Emner 1. Due diligence gennemgang af transaktionsproces 2. Persondataloven 3. Persondataforordningen i forhold til virksomhedsoverdragelse

Transkript

1 Virksomhedsoverdragelse og persondata November 2016 v/ Noaman Azzouzi og Sandro Ratkovic

2 Emner 1. Due diligence gennemgang af transaktionsproces 2. Persondataloven 3. Persondataforordningen i forhold til virksomhedsoverdragelse

3 Introduktion (i) Hvad er en virksomhedsoverdragelse? En transaktion hvorved en funktionel enhed overføres fra en (sælger) til en anden ejer (køber) på begge sider en eller flere juridiske eller fysiske personer Der er obligationsretligt tale om et køb af en flerhed af aktiver og passiver, som tilsammen udgør overdragelsens genstand Overdragelsen af virksomheden kan ske direkte ved overdragelse af en afgrænset mængde aktiver og passiver (aktivoverdragelse) eller indirekte ved overdragelse af ejerskabet til en skal af aktiver og passiver i form af kapitalandele i et selskab (som oftest et A/S eller ApS) (aktieoverdragelse) Alternativer til virksomhedsoverdragelser Fusion Spaltning

4 Introduktion (ii) Aktører Sælger Aktieoverdragelse aktionærerne Substansoverdragelse bestyrelsen/aktionærerne/det sælgende selskab Køber En eller flere juridiske eller fysiske personer Udgangspunkt: Et bestyrelsesanliggende Rådgivere (advokater, revisor, investment bankers, rådgivende ingeniører mv.) Samhandelspartnere Ansatte Myndigheder (ERST, FT mv.)

5 Transaktionsforløb Fremlæggelse af HR-oplysninger Eksempel på typisk transaktionsforløb Forberedelses-fasen Fortrolighedsaftale Hensigtserklæring Ekslusivitet? (Forhandling) Due Diligence undersøgelse Kontraktforhandling Indgåelse af (betinget) transaktionsaftale (Signing) Due diligenceundersøgelser Opfyldelse af betingelser for gennemførelse (Conditions precedent) Due diligenceundersøgelser (confirmatorydue diligence) Driften indtil gennemførelsen (Pending-closingoperation) Opfyldelse/ gennemførelse af transaktionen (Closing) Øvrige aftaler/løfter (Post closing actions/ covenants) Integration

6 Struktur for overdragelsen Forskellige overdragelsestyper: Aktieoverdragelse (med mulighed for auktionsproces) Aktivoverdragelse (med mulighed for auktionsproces) Joint venture Investment-aftale (PE/venture) Børsintroduktion Børsexit

7 Hvad er due diligence? Begreb Forskellige undersøgelsestyper kendetegnet ved, at der foreligger en systematisk indsamling af oplysninger om en virksomhed Anvendelse Identifikation af deal breakers Afdække væsentlige problemer på et tidligt tidspunkt Verificere modtagne oplysninger om virksomheden Identifikation af forhold, der skal håndteres i eller uden for overdragelsesaftalen DK - Sælgers loyale oplysningspligt/købers undersøgelsespligt CaveatEmptor -Købelovens 47: Har køberen førkøbets afslutning undersøgtsalgsgenstanden eller uden skellig grundundladtat efterkomme sælgerens opfordringtil at undersøge den, kan han ikke påberåbe sig mangler,derved sådan undersøgelse burde være opdaget af ham, medmindre sælgeren har handlet svigagtigt.

8 8 Datarum Virksomheden indsamler relevant materiale (typisk på baggrund af en requestlistetilpasset virksomheden) Datarum etableres (virtuelt/fysisk) Materiale i datarum gennemgås af købersiden og suppleres i fornødent omfang: Requests: Der kan som regel løbende efterspørges nyt og/eller supplerende materiale, såkaldte requests. Q&A: Ofte vil der i datarummet være adgang til løbende at stille skriftlige spørgsmål, ligesom der kan afholdes Q&A sessioner med ledelse, eksperter eller andre

9 Typer af due diligence-undersøgelser Forretningsmæssigdue diligence Juridisk due diligence Finansiel/regnskabsmæssig due diligence Skattemæssig due diligence Teknisk due diligence (fx IT og miljø)

10 10 Omfang af due diligence Faktorer med betydning for omfanget: Virksomhedens risikoprofil Udvalgte emner Kendskab til virksomhed/branche Transaktionsstruktur Transaktionsværdi Datarum Forhandlingsposition Aftale om disclosure Niveau for garantier Indeståelser Ansvarsbegrænsninger Altomfattende (offentligt tilgængelig information, registre, korrespondance, præsentationer m.v.)

