PRZEPŁYW DANYCH W GRUPACH KAPITAŁOWYCH

Kto jest ADO?

Pierwszym problemem jaki nasuwa się na myśl jest to, czy spółki są jednym administratorem danych.

Zgodnie z ustawą o ochronie danych osobowych, administratorem danych jest podmiot, który decyduje o celach i środkach przetwarzania danych osobowych (art. 7 ust. 4 ustawy o ochronie danych osobowych). W przypadku Spółki za administratora danych uznaje się właśnie Spółkę (reprezentowaną zgodnie z KSH czyli zazwyczaj przez Zarząd. Z punktu widzenia ustawy o ochronie danych osobowych obojętny jest również układ właścicielski (czyli np. że jedna ze Spółek ma 100% udziałów albo akcji w innej Spółce). Każda ze Spółek powiązanych kapitałowo jest odrębnym administratorem danych.

Przekazanie danych między spółkami

Kolejną kwestią jest wymiana danych w grupie kapitałowej. Spółki mogą znajdować się poza granicami jednego państwa. Powinna się ona odbywać, w sposób jaki jest przewidziany dla obcych sobie podmiotów. Przekazywanie danych osobowych pomiędzy spółkami odbywa się poprzez udostępnienie lub powierzenie. Od tego jaki będzie tryb przekazania danych, będą z tego wynikać inne obowiązki.

Powierzenie danych w ramach grupy kapitałowej

Jeśli w grupie kapitałowej tylko jedna spółka zajmuje się np.  obsługą kadrową  to pozostałe spółki winny podpisać z nią umowę powierzenia przetwarzania danych osobowych. Taka umowa musi spełniać warunki art.31 ustawy o ochronie danych osobowych, czyli zostać zawarta w formie pisemnej, określać cel i zakres przetwarzanych danych osobowych. Spółka przyjmująca dane będzie zarządzała procesami nad nimi przeprowadzanymi, a spółki przekazujące będą administratorami tych danych.

Udostępnianie danych innym spółkom grupy

Udostępnianie nastąpiłoby gdyby spółka córka pozyskiwała dane w trakcie prowadzenia swoich zadań, a spółka matka chciałaby te dane uzyskać w celu np. sprawowania kontroli, wykonywania raportów. Przypominamy, że każda z tych spółek jest traktowana jako odrębny administrator danych. Zatem spółka córka powinna posiadać zgody osób, których dane dotyczą na udostępnianie danych innemu podmiotowi. Ponadto spełniać obowiązek informacyjny względem tych osób, dotyczący kategorii odbiorców w tym przypadku szczegółowych danych rejestrowych spółki.

Bez umów powierzenia lub przesłanki legalności przy udostępnieniu ADO może narazić się na odpowiedzialność karną określoną w ustawie o ochronie danych osobowych.