iSecure logo
Blog

Odpowiedzialność finansowa w grupie kapitałowej i nadzór nad procesami

Podmioty działające w ramach grup kapitałowych bardzo często dzielą̨ się̨ informacjami. Kiedy wymiana dotyczy danych osobowych, z zasady niezbędne jest spełnienie wymagań́ określonych w przepisach o ich ochronie. Nadzór nad procesami w grupie kapitałowej jest w gruncie rzeczy bardzo trudny. Jest to zauważalne zjawisko ukazujące się podczas audytu RODO. Zazwyczaj, nie zdajemy sobie sprawy z powagi sytuacji nałożenia kar finansowych oraz jej wysokości. Największym praktycznym zagrożeniem w tym zakresie wydaje się być zbyt powierzchowne podejście do tematu i automatyczne przyjęcie, że wszystkie procesy w grupie są wspólne i oznaczają współadministrację. W praktyce rzadko ten model będzie odpowiadał wszystkim przepływom danych w grupie, a dodatkowo nie jest najkorzystniejszy biznesowo ze względu na wspólną odpowiedzialność wszystkich administratorów.

Warto pamiętać́, że mimo funkcjonowania poszczególnych spółek w grupie, każda z nich pozostaje odrębnym podmiotem w świetle prawa. Czy zatem spółki wymieniające się danymi osobowymi wewnątrz grupy po wejściu w życie RODO mogą̨ korzystać́ ze swobody wymiany danych?

Właśnie swobodny przepływ danych pomiędzy spółkami w grupie jest podstawą ich funkcjonowania. Struktura holdingowa (przypominająca na ogół drzewo genealogiczne) wymaga, żeby członkowie holdingu wiedzieli o sobie wiele. Skoro spółka – matka kieruje działalnością̨ spółek – córek, a te z kolei – ich spółek zależnych, to spółki te naturalnie wchodzą̨ w posiadanie określonych informacji często zawierających dane osobowe.

Z punktu widzenia ochrony danych osobowych istotne jest natomiast poprawne przeprowadzenie mapowania przepływu danych oraz istnienie podstawy prawnej ich przetwarzania, a także realizacja obowiązków informacyjnych względem osób, których dane dotyczą̨. Przetwarzanie danych osobowych przez spółki z grupy musi się̨ mieścić́ w ramach wyznaczonych przez przepisy o ochronie danych osobowych. W większości grup przedsiębiorstw współistnieje jednocześnie kilka różnych procesów i podstaw przetwarzania danych.

Może być to obszar współadministrowania, gdzie cele i sposoby przetwarzania ustalane są wspólnie. Dodatkowo, np. jeśli czynności administracyjne są zlecone do jednego podmiotu z grupy, to powstaje stosunek powierzenia przetwarzania danych, a podmiot wspierający działa jako procesor. Podmioty z grupy udostępniają także dane podmiotowi centralnemu, jako osobnemu administratorowi.

Istnieje popularne przeświadczenie, że samo występowanie powiązania kapitałowego lub osobowego pomiędzy spółkami jest wystarczającą podstawą do wymiany danych osobowych. Mówi się zazwyczaj o możliwości powołania się na uzasadniony interes każdej ze spółek w przesyłaniu danych w ramach grupy, do wewnętrznych celów administracyjnych. W praktyce najczęściej chodzi o dane pracowników, klientów i kontrahentów.

Oczywiście nie oznacza to, że wszystkie dane osobowe można swobodnie przekazywać́ wewnątrz grupy. Każdorazowo trzeba identyfikować́ legalność́ przekazania danych innym członkom grupy, w szczególności w zakresie istnienia realnego celu przetwarzania. Jeżeli udostepnienie danych nie będzie możliwe, należy rozważyć́ zawarcie między spółkami umowy o współpracy wraz z umową powierzenia przetwarzania danych osobowych.

Przykład: Jedna ze spółek z Grupy Kapitałowej stanowi tzw. Centrum Wszechświata dla pozostałych spółek. W związku z tym w Centrum Wszechświata dochodzi do przetwarzania danych osobowych pracowników czy kontrahentów, których administratorem są inne spółki z Grupy – jest zatem podwykonawcą usług świadczonych na rzecz innych spółek (czyli w świetle RODO jest procesorem). W takim przypadku należy określić́ w jaki sposób dojdzie do przekazania danych przez spółki z Grupy na rzecz Centrum Wszechświata – należy zawrzeć́ umowę̨ powierzenia przetwarzania danych lub kwestia ta powinna wynikać́ z wiążących reguł korporacyjnych.

