De economie in zwaar weer: wat mag uw organisatie doen met het klanten- of ledenbestand?
De advocaten van team Utrecht van Holla legal & tax schrijven elke dinsdag een artikel in de reeks “De economie in zwaar weer”. Zij zullen ingaan op diverse juridische vraagstukken die kunnen spelen bij ondernemingen die in ‘zwaar weer’ verkeren. Echter, het is altijd goed om al in een eerder stadium bewust te zijn van de (on)mogelijkheden. Dit voordat het te laat is!
—
Een klanten- of ledenbestand is vaak een van de belangrijkste assets van een organisatie. Het maakt onderdeel uit van de goodwill en kan van grote waarde zijn. Zo ook voor een organisatie die in economisch zwaar weer verkeert of failliet wordt verklaard, want wat mag de organisatie in die gevallen doen met haar klanten- of ledenbestand?
Persoonsgegevens in het klanten- of ledenbestand
Doorgaans bevatten klanten- en ledenbestanden veel persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (‘AVG’), zoals namen, e-mailadressen, telefoonnummers en adresgegevens. Daarnaast kan het bestand ook ‘gevoelige’ persoonsgegevens bevatten, zoals financiële gegevens van de klanten of leden.
Met deze persoonsgegevens dient zorgvuldig te worden omgegaan. Het verzamelen, gebruiken en doorgeven van deze persoonsgegevens mag niet ‘zomaar’. De organisatie moet daarvoor beschikken over een zogenoemde verwerkingsgrondslag als omschreven in de AVG. Hierbij kan worden gedacht aan toestemming van de klanten of leden, een onderliggende overeenkomst of een gerechtvaardigd belang.
Verkoop van het bestand
Wanneer een organisatie in economisch zwaar weer verkeert, dan kan het wellicht aantrekkelijk klinken voor deze onderneming om haar klanten- of ledenbestand te verkopen aan bijvoorbeeld een marketingbedrijf. Ook bij een faillissement wenst een curator doorgaans graag het klanten- of ledenbestand te verkopen aan een derde partij. Maar let op, want dit allemaal mag niet zonder meer.
De verkoop is namelijk een verwerking voor een ander doel dan waarvoor de persoonsgegevens oorspronkelijk zijn verzameld door de organisatie. Dit betekent dat, zoals hiervoor al aangegeven, voor de verkoop een verwerkingsgrondslag uit de AVG nodig is. Wanneer bij een faillissement sprake is van een doorstart of een contractsoverneming, dan is doorgaans de grondslag al aanwezig.
Wanneer het echter gaat om de losse verkoop van een klanten- of ledenbestand ligt dit anders. In die gevallen mag het bestand in principe alleen worden verkocht met toestemming van de klanten of leden. Ook de Nederlandse toezichthouder op de AVG – de Autoriteit Persoonsgegevens (‘AP’) – is streng op dit vlak. Dat de AP bovendien handhavend optreedt tegen de verkoop van persoonsgegevens, blijkt uit een door haar in 2020 opgelegde boete van € 525.000 aan de Nederlandse tennisbond KNLTB. Deze boete werd aan de KNLTB opgelegd vanwege het onrechtmatig tegen betaling verstrekken van persoonsgegevens van een paar honderdduizend van haar leden aan twee sponsoren.
Toestemming bij losse verkoop
Van belang is dus dat in die gevallen toestemming wordt verkregen van alle klanten of leden uit het bestand en dat deze toestemming ook nog eens voldoet aan de vereisten uit de AVG. Dit betekent dat de toestemming onder meer vrijelijk en specifiek moet worden gegeven; stilzwijgen of het gebruik van al aangevinkte vakjes volstaat niet.
Er ligt momenteel een wetsvoorstel om de Faillissementswet aan te passen, maar deze aanpassing zal het voorgaande ook niet veranderen.[1] De verkoop van goederen uit de inboedel zoals omschreven in het wetsvoorstel omvat namelijk niet de losse verkoop van het klanten- of ledenbestand. Voor deze overdracht is nog steeds een aparte grondslag nodig, zijnde toestemming van de klanten of leden.
Tips voor de praktijk
Kortom: een klanten- of ledenbestand is vaak van grote waarde voor een organisatie, maar het is oppassen met de losse verkoop van een dergelijk bestand. Dit mag alleen met toestemming van de klanten of leden. De AP handhaaft en de boetes kunnen hoog oplopen.
Deze toestemming kan bijvoorbeeld worden gevraagd via een e-mail aan het gehele klanten- of ledenbestand, met daarbij een toestemmingsknop. Wanneer de toestemming niet wordt gegeven, mogen de gegevens ook niet worden verstrekt aan de derde partij.
Daarnaast willen wij nog als tip meegeven dat – in het kader van transparantie over de doeleinden – het aan te raden is om op voorhand in de privacyverklaring op te nemen dat persoonsgegevens ook kunnen worden gebruikt of verstrekt als dit wordt vereist door een wet, gerechtelijk bevel of (andere) juridische procedure, zoals een fusie, overname of verkoop van activa of in geval van een faillissement.
Heeft u vragen of wilt u nog meer informatie over de (on)mogelijkheden bij de verkoop van uw klanten-of ledenbestand? Laat het ons weten!
[1] Zie Memorie van toelichting bij Verzamelwet gegevensbescherming, p. 34.
Interessante artikelen voor u
Heeft u vragen of wilt u een afspraak maken?
