COREDO – EU Legal & Compliance Services Expertní právní poradenství, licencování finančních služeb (EMI, PSP, CASP dle MiCA) a AML/CFT compliance v rámci celé Evropské unie. Se sídlem v Praze poskytujeme komplexní regulační řešení v Německu, Polsku, Litvě a ve všech 27 členských státech EU.
Grigorii Lutcenko
04.04.2026 | 6 minutové čtení
Aktualizováno: 04.04.2026
Když jsem od roku 2016 spouštěl COREDO jako právně‑finanční poradenství, hned jsme se rozhodli: jakákoli mezinárodní transakce klienta musí být bezpečná z hlediska dat a průhledná pro regulátory, jinak nestojí riziko. Za tu dobu tým COREDO realizoval desítky projektů v EU, ve Spojeném království, v Singapuru a v Dubaji, kde se důvěrnost a přístup k datům v clean team často stávaly buď urychlovačem transakce, nebo jejím brzdičem. V tomto článku jsem shromáždil pracovní postupy, které ukazují, jak zorganizovat clean team při fúzích a akvizicích tak, aby byla dodržena antimonopolní omezení, požadavky na osobní údaje a byla chráněna obchodní tajemství, aniž by byl zablokován proces due diligence.
Naše zkušenost v COREDO ukázala: že pokud správně navrhnete clean room pro M&A, získáte řízený přístup k jádru podnikání cílové společnosti a zároveň snížíte regulační a kybernetická rizika. Níže: krokový přehled právního, technického a organizačního rámce, plus příklady, jak to funguje v EU, v Asii a při mezijurisdikčních transakcích.
Proč clean team při fúzích a akvizicích a hranice výměny informací
Důvěrnost clean team: nejde o formální NDA, ale o systém oprávnění, postupů a technologií, které poskytují právě to množství informací, které je potřeba pro posouzení transakce, a nic víc.
Hlavní cíl: vyloučit protisoutěžní výměnu citlivých údajů (např. o cenách, maržích, seznamech zákazníků) před uzavřením transakce a zajistit ochranu osobních údajů. Praxe COREDO potvrzuje: absence takového systému zvyšuje riziko antimonopolních nároků a úniků, a také komplikuje integraci po uzavření.
Antimonopolní rizika a clean team vždy jdou ruku v ruce. regulátoři v EU a ve Velké Británii sledují, zda si strany vyměňovaly strategicky citlivé informace. Někdy se na trhu objevuje formulace «obcházení antimonopolních zákazů prostřednictvím clean team», ale přesněji je hovořit o tom, jak se vyhnout porušení zákazů pomocí čistých kanálů a informačních bariér. To znamená: data jsou strukturována a filtrována prostřednictvím nezávislých expertů a externích právníků, a rozhodnutí o přístupu jsou dokumentována.
Architektura čisté místnosti a role
Projekt zahajuji modelováním clean room: jde o řízené prostředí přístupu k datům, kde platí informační bariéry clean team (Chinese walls). Do něj jsou připouštěny pouze osoby s potvrzenou rolí a úkolem, obvykle jde o nezávislé experty, externí právníky a omezený okruh analytiků. Tým COREDO často zavádí outside counsel filter, kdy primární přístup k zdrojovým datům mají pouze externí právníci, zatímco byznysoví uživatelé kupujícího dostávají anonymizované nebo agregované výstupy.
Role nezávislého experta v clean team je kritická. On validuje metodiky agregace a anonymizace, a také připravuje analytické zprávy, které neporušují antimonopolní omezení. Role externích právníků v clean team: kontrolovat soulad výměny dat s NDA, clean team agreement a příslušným právem, a také provádět privilege review, aby právní výsada advokát‑klient nebyla ztracena.
GDPR a přeshraniční přenosy
Právní zajištění clean team začíná sadou dokumentů: dohoda o důvěrnosti clean team, clean team agreement (a její praktický vzor s kontrolním seznamem příloh), plus dohoda o zpracování údajů (DPA) pro clean team.
