Als het bij deze uitwisseling van informatie (mede) gaat om persoonsgegevens – zoals lijsten van werknemers en lijsten van (contactpersonen van) klanten – dan is de AVG van toepassing en dient er aan de vereisten uit de AVG voldaan te worden.

Bij overnames gaat het over het algemeen om persoonsgegevens waarvoor de verkoper verantwoordelijk is (verwerkingsverantwoordelijke in zin van de AVG). Het uitgangspunt is dat het een verkoper niet is toegestaan om in het kader van een voorgenomen verkoop persoonsgegevens waarvoor hij verantwoordelijk is te delen met een potentiële koper.

In deze fase van de overname kan over het algemeen namelijk niet worden voldaan aan het beginsel van doelbinding uit de AVG. De gegevens zijn immers vaak niet verkregen met het oog op het informeren van een koper bij een voorgenomen verkoop. Daarnaast zal de op grond van de AVG te maken belangenafweging vaak niet in het voordeel van de verkoper uitvallen.

Hieronder worden zes aanbevelingen gegeven in het kader van de verstrekking van persoonsgegevens bij overnames ten tijde van het due diligence onderzoek. Deze tips zien er met name op dat er niet in strijd met de AVG wordt gehandeld.

Tip 1 – anonimiseren persoonsgegevens

Vaak is het niet nodig voor een verkoper om daadwerkelijk persoonsgegevens te verstrekken aan een potentiële koper en kan volstaan worden met (volledig) geanonimiseerde en/of geaggregeerde gegevens. Op volledig geanonimiseerde gegevens is de AVG niet van toepassing.

Zo is het voor een potentiële koper vaak niet nodig om de identiteit van de werknemers te kennen. Veelal is het voor een potentiële koper voldoende om te weten om hoeveel werknemers het gaat. Daarbij zou bijvoorbeeld op geaggregeerd niveau nog iets gezegd kunnen worden over het aantal jaren dat de betreffende werknemers in dienst zijn, mits die informatie maar niet te herleiden is tot individuen.

Anonimiseer de persoonsgegevens die tijdens een overname met de potentiële koper worden gedeeld zoveel als mogelijk.

Tip 2 – zorg voor juiste doelbinding

Om ervoor te zorgen dat er voldaan wordt aan het beginsel van doelbinding bij het door de verkoper verstrekken van persoonsgegevens aan een potentiële koper zouden de betreffende persoonsgegevens mede voor dat doeleinde verzameld moeten worden door de verkoper.

Als het bijvoorbeeld gaat om persoonsgegevens van werknemers en (contactpersonen van) klanten zou de verkoper dat doeleinde kunnen opnemen in de overeenkomsten die worden gesloten met die werknemers en klanten als een overname in het verschiet ligt. In dat geval zou dat doeleinde opgenomen moeten worden in het verwerkingsregister van de verkoper.

Het is aan te bevelen om – in het kader van een goede voorbereiding op een verkoop – persoonsgegevens waarvan het gewenst is die te delen met een potentiële koper (mede) te verzamelen voor dat doeleinde (indien mogelijk).

Tip 3 – leg de belangenafweging vast

Wanneer een gemaakte belangenafweging goed gedocumenteerd wordt kan daarmee (achteraf) onderbouwd worden waarom de uitkomst van de belangenafweging was dat het gerechtvaardigd belang van de verkoper en potentiële koper zwaarder woog dan de (privacy)belangen van de betrokkenen.

Documenteer een gemaakte belangenafweging over het verstrekken van persoonsgegevens – als die uitvalt in het voordeel van de verkoper en potentiële koper – goed.

Tip 4 – deel persoonsgegevens in delen

Naast het goed documenteren van de belangenafweging is het verstandig om het delen van persoonsgegevens aan een potentiële koper (in het kader van een due diligence onderzoek) zoveel mogelijk in delen te laten verlopen.

Vaak kan in een vroeg stadium van een overname volstaan worden met het delen van minder persoonsgegevens (of zelfs niet tot personen herleidbare gegevens) om het beoogde doel te bereiken. In een later stadium – om de verkoop daadwerkelijk door te laten gaan – kan het nodig zijn om (meer) persoonsgegevens te delen. Pas op dat moment zou dat moeten gebeuren. Op deze wijze is (achteraf) beter te betogen dat er alleen persoonsgegevens werden gedeeld indien dat nodig was voor de overname.

Laat het delen van persoonsgegevens met een potentiële koper in delen verlopen en persoonsgegevens zoveel als mogelijk pas te delen met een potentiële koper op het moment dat er een vrij grote zekerheid bestaat dat de verkoop zal plaatsvinden.

Tip 5 – maak goede afspraken met de potentiële koper

Het is van belang om “grip” te houden op de persoonsgegevens die gedeeld worden met een potentiële koper. Het is daarom belangrijk om goede afspraken te maken met de potentiële koper over hoe hij omgaat met de persoonsgegevens die worden gedeeld. Bijvoorbeeld door overeen te komen dat de potentiële koper de betreffende persoonsgegevens alleen mag verwerken voor het doeleinde waarvoor deze worden gedeeld, dat de potentiële koper de persoonsgegevens goed zal beveiligen en dat de potentiële koper de persoonsgegevens geheim zal houden.

Het is voor verkopers aan te bevelen om goede afspraken te maken met de potentiële koper over het uitwisselen van persoonsgegevens, bijvoorbeeld door middel van een gegevensuitwisselingsovereenkomst en/of geheimhoudingsovereenkomst.

Tip 6 – neem passende technische en organisatorische beveiligingsmaatregelen

Persoonsgegevens die gedeeld worden met een potentiële koper moeten goed beveiligd worden. De verkoper zal daarvoor maatregelen moeten treffen, bijvoorbeeld door ervoor te zorgen dat de potentiële koper alleen in een beveiligde omgeving toegang krijgt tot de persoonsgegeven, dat het niet mogelijk is om de persoonsgegevens uit die omgeving te downloaden/kopiëren en dat slechts bepaalde personen van of namens de potentiële koper toegang krijgen tot de persoonsgegevens. Met die personen zou dan een aparte geheimhoudingsovereenkomst gesloten kunnen worden.

Zorg voor goede beveiligingsmaatregelen met betrekking tot de persoonsgegevens die worden gedeeld met de potentiële koper en daarover afspraken te maken met personen die toegang hebben tot de persoonsgegevens.

Vragen

Wij adviseren u graag over privacyaspecten bij fusies en overnames. Neemt u gerust contact op met Wouter Terpstra of Jasper Scholtens, advocaten binnen ons privacyteam, om te sparren over de mogelijkheden.