Privacy en digitale weerbaarheid is niet weg te denken uit het dagelijkse nieuws. Regelmatig gaat het dan over in het geding zijn van privacy of om hacks. Denk aan het recente datalek bij Odido waarbij persoonsgegevens werden buitgemaakt en werden gedeeld op het darkweb, maar ook de recente hacks bij Booking.com, Chipsoft en Basic-Fit. En vorig jaar nog het grote datalek bij Clinical Diagnostics dat zich bezighoudt met bevolkingsonderzoeken.
In M&A transacties zijn data en privacyrisico’s uitgegroeid tot belangrijke waardebepalers. Kopers willen niet alleen weten of een onderneming groeit, maar vooral of zij dat op een veilige en juridisch verantwoorde manier doet. Daarbij gaat het niet alleen om het naleven van de AVG, maar ook om bredere digitale operationele weerbaarheid: hoe worden persoonsgegevens en data beschermd, hoe wordt cybersecurity gewaarborgd, hoe wordt omgegaan met datalekken, en welke risico’s zitten er in de IT keten? Deze vragen spelen inmiddels een net zo grote rol als de financiële, fiscale of commerciële onderdelen van het onderzoek. In deze blog van Yannick Geryszewski en Abbas Ali Hyder (beide Wijn & Stael Advocaten) meer hierover.
In de Algemene verordening gegevensbescherming (ook wel de AVG) zijn persoonsgegevens gedefinieerd als ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’. Alle informatie die ofwel direct over iemand gaat ofwel naar deze persoon te herleiden is zijn daarmee persoonsgegevens. Gedacht kan worden aan iemands naam, een pasfoto, een klantnummer en camerabeelden waarop iemand te herkennen is. De belangrijkste regels voor het verwerken van persoonsgegevens in Nederland zijn vastgelegd in de AVG. Zo mag een persoonsgegeven slechts verwerkt worden als daarvoor een grondslag is (zoals een gerechtvaardigd belang of toestemming). Ook gelden er informatieverplichtingen richting betrokkenen en moeten er beveiligingsmaatregelen worden getroffen. Concreet betekent dit dat de onderneming betrokkenen actief moet informeren over het gebruik van diens persoonsgegevens en moet de onderneming passende technische/organisatorische maatregelen treffen om persoonsgegevens te beveiligen.
Wanneer deze verplichtingen onvoldoende op orde zijn, kan dat gevolgen hebben voor de waardering van de onderneming. Potentiële boetes (die onder de AVG kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet), claims van betrokkenen en kosten om compliant te worden drukken namelijk de waardering van de onderneming.
Voor ondernemingen waarbij persoonsgegevens cruciaal zijn voor de bedrijfsvoering, zoals zorginstellingen die medische dossiers beheren, kinderdagverblijven die gevoelige gegevens van minderjarigen verwerken of e‑commerce partijen met grote klantbestanden, is dit risico nog groter: bij deze organisaties raakt een datalek of handhavingsactie niet alleen de financiële positie, maar ook de continuïteit van de dienstverlening, de reputatie en het vertrouwen in de onderneming, waardoor de ondernemingswaarde structureel kan dalen wanneer de AVG-compliance niet aantoonbaar geborgd is. Bij een M&A-transactie zal gebrekkige AVG-compliance kunnen leiden tot prijscorrecties of specifieke afspraken in de koopovereenkomst.
Bij de koop en overname van een onderneming komt veel kijken. Het is vaak een complex en dynamisch proces. Onderdeel van dat proces is de due diligence (ook wel het boekenonderzoek) naar de onderneming door de koper. De koper krijgt de mogelijkheid om grondig onderzoek te doen, zodat er een zo goed mogelijk beeld van de onderneming wordt verkregen. De koper krijgt toegang tot diverse documenten, zoals contracten, jaarverslagen, informatie over klanten en werknemers en documentatie over de naleving van privacy door de onderneming.
In de praktijk zien wij het regelmatig voorkomen dat een koper naar aanleiding van het due diligence onderzoek ‘issues’ heeft geconstateerd bij de onderneming op privacygebied. Denk aan het ontbreken van een privacyverklaring (waarin de onderneming uiteenzet hoe zij omgaat met persoonsgegevens en wat de rechten zijn van betrokkenen), het ontbreken van technische/organisatorische beveiligingsmaatregelen of het ontbreken van benodigde verwerkersovereenkomsten met partijen die persoonsgegevens verwerken voor de onderneming (denk aan cloudproviders en externe HR-dienstverlening). De koper zal niet direct na closing van de transactie alsnog grote investeringen willen doen om de onderneming compliant te maken. Wij zien in de praktijk regelmatig dat een koper in de transactiedocumentatie een koopprijsverlaging en/of een vrijwaring bedingt, zodat nadelige gevolgen voor rekening van de verkoper komen. Afhankelijk van de formulering van de vrijwaring kan bijvoorbeeld schade als gevolg van een datalek of een boete van de Autoriteit Persoonsgegevens door de koper worden doorgelegd aan de verkoper.
Voor ondernemingen die wél aantoonbaar privacy‑volwassen zijn, werkt dit proces precies de andere kant op. Sterke compliance, duidelijke documentatie en goed beveiligde systemen kunnen een waarde-verhogend effect hebben: de koper ervaart minder risico, de transactie verloopt soepeler en de onderhandelingspositie van de verkoper verbetert aanzienlijk. Bij groeiende sectoren (zoals SaaS‑bedrijven en in de e‑commerce) kan aantoonbare privacy‑ en security‑volwassenheid zelfs het verschil maken tussen wel en geen deal.