11 Due diligence-emner: HR-oplysninger Oversigt over medarbejdere Ansættelseskontrakter Oversigt over aktuelle eller potentielle tvister Arbejdsmiljøforhold Pension og forsikring Incitamentsordninger Overenskomstforhold

12 Lovens anvendelsesområde Loven gælder for behandling af personoplysninger, der er undergivet elektronisk behandling eller personoplysninger, der behandles i et register. Loven regulerer også personoplysninger, der behandles systematisk af private virksomheder. Bredere anvendelsesområde når der er tale om private virksomheder. Omfatter også behandling af oplysninger i en samling sagsmapper eller andre systematiserede samlinger i papirform. Også personaleoplysninger i papirform.

13 Hvad er personoplysninger? Anonyme oplysninger Pseudonyme oplysninger Cpr-nr. Køn Navn Race Adresse -adresse Seksuel overbevisning Fødselsdato Foto Kreditkortnummer Adgangskontrol Helbredsoplysninger MedarbejderID Telefonnummer Personlighedstest Nummerplade Politisk overbevisning Religion Genetisk information? Interesser Væsentlige sociale problemer Personlige produktionstal Familiemæssige oplysninger Uddannelse (karakterer) Pasnr. Initialer/Loginnavn Stilling GPSoplysninger Størrelse på tøj og sko IP-adresse Fagforeningsmæssige tilhørsforhold Elektroniske spor Rejseoplysninger Biometriske oplysninger Videoovervågning Logning i IT-systemer Straffeattest MAC-adresse Løn

14 Behandling: Enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som oplysningergørestilgenstandfor. - 3,nr.3 Omfatter enhver form for håndtering af oplysninger bl.a. indsamling, systematisering, opbevaring, tilpasning eller ændring, søgning, videregivelse, formidling mv. Ifm. virksomhedsoverdragelse er videregivelse af personoplysninger den relevante behandling

15 Er der tale om behandling af personoplysninger, når der sker ejerskifte i en virksomhed? Hvis ikke der er tale om en behandling, falder forholdet uden for loven. Hvis der er tale om behandling skal videregivelsen have hjemmel i lovens kapitel 4.

16 Registertilsynet (RT) før PDL s ikraftræden i 2000 var oprindeligt af den opfattelse, at en virksomhedsoverdragelse i form af overdragelse af samtlige en virksomheds aktiver eller salg af en personligt drevet virksomhed til tredjemand ikke var at betragte som videregivelse af oplysninger til tredjemand. RT betragtede transaktionen som en succession i behandlingen af oplysninger. Oplysninger forblev i virksomheden og den nye ejer trådte i den gamle ejers sted og den gamle ejer havde ikke længere adgang til oplysningerne.

17 Datatilsynet (DT) har efter PDL s ikrafttræden i 2000 i flere udtalelser forholdt sig til samme problemstilling. DT har indtaget samme standpunkt som RT og betragter heller ikke succession for en behandling i lovens forstand. Overdragelse af samtlige aktier i et selskab, der forbliver samme juridiske person, udgør ikke en overdragelse af personoplysninger, der falder ind under begrebet behandling i loven. Heller ikke overdragelse af en enkeltmandsejet virksomhed, delvist ejersalg af aktier eller udskiftning af en interessent vil formentligt blive betragtet som en videregivelse af oplysninger(ingen afgørelser)

18 Due diligence: DT har oplyst, at den videregivelse af oplysninger, der sker til mulige køberes rådgivere ifm. en DD, er en behandling i lovens forstand. Ved DD skal PDL altså iagttages også selv om hele virksomheden skal sælges samlet til en erhverver.

19 Aktivoverdragelse: Hvis en virksomheder overdrager en del af sine aktiver, eks. produktionsmaskiner eller fast ejendom og der samtidigt videregives personoplysninger, skal det betragtes som en behandling i PDL s forstand og PDL skal iagttages.

20 Opsummering Overdragelse af aktiepost eller samtlige aktier: -PDL Overdragelse af enkeltmandsejet virksomhed: -PDL Due diligence: +PDL Overdragelse af aktiver: +PDL

21 PDL 5 Grundlæggende krav ved behandling af personoplysninger: Stk. 1: Oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Stk. 2: Indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål.( ) Stk. 5: Indsamlede oplysninger må ikke opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.

22 Samtykke: 3,nr.8: Enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilger i, at oplysninger, der vedrører den pågældende selv, gøres til genstand for behandling. Krav om specifikt og informeret samtykke. Ad specifikt: konkretiseret så det klart og tydeligt fremgår, hvad der meddeles samtykke til Ad informeret: den registrerede skal være informeret om hvad det er vedkommende meddeler samtykke til Samtykke til videregivelse ved virksomhedsoverdragelse kan ikke gives i ansættelseskontrakten, jf. kravet om specifikt samtykke.

