RODO w grupie kapitałowej – Przepływ danych między spółkami z grupy

RODO w grupie kapitałowej oznacza, że każda spółka jest osobnym administratorem danych i sam wspólny właściciel, zarząd czy biuro nie daje automatycznej podstawy do przekazywania danych między spółkami. RODO nie zna pojęcia grupy jako jednej całości i nie interesuje go kto podpisał akt założycielski.

Dane pracowników, klientów, kandydatów do pracy i dokumenty strategiczne krążą między spółkami każdego dnia – często bez żadnej podstawy prawnej. To realny problem dla właścicieli i zarządów grup kapitałowych, menedżerów odpowiedzialnych za ochronę danych, działów HR i IT oraz wszystkich osób, które zarządzają przepływem danych w wielospółkowych strukturach.

W tym artykule wyjaśniam, jak ustalić role spółek, jakie kategorie danych faktycznie krążą w grupie, z jakich podstaw prawnych można korzystać, kiedy potrzebna jest umowa powierzenia, a kiedy współadministrowanie, jakie błędy pojawiają się najczęściej i jak przejść sześciostopniowy proces legalizacji przepływu danych. Warto pamiętać, że to nie jest teoria: brak porządku w tym obszarze realnie zwiększa ryzyko kar od UODO, utrudnia obsługę żądań osób, których dane dotyczą, komplikuje due diligence i osłabia przewagę biznesową całej grupy.

Podsumowanie na start

1. Każda spółka w grupie jest oddzielnym administratorem danych – RODO (Rozporządzenie 2016/679) nie przewiduje wyjątku dla grup kapitałowych, co oznacza, że wspólny właściciel, zarząd czy siedziba nie tworzą automatycznej podstawy prawnej do transferu danych między podmiotami.
2. Dane pracowników, klientów i kandydatów krążą między spółkami codziennie bez podstawy prawnej – wspólny CRM, jeden dział HR i jedno narzędzie rekrutacyjne to najczęstsze źródła problemu, które wychodzą przy pierwszej kontroli UODO.
3. Art. 6 RODO daje trzy realne podstawy prawne przepływu danych w grupie – zgoda, realizacja umowy lub uzasadniony interes, przy czym każda pasuje do innego scenariusza i wymaga odrębnej dokumentacji.
4. Do wyboru są dwa modele: umowa powierzenia (art. 28 RODO) lub współadministrowanie (art. 26 RODO) – wybór zależy od tego, kto faktycznie decyduje o celach przetwarzania, a nie od tego, który model wydaje się wygodniejszy.
5. Najczęstszy błąd to mindset „to przecież nasze spółki” – dla UODO liczy się forma prawna i dokumentacja, a nie ekonomiczna logika grupy; kara może spaść na kilka podmiotów jednocześnie za to samo zdarzenie.
6. Legalny przepływ danych da się wdrożyć w sześciu krokach – mapowanie przepływów, polityka grupowa, umowy per relacja, matryca dostępów, szkolenie kluczowych osób i roczny przegląd.
7. Wdrożenie zwraca się przy pierwszej kontroli UODO, żądaniu usunięcia danych i due diligence inwestorskim – a to stanowi realną przewagę w negocjacjach z dużymi klientami weryfikującymi swoich dostawców.

Dlaczego każda spółka w grupie to oddzielny administrator danych?

Skalowanie przez tworzenie kolejnych spółek to naturalna ścieżka rozwoju. Zaczynasz od jednej firmy, potem dochodzi projekt wymagający osobnego bytu, potem kolejny rynek, kolejna specjalizacja. Nim się obejrzysz, zarządzasz grupą i masz poczucie, że to nadal jeden organizm – bo przecież masz te same cele, wspólną strategię i Ty podejmujesz wszystkie decyzje.

W sensie operacyjnym – owszem. Ale RODO na to nie patrzy. Rozporządzenie 2016/679 nie zna pojęcia grupy kapitałowej jako jednego administratora. Widzi tylko osobne podmioty prawne, z których każdy ma swoje obowiązki.

