AI-Generated
Geschreven door Tim Carapiet-Petit, Thédoor Melchers en Esra Koopman
Bij M&A-transacties zijn persoonsgegevens vaak een cruciaal aandachtspunt. Bij sommige bedrijven beperkt dit zich tot de gegevens van medewerkers en enkele klanten, terwijl bij andere bedrijven de klantgegevens het grootste deel van de waarde vertegenwoordigen. Persoonsgegevens worden in diverse situaties overgedragen, vaak zonder dat de verstrekker van de persoonsgegevens (de ‘Betrokkene’ in de terminologie van de Algemene Verordening Gegevensbescherming (AVG)) daar vooraf bewust van op de hoogte is gesteld.
Aandelen Transactie
Bij een verkoop van de aandelen in een vennootschap en de daarbij behorende onderneming die over al die persoonsgegevens beschikt, gaat dat meestal goed: de ondernemer (de ‘verwerkingsverantwoordelijke’) wijzigt niet, enkel de aandelen wisselen van hand. De uitwisseling van persoonsgegevens tijdens de due diligence-fase van een overnameproces behandelen wij verder niet in deze blog.
Activa-Passiva Transactie
Bij de verkoop van een onderneming via een activa-passiva transactie worden persoonsgegevens zoals klantgegevens, werknemersinformatie en gebruikersdata vaak als separate activa verkocht[1]. Dit kan aantrekkelijk zijn voor de koper, maar de AVG stelt strenge eisen aan hoe met die data mag worden omgegaan. Een onderneming mag persoonsgegevens niet “verkopen” zonder dat daarvoor een geldige juridische grondslag bestaat.
AVG
De AVG geeft een beperkte lijst met juridische grondslagen voor het “verkopen” van persoonsgegevens. Twee daarvan zijn relevant voor M&A-transacties: (i) expliciete toestemming van de betrokkene, of (ii) het rechtmatige belang van de ondernemer, dat zwaarder weegt dan het recht op privacy van de betrokkene[2].
(i) Expliciete toestemming van de betrokkene, wordt idealiter al voordat sprake is van een overname verkregen. Dit kan bijvoorbeeld op het moment dat de persoonsgegevens worden verzameld, zoals wanneer een klant zijn gegevens invult op de website bij de aanvraag van een product. Het privacybeleid moet op dat moment in duidelijke taal aangeven dat de onderneming de persoonsgegevens ook verzamelt om deze te kunnen overdragen wanneer de onderneming wordt verkocht. Als op deze wijze expliciete toestemming van de betrokkene wordt verkregen is de verwerking (in dit geval de overdracht van de persoonsgegevens) in lijn met het oorspronkelijke doel waarvoor de gegevens zijn verzameld (mits de nieuwe eigenaar de gegevens natuurlijk niet op een andere manier gaat gebruiken dan origineel beoogd). Let op: toestemming kan te allen tijde door de betrokkene worden ingetrokken.
(ii) Het rechtmatige belang van de ondernemer kan dienen als grondslag voor de overdracht van persoonsgegevens bij een overname. De onderneming wordt als geheel overgedragen en voortgezet door een andere ondernemer (verwerkingsverantwoordelijke). Voor de betrokkene verandert er feitelijk niets in de dienstverlening, behalve de naam van de dienstverlener. Dit geldt zoals eerder genoemd alleen als de nieuwe eigenaar de persoonsgegevens niet voor andere doeleinden gebruikt.
Voor beide gevallen geldt wel dat de klant op de hoogte moet worden gesteld van de overdracht van de onderneming. Wanneer ‘toestemming van de betrokkene’ als grondslag dient onder de AVG kan op dat moment die toestemming voor de overdracht van de persoonsgegevens door de betrokkene (alsnog) worden ingetrokken. Voor de grondslag ‘rechtmatig belang van de ondernemer’ geldt dat niet, de communicatie aan de klant van die nieuwe eigenaar van de onderneming betreft dan tevens een mededeling van contractovername. Tegen deze contractovername mag een contractpartij (de klant/betrokkene) zich verzetten, waardoor de overdracht van het contract en daarmee de persoonsgegevens niet doorgaat.
Faillissement
Eenzelfde situatie doet zich voor wanneer de onderneming failliet gaat, en de curator de persoonsgegevens wenst over te dragen om zo opbrengst voor de boedel te realiseren. Worden de persoonsgegevens als onderdeel van de grotere onderneming overgedragen en worden deze activiteiten voortgezet (lees: past de verwerking van de nieuwe verwerkingsverantwoordelijke binnen het doel waarvoor de persoonsgegevens origineel zijn verstrekt) dan lijkt er in beginsel niet veel bezwaar te bestaan tegen deze overdracht.
Los actief
Het wordt anders als de persoonsgegevens zelfstandig als losse activa worden overgedragen. Een voorbeeld hiervan is de verkoop van een ledenbestand aan een sponsor (zie KNLTB tegen Autoriteit Persoonsgegevens (AP)). Uit jurisprudentie van het Hof van Justitie blijkt dat het in beginsel mogelijk is persoonsgegevens over te dragen voor commerciële doeleinden. In de zaak van KNLTB had de AP desondanks dergelijke overdrachten telkens afgekeurd en in bepaalde gevallen een aanzienlijke boete opgelegd. Het Europees Hof van Justitie heeft de AP hiervoor nu op haar vingers getikt en aangegeven dat de mogelijkheid om persoonsgegevens om commerciële redenen over te dragen, niet bij voorbaat kan worden uitgesloten op basis van het belang van de ondernemer[3].
Hoewel deze mogelijkheid dus in theorie bestaat, blijft de vraag in hoeverre de persoonsgegevens oorspronkelijk zijn verstrekt om verkocht te worden, en vervolgens om gebruikt te worden voor marketingdoeleinden. Toen ik lid werd van de tennisclub en daarmee automatisch lid van de KNLTB, was ik er niet op bedacht dat mijn gegevens zouden worden gedeeld met externe commerciële partijen en ik lastiggevallen zou worden met reclame-uitingen. Dit illustreert dat het afhangt van het soort gegevens, de partijen aan wie het wordt overgedragen, de motieven en de informatie die in eerste instantie aan de klanten worden verstrekt.
Conclusie
Hoewel het mogelijk is om persoonsgegevens over te dragen bij een M&A-transactie – maar ook daarbuiten, vereist dit zorgvuldige afstemming met privacyregels en vaak goed juridisch advies om compliant te blijven en risico’s te minimaliseren. Laat gerust uw persoonsgegevens achter op onze website voor dat doel.
[1] Dit is juridisch niet helemaal juist, want dergelijke data is geen ‘goed’ en de onderneming is niet de eigenaar ervan. Desalniettemin worden deze gegevens aan de koper ‘overgedragen’, meestal in fysieke vorm door de excel of CRM systeem ter beschikking te stellen.
[2] De AVG bevat meer relevante eisen die verder niet worden besproken in dit blog, zoals proportionaliteit, data minimalisatie en subsidiariteit van de wijze waarop de persoonsgegevens worden verzameld of worden overgedragen.
[3] ECLI:EU:C:2024:857 Hof van Justitie van 4 oktober 2024 ter beantwoording van prejudiciële vragen in de zaak C‑621/22, tussen Koninklijke Nederlandse Lawn Tennisbond tegen Autoriteit Persoonsgegevens
