I forbindelse med virksomhedsoverdragelser over en vis mindstestørrelse vil man typisk foretage en due diligence, der blandt andet indebærer udlevering af personoplysninger omkring de ansatte, således at køberen har mulighed for at iagttage sin almindelige undersøgelsespligt og opnå et indgående kendskab til, hvad det er han køber.
Datatilsynet har nu afgivet en generel udtalelse om due diligence i forhold til personoplysningsloven.
Det er tilsynets opfattelse, at udlevering af personoplysninger som led i en due diligence efter omstændighederne udgør en behandling, der kræver hjemmel i kapitel 4 i personoplysningsloven. Personoplysningsloven sondrer imellem følsomme og ikke-følsomme personoplysninger og efter Datatilsynets vurdering vil behandling af de ikke-følsomme oplysninger kunne finde sted, medens de følsomme oplysninger kun normalt kan finde sted med den registreredes samtykke.
Da indhentning af samtykke ofte ikke vil være hensigtsmæssigt, idet det vil henlede de ansattes opmærksomhed på, at der kan være en overdragelse af deres arbejdssted undervejs, vil konsekvensen være, at det ofte vil være nødvendigt at foretage anonymisering af oplysningerne.
Datatilsynets udtalelse er p.t. tilgængelig på www.datatilsynet.dk.