Persoonsgegevens delen tijdens een due diligence onderzoek

Wat is een persoonsgegeven?

De AVG is van toepassing op de verwerking (uitwisseling) van persoonsgegevens. Een persoonsgegeven is alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Dat betekent dat informatie ofwel direct over iemand gaat, ofwel naar deze persoon te herleiden is. Denk hierbij aan informatie over werknemers, klanten, crediteuren of debiteuren.

Anonieme gegevens zijn daarentegen geen persoonsgegevens. Dat wil zeggen dat de AVG niet van toepassing is op deze gegevens.

Let wel: gegevens moeten dan wel volledig geanonimiseerd zijn. Dat wil zeggen dat de gegevens op geen enkele wijze meer te herleiden mogen zijn naar een natuurlijk persoon. Zo is bijvoorbeeld het vervangen van namen van werknemers door personeelsnummers niet hetzelfde als het anonimiseren van deze gegevens.

Voorwaarden van het delen van persoonsgegevens

Verder is het uitgangspunt dat het een verkopende partij niet is toegestaan om persoonsgegevens te delen met een potentiële koper in het kader van een due diligence onderzoek. De reden hiervan is dat de verkopende partij vaak niet kan voldoen aan twee wettelijke voorwaarden die gesteld worden aan het delen van persoonsgegevens met derden, zoals een potentiële koper.

Zo mogen persoonsgegevens alleen verwerkt (en dus gedeeld) worden ten behoeve van welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (beginsel van doelbinding). Met betrekking tot een voorgenomen bedrijfsovername zijn de gegevens alleen vaak niet verkregen met het oog op het informeren van een koper in het kader van een due diligence onderzoek. Oftewel: de gegevens zijn meestal voor een ander doel verzameld, waardoor niet aan het beginsel van doelbinding wordt voldaan.

Grondslag delen persoonsgegevens

Daarnaast is er een grondslag vereist voor het delen van de persoonsgegevens. Zolang de transactie alleen niet is afgerond (en er dus geen overeenkomst tot stand is gekomen), is het de vraag of de grondslag ‘uitvoering van een overeenkomst’ gebruikt kan worden om de persoonsgegevens met de potentiële koper te delen. Daardoor bestaat de kans dat er een beroep moet worden gedaan op de grondslag ‘gerechtvaardigd belang’. In dat kader moet een belangenafweging plaatsvinden, waarbij het een vereiste is dat de gerechtvaardigde belangen van de verkoper zwaarder moeten wegen dan de belangen, grondrechten en fundamentele vrijheden van de personen van wie de gegevens worden gedeeld. Deze belangenafweging valt lang niet altijd in het voordeel van de verkoper uit.

In dit kader kan nog gedacht worden aan het vragen van toestemming aan de betrokkene, maar dat blijkt in de praktijk meestal niet werkbaar en haalbaar. Toestemming kan namelijk altijd worden ingetrokken. Bovendien dient toestemming op vrije wijze te worden gegeven. Alleen al in de relatie werkgever-werknemer is dit niet mogelijk vanwege de bestaande gezagsverhouding tussen beide.
Het naleven van privacy wet- en regelgeving speelt een belangrijke rol bij het delen van persoonsgegevens in het kader van een due diligence onderzoek bij een bedrijfsovername. Het is daarom raadzaam om hierover altijd – voorafgaand aan het delen van de gegevens – advies in te winnen.

Onze privacyrecht specialisten staan dan ook voor je klaar en denken graag met je mee over hoe de gevraagde informatie wél op een rechtmatige wijze gedeeld kan worden met de potentiële koper.