Mag een bedrijf uw persoonsgegevens doorverkopen bij een overname?

Bij een bedrijfsovername of de verkoop van een bedrijfsactiviteit worden niet alleen gebouwen en contracten overgedragen, maar vaak ook een volledig klantenbestand. Wat gebeurt er dan met uw persoonsgegevens? Een arrest van het Marktenhof in Brussel van 3 september 2025 biedt een verhelderend antwoord: de verkoop van een klantenbestand is een verwerking van persoonsgegevens die strikte regels moet volgen, maar de Gegevensbeschermingsautoriteit (GBA) moet daarbij zelf ook zorgvuldig te werk gaan.

De feiten: verkoop van Jobat en een klacht van een gebruiker

De zaak draaide rond de verkoop van de activiteiten van de bekende jobsite Jobat door Mediahuis NV. In 2019 werden deze activiteiten, inclusief de gebruikersgegevens, overgedragen aan Hors bv, een nieuwe vennootschap opgericht als een joint venture tussen Mediahuis en DPG Media.

Een gebruiker van Jobat was het hier niet mee eens. Hij stelde dat zijn persoonsgegevens waren doorgegeven aan een nieuwe entiteit zonder dat hij daarvoor toestemming had gegeven of correct over was geïnformeerd. Hij diende een klacht in bij de GBA.

De GBA gaf de klager gelijk en legde Mediahuis een berisping op. Volgens de GBA had Mediahuis de gebruikers proactief en voorafgaand moeten informeren over de doorgifte. Ook stelde de GBA dat Mediahuis weliswaar een “gerechtvaardigd belang” kon hebben voor de transactie, maar inbreuk maakte op de AVG omdat ze niet vooraf een gedocumenteerde analyse van dit belang had uitgevoerd. Mediahuis was het oneens met deze beslissing en tekende beroep aan bij het Marktenhof, een gespecialiseerde sectie van het Hof van Beroep te Brussel.

De beslissing: het Marktenhof vernietigt de sanctie van de GBA

In haar arrest van 3 september 2025 vernietigde het Marktenhof de beslissing van de GBA. Het Hof oordeelde dat de analyse van de GBA op verschillende cruciale punten juridisch en feitelijk tekortschoot.

De belangrijkste redenen voor de vernietiging waren:

1. Foute focus van het onderzoek: De GBA concentreerde zich uitsluitend op de materiële “doorgifte” van de gegevens. Het Marktenhof stelde dat dit te beperkt is. De relevante handeling onder de AVG was de volledige juridische transactie: de verkoop en eigendomsoverdracht van het klantenbestand als een bedrijfsactief (‘asset deal’). De loutere doorgifte is daar slechts een logisch en noodzakelijk gevolg van.
2. Schending van de rechten van verdediging: De GBA verweet Mediahuis geen voorafgaande, gedocumenteerde analyse te hebben gemaakt van haar gerechtvaardigd belang. Het Marktenhof oordeelde dat deze verplichting niet rechtstreeks uit artikel 6.1.f AVG (gerechtvaardigd belang) volgt, maar uit het algemene verantwoordingsbeginsel van artikel 5.2 AVG. Cruciaal was dat de GBA dit specifieke verwijt (het gebrek aan documentatie) nooit fatsoenlijk had onderzocht of ter discussie had gesteld tijdens de procedure. Hierdoor kon Mediahuis zich hier niet afdoende tegen verweren, wat een schending van haar rechten van verdediging inhoudt.
3. Onvolledig onderzoek naar de verantwoordelijkheden: Na de overdracht werd Hors bv de nieuwe verwerkingsverantwoordelijke voor de gegevens van Jobat. Dit betekent dat Hors bv een eigen wettelijke plicht had op basis van artikel 14 AVG om de gebruikers te informeren. De GBA had Hors bv echter op geen enkele manier bij het onderzoek betrokken en legde de informatieplicht eenzijdig en achteraf bij de verkoper, Mediahuis. Dit maakte de beslissing van de GBA onvoldoende gemotiveerd.

Juridische analyse en duiding

Deze uitspraak is van groot belang voor de praktijk van bedrijfsovernames in België. Het Marktenhof corrigeert een te enge en formalistische benadering van de GBA en plaatst de gegevensbescherming in de juiste vennootschapsrechtelijke context.

