Bij fusies en overnames (M&A) spelen persoonsgegevens een belangrijke rol. Sommige bedrijven verwerken enkel medewerkers- en klantgegevens, terwijl bij andere ondernemingen juist klantdata een groot deel van de bedrijfswaarde vormt.
De overdracht van deze gegevens moet voldoen aan de Algemene Verordening Gegevensbescherming (AVG).
Aandelen- versus activa/passiva-transacties
Bij een aandelentransactie wisselen alleen de aandelen van eigenaar en blijft de onderneming – en daarmee de verantwoordelijke voor de persoonsgegevens – ongewijzigd. Hierdoor verandert er voor klanten en medewerkers weinig, en zijn er meestal geen grote AVG-bezwaren.
Bij een activa/passiva-transactie is dat anders. Hier worden bedrijfsonderdelen, inclusief klant- en werknemersgegevens, overgedragen aan een nieuwe partij. Dit mag niet zomaar; er moet een geldige juridische grondslag zijn voor de overdracht van persoonsgegevens.
Welke juridische grondslagen zijn mogelijk?
De AVG biedt enkele specifieke grondslagen voor de verwerking en overdracht van persoonsgegevens bij een bedrijfsovername. Twee daarvan zijn vooral relevant in een M&A-context.
De eerste is expliciete toestemming van de betrokkene, wat vooraf kan worden geregeld door in het privacybeleid duidelijk te vermelden dat persoonsgegevens bij een overname kunnen worden overgedragen. Klanten moeten hier actief mee instemmen. Een nadeel van deze grondslag is echter dat toestemming op elk moment kan worden ingetrokken.
De tweede grondslag is gerechtvaardigd belang van de ondernemer, wat kan worden toegepast wanneer de onderneming als geheel wordt overgenomen en de dienstverlening voor klanten ongewijzigd blijft. In dat geval mag de nieuwe eigenaar de persoonsgegevens blijven gebruiken zoals voorheen, zolang de oorspronkelijke doeleinden niet veranderen.
Strikte uitleg
Wanneer maar enkele activa worden overgenomen, zal echter niet altijd sprake zijn van een gerechtvaardigd belang van de ondernemer voor die overdracht. Of dit het geval is, zal per geval moeten worden beoordeeld, en daarbij bestaat best wat onzekerheid.
De Nederlandse Autoriteit Persoonsgegevens (AP) hanteert namelijk een zeer strikte uitleg van de AVG op dit punt; zij stelde zich tot recent op het standpunt dat overdracht om (louter) commerciële redenen altijd strijdig was mat de AVG – met aanzienlijke boetes tot gevolg voor de partijen die zich daarop baseerde voor de verkoop van persoonsgegevens (zie o.a. Boete KNLTB | Autoriteit Persoonsgegevens, waarbij de Tennisbond ledengegevens aan sponsors verkocht).
Recentelijk heeft het Europees Hof van Justitie de AP echter op de vingers getikt voor die té strikte uitleg. Een verkoop om commerciële redenen is niet per sé in strijd met de AVG. Dit zal per geval moeten worden beoordeeld. De AP heeft dit (schoorvoetend) aangehoord (zie LinkedIn-bericht AP), maar vooralsnog is onduidelijk hoe zij naar vergelijkbare transacties in de toekomst zal kijken. Dit behoeft dus aandacht bij iedere transactie.
Communicatie met betrokkenen
Transparantie is cruciaal. Ongeacht de gekozen grondslag is het essentieel dat klanten en medewerkers tijdig worden geïnformeerd over de overdracht van hun persoonsgegevens en de gevolgen daarvan. Wanneer toestemming de grondslag voor de gegevensverwerking is, moeten klanten de mogelijkheid hebben om deze in te trekken. Bij gerechtvaardigd belang moet de nieuwe eigenaar betrokkenen informeren over de overname en hun rechten.
Daarnaast kunnen klanten zich soms verzetten tegen een contractsovername, waardoor ook de overdracht van hun persoonsgegevens niet doorgaat. Dit kan gevolgen hebben voor de waarde van de klantendatabase en moet daarom vooraf worden meegenomen in de M&A-strategie.
Conclusie: zorg voor doordachte aanpak
Persoonsgegevens spelen een steeds grotere rol in bedrijfsovernames. De ondernemer doet er verstandig aan om op het moment van het verzamelen van persoonsgegevens al na te denken over een eventuele verkoop ervan.
Ondernemers doen er verstandig aan juridisch advies in te winnen om risico’s te minimaliseren en een soepele overname te garanderen.