W art. 4 pkt 19 RODO pojawia się natomiast grupa przedsiębiorstw, czyli przedsiębiorstwo sprawujące kontrolę oraz pozostałe przedsiębiorstwa przez nie kontrolowane. Taki podmiot może być spółką dominującą, ale kontrola może też wynikać z tego, że jest w stanie wywierać dominujący wpływ przez udział finansowy, strukturę właścicielską albo przepisy regulujące relacje w grupie.

Co to oznacza w praktyce? Każda spółka, także w przedsiębiorstwach powiązanych i między podmiotami powiązanymi w ramach takiej struktury, musi samodzielnie mieć podstawę prawną do przetwarzania danych, które posiada. Każda prowadzi własny rejestr czynności przetwarzania. Każda osobno odpowiada za naruszenia – co oznacza, że kara UODO za to samo zdarzenie może spaść na kilka podmiotów jednocześnie. I każda musi udokumentować, dlaczego dane, które do niej trafiły ze spółki siostrzanej, trafiły tam legalnie.

⚠️ Pułapka: powiązania właścicielskie, wspólny zarząd, ta sama wizytówka, siedziba pod tym samym adresem – żadna z tych rzeczy nie tworzy automatycznej podstawy do transferu danych między podmiotami. Founderzy, z którymi rozmawiamy, najczęściej nie mają złej woli i nie ignorują RODO celowo. Po prostu budują grupę z perspektywy operacyjnej, a nie prawnej – i te dwa sposoby myślenia o tej samej strukturze dają zupełnie różne wnioski.

Jakie dane osobowe faktycznie krążą między spółkami w Twojej grupie?

Zatrzymaj się na chwilę i pomyśl – jakie dane faktycznie wędrują między Twoimi spółkami każdego dnia. Zazwyczaj okazuje się, że więcej niż by się wydawało.

Dane pracowników

Jeden dział HR dla całej grupy to wygoda operacyjna – ale z perspektywy RODO oznacza zbiorowy dostęp do danych z kilku oddzielnych administratorów.

Mowa o podstawowych informacjach kadrowych, wynagrodzeniach, ocenach pracowniczych, historii zatrudnienia, a czasem o wrażliwych danych zdrowotnych przy zwolnieniach lekarskich; wymiana takich danych pracowników pomiędzy spółkami powinna być ograniczona wyłącznie do informacji niezbędnych, zgodnie z zasadą minimalizacji. Każda spółka jest osobnym pracodawcą i powinna mieć odrębną umowę regulującą ten dostęp.

Dane klientów i partnerów biznesowych

Wspólny CRM, historia transakcji, zgody marketingowe, notatki ze spotkań, dane do faktur.

Przekazywanie danych osobowych oraz wymiana danych klientów spółek między podmiotami z grupy często wynika z konstrukcji systemu, a nie ze świadomie ustalonej potrzeby. To jeden z najczęstszych scenariuszy, które widzimy podczas audytów.

Dane kandydatów do pracy

Jedno ogłoszenie rekrutacyjne, jedno narzędzie, CV dostępne dla wszystkich spółek w grupie. Kandydat aplikował do konkretnego podmiotu – nie do grupy. Jego dane nie powinny być widoczne dla rekrutera z siostrzanej spółki bez jego wiedzy i zgody.

Dane strategiczne z nazwiskami

Raporty z przypisanymi osobami, analizy personalne, plany inwestycyjne omawiane na spotkaniach całej grupy, listy klientów z przypisanymi opiekunami. To też są dane osobowe w rozumieniu RODO i każdy taki przepływ wymaga podstawy prawnej. Takie sposoby przetwarzania warto opisać i ująć w mapie przepływów.

📌 Praktyczna wskazówka: zanim zaczniesz cokolwiek wdrażać, przejdź przez te cztery kategorie i wypisz w Excelu każdy przepływ danych osobowych pomiędzy spółkami w ramach grupy: jakie dane, skąd, dokąd, w jakim celu, jak często. To Twoja mapa wyjściowa. Bez niej nie wiesz, co naprawić i od czego zacząć.

Jakie są podstawy prawne przetwarzania danych osobowych w grupie kapitałowej?

Przepływ danych w grupie da się zorganizować legalnie. Tylko trzeba to faktycznie zorganizować, a nie zakładać, że samo się trzyma.