23 6 almindelige personoplysninger Almindelig personoplysninger: Navn Fødselsdato Løn Anciennitet Stilling Funktionær? Overenskomst

24 Ved videregivelse i forbindelse med virksomhedsoverdragelse kan videregivelse enten gives på baggrund af: konkret samtykke eller interesseafvejningsreglen, 6, stk. 1, nr. 7

25 Interesseafvejningsreglen, 6, stk. 1, nr. 7: Behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse og hensynet til den registrerede ikke overstiger denne interesse. Den dataansvarlige/databehandleren (overdrageren/dennes rådgiver) foretager vurderingen af, om hensynet til den registreredes interesser, overstiger hensynet til de interesser, der ønskes forfulgt med behandlingen, og at denne vurdering falder ud til fordel for de interesser, der ønskes forfulgt. Der skal foretages en konkret interesseafvejning.

26 DT har udtalt, at almindelige oplysninger ( 6) normalt kan videregives som led i en DD ima. interesseafvejningsreglen, fordi DT tillægger det betydning, at sælger og køber har en berettiget interesse i behandlingen, samt at hensynet til den registrerede ikke taler imod, navnlig set i forhold til at det angår almindelige ikke-følsomme oplysninger. Erhverver anses for at have et legitimt forretningsmæssigt formål med at videregive oplysningerne.

27 7 følsomme personoplysninger Der må ikke behandles oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold. Udtømmende opregning

28 ( 7 fortsat) Relevant ift. en DD vil være oplysninger om helbredsmæssige forhold. Videregivelse af følsomme personoplysninger forudsætter normalt den registreredes samtykke. Kan man uden samtykke videregive oplysninger om afhjælpnings-foranstaltninger ift. handicap? Muligvisima. 7,stk.2,nr.4: Behandlingen er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares.

29 ( 7 fortsat) DT har udtalt, at der kan tænkes situationer hvor videregivelse af sådanne oplysninger, vil kunne ske uden samtykke fra den registrerede. Det beror på en konkret vurdering i den enkelte situation. Hvis afgørende fase af virksomhedsoverdragelse og realitetsforhandlinger pågår, kan videregivelse af følsomme personoplysninger formentlig videregives.

30 8, stk. 4 og 5 Semifølsomme personoplysninger Private må behandle oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold end de i 7, stk. 1, nævnte, hvis den registrerede har givet sit udtrykkelige samtykke hertil. Herudover kan behandling ske, hvis det er nødvendigt til varetagelse af en berettiget interesse og denne interesse klart overstiger hensynet til den registrerede. Ad strafbare forhold: Omfatter også tilfælde med rettighedsfrakendelse Ad sociale problemer: Langvarig arbejdsløshed Ad andre rent private forhold: Foreningsmæssige (ikke fagforening) tilhørsforhold, selvmordsforsøg, separation og skilsmisse

31 ( 8 fortsat) De i stk. 4 nævnte oplysninger må ikke videregives uden den registreredes udtrykkelige samtykke. Videregivelse kan dog ske uden samtykke, når det sker til varetagelse af offentlige eller private interesser, herunder hensynet til den pågældende selv, der klart overstiger hensynet til de interesser, der begrunder hemmeligholdelse. Interesseafvejningsregel a la 6, stk. 1, nr. 7, men med krav om at hensynet til andet end den registrerede klart overstiger hensynet til øvrige interesser. Datatilsynet har også om semifølsomme oplysninger udtalt, at der kan tænkes konkrete situationer hvor videregivelse i DD-øjemed kan ske uden samtykke.

32 Anbefalinger: Anonymiser i videst muligt omfang følsomme ( 7 og 8 ) oplysninger. Begræns udleveringen af følsomme oplysninger husk at oplysninger som videregives, skal være relevante og tilstrækkelige og ikke må omfatte mere end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, jf. 5 Anonymiserede oplysninger kan som led i en DD-undersøgelse videregives uden videre til en køber, uanset karakteren af de pågældende oplysninger.

33 Oplysningskategorier Almindelige oplysninger Semi-følsomme oplysninger Følsomme oplysninger Cpr-nr. Fx Navn Adresse Persondataloven Oplysninger om strafbare forhold Sociale problemer Andrerent private forhold end følsomme oplysninger Racemæssig eller etnisk baggrund Politisk, religiøs eller filosofisk overbevisning Fagforeningsmæssige tilhørsforhold Oplysninger om helbredsmæssige eller seksuelle forhold Offentlige myndigheder:mhp. entydig identifikation/journalnummer Private virksomheder: Lovbestemmelse/samtykke Aldrig offentliggørelse uden samtykke Persondataforordningen Også Oplysninger om strafbare forhold * Sociale problemer Andrerent private forhold end følsomme oplysninger Racemæssig eller etnisk baggrund Politisk, religiøs eller filosofisk overbevisning Fagforeningsmæssige tilhørsforhold Behandling af genetiske data eller biometriske data med henblik på unik identifikation Oplysninger om helbredsmæssige eller seksuelle forhold Medlemsstaterkan fastsætte specielle betingelser, dog krav om tilstrækkelige sikkerhedsforanstaltninger