ESRS-weglatingen en vertrouwelijke informatie: commerciële benadeling, bedrijfsgeheimen en privacy

Toelichting over de technische status. De hier beschreven architectuur voor weglatingen komt voor in Richtlijn (EU) 2026/470 en de herziene ESRS-bijlage die is vastgesteld als C(2026) 5010 final op 3 juli 2026. De definitieve tekst van het Publicatieblad en het toepasselijke nationale recht blijven verplichte controlepunten voor actualisering.

Toelichting voor gebruik. Een zorg over vertrouwelijkheid leidt niet automatisch tot een toegestane ESRS-weglating. De rapporterende entiteit moet de minst beperkende behandeling gebruiken die het gerechtvaardigde belang beschermt en tegelijkertijd het rapportagedoel verwezenlijkt. Advies op het gebied van recht, privacy, mededinging, beveiliging en assurance kan nodig zijn.

Tijdens het opstellen plaatsen teams vaak elk ongemakkelijk item in één kolom met het label “vertrouwelijk”. Die kolom kan daadwerkelijk beschermde bedrijfsgeheimen, namen van klanten, informatie over persoonlijke klachten, niet-goedgekeurde prognoses, onvolledige berekeningen en slechte prestaties bevatten. Dit is niet hetzelfde probleem en leidt niet tot dezelfde rapportagebehandeling.

De eerste beheersmaatregel is classificatie. Ga na of het probleem betrekking heeft op:

een zorg over commerciële benadeling;

een juridisch kwalificerend bedrijfsgeheim of geclassificeerd item;

een wettelijke beperking inzake privacy, vertrouwelijkheid of beveiliging;

gewone contractuele vertrouwelijkheid die via aggregatie of redactie kan worden beheerd; of

ontbrekende, onzekere of niet-goedgekeurde informatie.

Alleen de eerste drie groepen kunnen een toegestane weglating op grond van de gespecificeerde ESRS-categorieën ondersteunen, en voor elk daarvan blijven voorwaarden, vermelding van de vrijstelling en jaarlijkse herbeoordeling vereist. Gewone vertrouwelijkheid moet doorgaans via zorgvuldige presentatie worden behandeld. Voor ontbrekende gegevens gelden bepalingen inzake schattingen en verlichting, niet de regels voor weglating.

Figuur 1. Pas de minst beperkende behandeling toe die zowel de gerechtvaardigde bescherming als het rapportagedoel in stand houdt.

1. Volledige rapportage

Gebruik volledige rapportage wanneer de informatie materieel is, er geen wettelijke beperking van toepassing is en het potentiële nadeel gewone transparantie betreft en geen ernstige benadeling. Slechte prestaties, een gemiste doelstelling, een materieel incident of een moeilijke afhankelijkheid is niet vertrouwelijk alleen omdat het management er de voorkeur aan zou geven dit niet te benadrukken.

2. Aggregatie

Aggregatie is doorgaans de eerste beschermende techniek. Informatie kan worden gegroepeerd naar geografie, bedrijfsonderdeel, relatiecategorie, periode of risicotype, zodat de rapportage nuttig blijft zonder een wederpartij, eenheidsprijs, kwetsbaarheid van een faciliteit of identificeerbare persoon bekend te maken.

Aggregatie mag materiële verschillen niet verhullen. ESRS 1 vereist dat het niveau van aggregatie en desaggregatie significante variaties weerspiegelt en voorkomt dat materiële informatie wordt verborgen. Een mondiaal cijfer dat een ernstig locatiespecifiek effect verhult, kan het doel mogelijk niet verwezenlijken, ook al wordt de naam van de locatie beschermd. De oplossing kan een rapportage op regionaal niveau of categorieniveau zijn, met een duidelijke toelichting op de context.

3. Redactie of anonimisering

Redactie verwijdert een beperkt beschermd element en behoudt de omliggende informatie. Anonimisering is met name relevant voor klachtengevallen, personeelsgegevens, getroffen gemeenschappen en consumenten. Zij moet heridentificatie voorkomen, ook via combinaties van locatie, functie, datum van het incident en een kleine populatie.

Een rapportage kan de aard, ernst, reactie en status van een incident beschrijven zonder de klager, leverancier, technologie of klant te identificeren. Het bewijzendossier kan onder gecontroleerde toegang gedetailleerder blijven dan het openbare verslag.