Zgoda to najprostsza podstawa z punktu widzenia zrozumienia: osoba wyraźnie zgadza się, żeby jej dane wędrowały między spółkami grupy. Prosta i czytelna – ale można ją wycofać w każdej chwili. Jeśli zbudujesz na tym model operacyjny i klient zmieni zdanie w połowie procesu, zostajesz z problemem. Zgoda sprawdza się przy danych marketingowych, jednak przy operacyjnych jest zbyt chwiejna.

Realizacja umowy to podstawa, po którą warto sięgnąć, gdy spółki realizują różne etapy tej samej usługi. Spółka A sprzedaje produkt, spółka B go wdraża, spółka C obsługuje po sprzedaży – klient kupił jedną usługę, więc przepływ danych przez całą strukturę ma uzasadnienie w tym, co zamówił. To najwygodniejsza podstawa w grupach, gdzie spółki są faktycznie od siebie zależne w realizacji jednego procesu, o ile odbywa się to w ramach ustalonych celów.

Uzasadniony interes wymaga więcej pracy – musisz przeprowadzić test równowagi (tzw. LIA, Legitimate Interest Assessment) i zachować go w dokumentacji. Motyw 48 RODO wprost dopuszcza tę podstawę dla wewnętrznych celów administracyjnych w ramach grupy przedsiębiorstw oraz zgodności z przepisami o ochronie danych osobowych. W części przypadków przekazanie danych odbywa się tu na zasadzie udostępnienia, a nie w modelu powierzenia. Ale „bo tak wygodniej” to nie jest uzasadnienie. Potrzebujesz konkretnego celu i opisanego rozumowania, które wyważają Twój interes wobec praw osób, których dane dotyczą.

💡 Pro tip: wiele grup korzysta z kilku podstaw jednocześnie – uzasadniony interes dla wewnętrznej administracji kadrowej, realizacja umowy dla danych klientów obsługiwanych wspólnie przez kilka spółek, zgoda dla działań marketingowych. To normalne i dopuszczalne. Ważne, żeby każdą podstawę udokumentować osobno.

Kiedy zastosować umowę powierzenia przetwarzania między spółkami?

W modelu powierzenia spółka A pozostaje administratorem danych, a spółka B staje się podmiotem przetwarzającym, czyli procesorem. Chodzi tu o model powierzenia przetwarzania danych, w którym spółka B działa jako podmiot przetwarzający i występuje w roli procesora.

Procesor działa wyłącznie na udokumentowane polecenie administratora – nie może wykorzystać danych w swoich własnych celach, podzielić się nimi z innymi podmiotami bez zgody administratora ani przechowywać ich dłużej niż wynika z umowy. Jednocześnie łączenie dwóch ról w jednej relacji może budzić pewne wątpliwości i wymaga sprawdzenia, czy spółka nie realizuje także własnych celów.

Ten model dobrze opisuje sytuację, gdy jedna ze spółek pełni funkcję back-office dla całej grupy. Spółka IT zarządzająca infrastrukturą danych na rzecz pozostałych podmiotów, spółka księgowa obsługująca finanse innych spółek, wspólny dział HR zajmujący się obsługą kadrową i prowadzący dokumentację pracowniczą – we wszystkich tych przypadkach mamy jasny podział: ktoś zleca, ktoś wykonuje.

Umowa powierzenia musi spełniać konkretne wymogi z art. 28 RODO.

Musi określać przedmiot i cel przetwarzania, rodzaj przetwarzanych danych i kategorie osób, których dane dotyczą, czas trwania powierzenia oraz obowiązki i prawa administratora, a także mieć formę pisemną lub elektroniczną. Musi też regulować kwestie podpowierzania (czy procesor może angażować kolejnych podwykonawców i na jakich warunkach) oraz zasady audytu i kontroli ze strony administratora..

Czym jest współadministrowanie i kiedy zachodzi w grupie spółek?

Wspólny CRM, z którego korzysta kilka spółek grupy. Wspólna baza klientów zasilana z różnych podmiotów; jeśli strony wspólnie ustalają też cele i sposoby przetwarzania, wyklucza to prosty model procesora. Wspólne narzędzia marketingowe, z których dane trafiają do kampanii prowadzonych przez każdą spółkę osobno.