Nadzór nad procesami – co może pomóc?

W procesie identyfikacji procesów przetwarzania danych i ich podstaw prawnych (mapowanie) z pomocą̨ może przyjść́ w szczególności rejestr czynności przetwarzania danych, stworzony dla każdej ze spółek z grupy. Kolejnym krokiem powinno być́ wypracowanie zgodnych z przepisami procedur w zakresie przepływu informacji i wkomponowanie ich w całość́ regulacji obowiązujących w grupie.

Procedury powinny być jednak skrojone na miarę̨ konkretnej grupy. Stos dokumentów „do szuflady”, pomijających specyfikę̨ danej organizacji, nie spełni swojej roli.

RODO przewiduje przy tym możliwość́ przyjęcia przez grupy tzw. wiążących reguł korporacyjnych, które stanowią̨ polityki ochrony danych osobowych stosowane przez administratora lub podmiot przetwarzający. Co ważne, wiążące reguły korporacyjne powinny być́ przyjmowane przez międzynarodowe grupy kapitałowe, tj. takie, które posiadają̨ siedziby nie tylko na terytorium UE, ale również̇ w państwie trzecim.

Więcej o karach

Tak jak wskazuje wyżej, nadzór nad całością nie jest łatwy. Wymiana danych między Spółkami często prowadzona jest w dużym chaosie. Brak koordynacji nad tym, może spowodować nałożenie wysokich kar finansowych przewidzianych w RODO.

Przepisy RODO przewidują dwie kategorie kar finansowych, które zależne są od rodzaju przewinienia.

UODO może nałożyć karę w wysokości:

  • do 10 lub 20 mln euro,
  • do 2 lub 4% całkowitego rocznego obrotu firmy z poprzedniego roku.

Co ważne, wysokość kary dla Spółki, mimo że stanowi odrębny twór prawny, liczona jest na podstawie 2 lub 4 % całkowitego rocznego obrotu firmy z poprzedniego roku, a więc grupy kapitałowej.

Przetwarzanie i wzajemne udostępnianie danych osobowych w ramach grupy kapitałowej, poza zarysowanymi powyżej ułatwieniami prawnymi, pociąga za sobą również pewne wyzwania. Przede wszystkim niełatwa może okazać się identyfikacja przez członków grupy całości procesów przetwarzania danych w poszczególnych spółkach oraz sytuacji wzajemnego udostępniania danych (tzw. mapowanie).

Pobierz wpis w wersji pdf

Podobne wpisy:

Dlaczego szkolenia z ochrony danych osobowych są ważne?

Szkolenie pracowników, szczególnie dla jego uczestników, często wydaje się przykrym obowiązkiem. Zdarza się też, że pracownik wyciąga magiczną kartę: „ja już miałem szkolenie z RODO”, dzięki czemu rzekomo nie musi brać w nim udziału ponownie. Czy na pewno? Dlaczego szkolenie jest ważne? Podstawowa wiedza personelu z zasad ochrony danych osobowych, to jeden z kluczowych elementów […]

Franczyza i RODO

Umowa franczyzy zdecydowanie nie kojarzy się w pierwszej kolejności z tematem ochrony danych osobowych. Franczyza jest rozumiana jako system sprzedaży towarów lub technologii czy świadczenia usług, wiążący się z bliską współpracą niezależnych prawnie podmiotów (franczyzodawcy i franczyzobiorcy). Jest to jeden ze sposobów na rozpoczęcie własnego biznesu, gdy nie za bardzo mamy na niego pomysł. Możemy […]

Kontrola uprawnień i dostępów do systemów zgodnie z RODO

Wstęp Niniejszy artykuł ma na celu omówienie znaczenia i implikacji kontroli uprawnień oraz dostępów do systemów w erze cyfrowej, gdzie informacje szybko zyskują na wartości. RODO, inicjatywa Unii Europejskiej, określa surowe kryteria dotyczące przetwarzania danych osobowych, a wśród nich właśnie kontrola uprawnień i dostępów odgrywa kluczową rolę. Zarządzanie tymi uprawnieniami nie jest jedynie wyzwaniem technologicznym, […]

Zapis do newslettera
Dodanie e-maila i potwierdzenie "Zapisz się" oznacza zgodę na przetwarzanie przez iSecure Sp. z o.o. podanego adresu e-mail w celu wysyłania newslettera o usługach, wydarzeniach, czy innych działaniach dotyczących naszej Spółki