Dat de Algemene Verordening Gegevensbescherming (AVG) invloed heeft op de dagelijkse HR-praktijk, was niemand ontgaan, maar de laatste tijd zien we dat één heel belangrijke situatie waarin heel veel gegevens betrokken kunnen zijn, wordt vergeten: bij een verkoop van de onderneming.
AVG
De AVG geeft regels voor het verwerken van persoonsgegevens. Een persoonsgegeven is informatie aan de hand waarvan een persoon geïdentificeerd kan worden. Dat is dus een heel ruim begrip. Mogelijk nog ruimer is het begrip verwerken, daaronder valt namelijk bijna iedere handeling met persoonsgegevens.
Due Diligence
Meestal wordt door de koper in een zogenaamd Due Diligence onderzoek (DD) in kaart gebracht welke risico’s er eventueel kleven aan de voorgenomen overname. Om dat te kunnen onderzoeken, geeft de verkoper veel informatie. Daar zit een mogelijk probleem. Vaak bevat die informatie namelijk grote hoeveelheden persoonsgegevens. Die persoonsgegevens mogen alleen worden verwerkt (waaronder ook dit ‘ter beschikking stellen’ valt) wanneer voldaan is aan de beginselen van de AVG.
Verwerking van persoonsgegevens mag onder de AVG alleen als er ten minste één grondslag bestaat voor de verwerking, zoals de toestemming van de betrokkene, of wanneer de verwerking noodzakelijk is in verband met de gerechtvaardigde belangen van de verkoper en de koper. Voor bijzondere persoonsgegevens, zoals medische gegevens, gelden zelfs nog zwaardere eisen.
Wanneer persoonsgegevens worden gedeeld in het kader van een overname is het meestal niet wenselijk om de betrokkenen om toestemming te vragen. Misschien wil je het personeel niet in een (te) vroeg stadium informeren over een mogelijke overname. Daarnaast is altijd de vraag of de werknemers wel kùnnen weigeren en zo niet, of de toestemming dan wel geldig is. De meest passende grondslag is dus de noodzakelijkheid van de gegevensverwerking. Daarbij zal de verkoper steeds moeten nagaan of (i) hij een gerechtvaardigd belang heeft bij de gegevensverwerking, (ii) de verwerking noodzakelijk is om dit gerechtvaardigde belang te behartigen en (iii) hij een goede afweging heeft gemaakt tussen zijn belangen en de belangen van de personen van wie de persoonsgegevens worden verwerkt.
In de praktijk is het vaak niet nodig om alle gegevens te verstrekken. Er kan ook worden volstaan met alternatieven. Overeenkomsten kunnen worden geanonimiseerd, er kan in plaats van een échte (arbeids)overeenkomst een model worden verstrekt, met daarnaast overzichten van aantallen werknemers, gemiddelde salarissen, een overzicht van verschillende arbeidsvoorwaarden, enzovoorts. Er moet worden gekozen voor het (voor de werknemer) minst ingrijpende alternatief. Anonimiseren is dus de ondergrens.
Natuurlijk is het van belang dat de informatie geheim blijft en op enig moment wordt teruggegeven of vernietigd wanneer de (potentiële) koper de informatie niet langer nodig heeft. Over dit soort onderwerpen moet worden nagedacht en eventueel afspraken worden gemaakt vóórdat de informatie wordt gedeeld met de potentiële koper.