De kern van de zaak is de rechtsgrond van het gerechtvaardigd belang (artikel 6.1.f AVG). Het verkopen van een bedrijfsonderdeel is een fundamenteel commercieel belang voor een onderneming. De AVG verbiedt dit niet, maar eist wel een zorgvuldige afweging tussen dit bedrijfsbelang en de rechten en vrijheden van de betrokken personen (de gebruikers).

De cruciale les uit dit arrest is de link met de verantwoordingsplicht (accountability) uit artikel 5.2 AVG. Een bedrijf moet niet alleen vinden dat het een gerechtvaardigd belang heeft; het moet dit ook kunnen aantonen. Dit vereist een proactieve, gedocumenteerde analyse (een Legitimate Interest Assessment of LIA) die voorafgaand aan de verwerking wordt uitgevoerd. Hierin wordt de transactie beschreven, het belang geïdentificeerd en de afweging met de rechten van de betrokkenen gemotiveerd.

Daarnaast verduidelijkt het arrest de informatieplichten bij een ‘asset deal’. De verkoper (Mediahuis) moet transparant zijn over de verwerking (artikel 13 AVG), maar de koper (Hors bv) krijgt na ontvangst van de data een eigen, afzonderlijke informatieplicht (artikel 14 AVG). Het negeren van de rol van de koper was een fundamentele fout in het onderzoek van de GBA.

Wat dit concreet betekent

• Voor verkopende bedrijven: De verkoop van een klantenbestand is perfect mogelijk onder de AVG, maar vereist voorbereiding. Documenteer voorafgaand aan de transactie uw gerechtvaardigd belang in een LIA. Wees transparant in uw privacybeleid over de mogelijkheid van dergelijke transacties en informeer de betrokkenen op een gepast moment.
• Voor kopende bedrijven: Realiseer u dat u na de aankoop van een klantenbestand de nieuwe verwerkingsverantwoordelijke wordt. U erft niet alleen de data, maar ook de volledige verantwoordelijkheid voor de naleving van de AVG. U moet de betrokkenen zelfstandig informeren over het feit dat u hun gegevens nu verwerkt, op basis van welke rechtsgrond en voor welke doeleinden (artikel 14 AVG).
• Voor gebruikers: Uw persoonsgegevens zijn geen gewone handelswaar. Hoewel uw expliciete toestemming niet altijd vereist is voor een doorgifte in het kader van een overname, hebt u wel recht op duidelijke en tijdige informatie. U moet weten wie uw gegevens beheert en waarom.

FAQ (Veelgestelde vragen)

Moet ik expliciet toestemming geven als mijn gegevens worden doorverkocht bij een overname?
Niet noodzakelijk. Zoals dit arrest bevestigt, kan de overdracht gebaseerd zijn op het “gerechtvaardigd belang” van de verkoper. In dat geval is uw toestemming geen vereiste. U moet echter wel correct geïnformeerd worden en u behoudt het recht om bezwaar te maken tegen de verwerking.

Wat is het verschil tussen een ‘asset deal’ en een fusie voor mijn gegevens?
Bij een fusie gaan twee bedrijven volledig in elkaar op en blijft de juridische entiteit vaak (in gewijzigde vorm) bestaan. Bij een ‘asset deal’, zoals in deze zaak, verkoopt bedrijf A een specifiek onderdeel (bv. een klantenbestand) aan een volledig afzonderlijk bedrijf B. Juridisch gezien is dit een overdracht aan een derde partij, wat de informatieplichten onder de AVG sterk activeert.

Kan een beslissing van de Gegevensbeschermingsautoriteit worden aangevochten?
Ja. Dit arrest is daar het perfecte bewijs van. Een onderneming die het oneens is met een sanctie of beslissing van de Geschillenkamer van de GBA kan hiertegen in beroep gaan bij het Marktenhof. Dit hof zal de zaak dan volledig opnieuw beoordelen, zowel op feitelijk als juridisch vlak.

Conclusie

De uitspraak van het Marktenhof is een belangrijke terechtwijzing die bedrijven eraan herinnert dat een bedrijfsovername een zorgvuldige planning op het vlak van gegevensbescherming vereist. Het volstaat niet om de gegevens simpelweg over te dragen; de onderliggende rechtsgrond moet proactief worden gedocumenteerd en de verantwoordelijkheden van zowel koper als verkoper moeten duidelijk zijn. Tegelijkertijd toont het arrest aan dat beslissingen van de GBA niet onfeilbaar zijn en met succes kunnen worden aangevochten als het onderzoek onvolledig of juridisch onzorgvuldig is gevoerd.