Wat u moet weten.

In het kader van een bedrijfstransactie vormt de klantendatabase vaak een belangrijk element van de doelonderneming. Als overnemer wil je deze klantendatabase natuurlijk kunnen blijven aanschrijven voor direct marketing. Het verdere gebruik van deze persoonsgegevens voor direct marketing is echter niet vanzelfsprekend vanuit privacy perspectief. 

Ondernemingen die actief zijn in de handel in persoonsgegevens, hebben de voorafgaande toestemming van de betrokkenen nodig vooraleer zij de persoonsgegevens mogen verkopen aan derde partijen (zie onder meer Aanbeveling 01/2020 van de Belgische Gegevensbeschermingsautoriteit). Indien deze redenering wordt doorgetrokken naar bedrijfstransacties, zou dit het bijzonder moeilijk maken. Geen enkele transactie zou immers kunnen doorgaan zonder de toestemming van (een groot genoeg aantal) klanten; hetgeen niet de bedoeling kan zijn. Wellicht geldt deze vereiste dus niet persé in geval van een fusie, splitsing of overname en mag er in dat geval wel worden voortgebouwd op de rechtsgrond van de overdrager. Vereist is dan wel dat de overdrager de persoonsgegevens op een rechtmatige wijze verwerkt, de beide ondernemingen transparant zijn over de overdracht en de overnemer de persoonsgegevens voor hetzelfde doeleinde aanwendt.

Wat u moet doen.

In het kader van het due diligence-onderzoek moet u in de eerste plaats nagaan of de overdrager de klantendatabase op een rechtmatige wijze verwerkt: wordt een geldige toestemming gevraagd voor het ontvangen van direct marketing of kan de overdrager zich beroepen op de rechtsgrond gerechtvaardigd belang? Wordt een reëel en doeltreffend recht van bezwaar aangeboden aan de betrokkenen? Zo niet, verwerkt de overdrager de betrokken gegevens in strijd met de GDPR, waardoor ook het verdere gebruik van deze gegevens door u, als overnemer, onrechtmatig is.

Indien de verwerkingsverantwoordelijke wijzigt als gevolg van de overdracht (of één van de gezamenlijke verwerkingsverantwoordelijken), bijvoorbeeld in het geval van een asset deal, moeten ook de volgende zaken in acht worden genomen.

De overdrager moet de betrokkenen informeren over de overdracht van hun persoonsgegevens in het kader van een bedrijfstransactie. Het is aangeraden dat elke onderneming dergelijke mogelijkheid standaard opneemt in haar privacyverklaring. Indien dit niet het geval is, zal in elk geval nog een communicatie moeten worden uitgestuurd aan de betrokkenen voor de overdracht plaatsvindt. 

Als overnemer zal u de betrokkenen na de overdracht moeten informeren over uw identiteit, de doeleinden en de verwerkingsactiviteiten waarvoor de persoonsgegevens zullen worden aangewend, de verwerkte gegevens, de eventuele (nieuwe) ontvangers van de gegevens en de rechten waarover de betrokkenen beschikken. Dit kan gebeuren in het kader van een algemene communicatie na de overdracht (eventueel met een verwijzing naar de uitgebreide privacyverklaring op uw website).

Indien u de persoonsgegevens voor hetzelfde doeleinde zal gebruiken als waarvoor de overdrager deze gebruikte (i.e. de betrokkenen aanschrijven over de producten of diensten van de overdrager), is deze verdere verwerking wellicht verenigbaar met dit oorspronkelijke doel en kan u de betrokkenen blijven aanschrijven.

Indien u de verkregen persoonsgegevens wenst te gebruiken voor andere doeleinden (bijvoorbeeld direct marketing voor andere producten of diensten van uw onderneming), zal u voor deze verdere verwerking een eigen rechtsgrond nodig hebben. De kans is reëel dat een gegevensbeschermingsautoriteit een dergelijk (ander) doel onverenigbaar zal beschouwen met het oorspronkelijke doeleinde. Dit heeft als gevolg dat u toestemming zal moeten vragen aan de betrokkenen voor het gebruik van hun gegevens voor deze andere doeleinden (artikel 5.1 b) juncto 6.4 AVG). In een recente beslissing van de Belgische Gegevensbeschermingsautoriteit lijkt zij aan te geven dat ook de andere rechtsgronden in artikel 6.1 AVG tot de mogelijkheid behoren, bijvoorbeeld gerechtvaardigd belang; al zal in het geval van een onverenigbare verdere verwerking het onwaarschijnlijk zijn dat de “afwegingstoets” kan worden voldaan.

Tot slot, mag u natuurlijk ook de andere verplichtingen van de AVG niet uit het oog verliezen bij het aanschrijven van klanten voor direct marketing doeleinden, zoals het voorzien van een uitschrijfmogelijkheid.