Trap niet in de GDPR-valkuil tijdens uw overname

Wanneer u uw onderneming wenst over te laten of wanneer u zelf een onderneming overneemt zullen in principe ook persoonsgegevens van klanten, leveranciers en werknemers daarvan het voorwerp uitmaken. Hierbij is het belangrijk dat al meteen een onderscheid wordt gemaakt tussen een aandelenoverdracht (een zogenaamde “share deal”) of een overdracht van een handelsfonds (een zogenaamde “asset deal”). 

Bij een overdracht van een handelsfonds komen de activabestanddelen die het voorwerp uitmaken van de overdracht toe aan een andere eigenaar en dus zullen de persoonsgegevens die mee worden overgedragen met het handelsfonds worden verwerkt door een andere “verwerkingsverantwoordelijke”. Dit in tegenstelling tot een aandelenoverdracht waarbij enkel de aandelen worden overgedragen en met andere woorden de eigenaar of “verwerkingsverantwoordelijke” niet wijzigt. Het is dus voornamelijk bij een overdracht van een handelsfonds dat voorzichtigheid geboden is op het vlak van bescherming van persoonsgegevens. 

Hoewel de overdracht van persoonsgegevens over het algemeen mogelijk zal zijn op basis van de legitieme grondslag “gerechtvaardigd belang”, is de overnemer wél nog steeds verplicht om de betrokkenen te informeren over het toekomstig gebruik van hun gegevens (artikel 14 GDPR). Deze verplichting geldt zowel in het kader van een asset deal, als in het kader van een share deal

Het voorgaande neemt natuurlijk niet weg dat u ook in het kader van een aandelenoverdracht tijdens uw due diligence onderzoek rekening dient te houden met hoe de targetonderneming haar verwerking van persoonsgegevens organiseert. Wanneer een onderneming persoonsgegevens verwerkt (onder de GDPR verordening wordt hieronder o.a. verstaan het verzamelen, opslaan, ordenen, gebruiken, verstrekken, en verspreiden van persoonsgegevens) is het belangrijk om te weten voor welke doeleinden deze worden verwerkt, of de verwerking rechtmatig is en gegevens niet langer worden verwerkt dan strikt noodzakelijk, of er specifieke procedures zijn voorzien om de rechten van de betrokken personen te vrijwaren of wanneer er sprake zou zijn van een databreach, of er verwerkersovereenkomsten werden afgesloten, of er een data protection officer werd aangesteld, etc. … Het spreekt voor zich dat hierbij de sector waarin de target onderneming actief is hierbij een belangrijke rol speelt. 

Daarnaast mag, ook in het kader van de GDPR, het belang van een goed georganiseerde data room niet worden onderschat. Hierbij is het aangeraden dat beroep wordt gedaan op professionele dienstverleners die instaan voor een goed beveiligde data room die GDPR proof is. Het sluiten van een verwerkersovereenkomst is in het kader van het opzetten van professionele data room dan ook aan te raden. Daarbij is het eveneens van belang dat enkel de persoonsgegevens worden overgemaakt die noodzakelijk en relevant zijn voor de due diligence en speelt ook de fase waarin het overnameproces zich bevindt een rol. In een eerder verkennende fase, waarbij er bijvoorbeeld sprake is van meerdere potentiële kopers, is het uiteraard aangewezen dat slechts algemene en geanonimiseerde data ter beschikking wordt gesteld. Naarmate het overnametraject vordert en er meer zekerheid bestaat omtrent de koper kan de verkoper meer informatie vrijgeven, steeds onder de waarborgen van een verwerkersovereenkomst met de kandidaat-koper. 

Het is gebruikelijk dat in het overnamecontract een algemene bepaling wordt opgenomen waarbij de verkoper verklaart en garandeert dat de target onderneming in overeenstemming is met alle toepasselijke wet- en regelgeving, waaronder dus de GDPR. Gelet op het toenemende belang van de GDPR voor ondernemingen is dit echter vaak niet voldoende en is het noodzakelijk dat ook een specifieke bepaling wordt opgenomen waarin de verkoper een aantal garanties geeft met betrekking tot het privacybeleid dat door de onderneming wordt gevoerd, dat geen belangrijke datalekken hebben plaatsgevonden, etc. …

Wanneer tijdens de due diligence blijkt dat de target onderneming een aantal cruciale hiaten vertoont op het vlak van privacybescherming is het aangewezen om zich als overnemer voldoende te beschermen. Dit kan bijvoorbeeld door een opschortende voorwaarde te voorzien in het overnamecontract. Hiermee wordt het sluiten van de overdrachtsovereenkomst afhankelijk gesteld van het vervullen van een aantal handelingen die ervoor zorgen dat de target onderneming voorafgaand op punt wordt gesteld op het vlak van gegevensbescherming. 

Een waterdichte bescherming in het overnamecontract is zowel voor de koper als de verkoper onmisbaar om aansprakelijkheid in de toekomst te vermijden wanneer achteraf zou blijken dat persoonsgegevens niet werden of worden verwerkt volgens de waarborgen die zijn opgenomen in de GDPR-regelgeving. ​​​​​​

Bijgevolg noopt de complexe materie van de regelgeving rond gegevensbescherming tot voorzichtigheid, ook in het kader van een (mogelijke) overname van uw onderneming of wanneer u zelf een onderneming wenst over te nemen. Laat u daarom in het kader van een overname steeds bijstaan door professionele adviseurs.