V DPA stanovujeme role správce/zpracovatele, účely a právní důvody zpracování, doby uchování a mechanismy mazání. V clean team agreement zapisujeme kategorie údajů, úrovně přístupu, zákazy zpětné reidentifikace a postup eskalace.
GDPR a clean team vyžadují zvláštní pozornost. Vždy zahajuji DPIA (posouzení dopadu na ochranu osobních údajů) pro clean team, pokud dochází k systematickému zpracování PII, a také schvaluji základní postupy DSAR a činnost DPO. Při mezistranném přenosu dat a požadavcích GDPR stanovujeme právní mechanismy přeshraničního přenosu: standardní smluvní doložky (SCC) a někdy i doplňující opatření související s důsledky Schrems II.
Pokud jsou dotčeny jurisdikce se specifickými režimy, PIPL (Čína), PDPA (Singapur), APPI (Japonsko), PDPO (Hongkong), POPIA (Jižní Afrika), Zákon o ochraně osobních údajů Nigérie, kontrolujeme požadavky na umístění dat a přidáváme místní doložky.
Mechanismy Safe harbour a ochranná opatření v našich dokumentech: to jsou jasné zákazy používání údajů mimo účely transakce, povinnosti oznamovat porušení a protokol mazání/vrácení. Tým COREDO zohledňuje právní rizika zveřejnění vůči regulátorům: vymezujeme eDiscovery a litigation hold, aby měl klient při žádostech připravené a legitimní řetězce uchovávání.
Přístup a audit: kdo a kdy vidí data
Řízení přístupu v clean team stavíme na principu nejmenších oprávnění. Kombinujeme RBAC (řízení přístupu na základě rolí) a ABAC (atributové řízení přístupu), kde role určuje základní sadu práv, a atributy, kontext (jurisdikce, typ dat, denní doba, IP).
Pro kritické role zavádíme PAM: řízení privilegovaného přístupu, stejně jako jednorázové tokeny a dočasné účty.
Zkušenosti COREDO potvrzují efektivitu ověřování založeného na rolích (role‑based attestation) a pravidelné recertifikace: každých 30–60 dní vlastníci systémů přehodnocují, kdo a proč přístup potřebuje. Řízení přístupových práv s omezenou platností pomáhá udržet okno rizika na minimu, zvláště během intenzivní korespondence a výměny souborů. Pro transakce s vysokým rizikem budujeme architekturu zero trust, kterou doplňujeme o MFA a geo‑omezení.
Logování a audit přístupu v clean team nejsou formality, ale základ ochrany. Zahrnujeme neměnné záznamy (immutable logs), nahrávání relací a kontrolu uživatelských aktivit. SIEM monitorovací systémy bezpečnosti a UEBA analyzují anomálie chování, a triggery okamžitě blokují podezřelé relace. Forensics readiness a propracovaný response plan při úniku zkracují dobu reakce a umožňují splnit lhůty pro oznámení o narušení ochrany osobních údajů v různých jurisdikcích.
Ochranná opatření: šifrování a izolace
Technická ochranná opatření pro clean team začínají šifrováním dat v klidu i při přenosu. Pro klíče používáme KMS a HSM, rozdělujeme práva pro správu klíčů a administraci systémů. V některých projektech používáme Trusted Execution Environment (TEE) nebo Secure Enclave pro izolaci výpočtů, a pro vysoce citlivá aktiva pomáháme spouštět air‑gapped izolovaná prostředí.
Důkladně vybíráme poskytovatele VDR a kritéria výběru zahrnují shodu se SOC 2, ISO 27001 a ISO 27701, auditní záznamy, nahrávání relací, kontrolu tisku/stahování, podporu watermarkingu a granulárního RBAC. Požadavky na cloudové poskytovatele pro clean team zahrnují možnosti data residency, SLA a SLO na úrovni smlouvy, export logů do SIEM a kontrolu rizik dodavatelského řetězce. Bezpečnost data clean roomu posilujeme tokenizací dat, hashováním dokumentů pro ověření integrity a monitoringem úniků s automatickým výběrem indikátorů kompromitace.