4. Toegestane weglating

Paragraaf 100 staat weglating toe voor de vastgestelde categorieën. De categorie commerciële benadeling stelt bijzonder hoge eisen. Zij is alleen beschikbaar in uitzonderlijke gevallen waarin openbaarmaking de commerciële positie ernstig zou benadelen, de weglating een eerlijk en evenwichtig begrip niet verhindert en de rapporterende entiteit heeft vastgesteld dat het rapportagedoel niet via een andere presentatie, zoals aggregatie, kan worden verwezenlijkt.

De behandeling als bedrijfsgeheim hangt af van de wettelijke definitie in Richtlijn (EU) 2016/943. Niet elk vertrouwelijk bedrijfsfeit is een bedrijfsgeheim. De rapporterende entiteit moet bewijs hebben dat de informatie geheim is, commerciële waarde heeft omdat zij geheim is en onderworpen is aan redelijke maatregelen om haar geheim te houden.

Voor geclassificeerde informatie en andere wettelijke beperkingen inzake recht, privacy of beveiliging is een gedocumenteerde rechtsgrond vereist. Het rapportageteam mag geen informele categorie “beveiliging” creëren zonder deskundige beoordeling.

5. Behandeling van ontbrekende gegevens

Niet-beschikbare, onvolledige, niet-geverifieerde of niet-goedgekeurde gegevens worden niet automatisch weggelaten op grond van paragraaf 100. De rapporterende entiteit moet schattingen, proxy's, gedeeltelijke reikwijdte, kwantitatieve verlichtingen, kwalitatieve informatie, correctie van fouten of updates na de verslagperiode beoordelen. De openbare toelichting moet de beperking en het verbeteringsplan identificeren, en niet de indruk wekken dat rapportage wettelijk verboden is.

Een weglating wegens commerciële benadeling moet aan alle vier de toetsen voldoen:

Ernstige benadeling. De waarschijnlijke schade is materieel en geloofwaardig, en betreft geen gewoon concurrentieel ongemak of verlegenheid.

Eerlijk en evenwichtig begrip. De weglating verhindert niet dat gebruikers inzicht krijgen in de ontwikkeling, prestaties, positie of materiële risico's en effecten van de rapporterende entiteit.

Geen minder beperkende presentatie. Aggregatie, bandbreedtes, uitgestelde detaillering, beschrijving op categorieniveau of een andere presentatie kan het rapportagedoel niet verwezenlijken zonder de ernstige benadeling te veroorzaken.

Melding van het datapunt en jaarlijkse herbeoordeling. De rapporterende entiteit vermeldt dat de vrijstelling voor elk weggelaten datapunt is gebruikt en herbeoordeelt dit op iedere rapportagedatum.

Voorbeelden die analyse kunnen vereisen zijn gevoelige plannen voor overnames of desinvesteringen, onderhandelingen, bedrijfseigen transformatietechnologieën, niet-aangekondigde beëindiging van producten en commercieel materiële financiële aannames. Bij de analyse moet onderscheid worden gemaakt tussen informatie die al in opgenomen financiële bedragen tot uitdrukking komt en strategische details waarvan voortijdige openbaarmaking specifieke schade veroorzaakt.

De herziene bepaling inzake het weglaten van informatie omvat informatie die overeenkomt met intellectueel kapitaal, intellectuele eigendom, knowhow, technologische informatie of innovatieresultaten en die als bedrijfsgeheim kwalificeert. Een bruikbaar juridisch dossier omvat:

beschrijving van de informatie en de eigenaar ervan;

waarom deze niet algemeen bekend of gemakkelijk toegankelijk is;

de commerciële waarde die aan de geheimhouding wordt ontleend;

toegangscontroles, geheimhoudingsovereenkomsten, technische beschermingsmaatregelen en andere redelijke stappen;

het exacte datapunt en de betrokken rapportagedoelstelling;

het overwogen alternatief voor de presentatie;

goedkeurings- en herbeoordelingsdatum.

De uitzondering zou niet mogen worden gebruikt om alle informatie over een transitieplan, productimpact of innovatieprogramma te verwijderen. De rapporterende entiteit kan vaak de doelstelling, governance, middelen, het verwachte effect, de afhankelijkheid en de onzekerheid openbaar maken zonder de beschermde formule of het technische ontwerp bloot te leggen.

