De digitale agenda van de EU voor 2030 zet de koers uit voor een Europese digitale toekomst, met bijbehorende nieuwe wetgeving. Deze nieuwe wetgeving brengt veel wijzigingen en verplichtingen voor allerlei organisaties met zich mee en is daardoor ook voor de M&A-praktijk relevant, omdat de omvang van het due diligence-onderzoek zich als gevolg van de nieuwe wetgeving aanzienlijk uitbreidt.

Legal Data Due Diligence

Inmiddels zijn we gewend aan het uitvoeren van een privacy due diligence-onderzoek op basis van onder andere de Algemene Verordening Gegevensbescherming (AVG). Echter, een privacy due diligence-onderzoek zal nu een te beperkte scope zijn. Het is voorafgaand aan een due diligence-onderzoek belangrijk om te weten welke regelgeving relevant is voor een transactie en welke verplichtingen dit voor organisaties met zich meebrengt en (eventueel) de risico’s voor een koper. Bekijk daarom onze online tool op: www.legaldataduediligence.nl om voorafgaand aan een transactie te bepalen welke EU-datawetgeving mogelijk van toepassing is op de target.

Deze blog biedt de M&A-praktijk handvatten voor de Digital Services Act (DSA). We gaan in op de kernverplichtingen, het toepassingsbereik, de risico’s en de aandachtspunten voor de M&A-praktijk.

DSA

De Digital Services Act (DSA) heeft als doel een veiligere online omgeving te creëren, grondrechten van gebruikers te beschermen en transparantie en verantwoordelijkheid bij online platforms te bevorderen. De DSA legt zorgvuldigheidsverplichtingen op aan zowel kleine als grote digitale dienstverleners, variërend van tussenhandelsdiensten tot online platforms en zoekmachines. Kort gezegd is de DSA van toepassing op ondernemingen die betrokken zijn bij online diensten waarbij user generated content wordt gedeeld. Denk bijvoorbeeld aan:

• Online platforms: marktplaatsen, app stores, social media, reviews;
• Hostingdiensten: cloudgaming, webhosting, media streaming, fora/reviews;
• Zoekmachines en aggregators;
• Internetproviders en domeinnaamregistrators;
• Advertentieplatforms en matchingdiensten;
• SaaS voor publicatie/uitwisseling/opslag van content voor derden;
• Digitale marktplaatsen (B2B/B2C).

Alle aanbieders van tussenhandelsdiensten moeten vanaf 17 februari 2024 voldoen aan de nieuwe verplichtingen uit de DSA.

Wat zijn de kernverplichtingen?

Welke verplichtingen gelden, hangt af van de classificatie van de entiteit. De DSA kent een gelaagd systeem: hoe nauwer een aanbieder betrokken is bij de informatie van afnemers, hoe meer verplichtingen gelden. Aanbieders van online platforms moeten bijvoorbeeld óók voldoen aan verplichtingen voor hostingproviders en online tussenpersonen. Belangrijke verplichtingen zijn onder meer:

• Inhoudsmoderatie: maatregelen om illegale inhoud te detecteren, te rapporteren en te verwijderen. Hostingdiensten en online platforms moeten een meldmechanisme hebben voor personen en organisaties.
• Strafbare feiten: hostingproviders die informatie ontdekken die wijst op een strafbaar feit, informeren direct de relevante autoriteiten en verstrekken beschikbare relevante informatie.
• Transparantie: minimaal jaarlijks een transparantierapport over inhoudsmoderatie. Voor online platforms gelden ook advertentie-transparantieplichten (duidelijkheid dat het om reclame gaat en namens wie; geen profilering op basis van bijzondere persoonsgegevens).
• Algemene voorwaarden: duidelijke informatie over beperkingen op het gebruik van de dienst en het bijhouden daarvan. Voor zeer grote online platforms en zeer grote online zoekmachines gelden extra vereisten.
• Centrale contactpunten: een centraal contactpunt voor communicatie met afnemers, lidstaten, de Europese Commissie en de digitale dienstenraad.
• Intern klachtenafhandelingssysteem: gebruikers die een besluit ontvangen naar aanleiding van hun melding moeten elektronisch een klacht kunnen indienen tegen dat besluit.

Is de wet van toepassing op de target?

De DSA heeft een breed toepassingsbereik en geldt voor diverse digitale dienstverleners die hun diensten aanbieden in de EU, ongeacht of zij binnen of buiten de EU zijn gevestigd. Dit omvat online tussenpersonen, hostingproviders, aanbieders van online platforms, zeer grote online platforms (VLOPs) en zeer grote online zoekmachines (VLOSEs).

Wat zijn de risico’s (boetes e.d.)?

Bij niet-naleving kunnen boetes oplopen tot 6% van de wereldwijde jaarlijkse omzet. Voor het niet verstrekken van verplichte informatie kan een boete van 1% van de wereldwijde jaarlijkse omzet worden opgelegd. Daarnaast kan een dwangsom van 5% van de wereldwijde dagelijkse omzet per dag worden opgelegd zolang de overtreding voortduurt.

Toezicht op VLOPs en VLOSEs vindt plaats door de Europese Commissie en nationale toezichthouders (in Nederland: de Autoriteit Consument & Markt (ACM) en de Autoriteit Persoonsgegevens (AP)). Voor overige dienstverleners ligt het toezicht bij de nationale toezichthouders.

Waar moet je op letten bij een transactie?

• Voldoet de onderneming aan haar DSA-verplichtingen?
• Heeft de onderneming recent boetes of maatregelen ontvangen van ACM of AP?
• Bestaan er procedures voor content-moderatie en rapportages die in lijn zijn met de DSA?
• Zijn er interne policies voor samenwerking tussen juridische, technische en compliance-afdelingen?
• Informeert de aanbieder zich conform de DSA over illegale activiteiten op het platform?
• Is er een transparantiebeleid voor advertenties?
• Worden gebruikers adequaat geïnformeerd over rechten en procedures?
• Bestaan er mechanismen om beslissingen over inhoudsmoderatie te betwisten?
• Worden periodieke risicobeoordelingen uitgevoerd?
• Zijn procedures voor samenwerking met autoriteiten duidelijk gedefinieerd?

Conclusie

De nieuwe EU-datawetgeving heeft grote impact op de M&A-praktijk, vooral op het due diligence proces. De scope moet uitgebreid worden met een “Legal Data Due Diligence” om toepasselijke wetgeving, naleving en risico’s in kaart te brengen.

Niet-naleving kan leiden tot hoge kosten, boetes, reputatieschade en waardevermindering. Zowel kopers als verkopers doen er goed aan vooraf te controleren of de wetgeving van toepassing is en of de organisatie compliant is.

Meer weten?

Neem contact op met een van onze specialisten.