De bescherming van persoonsgegevens bij een overname

Als uw onderneming betrokken is bij een overname waarbij ook de koop of verkoop van een klantenbestand deel uitmaakt van de transactie moet u rekening houden met de bescherming van persoonsgegevens. Privacyregels bepalen of een klantenbestand mag worden verkocht en, zo ja, of de gegevens gebruikt mogen worden door de koper. In deze blog belichten we een aantal belangrijke juridische aspecten die hierbij van belang zijn.

De bescherming van persoonsgegevens is in Nederland geregeld in de Wet bescherming persoonsgegevens (Wbp). Er is sprake van een persoonsgegeven als een gegeven – al dan niet in combinatie met andere gegevens –  herleidbaar is tot een natuurlijke persoon (artikel 1 Wbp). Deze natuurlijke personen worden in de Wbp ‘betrokkenen’ genoemd. In de praktijk is snel sprake van een persoonsgegeven.

De Wbp vereist onder andere dat persoonsgegevens in overeenstemming met de Wpb en op behoorlijke en zorgvuldige wijze worden gebruikt (artikel 6 Wbp). Het verzamelen van persoonsgegevens is toegestaan voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (artikel 7 en 8 Wbp). Verdere verwerking voor een ander is alleen toegestaan als dit doel verenigbaar is met het doel waarvoor de persoonsgegevens oorspronkelijk zijn verzameld (artikel 9 Wbp).

Als een klantenbestand wordt overgedragen is sprake van ‘verwerking’ onder de Wpb. De bij een transactie betrokken partijen moeten zich daarom altijd de vraag stellen hoe de overdracht van een klantenbestand in overeenstemming met de Wbp vorm kan worden gegeven. De overdracht van een klantenbestand is gerechtvaardigd indien de uitvoering van de overeenkomsten met de betreffende klanten (de betrokkenen na de overname worden voortgezet door de koper (artikel 8 sub b Wbp).

Uiteraard kunnen bij een overname ook veel andere persoonsgegevens betrokken zijn dan klantenbestanden (zoals de gegevens van (zakelijke) contactpersonen of tekenbevoegden, personeelsgegevens, leveranciersgegevens etc.). Als de personen wiens gegevens het betreft geen partij zijn bij de over te dragen overeenkomsten, moet er een andere rechtvaardiging zijn voor de overdracht dan het hiervoor genoemde artikel 8, sub b Wbp. Deze rechtvaardiging kan bijvoorbeeld zijn het gerechtvaardigd belang van verkoper (artikel 8 sub f Wbp). Indien een gerechtvaardigd belang ontbreekt is toestemming van de betrokkenen vereist (artikel 8 sub a Wbp). Over het algemeen kwalificeert het bedrijfsbelang van de verkoper bij de overdracht van dergelijke gegevens in het kader van een overname als een gerechtvaardigd belang. Als de verkoper geen gerechtvaardigd belang heeft bij de overdracht van deze persoonsgegevens zit er niets anders op dan toestemming te vragen aan de betrokkenen voor de overdracht hiervan. Na de overdracht moet ook de koper een gerechtvaardigd belang hebben voor het verwerken van de persoonsgegevens.

Let op, vanuit het oogpunt van transparantie kan het noodzakelijk zijn betrokkenen te informeren over de overdracht van de gegevens en de verdere verwerking door koper (artikel 33 en 34 Wbp). Dit is afhankelijk van de specifieke omstandigheden, waaronder de aard van de gegevens en het gebruik ervan, maar bijvoorbeeld ook het door uw onderneming gehanteerde privacyreglement.

De Algemene Verordening Gegevensbescherming (AVG) die per 25 mei 2018 de Wbp vervangt brengt geen inhoudelijke verandering met zich mee ten opzichte van deze verplichtingen. Echter, de boetemaxima die de toezichthouder, de Autoriteit Persoonsgegevens, kan opleggen zijn sterk verhoogd.

Mede gelet op de groeiende aandacht voor de bescherming van persoonsgegevens en de aanstaande verhoging van de boetemaxima in de AVG zou een privacyparagraaf niet mogen ontbreken in elk (vendor) due diligence rapport.

Meer weten?

Voor meer informatie over de bescherming van persoonsgegevens bij overnames of andere privacy gerelateerde onderwerpen kunt u vrijblijvend contact opnemen met ons.