Privacybeperkingen zijn met name belangrijk wanneer het openbare verslag een natuurlijke persoon zou kunnen identificeren aan de hand van kleine groepen of details van incidenten. Gegevensbeschermingsbeginselen ondersteunen dataminimalisatie en anonimisering, maar rechtvaardigen niet automatisch het weglaten van alle informatie over het personeelsbestand of klachten. De openbare rapportage moet worden ontworpen rond de informatiebehoefte: prevalentie, aard, ernst, toegang tot herstel, corrigerende maatregelen en trend.

Beveiliging kan betrekking hebben op personen, faciliteiten, kritieke infrastructuur, defensiecapaciteiten, cyberkwetsbaarheden en de commerciële beveiliging van rechtspersonen. Het dossier moet de toepasselijke wettelijke of beveiligingsgrondslag identificeren en vermijden dat het gevoelige detail wordt onthuld in de openbare toelichting op de uitzondering.

Het bijbehorende Excel-werkboek bevat een OMISSION REGISTER. Een volledig dossier moet het volgende omvatten:

Figuur 2. Verschillende informatieproblemen vereisen verschillende openbare toelichtingen en bewijscontroles.

Context. Horizon Mobility bereidt toelichtingen over klimaat, personeel en consumenten voor. Vier kwesties worden geëscaleerd als ‘vertrouwelijk’.

Kwestie A — niet-aangekondigd plan voor omzetting van een fabriek

Het transitieplan omvat de omzetting van een faciliteit waarover actief commerciële onderhandelingen worden gevoerd. Openbaarmaking van de locatie, timing en contractprijs kan de onderhandelingen ondermijnen. Horizon toetst regionale aggregatie, een capex-bandbreedte en een narratieve beschrijving. De conclusie is dat een regionale beschrijving en bandbreedte aan de openbaarmakingsdoelstelling voldoen zonder ernstige benadeling. Behandeling: aggregatie, geen weglating.

Kwestie B — bedrijfseigen batterijchemie

Een klimaatactie is afhankelijk van een nieuwe chemie die wordt beschermd door gecontroleerde knowhow. De exacte formule kwalificeert als bedrijfsgeheim. Horizon maakt de actie, governance, het verwachte productie-effect, de kapitaalafhankelijkheid en onzekerheid bekend, maar laat de formule weg. Zij vermeldt dat de uitzondering voor bedrijfsgeheimen is gebruikt voor het relevante technische datapunt. Behandeling: toegestane weglating van het beschermde detail.

Kwestie C — onderzoek naar intimidatie in een team van vijf personen

Publicatie van locatie, functie, datum en uitkomst zou de klager identificeerbaar maken. Horizon aggregeert het incident met een bredere populatie en beschrijft het onderzoek, de remedie en de verbetering van beheersmaatregelen. De onderliggende details blijven in een beperkt toegankelijk bewij bestand. Behandeling: anonimisering en aggregatie.

Kwestie D — ontbrekende incidentgegevens van leveranciers

De onderneming beschikt over onvolledige informatie van indirecte leveranciers. Er is geen beperking wegens vertrouwelijkheid of wetgeving. Horizon gebruikt een risicogebaseerde schatting, licht de dekking en onzekerheid toe en stelt een verbeterplan vast. Behandeling: schatting en toelichting op het datagat, geen weglating.

De casus laat zien waarom één vertrouwelijkheidslabel ontoereikend is. Drie kwesties worden via een alternatieve presentatie gerapporteerd; alleen het beschermde technische detail maakt gebruik van de weglatingsuitzondering.

Waarom dit werkt. De toelichting identificeert de uitzondering, beperkt de reikwijdte ervan, behoudt omliggende informatie die nuttig is voor besluitvorming, legt alternatieven en governance vast en verplicht tot jaarlijkse herbeoordeling.

Wat moet worden aangepast. De juridische classificatie, het exacte datapunt, alternatieve methoden, de goedkeurder en de overige openbaar gemaakte informatie moeten aansluiten op de feiten van de entiteit.

Stap 1. Identificeer het exacte datapunt en de openbaarmakingsdoelstelling

Beoordeel niet een volledige sectie in abstracto. Markeer de precieze tekst, het getal, de aanname of het bewijs waarvan de openbaarmaking wordt betwist.

