Een privacy due diligence checklist helpt het dealteam datastromen, grondslagen, verwerkers, beveiliging en toekomstig datagebruik systematisch te beoordelen. De checklist verbindt formele AVG-documentatie aan de feitelijke inrichting van systemen en processen. Materiële afwijkingen worden gekoppeld aan waardering, garanties, aansprakelijkheid, closing en integratie. Zo ontstaat een compleet en bruikbaar privacybeeld, terwijl de onderzoekstijd gericht blijft op gegevens en verwerkingen die de transactie werkelijk beïnvloeden.
Verbind formele documentatie aan feitelijke verwerking
Een verwerkingsregister of privacyverklaring is onvoldoende wanneer het register verouderd is, verwerkersovereenkomsten onderaannemers niet dekken of bewaartermijnen technisch niet zijn geïmplementeerd. De beoordeling moet zichtbaar maken hoe beleid in systemen en processen werkt.
Onderzoek de datastromen en beheersing
Het dealteam moet weten welke persoonsgegevens worden verwerkt, waar ze worden opgeslagen, met wie ze worden gedeeld en welke systemen kritisch zijn. Daarna volgen doelen, grondslagen, transparantie, rechten van betrokkenen en internationale doorgiften.
Ook technische en organisatorische maatregelen horen in de scope: IAM, MFA, logging, versleuteling, dataminimalisatie, back-ups en toegang van leveranciers. De beoordeling verbindt beleid aan bewijs van inrichting en controle.
- Actualiteit van verwerkingsregister, grondslagen en bewaartermijnen
- Verwerkers, subverwerkers, internationale doorgiften en contracten
- Datalekken, klachten, DPIA’s en opvolging van risico’s
- Toegangsbeheer, logging en beveiliging van persoonsgegevens
Vertaal privacybevindingen naar de transactie
Niet ieder privacytekort heeft dezelfde dealconsequentie. Een ontbrekende overeenkomst kan soms vóór closing worden hersteld; onduidelijkheid over de rechtmatigheid van een commercieel databestand kan toekomstige omzet of strategie raken.
Ook integratie kan nieuwe risico’s creëren. Het combineren van klantbestanden, HR-systemen of analyseplatformen kan een ander doel of risicoprofiel opleveren dan de oorspronkelijke verwerking.
Checklist: inventarisatie en rechtmatigheid
Begin met een overzicht van de belangrijkste verwerkingen, soorten persoonsgegevens, betrokkenen, doeleinden en systemen. Controleer of het verwerkingsregister aansluit op de feitelijke processen en of eigenaarschap helder is. Besteed extra aandacht aan bijzondere persoonsgegevens, kinderen, monitoring van medewerkers en grootschalige profilering.
Beoordeel per materiële verwerking de grondslag, transparantie en verenigbaarheid met het beoogde gebruik na closing. Wanneer toestemming wordt gebruikt, moet duidelijk zijn hoe deze is verkregen, geregistreerd en ingetrokken. Bij gerechtvaardigd belang hoort een actuele en passende belangenafweging.
Controleer tevens processen voor inzage, correctie, verwijdering, bezwaar en dataportabiliteit. Doorlooptijden, verantwoordelijkheden en concrete voorbeelden laten zien of rechten in de praktijk uitvoerbaar zijn.
Checklist: leveranciers, doorgiften en beveiliging
Breng verwerkers, subverwerkers en internationale doorgiften in kaart. Contracten moeten aansluiten op de geleverde dienst, toegang tot data en verdeling van verantwoordelijkheden. Bij doorgiften buiten de EER worden mechanismen, aanvullende maatregelen en feitelijke opslaglocaties beoordeeld.
Koppel privacy aan informatiebeveiliging. Controleer autorisaties, periodieke toegangsreviews, logging, versleuteling, testdata, exports, mobiele toegang en de positie van externe beheerders. Back-ups en archieven horen mee te bewegen met bewaartermijnen en verwijderverzoeken.
Beoordeel de datalekprocedure en incidenthistorie. Registratie, besluitvorming over meldingen, communicatie en opvolging geven inzicht in volwassenheid en mogelijke resterende verplichtingen.
Checklist: integratie en besluitvorming
Beschrijf welke databronnen de koper wil combineren en voor welke toekomstige doeleinden. Een wijziging in doel, schaal of techniek kan nieuwe transparantie, een DPIA of aanvullende beveiliging vragen. Bij carve-outs zijn data-afscheiding, tijdelijke toegang en volledige overdracht belangrijke onderwerpen.
Vertaal ieder materieel privacyrisico naar een handelingsoptie. Relatief eenvoudige documentatiegaps kunnen vóór closing worden hersteld. Structurele onzekerheid over grondslagen, gevoelig databestand of lopend incident kan aanleiding zijn voor specifieke garanties, vrijwaringen of beperkingen in het gebruik.
Leg bewijs, eigenaar en termijn vast. Daardoor kan het dealteam onderbouwen welke risico’s zijn geaccepteerd en beschikt het integratieteam over een gerichte actielijst voor de eerste periode na closing.
Benodigde bewijsstukken en interviews
Vraag naast beleidsdocumenten om concrete voorbeelden: recente verzoeken van betrokkenen, een datalekregistratie, uitgevoerde DPIA’s, bewaartermijninstellingen, toegangsreviews en contracten met kritieke verwerkers. Deze stukken laten zien hoe verantwoordelijkheden en controles in de praktijk functioneren.
Interviews met privacy, security, HR, marketing, product en IT vullen de formele bronnen aan. Zij maken toekomstige plannen, uitzonderingen en operationele knelpunten zichtbaar. De selectie van gesprekspartners volgt de belangrijkste datastromen en de strategie na closing.
Leg per bevinding vast welke bron is gebruikt en welke aanvullende validatie nodig is. Hierdoor blijft de privacybeoordeling navolgbaar en kunnen juristen en integratieverantwoordelijken gericht voortbouwen op dezelfde bewijsbasis. De overdracht vermeldt bovendien welke privacybesluiten na closing formeel moeten worden bevestigd.
Privacyrisico’s bruikbaar maken voor de transactie
Een privacy due diligence checklist is effectief wanneer juridische verplichtingen, technische werking en toekomstig datagebruik met elkaar worden verbonden. Zo worden privacyrisico’s bruikbaar voor waardering, garanties, aansprakelijkheid en integratieplanning.
