ยงด้านการดำเนินงานหลายประเภท ข้อบกพร่องด้านการคุ้มครองข้อมูลมักไม่ปรากฏให้เห็นจนกว่าจะเริ่มกระบวนการรวมกิจการหลังจากธุรกรรมเสร็จสมบูรณ์ เมื่อพบปัญหา ราคาซื้อกิจการก็ได้ชำระไปแล้ว และผู้ซื้ออาจมีทางเลือกในการเยียวยาความเสียหายอย่างจำกัด หากไม่ได้เจรจาเงื่อนไขสัญญาเพื่อให้มีการคุ้มครองที่เพียงพอตั้งแต่ระหว่างการทำธุรกรรม
สำหรับนักลงทุน กองทุนไพรเวทอิควิตี้ และผู้ซื้อกิจการเชิงกลยุทธ์ บทเรียนนี้ชัดเจนมากขึ้นเรื่อย ๆ ว่ามูลค่าของฐานข้อมูลลูกค้าไม่ได้ขึ้นอยู่กับจำนวนรายการข้อมูลที่มีอยู่ แต่ขึ้นอยู่กับความสามารถในการนำข้อมูลเหล่านั้นไปใช้ได้อย่างถูกกฎหมาย ฐานข้อมูลที่มีโปรไฟล์ลูกค้าหนึ่งล้านรายการอาจมีมูลค่าน้อยกว่าฐานข้อมูลที่มีข้อมูลหนึ่งแสนรายการซึ่งปฏิบัติตามข้อกำหนดอย่างครบถ้วนและสามารถนำไปใช้ได้อย่างถูกกฎหมาย
ในการทำธุรกรรมควบรวมและซื้อกิจการสมัยใหม่ ข้อมูลควรได้รับการประเมินด้วยความเข้มงวดในระดับเดียวกับการตรวจสอบงบการเงิน ภาระภาษี และใบอนุญาตตามกฎระเบียบ ฐานข้อมูลลูกค้าที่ไม่สามารถนำไปสร้างรายได้ได้อย่างถูกกฎหมายไม่ได้เป็นเพียงปัญหาด้านการปฏิบัติตามข้อกำหนดเท่านั้น แต่ยังเป็นปัญหาด้านการประเมินมูลค่า ปัญหาทางบัญชี และท้ายที่สุดคือปัญหาด้านมูลค่าของธุรกรรม ผู้ซื้อที่ไม่ตระหนักถึงความแตกต่างนี้เสี่ยงต่อการจ่ายราคาพรีเมียมสำหรับสินทรัพย์ที่อาจไม่สามารถสร้างผลตอบแทนทางเศรษฐกิจตามที่ใช้เป็นเหตุผลสนับสนุนการซื้อกิจการตั้งแต่แรก
เมื่อข้อมูลกลายเป็นรากฐานสำคัญของมูลค่ากิจการมากขึ้น การปฏิบัติตาม PDPA จึงไม่ใช่เพียงหน้าที่ตามกฎหมายอีกต่อไป แต่เป็นปัจจัยสำคัญที่กำหนดว่าสินทรัพย์ที่มีมูลค่าสูงที่สุดของบริษัทนั้นเป็นสินทรัพย์ที่สร้างประโยชน์ได้จริงหรือไม่