Politika uchovávání a mazání dat clean teamu stanovuje jasné doby uchovávání, postup bezpečného smazání a ověření smazání prostřednictvím zpráv poskytovatelů a externího auditu. Nasazení PAM a záznam relací, stejně jako oddělené domény pro různé jurisdikce, snižují riziko neoprávněné replikace mezi jurisdikcemi.
maskování a diferenciální soukromí
Minimalizace dat pro clean team: moje první otázka na začátku: které otázky transakce můžeme vyřešit pomocí agregátů, deidentifikovaných sad a syntetických dat.
Псевдонимизация и анонимизация для Due Diligence помогают убрать прямые идентификаторы, а риск реидентификации после псевдонимизации мы считаем с учетом редких комбинаций атрибутов. Метрики риска реидентификации включают k‑анонимность, l‑diversity и t‑closeness, а для особо чувствительных задач применяю differential privacy.
Postup redaction a privilege review by měl být automatizovaný, ale s právním dohledem. Řešení vyvinuté v COREDO kombinuje automatizaci redaction pomocí NLP a strojového učení pro odhalování PII s ruční kontrolou advokáty v režimu outside counsel.
Použití syntetických dat pro due diligence se ukázalo obzvlášť efektivní v projektech s omezeními PDPA a APPI, kde bylo potřeba demonstrovat modely chování bez odhalování osobních údajů.
Pro složitou kooperaci analytiků z různých společností používám secure multiparty computation (SMPC) a homomorfní šifrování v clean room, když je třeba společně vypočítat metriky bez zveřejnění původních datasetů. Ano, to zvyšuje náklady a vyžaduje kvalifikaci, ale v etapách, kde je zveřejnění nemožné, tyto metody nabízejí bezpečnou alternativu.
VDR a antimonopolní kontroly při fúzích a akvizicích
Použití virtuální datové místnosti pro clean team: je to standardní postup, ale je důležité propojit ji s pracovním tokem M&A. Buduji automatizaci pracovního postupu due diligence: kontrolní seznamy požadavků, SLA pro poskytování dokumentů, trackery stavu a automatická kontrola termínů. Integrace clean teamu do M&A procesu zahrnuje gate‑kontrolu: bez provedeného privilege review a redactionu se balík nedostane k byznysovým uživatelům.
Příprava na antimonopolní kontroly prostřednictvím clean teamu: jde o školení týmů, mapu informačních bariér a plán zveřejnění, který lze předložit regulátorovi. Právní výsada advokát‑klient chrání vaši hodnotící analýzu, pokud správně označujete komunikaci a dodržujete outside counsel filter.
V případě potřeby spouštíme eDiscovery a zachování důkazů přes litigation hold předem, abychom vyvážili úplnost odpovědi regulátorovi a ochranu důvěrnosti.
Škálování v několika jurisdikcích
Škálování clean team při nadnárodních transakcích vyžaduje modulární architekturu. Mezinárodní přenosy dat v rámci clean team řešíme prostřednictvím SCC nebo jiných zákonných mechanismů, a pro rezidenci dat: vyčleňujeme regionální VDR a segmenty sítí.
V EU, v Česku, na Slovensku, na Kypru a v Estonsku tým COREDO nasazoval takové segmenty paralelně se strukturací SPV a registrací právnických osob, aby nezdržoval korporátní proces.
Řízení rizik třetích stran (third‑party risk management) je kritické: due diligence dodavatele kontroly dodavatelů zahrnují hodnocení SOC 2/ISO 27001, zprávy z penetračních testů, DPA, DPIA a technická opatření. Pro poskytovatele clean team stanovím SLA a SLO pro dostupnost, dobu obnovy a RPO, a také požadavky na logy podle regulatorních standardů. Periodický audit a recertifikace přístupů u dodavatelů snižují riziko laterálního průniku.
Jak změřit ROI, termíny a náklady
Vliv clean teamu na dobu uzavření transakce často závisí na tom, kdy jste začali. Pokud jsou architektura a dokumenty připraveny před zahájením due diligence, vidíme zrychlení o 15–30 % v době uzavření.
KPI transakce: doba uzavření, náklady na shodu, riziko úniku dat, to jsou tři metriky, které používám pro výpočet efektivity. K nim přidávám ukazatele odpovědí na DSAR, metriky incidentů a stabilitu SLA poskytovatele.
