Ved en virksomhedsoverdragelse opstår ofte behovet for overdragelse af persondata, men hvad siger de kommende regler om databeskyttelse egentlig om det?
Videregivelse af oplysninger ved due diligence
Inden salget af en større virksomhed foregår der ofte en såkaldt ’due diligence’ proces, hvor køberen og dennes rådgivere, gennem en række systematiske undersøgelser, får indsigt i virksomhedens forskellige forhold.
I due diligence processen vil der ofte ske videregivelse af personoplysninger, og selv hvis det blot handler om såkaldt almindelige og ikke-følsomme oplysninger, skal det som udgangspunkt ske med samtykke fra den registrerede.
Hvis man ikke er i besiddelse af et samtykke (hvilket der kan være gode grunde til), skal der ske en interesseafvejning ifølge databeskyttelsesforordningen artikel 6, stk. 1 litra f, hvoraf det fremgår, at behandlingen er lovlig, såfremt den er nødvendig for at forfølge en legitim interesse, og den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder ikke går forud for dette.
– Hvis din virksomhed således ikke kan påvise en legitim interesse, som går forud for den registreredes rettigheder, skal der indhentes samtykke, inden videregivelsen finder sted, forklarer advokat Christian Parbo og tilføjer
– Det er i øvrigt vigtigt at huske på, at databehandlingen til hver en tid skal ske i overensstemmelse med god databehandlingsskik og i overensstemmelse med principperne i forordningens artikel 5, og at der i forhold til videregivelse af oplysninger i øvrigt skelnes mellem ”nice to know” og ”need to know”. Det er langt fra alle personoplysninger, der er ”need to know” i en due diligence proces.
Klik her for at læse mere om, hvad du bør vide om datasikkerhed.
Databeskyttelsesforordningen, databeskyttelsesloven og virksomhedsoverdragelse
Forordningen og loven finder formentlig ikke anvendelse på enhver virksomhedsoverdragelse. Der skelnes overordnet mellem overdragelse af kapitalandele og aktiver.
– Ved overdragelse af aktiver, vil der ske behandling af data, mens det ikke er tilfældet ved overdragelse af aktier, siger advokat Christian Parbo og uddyber
-Datatilsynet har tidligere udtalt, at persondataloven ikke finder anvendelse, hvis der er tale om en fuldstændig overdragelse af virksomhedens kapitalandele, såfremt virksomheden videreføres af den nye ejer. Lovforslaget til databeskyttelsesforordningen er i vid udstrækning en videreførelse af de eksisterende regler, hvorfor jeg vurderer, at denne fortolkning også gælder fremadrettet.
Hvis der derimod er tale om overdragelse af personoplysninger inden for en koncern ved en såkaldt grenspaltning af en selvstændig, afgrænset division i et selskab, er der som udgangspunkt tale om videregivelse af oplysninger, og dermed gælder, at de registrerede skal give samtykke til, at oplysningerne må behandles.
Enhver virksomhedsoverdragelse kræver dermed også fremadrettet en kategorisering af overdragelsestypen og en interesseafvejning af behovet for overdragelsen af personoplysninger for at sikre overholdelse af persondataloven.
