Privacy bij een overname: wat mag de dataroom in?

Bij onderzoek naar de onderneming kijkt u bijvoorbeeld naar belangrijke verwerkingen, leveranciersafspraken, klachten, datalekken en nog openstaande herstelmaatregelen. De koper wil begrijpen welke inspanningen en kosten na overname te verwachten zijn. Dat kan vaak worden toegelicht met een register, overeenkomsten en een samenvatting van bevindingen zonder inhoudelijke klantdossiers te delen.

Voor ander onderzoek, zoals personeelskosten of contractuele risico’s, vraagt u welke persoonsinformatie nodig is om de vraag te beantwoorden. Een salarisverdeling per functiegroep kan aanvankelijk voldoende zijn. Laat iedere aanvraag daarom benoemen welk transactiebesluit zij ondersteunt. ‘De adviseur wil alles zien’ is geen afbakening van een verwerkingsdoel.

Beoordeel de passende grondslag en, als een gerechtvaardigd belang wordt gebruikt, het belang, de noodzaak en de belangen van betrokkenen. Bij bijzondere persoonsgegevens, zoals gezondheidsgegevens, gelden aanvullende voorwaarden. Maak geen complete verzuimdossiers beschikbaar omdat de koper personeelsrisico’s wil begrijpen; onderzoek eerst welke minder gedetailleerde informatie het relevante risico beschrijft.

Ook transparantie verdient een afzonderlijke beoordeling. De vertrouwelijkheid van onderhandelingen geeft niet automatisch een algemene uitzondering op informatieverplichtingen. Beschrijf wie waarvoor verantwoordelijk is, welke informatie nodig is en of een specifieke uitzondering werkelijk van toepassing is. Laat complexe gevallen beoordelen voordat de gegevens worden vrijgegeven.

Begin met totalen, bandbreedten en documenten waar identificerende gegevens zijn verwijderd. Controleer of mensen indirect herkenbaar blijven, bijvoorbeeld door een unieke functie met een exact salaris. Een code in plaats van een naam is vaak pseudonimisering en maakt het materiaal niet automatisch anoniem. Houd de aanvullende sleutel buiten het bereik van ontvangers.

Wanneer meer detail nodig blijkt, noteer dan de reden en geef gerichte toegang. Een aparte beoordeling door een beperkte adviseursgroep kan helpen, mits opdracht, rapportage en vertrouwelijkheid goed zijn geregeld. Onderstaande tabel is een praktische beslisstructuur; de gekozen transactievorm en feiten bepalen de juridische uitwerking.

De tabel is opzij te schuiven.

Vraag bijvoorbeeld welke belangrijke leverancier onlangs is beoordeeld, welke maatregelen uit een DPIA nog openstaan en hoe de organisatie weet dat bewaartermijnen worden uitgevoerd. Maak onderscheid tussen een ontbrekend document en een daadwerkelijk onrechtmatige verwerking. Beschrijf ook onzekerheden: een niet onderzocht systeem is niet vanzelf een vastgesteld probleem, maar kan wel nader onderzoek vragen.

Vertaal bevindingen naar transactierelevante besluiten. Kan een noodzakelijke contractaanpassing vóór overdracht worden afgerond? Welke herstelkosten moeten worden gepland? Wie krijgt verantwoordelijkheid na closing? Een garantie in de koopovereenkomst kan risico tussen partijen verdelen, maar herstelt op zichzelf geen tekortkoming in de gegevensverwerking.

De verkoper vraagt eerst welke verschillen in arbeidsvoorwaarden relevant zijn. HR levert een geaggregeerd kostenoverzicht en een overzicht van afwijkende bepalingen zonder namen. Voor een afzonderlijk, materieel contractrisico wordt later beoordeeld welke nadere informatie noodzakelijk is en wie die mag bekijken. De vrijgave krijgt een geregistreerde reden en verantwoordelijke.

Wanneer één bieder afvalt, wordt de toegang ingetrokken en worden de afspraken over kopieën, downloads en eventuele noodzakelijke bewaring uitgevoerd. De resterende bieder krijgt geen automatische toegang tot alle eerdere bronbestanden. Deze fictieve casus laat een beslisroute zien en vervangt geen beoordeling van een concrete overname.

Leg vast wie gegevens mag exporteren, hoe verzoeken om extra detail worden behandeld en wanneer rechten vervallen. Spreek af welke bevestiging van verwijdering of teruggave wordt verstrekt. Waar gegevens rechtmatig bewaard moeten blijven, documenteert u doel, selectie, toegang en eindmoment. Een ongecontroleerde complete kopie van de dataroom is zelden een bruikbare bewaarkeuze.

Bij een geslaagde transactie volgt een eigen overdrachts- en integratieplan. Een aandelenoverdracht verschilt van overdracht van activiteiten en gegevens; toegang door een nieuwe groepsmaatschappij vraagt ook aandacht. De transactieverantwoordelijken beslissen over vrijgave en opvolging.