To są sytuacje, w których spółki faktycznie razem ustalają, po co dane są zbierane i jak są wykorzystywane – nawet jeśli nikt tego tak nie nazywa.

Umowa między współadministratorami musi precyzować podział obowiązków wynikających z RODO.

• Kto odpowiada za realizację praw osób (żądania dostępu, usunięcia, sprostowania)?
• Kto zarządza rejestrem naruszeń?
• Kto kontaktuje się z UODO?
• Kto odpowiada za informowanie osób, których dane dotyczą?

Ustalenia powinny też jasno opisywać role poszczególnych spółek oraz pozostałych podmiotów uczestniczących w danej operacji w ramach grupy.

Te pytania trzeba rozstrzygnąć w umowie – bo w razie kontroli UODO pyta każdą ze spółek z osobna.

⚠️ Pułapka: osoby, których dane dotyczą, muszą zostać poinformowane o tym, że mają do czynienia z kilkoma administratorami jednocześnie – i o tym, jak między sobą podzielili obowiązki. W praktyce oznacza to aktualizację klauzul informacyjnych we wszystkich punktach, w których spółki zbierają dane. To jeden z najczęściej pomijanych elementów przy wdrożeniu współadministrowania.

Jak wybrać właściwy model: umowa powierzenia czy współadministrowanie?

W naszej praktyce founderzy najczęściej sięgają po umowę powierzenia, bo wygląda prościej: jedno zlecenie, jedna strona odpowiada.

Problem zaczyna się w momencie kontroli. UODO bada fakty – kto faktycznie decyduje o celach przetwarzania, kto ma dostęp do danych i w jakim celu. Jeśli odpowiedzi wskazują na współadministrowanie, podpisana umowa powierzenia nie zmienia oceny prawnej.

Żeby wybrać właściwy model dla konkretnej relacji między spółkami, wystarczy odpowiedzieć na kilka pytań.

Jak sprawdzić, który model pasuje?

Trzy scenariusze z naszej praktyki pokazują, jak ta ocena działa w praktyce:

Wspólny CRM z dostępem dla trzech spółek – każda widzi te same dane klientów, każda je edytuje i używa do własnych celów handlowych. To współadministrowanie, nawet jeśli właściciel myśli o całości jako jednym systemie dla jednego biznesu. Nie ma tu żadnego podmiotu przetwarzającego na zlecenie drugiego.

Spółka IT zarządzająca infrastrukturą dla całej grupy – konfiguruje serwery, robi backupy, reaguje na awarie. Nie decyduje, co trafia do bazy ani po co. Działa wyłącznie na polecenie. To powierzenie, o ile nie przetwarza danych na rzecz pozostałych podmiotów we własnym celu.

Jeden dział HR obsługujący trzech pracodawców – sytuacja jest mieszana. Prowadzenie dokumentacji pracowniczej konkretnej spółki na jej polecenie, np. w zakresie prowadzenia bazy pracowników dla tej spółki, to powierzenie. Samodzielny wybór narzędzia rekrutacyjnego i decyzja o widoczności CV dla wszystkich podmiotów grupy – to może być już współadministrowanie.

Taki podział jest w jednej grupie całkowicie normalny. Przy ocenie relacji w ramach grupy przedsiębiorstw trzeba uwzględnić rolę każdej jednostki organizacyjnej uczestniczącej w przetwarzaniu. Ważne, żeby każdą relację zakwalifikować osobno i dopasować do niej właściwy dokument.

🧠 Złota zasada: przed podpisaniem czegokolwiek narysuj przepływ danych na kartce. Kto decyduje, po co dane są zbierane i jak są przetwarzane? Jeśli obie spółki – to współadministrowanie. Jeśli tylko spółka A, a spółka B wyłącznie wykonuje – to powierzenie.

Jakich błędów unikać w zarządzaniu danymi osobowymi w grupie kapitałowej?

Błędy w zarządzaniu danymi w grupie mają jedną wspólną cechę – nie wynikają ze złej woli, tylko z tego, że operacyjna logika grupy jest spójna, a prawna – zupełnie inna. Większość grup kapitałowych popełnia zresztą bardzo podobne błędy. Kiedy te dwa sposoby myślenia ze sobą nie rozmawiają, problemy pojawiają się same.