Náklady na zavedení clean teamu a ROI se skládají z licencí VDR, služeb externích právníků a expertů, integrace SIEM/UEBA a také školení. V praxi se cena na uživatele a cenové modely liší: někteří poskytovatelé účtují fixní poplatek za dataroom plus balíčky uživatelů, konzultanti — fixní vs. hodinová sazba za služby. Výpočet ROI při zavádění clean teamu zohledňuje ušetřené náklady za incident, zkrácení termínů a snížení nákladů na právní doprovod při kontrolách.
pojištění kybernetických rizik při M&A a clean teamu: užitečná vrstva ochrany, pokud pojistka kryje incidenty ve VDR, únik PII a regulační pokuty. Korporátní odpovědnost a reporting clean teamu jsou formalizovány prostřednictvím pravidelných zpráv představenstvu o přístupech, incidentech a výsledcích auditu.
Případy COREDO: EU/Velká Británie/Singapur
Nedávno tým COREDO doprovázel akvizici platební společnosti v EU s paralelní žádostí o finanční licenci v jedné ze zemí Unie. Vytvořili jsme clean room u poskytovatele s certifikacemi ISO 27001 a ISO 27701, zavedli RBAC/ABAC a osobní údaje klientů prošly pseudonymizací a agregací. DPIA pro clean team potvrdila dostatečnost opatření a SCC s dodatečnými šifrovacími zárukami vyřešil otázku Schrems II. V důsledku toho due diligence proběhlo během osmi týdnů a regulátor nepoložil dotazy k výměně dat.
Ve Velké Británii náš klient z oblasti forexu kupoval fintech v Estonsku. Řešení vyvinuté v COREDO použilo outside counsel filter: externí právníci prováděli privilege review a automatickou redakci na bázi NLP. Použili jsme k-anonymitu a l-diversity pro výběry klientů a obchodní podmínky smluv jsme skryli pomocí tokenizace a syntetických dat. Protimonopolní úřad obdržel přehlednou mapu informačních stěn a transakce proběhla bez prodlev.
V Singapuru jsme nastavovali clean team pro multijurisdikční transakci s účastí společnosti z Dubaje a holdingu ve Velké Británii. PDPA a GDPR vyžadovaly oddělené VDR s omezeními pro export, plus DPA pro každého poskytovatele. Pro společnou analýzu jsme jinde použili SMPC a přístupy byly udělovány přes dočasné účty s jednorázovými tokeny a recertifikací každé dva týdny. Klient ocenil zkrácení doby odpovědi na dotazy auditorů o 40% a nulovou odchylku v počtu incidentů.
Jak zavést čistý tým s podporou
- Hodnocení rizik ochrany soukromí při transakci a vytvoření registru dat, včetně přístupu k osobním údajům v rámci transakce a ochrana obchodního tajemství při výměně dat.
- DPIA (posouzení dopadu na ochranu údajů) pro clean team a matice přípustných účelů zpracování.
- Smluvní blok: NDA, clean team agreement, DPA, SCC pro přeshraniční přenos dat, a také politika uchovávání a mazání dat clean team.
- Technický návrh: VDR, SIEM/UEBA, PAM, RBAC/ABAC, KMS/HSM, šifrování v klidu a při přenosu, zero trust a TEE v případě potřeby.
- Procesy: процедура redaction и privilege review, outside counsel filter, informační stěny, role nezávislého experta, role externích právníků a školení týmů.
- Zavedení monitoringu a detekce úniků v clean team, test plánu incidentů a forenzní připravenost.
- Integrace s korporátní politikou zpracování důvěrných údajů a AML rámcem, pokud se transakce týká licencovaných činností (krypto, platební služby, forex).
- Uzavření: zprávy z auditů, vymazání dat, aktualizace korporátních standardů a retrospektiva KPI.
Jak se vyhnout častým chybám
Nejčastější chybou je začínat cenzurování a nastavení VDR, když výměna už probíhá. Vždy tyto kroky plánuji před prvním požadavkem na data. Druhou chybou je podcenění místních zákonů o datech: PIPL, APPI, PDPO nebo POPIA rychle promění univerzální politiku ve zdroj rizika, pokud se nebere v úvahu lokální uložení dat a mechanismy přenosu.
