Må du videregive medarbejderoplysninger i en due diligence-undersøgelse i forbindelse med virksomhedssalg?
Når en virksomhed skal sælges, er det almindeligt, at en potentiel køber vil have indsigt i medarbejderforhold som en del af en due diligence-undersøgelse. Men hvad må sælger egentlig dele, og hvad kræver særlig beskyttelse? Denne artikel giver dig overblik over, hvilke regler der gælder, og hvad du som sælger skal være opmærksom på, før personoplysninger udleveres.
Forskellen på almindelige, følsomme og fortrolige personoplysninger
Det er væsentligt, at du kender forskel på forskellige typer af personoplysninger, da det har betydning for, hvornår du må videregive dem.
Betingelser for at videregive personoplysninger: Interesseafvejning og nødvendighed
I en konkret afgørelse (j.nr. 2000-210-0002) udtalte Datatilsynet, at det efter deres opfattelse er lovligt at videregive medarbejderoplysninger fra sælger til den mulige købers rådgivere i forbindelse med en due diligence-undersøgelse, hvis ”nødvendighedskriteriet” og følgende betingelser i den såkaldte ”interesseafvejningsregel” er opfyldt.
Interesseafvejning
Du må normalt videregive personoplysninger, hvis:
- Både sælger og køber har en berettiget, forretningsmæssig interesse i, at medarbejderoplysningerne videregives.
- Hensynet til den registrerede (dvs. medarbejderen) ikke taler imod videregivelsen, hvilket især afhænger af oplysningernes karakter.
Dertil skal du have styr på, at videregivelsen af oplysningerne udleveres under fortrolighed. Det kan du f.eks. sørge for, ved at køber underskriver en fortrolighedserklæring med krav om tavshedspligt om de personoplysninger, der kommer til købers kendskab under processen.
Interesseafvejningen skal udføres i det konkrete tilfælde, men som hovedregel vil hensynet til medarbejderen ikke veje tungere, når der er tale om almindelige og ikke-følsomme oplysninger, og når køber er forpligtet til at behandle oplysningerne fortroligt.
Nødvendighedskriteriet
Dertil kommer kravet om, at oplysningerne kun må videregives, hvis det er nødvendigt.
Nødvendighedskriteriet vil bero på en konkret vurdering, men en vigtig faktor i vurderingen er, at undersøgelsen i en salgsproces typisk vil være opdelt i flere faser. Undersøgelsen vil som regel starte ud med en mere overfladisk gennemgang af virksomheden og først gradvist derefter blive mere dybdegående. Man må antage, at vurderingen af, hvilke personoplysninger der er nødvendige at videregive, vil ændre sig i takt med at forhandlingerne skrider frem.
Tip til fremgangsmåde
I begyndelsen af processen bør eventuelle personoplysninger i videst muligt omfang være anonymiserede. Dette skyldes, at behovet for detaljerede oplysninger endnu ikke er til stede, og at du dermed kan minimere behandlingen af identificerbare data. Senere i processen kan almindelige personoplysninger deles mere frit med køber, og for eksempel kan navne og individuelt lønniveau deles. Sidst i forhandlingerne kan også f.eks. ansættelseskontrakter vedrørende ledende medarbejdere og nøglemedarbejdere udleveres.
Særligt om anonymisering i mindre virksomheder
Det skal bemærkes, at anonymisering kan være vanskelig at gennemføre i praksis, især i mindre virksomheder.
"Anonymiserede oplysninger" er anonyme oplysninger, som tidligere henviste til en identificerbar person, men hvor identifikation ikke længere er mulig. Generelt kan en person betragtes som "identificerbar", når den pågældende inden for en gruppe af personer kan "skelnes" fra de andre medlemmer af gruppen.
I mindre virksomheder kan der, ved behov for anonymisering af personoplysninger om medarbejderne, opstå det problem, at de enkelte medarbejdere alligevel kan identificeres. Alene fordi der er så få ansatte i virksomheden, kan oplysninger om den enkelte medarbejder – trods at der ikke er tilknyttet f.eks. et konkret navn – kædes sammen, og på den måde muliggøre identifikation af medarbejderen. F.eks. kan oplysningen om, at en medarbejder er ansat på deltid i en mindre virksomhed med kun én enkelt deltidsansat, røbe identiteten på medarbejderen.
Denne problemstilling bør du tage højde for, hvis du er i en fase i due diligence-processen, hvor du endnu kun har lovhjemmel til at videregive anonymiserede personoplysninger. I sådanne tilfælde bør du vente med at videregive de konkrete personoplysninger til senere i processen, hvor det bliver nødvendigt at videregive netop oplysninger af denne type.
Du har en oplysningspligt over for medarbejderen, som du deler personoplysninger om
Udgangspunktet i databeskyttelseslovgivningen er, at de registrerede – i dette tilfælde medarbejderne – skal informeres om, at deres oplysninger videregives. Dog indeholder databeskyttelseslovens § 22, stk. 1 en undtagelse, som kan finde anvendelse i denne sammenhæng. Ifølge bestemmelsen kan oplysningspligten fraviges, hvis hensynet til den registreredes interesse må vige for afgørende hensyn, herunder ved private interesser som f.eks. forretningshemmeligheder hos sælger og køber.
Denne undtagelse kan være relevant, hvis information til medarbejderne om videregivelsen i sig selv vil kunne afsløre eksistensen af et potentielt salg eller købers identitet, hvilket kan være særligt følsomt i tidlige faser af processen.
Derfor bør du minimere videregivelsen af følsomme oplysninger under virksomhedsoverdragelsen
Som nævnt er videregivelse af følsomme eller fortrolige oplysninger som udgangspunkt betinget af samtykke. Men brug af samtykke som behandlingshjemmel kan skabe konflikt mellem på den ene side den ansattes ret til at blive informeret om, hvem oplysningerne videregives til, og på den anden side sælgers forpligtelse om hemmeligholdelse om en potentiel virksomhedsoverdragelse.
Videregivelse af almindelige personoplysninger kan ske med hjemmel i interesseafvejningsreglen og er derfor ikke ramt af samme konflikt som de følsomme og fortrolige oplysninger.
Opsummering – det bør du tage med videre
Det er Datatilsynets klare opfattelse, at almindelige personoplysninger om medarbejdere kan videregives som led i en due diligence-undersøgelse i forbindelse med virksomhedssalg. I begyndelsen af processen bør videregivelsen begrænses til et minimum og så vidt muligt ske i anonymiseret form. Efterhånden som behovet styrkes, kan flere almindelige personoplysninger udleveres, herunder identificerbare data om navngivne medarbejdere.
Følsomme og fortrolige oplysninger, herunder cpr-numre, helbredsoplysninger og oplysninger om strafbare forhold, bør ikke videregives uden samtykke. Samtidig bør du nøje overveje, om indhentning af samtykke i sig selv kan bringe salgsprocessen i fare.
Det er afgørende, at der foreligger en fortrolighedsaftale med køber, og at der i hele processen foretages en konkret vurdering af nødvendighed og proportionalitet i forhold til de oplysninger, der ønskes videregivet.
Lad HjulmandKaptains specialister i persondata hjælpe dig
Hvis du står over for en salgs- eller købsproces og er i tvivl om, hvilke oplysninger der må videregives, så tøv ikke med at kontakte vores specialister i persondata.
Vi har stor erfaring med due diligence og hjælper dig gerne med en vurdering af lovhjemmel, udarbejdelse af fortrolighedserklæringer og den nødvendige dokumentation, så du kan gennemføre processen korrekt og lovligt fra start til slut.