Ondernemingen die hun privacy‑ en cybersecurityhuishouding aantoonbaar op orde hebben, creëren vertrouwen bij kopers, beperken risico’s en staan sterker in onderhandelingen
Technische en organisatorische beveiligingsmaatregelen vormen een essentieel onderdeel van AVG‑compliance. Onvoldoende beveiliging kan leiden tot handhaving door de Autoriteit Persoonsgegevens. De Hogeschool van Arnhem en Nijmegen heeft in 2025 bijvoorbeeld een boete van EUR 175.000 gekregen voor het onvoldoende beschermen van persoonsgegevens van onder meer studenten en werknemers. De beveiliging van de betrokken servers sloot onvoldoende aan bij de aanwezige risico’s. Bovendien waren de toegangsrechten van een gebruikersaccount op de databaseserver geheel niet beperkt. Daardoor wist een kwetsbaarheid in één applicatie op de webserver te escaleren tot volledige toegang tot alle data op de databaseserver.
Maar de verplichtingen voor ondernemingen stoppen allang niet meer bij de AVG. Binnen Europa verschuift de aandacht steeds nadrukkelijker naar digitale weerbaarheid als integraal onderdeel van goed ondernemingsbestuur. De Digital Operational Resilience Act (DORA) is daar een duidelijk voorbeeld van. Deze verordening, die sinds januari 2025 van toepassing is op financiële entiteiten, stelt aanzienlijk zwaardere eisen aan de weerbaarheid van de volledige ICT‑keten dan de AVG ooit deed.
DORA verplicht organisaties hun ICT‑risicomanagement structureel te versterken, expliciete bepalingen over digitale operationele weerbaarheid op te nemen in contracten voor het gebruik van ICT‑diensten, incidenten sneller en consistenter te melden en actief toezicht te houden op de beveiligingsmaatregelen bij leveranciers van ICT‑diensten. De focus verschuift daarmee van uitsluitend dataverwerking naar de continuïteit en betrouwbaarheid van digitale processen als geheel.
Diezelfde beweging is zichtbaar in andere recente Europese wet- en regelgeving, zoals de NIS2‑richtlijn, de Cyber Resilience Act en de herziene Product Liability Directive. Al deze instrumenten laten zien dat cybersecurity en digitale operationele weerbaarheid inmiddels breed worden gezien als essentiële randvoorwaarden voor moderne bedrijfsvoering. Opvallend daarbij is dat deze verplichtingen niet alleen gelden voor leveranciers van ICT‑diensten. Juist ook afnemers en gebruikers krijgen steeds vaker eigen verantwoordelijkheden toebedeeld.
Zo verplicht de NIS2‑richtlijn (in Nederland geïmplementeerd via de Cyberbeveiligingswet) organisaties in kritieke en essentiële sectoren om te voldoen aan cybersecurity‑eisen, incidenten te melden en zich te registreren bij de toezichthouder. Digitale veiligheid is daarmee geen kwestie meer van ‘uitbesteden’, maar een gedeelde verantwoordelijkheid binnen de keten. De Cyberbeveiligingswet zal naar verwachting rond 1 juli 2026 in werking treden. Gezamenlijk maken DORA, NIS2 en de andere nieuwe Europese cybersecurityregels duidelijk dat gegevensbescherming, cybersecurity en digitale operationele weerbaarheid onlosmakelijk verbonden zijn geraakt met governance, vertrouwen en uiteindelijk ook de waarde van een onderneming.
Daar komt bij dat onder zowel DORA als NIS2 het bestuur expliciet (eind)verantwoordelijk is voor het beheer van ICT‑risico’s. Van bestuurders wordt verwacht dat zij voldoende kennis en inzicht hebben om hierover weloverwogen beslissingen te nemen. Digitale weerbaarheid is daarmee geen puur technisch of juridisch thema meer, maar een strategisch bestuursvraagstuk dat direct invloed heeft op de waarde van de onderneming.
Goede AVG‑compliance en digitale weerbaarheid zijn daarmee niet langer louter juridische randvoorwaarden, maar strategische factoren die directe invloed hebben op transacties, waarderingen en dealzekerheid. Ondernemingen die hun privacy‑ en cybersecurityhuishouding aantoonbaar op orde hebben, creëren vertrouwen bij kopers, beperken risico’s en staan sterker in onderhandelingen. In een markt waarin datalekken en digitale kwetsbaarheden vrijwel dagelijks het nieuws halen, fungeert solide privacy‑ en beveiligingsbeleid steeds vaker als een waardeverhogende factor.
Voor kopers is het dan ook essentieel om privacy, cybersecurity en digitale weerbaarheid expliciet mee te nemen in het due‑diligenceonderzoek bij een voorgenomen overname. Dat vraagt om specialistische juridische kennis en een goed begrip van de onderliggende technische en organisatorische maatregelen.
Voor verkopers geldt omgekeerd dat deze onderwerpen een belangrijk aandachtspunt vormen bij het verkoopklaar maken van de onderneming. Juist in die voorbereidingsfase kunnen veel potentiële issues nog worden opgelost, waardoor vertragingen, aanvullende garanties en vrijwaringen of waardecorrecties naar aanleiding van het due‑diligenceonderzoek van de koper kunnen worden voorkomen.
Wijn & Stael helpt kopers en verkopers bij het identificeren, duiden en mitigeren van deze risico’s: zowel in aanloop naar een transactie als tijdens het due‑diligence‑ en onderhandelingsproces.
