Aandachtspunten onder de AVG en de UAVG
Bij een bedrijfsovername of het aangaan van een samenwerkingsovereenkomst spelen persoonsgegevens vrijwel altijd een rol. Denk aan gegevens van werknemers, klanten, leveranciers, patiënten of andere relaties. De Algemene verordening gegevensbescherming (AVG), aangevuld door de Uitvoeringswet AVG (UAVG), stelt strikte eisen aan het verwerken, delen en overdragen van deze gegevens. Onvoldoende aandacht voor privacy kan leiden tot aanzienlijke risico’s, waaronder boetes, claims en vertraging van de transactie.
In dit artikel wordt uiteengezet waarop partijen in een overnameovereenkomst of samenwerkingsovereenkomst specifiek moeten letten vanuit privacyrechtelijk perspectief.
1. Privacy due diligence
Een zorgvuldige privacy due diligence is essentieel. De koper of samenwerkingspartner moet inzicht krijgen in:
- welke persoonsgegevens worden verwerkt;
- voor welke doeleinden en op welke rechtsgrond;
- of wordt voldaan aan beginselen als dataminimalisatie, transparantie en beveiliging;
- of er sprake is van bijzondere categorieën persoonsgegevens (zoals medische of strafrechtelijke gegevens);
- of er datalekken zijn geweest en hoe die zijn afgehandeld.
In de praktijk wordt privacy vaak nog meegenomen in een algemene juridische due diligence, maar gezien de mogelijke impact verdient dit onderwerp een expliciete en afzonderlijke beoordeling.
2. Rechtsgrond voor gegevensdeling tijdens de transactiefase
Tijdens onderhandelingen en due diligence worden regelmatig persoonsgegevens gedeeld. Dat is niet zonder meer toegestaan. Belangrijke aandachtspunten zijn:
- Gerechtvaardigd belang kan hiervoor soms een grondslag zijn, maar vereist altijd een belangenafweging.
- Het delen van méér gegevens dan noodzakelijk is, is in strijd met de AVG.
- Waar mogelijk moeten gegevens worden geanonimiseerd of gepseudonimiseerd.
- In sommige gevallen is een geheimhoudingsovereenkomst (NDA) met specifieke privacybepalingen noodzakelijk.
Een commerciële overname op zichzelf rechtvaardigt niet automatisch vergaande gegevensverwerking; dat volgt ook uit gangbare AVG-interpretaties in de praktijk.
3. Overgang van persoonsgegevens bij een overname
a. Activa-/passiva-transactie
Bij een activa-/passiva-overname worden persoonsgegevens niet automatisch “meegenomen”. Per categorie gegevens moet worden beoordeeld:
- of overdracht noodzakelijk is;
- op welke rechtsgrond;
- of betrokkenen vooraf moeten worden geïnformeerd.
b. Aandelentransactie
Bij een aandelentransactie blijft de rechtspersoon dezelfde, maar verandert de zeggenschap. Ook dan is relevant:
- of het doel van de gegevensverwerking wijzigt;
- of privacyverklaringen moeten worden aangepast;
- of interne toegang tot gegevens verandert.
4. Verwerkingsverantwoordelijke of verwerker?
Bij samenwerkingsovereenkomsten (bijvoorbeeld joint ventures of gezamenlijke dienstverlening) is het cruciaal om vast te stellen:
- wie verwerkingsverantwoordelijke is;
- of sprake is van gezamenlijke verwerkingsverantwoordelijkheid (art. 26 AVG);
- of één partij als verwerker optreedt voor de ander (art. 28 AVG).
Deze kwalificatie moet niet alleen feitelijk kloppen, maar ook contractueel correct worden vastgelegd.
5. Contractuele bepalingen: wat moet erin?
In overname- en samenwerkingsovereenkomsten verdienen onder meer de volgende privacybepalingen aandacht:
a. Verklaringen en garanties
Denk aan garanties dat:
- de organisatie voldoet aan de AVG/UAVG;
- privacyverklaringen en interne policies op orde zijn;
- geen lopende onderzoeken of sancties van de Autoriteit Persoonsgegevens bestaan;
- geen datalekken zijn verzwegen.
b. Vrijwaringen en aansprakelijkheid
Gezien de hoogte van mogelijke AVG-boetes is het raadzaam expliciet vast te leggen:
- wie aansprakelijk is voor pre-existente privacyovertredingen;
- hoe schade, boetes en claims worden verdeeld;
- of specifieke vrijwaringen gelden voor privacyrisico’s.
c. Geheimhouding en databeveiliging
Naast algemene geheimhoudingsclausules moet aandacht worden besteed aan:
- technische en organisatorische beveiligingsmaatregelen;
- toegangsbeperkingen;
- datalekmeldingen en samenwerking bij incidenten.
Geheimhoudingsbepalingen zijn standaard opgenomen in overnameovereenkomsten, maar bevatten niet altijd een expliciete privacy-insteek.
6. Informatieplicht richting betrokkenen
Na afronding van de transactie of start van de samenwerking moeten betrokkenen vaak worden geïnformeerd over:
- wijziging van verwerkingsverantwoordelijke;
- nieuwe doeleinden of samenwerkingspartners;
- gewijzigde rechten of contactpunten.
Dit volgt rechtstreeks uit de transparantieverplichtingen van de AVG en wordt in de praktijk nog regelmatig onderschat.
7. Tot slot
Privacy is allang geen “bijzaak” meer bij overnames en samenwerkingen. Onvoldoende compliance kan:
- de waarde van de onderneming beïnvloeden;
- leiden tot aanvullende garanties of prijsaanpassingen;
- in extreme gevallen zelfs een deal blokkeren.
Een tijdige en grondige privacy-analyse, vertaald naar duidelijke contractuele afspraken, is daarom essentieel.
