Przepływ danych osobowych w grupach kapitałowych teraz i w RODO

Rafał Andrzejewski | 28.02.2018

OBECNIE

Kto jest ADO w gru­pie ka­pi­ta­ło­wej?

Pierw­szym pro­ble­mem ja­ki na­su­wa się na myśl jest to, czy spół­ki są jed­nym ad­mi­ni­stra­to­rem da­nych.

Zgod­nie z usta­wą o ochro­nie da­nych oso­bo­wych, ad­mi­ni­stra­to­rem da­nych jest podmiot, któ­ry de­cy­du­je o ce­lach i środ­kach prze­twa­rza­nia da­nych oso­bo­wych (art. 7 ust. 4 usta­wy o ochro­nie da­nych oso­bo­wych). W przy­pad­ku Spół­ki za ad­mi­ni­stra­to­ra da­nych uzna­je się wła­śnie Spół­kę (re­pre­zen­to­wa­ną zgod­nie z KSH czy­li za­zwy­czaj przez Za­rząd. Z punk­tu wi­dze­nia usta­wy o ochro­nie da­nych oso­bo­wych obo­jęt­ny jest rów­nież układ wła­ści­ciel­ski (czy­li np. że jed­na ze Spó­łek ma 100% udzia­łów al­bo ak­cji w in­nej Spół­ce). Każ­da ze Spó­łek po­wią­za­nych ka­pi­ta­ło­wo jest odręb­nym ad­mi­ni­stra­to­rem da­nych.

Prze­ka­za­nie da­nych mię­dzy spół­ka­mi

Ko­lej­ną kwe­stią jest wy­mia­na da­nych w gru­pie ka­pi­ta­ło­wej. Spół­ki mo­gą znaj­do­wać się po­za gra­ni­ca­mi jed­ne­go pań­stwa. Po­win­na się ona od­by­wać, w spo­sób ja­ki jest prze­wi­dzia­ny dla ob­cych so­bie podmio­tów. Prze­ka­zy­wa­nie da­nych oso­bo­wych po­mię­dzy spół­ka­mi od­by­wa się po­przez udo­stęp­nie­nie lub po­wie­rze­nie. Od te­go ja­ki bę­dzie tryb prze­ka­za­nia da­nych, bę­dą z te­go wy­ni­kać in­ne obo­wiąz­ki.

Po­wie­rze­nie da­nych w ra­mach gru­py ka­pi­ta­ło­wej

Je­śli w gru­pie ka­pi­ta­ło­wej tyl­ko jed­na spół­ka zaj­mu­je się np.  ob­słu­gą ka­dro­wą  to po­zo­sta­łe spół­ki win­ny pod­pi­sać z nią umo­wę po­wie­rze­nia prze­twa­rza­nia da­nych oso­bo­wych. Ta­ka umo­wa mu­si speł­niać wa­run­ki art.31 usta­wy o ochro­nie da­nych oso­bo­wych, czy­li zo­stać za­war­ta w for­mie pi­sem­nej, okre­ślać cel i za­kres prze­twa­rza­nych da­nych oso­bo­wych. Spół­ka przyj­mu­ją­ca da­ne bę­dzie za­rzą­dza­ła pro­ce­sa­mi nad ni­mi prze­pro­wa­dza­ny­mi, a spół­ki prze­ka­zu­ją­ce bę­dą ad­mi­ni­stra­to­ra­mi tych da­nych.

Udo­stęp­nia­nie da­nych in­nym spół­kom gru­py

Udo­stęp­nia­nie na­stą­pi­ło­by gdy­by spół­ka cór­ka po­zy­ski­wa­ła da­ne w trak­cie pro­wa­dze­nia swo­ich za­dań, a spół­ka mat­ka chcia­ła­by te da­ne uzy­skać w ce­lu np. spra­wo­wa­nia kon­tro­li, wy­ko­ny­wa­nia ra­por­tów. Przy­po­mi­na­my, że każ­da z tych spół­ek jest trak­to­wa­na ja­ko odręb­ny ad­mi­ni­stra­tor da­nych. Za­tem spół­ka cór­ka po­win­na po­sia­dać zgo­dy osób, któ­rych da­ne do­ty­czą na udo­stęp­nia­nie da­nych in­ne­mu podmio­to­wi. Po­nad­to speł­niać obo­wią­zek in­for­ma­cyj­ny wzglę­dem tych osób, do­ty­czący ka­te­go­rii od­bior­ców w tym przy­pad­ku szcze­gó­ło­wych da­nych re­je­stro­wych spół­ki.

Bez umów po­wie­rze­nia lub prze­słan­ki le­gal­no­ści przy udo­stęp­nie­niu ADO mo­że na­ra­zić się na od­po­wie­dzial­ność kar­ną okre­ślo­ną w usta­wie o ochro­nie da­nych oso­bo­wych.

RODO

Unij­ne prze­pi­sy ogól­ne­go roz­po­rzą­dze­nia o ochro­nie da­nych (RODO) wpro­wa­dzi­ły udo­god­nie­nia dla grup przed­się­biorstw zwią­za­ne z ochro­ną da­nych oso­bo­wych. Dzię­ki przy­ję­tym prze­pi­som spół­ki na­le­żą­ce do tej sa­mej gru­py ka­pi­ta­ło­wej bę­dą mo­gły wspól­nie za­rzą­dzać da­ny­mi.

In­sty­tu­cja wspó­ład­mi­ni­stra­to­rów w myśl art. 26 RODO, za­kła­da współ­pra­cę co naj­mniej dwóch ad­mi­ni­stra­to­rów wspól­nie usta­la­ją­cych ce­le i spo­so­by prze­twa­rza­nia da­nych oso­bo­wych, a tak­że okre­śla­ją­cych od­po­wied­nie za­kre­sy swo­jej od­po­wie­dzial­no­ści do­ty­czą­cej wy­peł­nia­nia obo­wiąz­ków wy­ni­ka­ją­cych z RODO. Obo­wiąz­ki te w szcze­gól­no­ści obej­mu­ją kwe­stie ta­kie jak wy­ko­ny­wa­nie przez oso­bę, któ­rej da­ne do­ty­czą, przy­słu­gu­ją­cych jej praw, oraz ich obo­wiąz­ków w od­nie­sie­niu do po­da­wa­nia in­for­ma­cji, chy­ba że przy­pa­da­ją­ce im obo­wiąz­ki i ich za­kres okre­śla pra­wo Unii Eu­ro­pej­skiej lub pra­wo pań­stwa człon­kow­skie­go, któ­re­mu ad­mi­ni­stra­to­rzy ci pod­le­ga­ją.

Wpro­wa­dze­nie po­ję­cia wspó­ład­mi­ni­stra­to­ra da­ny­mi do RODO bę­dzie du­żym uła­twie­niem zwłasz­cza dla grup ka­pi­ta­ło­wych, któ­rych obo­wią­zu­ją­ce prze­pi­sy usta­wy o ochro­nie da­nych oso­bo­wych do tej po­ry „nie wi­dzia­ły”. Wią­za­ło to się z utrud­nie­nia­mi w prze­ka­zy­wa­niu da­nych oso­bo­wych po­mię­dzy spół­ka­mi jak i za­trud­nia­niu tych sa­mych pra­cow­ni­ków w ra­mach gru­py. Prze­pi­sy ochro­ny da­nych oso­bo­wych wresz­cie wy­szły na­prze­ciw gru­pom przed­się­biorstw uprasz­cza­jąc w ten spo­sób kwe­stie zwią­za­ne z pro­ce­sem prze­twa­rza­nia da­nych oso­bo­wych.