Stap 2. Classificeer de zorg

Gebruik de taxonomie met vijf behandelingen. Als de kwestie gewone vertrouwelijkheid of ontbrekende gegevens betreft, verwijs deze dan naar beheersmaatregelen voor aggregatie/redactie of schattingen in plaats van naar het register van weglatingen.

Stap 3. Toets minder beperkende alternatieven

Bereid ten minste één alternatieve openbaarmaking voor: formulering op categorieniveau, bandbreedte, niet-monetaire hoeveelheid, uitgestelde granulariteit, geanonimiseerde casus, kruisverwijzing of gedeeltelijke redactie. Beoordeel of deze nog steeds leidt tot een getrouw en evenwichtig inzicht.

Stap 4. Verkrijg specialistische beoordeling

Commerciële benadeling vereist commercieel en juridisch bewijs. Claims over bedrijfsgeheimen vereisen juridische classificatie. Privacy en beveiliging vereisen de relevante specialisten. Verantwoordelijken voor de rapportage mogen deze beoordelingen niet alleen maken.

Stap 5. Keur goed op governance-niveau

Materiële weglatingen moeten zichtbaar zijn voor het Disclosure Committee en, wanneer zij van betekenis zijn voor de goedkeuring van de duurzaamheidsverklaring, voor het relevante management- of toezichthoudende orgaan. In het goedkeuringsdossier moet worden vermeld wat openbaar gemaakt blijft.

Stap 6. Beheers de openbare kennisgeving en verbonden informatie

Zorg ervoor dat de kennisgeving van het datapunt is opgenomen. Controleer of kruisverwijzingen, doelstellingen, financiële effecten, risicobeschrijvingen en de complianceverklaring de weglating niet tegenspreken.

Stap 7. Beoordeel jaarlijks opnieuw en bij gebeurtenissen die daartoe aanleiding geven

Beoordeel opnieuw als onderhandelingen eindigen, informatie openbaar wordt, de juridische classificatie verandert, een beveiligingsrisico is opgelost, een populatie groot genoeg wordt voor veilige aggregatie of nieuwe rapportagerichtsnoeren worden uitgevaardigd.

Kunnen namen van klanten of leveranciers worden weggelaten?

Vaak kan nuttige informatieverschaffing worden verstrekt op het niveau van categorie, geografie of concentratie, zonder namen te vermelden. Of een naam moet of mag worden achtergehouden, hangt af van materialiteit, contractuele en wettelijke beperkingen, commerciële schade en het doel van de informatieverschaffing. Het verwijderen van een naam rechtvaardigt niet het verwijderen van de onderliggende impact of het onderliggende risico.

Is een NDA voldoende om de weglatingsvrijstelling van de ESRS te gebruiken?

Niet automatisch. Een NDA kan relevant bewijs van vertrouwelijkheid zijn, maar de onderneming heeft nog steeds een categorie als bedoeld in paragraaf 100 en de bijbehorende voorwaarden nodig, of moet aggregatie/redactie gebruiken die aan het doel van de informatieverschaffing voldoet.

Kunnen verwachte financiële effecten wegens commercieel nadeel worden weggelaten?

De toepassingsrichtsnoeren van de ESRS stellen dat de bepalingen inzake weglating van toepassing zijn op verwachte financiële effecten. De onderneming moet nog steeds voldoen aan de relevante voorwaarden voor weglating en de omringende informatie die nuttig is voor besluitvorming behouden.

Hoe moet het gebruik van een vrijstelling worden vermeld zonder het geheim prijs te geven?

Vermeld dat de vrijstelling voor het relevante datapunt is gebruikt en identificeer, waar dat veilig is, de categorie en reikwijdte. Beschrijf de beschermde informatie niet zo precies dat de vermelding de bescherming tenietdoet.

Is “niet goedgekeurd door het bestuur” een grond voor weglating?

Nee. Een conceptstatus kan van invloed zijn op de vraag of informatie betrouwbaar is of een plan vormt, maar is op zichzelf geen vertrouwelijkheidsvrijstelling. De onderneming moet materialiteit, de status van schattingen, governance en de toepasselijke informatieverschaffingsvereiste beoordelen.