Przetwarzanie danych osobowych w grupie przedsiębiorstw według RODO

Pojęcie grupy przedsiębiorstw znalazło się w motywie 37, motywie 48 preambuły do ogólnego rozporządzenia o ochronie danych oraz art. 4 pkt 19 ogólnego rozporządzenia o ochronie danych. I tak, za grupę przedsiębiorstw należy uznać przedsiębiorstwo kontrolujące przetwarzanie danych osobowych w przedsiębiorstwach powiązanych z nim wraz z tymi przedsiębiorstwami (motyw 37 RODO). Zgodnie z art. 4 pkt 19 RODO definiuje grupę przedsiębiorstw jako przedsiębiorstwo sprawujące kontrolę oraz przedsiębiorstwa przez nie kontrolowane. Zaś w świetle motywu 36 RODO, jeżeli przetwarzania dokonuje grupa przedsiębiorstw, za jej główną jednostkę organizacyjną należy uznać główną jednostkę organizacyjną przedsiębiorstwa sprawującego kontrolę, chyba że cel i sposoby przetwarzania określa inne przedsiębiorstwo.

Wiemy już, że aby istniała grupa przedsiębiorstw:

• musi istnieć przedsiębiorstwo sprawujące kontrolę oraz przedsiębiorstwa kontrolowane,
• przedsiębiorstwo sprawujące kontrolę ma kontrolować przetwarzanie danych osobowych w przedsiębiorstwach powiązanych.

Ze statusem grupy przedsiębiorstw przepisy RODO wiążą pewne korzyści. Otóż administratorzy danych, którzy są częścią grupy przedsiębiorstw, mogą mieć prawnie uzasadniony interes w przesyłaniu danych osobowych w ramach grupy przedsiębiorstw do wewnętrznych celów administracyjnych, co dotyczy też przetwarzania danych osobowych klientów lub pracowników. Pozostaje to bez wpływu na ogólne zasady przepływu danych osobowych z grupy przedsiębiorstw do przedsiębiorstwa mieszczącemu się w państwie trzecim. Oznacza to, że spełniona jest podstawa przetwarzania danych osobowych zgodnie z prawem, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (art. 6 ust. 1 lit. f RODO).

Poza tym grupa przedsiębiorstw może korzystać z zatwierdzonych wiążących reguł korporacyjnych przy międzynarodowym przekazywaniu danych z Unii Europejskiej do organizacji w tej samej grupie przedsiębiorstw, pod warunkiem że w takich regułach korporacyjnych są ujęte wszystkie podstawowe zasady i egzekwowalne prawa zapewniające odpowiednie zabezpieczenia na potrzeby przekazywania danych osobowych lub na potrzeby określonych kategorii przekazań danych osobowych (motyw 110 RODO).

Ponadto grupa przedsiębiorstw w rozumieniu RODO może wyznaczyć wspólnego inspektora ochrony danych, jeśli będzie można łatwo nawiązać z nim kontakt z każdej jednostki organizacyjnej (art. 37 ust. 2 RODO).

Pojęcia grupy przedsiębiorstw nie można utożsamiać z pojęciem grupy kapitałowej. Kontrola na gruncie RODO nie oznacza bowiem kontroli właścicielskiej (kapitałowej), ale kontroli rozumianej jako wpływ dominujący na podmioty kontrolowane w odniesieniu do wybranej sfery ich działalności, tj. przetwarzania danych osobowych. Przedsiębiorstwem sprawującym kontrolę w rozumieniu RODO może być zatem inna spółka niż spółka dominująca w rozumieniu Kodeksu spółek handlowych.

Stosowanie RODO w grupie kapitałowej nie zostało więc uregulowane w żaden szczególny sposób.