7.4.2 Het verstrekken van persoonsgegevens door de overdragende verzekeraar aan een potentiële verkrijger van de verzekeringsportefeuille tijdens het due diligence onderzoek

Het eerste vereiste om gegevens aan derden te mogen verstrekken is dat het verstrekken van de gegevens verenigbaar is met het doel waarvoor de gegevens zijn verzameld. Dit eerste vereiste vloeit voort uit art. 5 lid 1 onder b AVG.8 De verzekeraar beschrijft het doel waarvoor de gegevens zijn verzameld in zijn “privacy statement”. De kans dat in de beschrijving van het doel waarvoor de overdragende verzekeraar gegevens verzamelt ook is opgenomen dat gegevens bij een potentiële overname voorafgaand aan de overdracht ter inzage worden verstrekt, is klein.9 De belangrijkste doelstelling zal waarschijnlijk het ’uitvoeren’ zijn van de verzekeringsovereenkomsten. Dat niet is opgenomen dat gegevens bij een potentiële overname ter inzage worden verstrekt, hoeft aan het ter beschikking stellen van de gegevens in de virtuele dataroom niet in de weg te staan. Het gaat erom of deze verstrekking van gegevens verenigbaar is met wat wel in de doelomschrijving staat. Of het verstrekken van gegevens verenigbaar is met het doel waarvoor de gegevens zijn verzameld, hangt af van de concrete omstandigheden. Art. 6 lid 4 AVG10 omschrijft relevante beoordelingscriteria. In overweging 50 van de AVG wordt opgemerkt dat onder meer rekening moet worden gehouden met de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik van de persoonsgegevens, de aard van de persoonsgegevens, de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen, en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen.

Overigens gelden in het geval van het verstrekken van persoonsgegevens aan derden ook de andere beginselen inzake verwerking van persoonsgegevens vermeld in art. 5 lid 1 AVG.11 De verstrekking van persoonsgegevens aan derden is immers op zichzelf ook weer een verwerking van persoonsgegevens. Met name het beginsel van minimale gegevensverwerking in art. 5 lid 1 onder c AVG zal relevant zijn. Op grond van dat beginsel dient de verstrekking ter zake dienend en beperkt te zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Ook het beginsel van integriteit en vertrouwelijkheid is in de praktijk relevant. Op grond hiervan moeten persoonsgegevens door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is. Hier vloeit bijvoorbeeld uit voort dat de overdragende verzekeraar die een virtuele dataroom ter beschikking wil stellen daarvoor een professionele ‘leverancier’ zal moeten inschakelen.

Het tweede vereiste om gegevens aan derden te mogen verstrekken is dat deze verstrekking een grondslag heeft die is vermeld in art. 6 lid 1 AVG. De in art. 6 lid 1 onder f AVG12 vermelde grondslag lijkt de meest in aanmerking komende grondslag voor het eventueel delen van persoonsgegevens door de overdragende verzekeraar met een verkrijgende verzekeraar die een due diligence onderzoek mag doen. De verwerking is op grond daarvan rechtmatig indien en voor zover aan de voorwaarde is voldaan dat de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen. De Autoriteit Persoonsgegevens heeft in november 2019 een normuitleg13 gepubliceerd over deze grondslag. In deze “normuitleg” van art. 6 lid 1 onder f AVG wordt onder meer gesteld dat het “toetsingskader” van deze grondslag uit drie voorwaarden bestaat: 14