- Nadměrná centralizace přístupových práv. Řízení přístupu na základě rolí v clean team a atributová pravidla by měla od počátku omezovat horizontální přesuny, a záznam sezení a neměnné logy by měly poskytovat transparentnost pro audit.
- Šetření na monitoringu: bez SIEM/UEBA neuvidíte tiché anomálie, a bez SLA/SLO od poskytovatelů nedokážete prokázat náležitou péči.
- Víra, že pseudonymizace automaticky vše vyřeší. Riziko reidentifikace zůstává, pokud se nesleduje kombinace atributů, a bez k‑anonymity, l‑diversity, t‑closeness nebo diferenciálního soukromí může být deidentifikace iluzí.
- Ignorování pojištění kyberrizik: správně zvolená pojistka snižuje finanční dopady incidentů.
Čistý tým v mezinárodních transakcích
- Princip minimalizace jako strategická linie: nejprve syntetika a agregáty, pak pseudonymizace a pouze ve výjimkách – původní data.
- Zero trust jako výchozí nastavení: dočasné přístupy, MFA, geo-omezení a nezávislý audit logů.
- Rozdělení rolí a oprávnění: filtr externích právních poradců, nezávislí experti a jasná mapa odpovědnosti.
- Kompatibilita se standardy: soulad se standardem ISO 27001 pro clean room, ISO 27701 pro ochranu soukromí a SOC 2 pro poskytovatele služeb.
- Mezinárodní přenosy dat do clean teamu – pouze při existenci SCC/doplňkových opatření a kontrole lokální rezidentnosti.
- Technologie ochrany soukromí dle určení: SMPC/homomorfní šifrování tam, kde alternativy chybí, jinak strukturální metody a syntetika.
- Řízené náklady: transparentní cenotvorba «fixní proti hodinové» a KPI na dobu uzavření, rizika a soulad.
čistý tým: registrace a licencování
V mnoha projektech COREDO registrace právnické osoby a získání finančních licencí probíhají paralelně s M&A, a clean team pomáhá synchronizovat právní a compliance toky.
V EU a ve Spojeném království při licencování platebních služeb nebo kryptoaktiv regulátoři pečlivě posuzují řízení dat, proto hotové DPA/DPIA a architektura zero trust představují výhodu pro spis. V Singapuru a v Dubaji platí totéž: sjednocené PDPA/místní požadavky na ukládání dat posilují důvěru dohledových orgánů v novou strukturu.
Tým COREDO zajišťuje právní podporu clean team ve spojení s AML poradenstvím: KYC/KYB procesy se integrují do VDR a rozdělení rolí vylučuje nežádoucí přístup k citlivým compliance materiálům. To je obzvlášť důležité u licencí pro forex, platební a kryptoslužby, kde regulátoři očekávají přísnou kontrolu nad PII a záznamy o přístupu.
Spolehlivý partner je důležitější než nástroj
Clean team: to není jen o VDR a NDA. Je to manažerské řešení, které spojuje právo, technologie a proces M&A, snižuje rizika a zachovává dynamiku transakce.
Když přebírám projekt, vycházím ze strategie klienta, ne ze souboru módních technologií: navrhujeme minimalizaci, volíme kompatibilní standardy, nastavujeme monitoring a teprve potom otevíráme dveře analytikům.
Praxe během let působení COREDO v EU, Česku, na Slovensku, na Kypru, v Estonsku, ve Velké Británii, v Singapuru a v Dubaji ukázala: správně nastavený clean team urychluje due diligence, zvyšuje předvídatelnost termínů a chrání před regulatorními a reputačními ztrátami. Pokud plánujete transakci, která zasahuje osobní údaje, antimonopolní rizika nebo licencovanou činnost, zaveďte clean room a informační stěny od začátku. Je to investice, která se vrátí už při prvním dotazu regulátora a zachová hodnotu transakce tam, kde by improvizace stála příliš draho.