Grupa kapitałowa a RODO

Spółka którą zarządzasz należy do grupy kapitałowej i zastanawiasz się, czy wpływa to na jej prawa i obowiązki w zakresie ochrony danych osobowych? Nie wiesz, czy należąca do grupy kapitałowej spółka spoza Unii Europejskiej może otrzymywać dane osobowe od spółek z jej obszaru? A może poszukujesz informacji na temat wiążących reguł korporacyjnych? W artykule znajdziesz informacje na temat:

• pojęcia grupy przedsiębiorców w rozumieniu RODO,
• wiążących reguł korporacyjnych oraz korzyści z ich przyjęcia,
• dodatkowych ułatwień oraz obostrzeń dla grup przedsiębiorców,
• przesłanek powołania wspólnego inspektora ochrony danych przez grupę przedsiębiorców.

Grupa przedsiębiorców

Ogólne rozporządzenie o ochronie danych [RODO] nie posługuje się pojęciem grupy kapitałowej. W rozporządzeniu pojawia się natomiast termin „grupa przedsiębiorców”, które oznacza przedsiębiorstwo sprawujące kontrolę oraz przedsiębiorstwa przez nie kontrolowane. Grupa taka obejmuje zatem spółkę matkę oraz spółki od niej zależne (spółki-córki), co w pewnym uproszczeniu odpowiadać może pojęciu grupy kapitałowej. Na gruncie RODO nie są istotne wzajemne relacje pomiędzy spółkami-córkami, wystarczające że są one kontrolowane przez spółkę-matkę.

RODO w sposób szczególny traktuje grupy przedsiębiorców, w których uczestniczą podmioty spoza Unii Europejskiej. W takim bowiem przypadku rozporządzenie przewiduje możliwość przyjęcia przez daną grupę wiążących reguł korporacyjnych – o czym niżej.

Z uczestnictwem w grupie przedsiębiorców wiążą się także dodatkowe prawa i obowiązki spółek ją tworzących, wśród których powinieneś pamiętać o następujących przypadkach:

• jeżeli spółka uczestnicząca w grupie przedsiębiorców przeprowadza procedurę uprzednich konsultacji z Prezesem Urzędu Ochrony Danych Osobowych, spółka taka zobowiązana jest do przedstawienia mu dodatkowo informacji na temat odpowiednich obowiązki administratora, współadministratorów oraz podmiotów przetwarzających uczestniczących w przetwarzaniu,
• na opisanych poniżej zasadach grupa przedsiębiorców może wyznaczyć wspólnego inspektora ochrony danych.

Wiążące reguły korporacyjne

Termin ten oznacza polityki ochrony danych osobowych stosowane przez administratora lub podmiot przetwarzający, którzy posiadają jednostkę organizacyjną na terytorium państwa członkowskiego, przy jednorazowym lub wielokrotnym przekazaniu danych osobowych administratorowi lub podmiotowi przetwarzającemu w co najmniej jednym państwie trzecim w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą.

Innymi słowy, wiążące reguły korporacyjne przeznaczone są dla grupy przedsiębiorstw, bądź przedsiębiorców, w skład której wchodzą podmioty posiadające jednostki organizacyjne  zarówno na obszarze Unii Europejskiej, jak i poza nią, a nadto ma dochodzić do ujawniania danych osobowych pomiędzy członkami tejże grupy o różnym statusie względem prawa Unii Europejskiej.

Wiążące reguły korporacyjne zatwierdzane są przez krajowy organ nadzorczy jednego z państw członkowskich Unii Europejskiej, w których jednostki organizacyjne posiadają spółki z grupy. Zatwierdzenie to następuje przy zastosowaniu mechanizmu spójności. Polega on na konieczności uzyskania opinii Europejskiej Rady Ochrony Danych, a w przypadku sporu wiążącej decyzji.

Przyjęcie ww. reguł korporacyjnych niesie dla podmiotów tworzących grupę przedsiębiorstw kilka istotnych korzyści, którymi są:

• stanowi on formę odpowiednich zabezpieczeń pozwalających na przekazywanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej bez konieczności stosowania dodatkowych mechanizmów,
• stosowanie wiążących reguł korporacyjnych zatwierdzonych przez organ nadzorczy może stanowić czynnik łagodzący przy określaniu wysokości kary pieniężnej nakładanej na dany podmiot.

Wspólny inspektor ochrony danych w grupie kapitałowej

 RODO zezwala aby grupa przedsiębiorstw mogła wyznaczyć jednego inspektora ochrony danych dla całej grupy. Warunkiem tego jest wszakże, aby kontakt z takim inspektorem był łatwy do nawiązania z każdej jednostki organizacyjnej wchodzącej w skład grupy przedsiębiorstw. Jeżeli zatem w skład grupy wchodzą podmioty z różnych regionów świata, a bieżąca komunikacja przy użyciu środków elektronicznych jest utrudnione, istnieje ryzyko, że ww. warunek nie zostanie spełniony.