1. De eerste voorwaarde van de grondslag vermeld in art. 6 lid 1 onder f AVG is dat de belangen van de verwerkingsverantwoordelijke of een derde kwalificeren als gerechtvaardigd. Dat houdt volgens de “normuitleg” van de Autoriteit Persoonsgegevens van november 2019 in “dat die belangen in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang” en dat het belang “echt, concreet en rechtstreeks” moet zijn. In de juridische literatuur over due diligence onderzoek en de AVG wordt aangenomen dat het belang van partijen bij een overname om de koper zich een oordeel te laten vormen over de waarde en de aansprakelijkheden, risico’s en verplichtingen voldoet aan deze voorwaarde.15 Van Waesberge en Kamerling verwijzen voor wat betreft dat rechtsbelang naar een bekend arrest van de Hoge Raad uit 1957 (Baris/Riezenkamp)16 op grond waarvan een koper voorafgaand aan het sluiten van een overeenkomst redelijke maatregelen moet nemen om dwaling17 te voorkomen. Dat lijkt mij juist. Ik denk echter dat er in het geval van de overdracht van een verzekeringsportefeuille niet alleen een rechtsbelang is aan de zijde van de koper en de verkoper ten aanzien van de koopovereenkomst waarover zij onderhandelen. De verkrijgende verzekeraar moet ook waken voor zijn rechtsbelangen en die van zijn polishouders bij de verzekeringsovereenkomsten die hij in het verleden zelf al heeft gesloten. Indien hij een verzekeringsportefeuille zou verwerven en vervolgens onverwachte claims van de polishouders in de verworven verzekeringsportefeuille zou krijgen, bestaat het risico dat hij zijn verplichtingen op grond van de verzekeringsovereenkomsten met de polishouders waarmee hij al een verzekeringsovereenkomst was aangegaan niet meer kan nakomen. Ook dat moet worden vermeden.

2. De tweede voorwaarde van de grondslag vermeld in art. 6 lid 1 onder f AVG is dat de verwerking van persoonsgegevens in deze concrete situatie ook noodzakelijk moet zijn om dat belang te behartigen. Er moet, volgens de “normuitleg” van de Autoriteit Persoonsgegevens van november 2019 over deze grondslag, voldaan worden aan eisen van proportionaliteit en subsidiariteit. Bij het ter beschikking stellen van informatie zal het in veel gevallen niet strikt noodzakelijk zijn voor de inschatting van de risico’s dat de verkoper ook de persoonsgegevens van polishouders deelt. Bijvoorbeeld voor de beoordeling van klachten is het in beginsel niet noodzakelijk ook de namen te weten van de polishouders die die klachten hebben ingediend. De overdragende verzekeraar kan de klachtbrieven in de virtuele dataroom plaatsen en de namen en andere persoonsgegevens van de betrokkenen “blacklinen”.18 Dat dit veel werk is, doet er niet aan af dat dit de wijze is waarop het hoort.

3. De derde voorwaarde van de grondslag vermeld in art. 6 lid 1 onder f AVG is dat bij een afweging van belangen de belangen van de verwerkingsverantwoordelijke of de derde zwaarder wegen. Op grond van de tekst van art. 6 lid 1 onder f AVG en de “normuitleg” van de Autoriteit Persoonsgegevens over deze grondslag moet namelijk ten slotte ook nog een afweging van de belangen van de verwerkingsverantwoordelijke of derde enerzijds en de belangen van de betrokkene anderzijds worden gemaakt. In overweging 47 van de AVG is vermeld dat de gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, een rechtsgrond kunnen bieden voor verwerking, “mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke.” Zo moet er volgens de “normuitleg” van de Autoriteit Persoonsgegevens bijvoorbeeld gekeken worden naar de gevolgen voor de betrokkene en de (aanvullende) waarborgen die de verwerkingsverantwoordelijke of derde heeft getroffen om ongewenste gevolgen voor de betrokkene te voorkomen of beperken. Aldus zal naar mijn mening hier onder meer de inhoud relevant zijn van de geheimhoudingsverklaring die de verkoper voorafgaand aan het onderzoek door de koper heeft laten tekenen. Daarin zal waarschijnlijk onder meer bepaald zijn dat degenen die het due diligence onderzoek uitvoeren de informatie alleen voor dat onderzoek mogen gebruiken. Bij een virtuele dataroom is het ook mogelijk bepaalde documenten niet printbaar te maken. Ook dat kan in enigerlei mate behulpzaam zijn om ongewenste gevolgen voor de betrokkene te voorkomen of beperken. Soms wordt naast een “gewone” virtuele dataroom ook een zogenoemde clean room ingericht (een virtuele dataroom of een fysieke dataroom) waartoe maar enkele betrokkenen toegang hebben en waarin zeer vertrouwelijke documenten ter inzage worden gegeven zonder dat deze kunnen worden gekopieerd (zoals arbeidsovereenkomsten van bestuurders of een bijzonder klachtdossier van een polishouder dat grote precedentwerking zou kunnen hebben).