Błąd pierwszy: mindset właścicielski

„Gdybym miał grosz za każdy raz, gdy słyszę «ale to przecież nasze spółki»” – ten cytat z jednej z naszych konsultacji dobrze opisuje skalę problemu. Dla UODO liczy się forma prawna, a nie ekonomiczna logika grupy. Kara za naruszenie może spaść na każdy podmiot, który brał udział w nieuregulowanym przepływie.

Błąd drugi: brak dokumentacji

Transfery odbywają się od lat na zasadzie „jak zawsze było”. Nikt tego nie kwestionował, więc nikt nie widział powodu, żeby to opisać. Podczas kontroli okazuje się, że nie ma rejestru czynności przetwarzania dla transferów wewnątrz grupy, nie ma umów powierzenia, nie ma testu uzasadnionego interesu. Tego nie da się naprawić wstecz bez konsekwencji. Problem dodatkowo nasila centralizacja standardów i narzędzi przy jednoczesnej decentralizacji odpowiedzialności prawnej.

Błąd trzeci: dostęp dla wszystkich, bo wygodniej

Księgowa ma wgląd do systemów wszystkich spółek. Handlowiec widzi dane klientów z podmiotów, z którymi nie ma nic wspólnego. Administrator IT ma pełny dostęp do wszystkich danych we wszystkich spółkach „na wszelki wypadek”. To naruszenie zasady minimalizacji danych i jest widoczne od razu podczas każdej kontroli. Wdrożenie jednolitych polityk bezpieczeństwa zwiększa ochronie danych i porządkuje dostęp w ramach grupy.

Błąd czwarty: ignorowanie żądań osób

Klient przysyła żądanie usunięcia danych. Nagle okazuje się, że nikt nie wie, w ilu spółkach jego dane są, kto je posiada i jak je skutecznie usunąć ze wszystkich systemów jednocześnie. Brak mapy przepływów boli właśnie w takim momencie – kiedy trzeba działać szybko, a nie wiadomo od czego zacząć.

Błąd piąty: brak szkoleń

Pracownicy wysyłają Excela z danymi klientów do kolegi z siostrzanej spółki, żeby pociągnąć upsell. W ich głowie to jeden biznes, jedna baza, jeden zespół. Dopóki nikt im tego nie powie wprost – z konkretnym przykładem i jasną regułą – będą działać według własnej logiki. I to jest rozumiane, bo nikt ich nie poinformował.

⚠️ Pułapka: szkolenie nie musi być wielodniowym kursem. Jedno spotkanie z konkretnymi przykładami i listą reguł wystarczy, żeby zmienić nawyki. Menedżerowie muszą wiedzieć, że wysyłanie bazy klientów mailem między spółkami „bo to nasze” to nie jest w porządku. Serio – nie wiedzą, dopóki się im tego nie powie.

Jak krok po kroku zorganizować legalny przepływ danych w grupie kapitałowej?

Legalny przepływ danych w grupie organizujesz w sześciu krokach: mapowanie przepływów, polityka grupowa, umowy per relacja, matryca dostępów, szkolenia kluczowych osób i roczny przegląd. Nie potrzebujesz do tego armii prawników ani rocznego projektu, wystarczy struktura i konsekwencja.

Krok 1: zmapuj przepływy.

Zanim cokolwiek wdrożysz, musisz wiedzieć, co faktycznie się dzieje. Stwórz arkusz w Excelu, w którym każdy transfer danych to jeden wiersz: która spółka nadaje, która odbiera, jaki rodzaj danych, w jakim celu, jak często i – jeśli już wiesz – jaka podstawa prawna. To Twoja mapa wyjściowa. Bez niej nie wiesz, co naprawić.

Krok 2: opracuj politykę przepływu danych w grupie.

Jeden dokument opisujący, kto, co, kiedy i na jakiej podstawie może przekazywać między spółkami, a także porządkujący procedur RODO w obszarze tych przepływów. Zamiast pytać prawnika przy każdym transferze – w tym dokumencie manager znajdzie gotową odpowiedź. Polityka musi być jednoznaczna. Warto od razu ustalić też model nadzoru, bo RODO przewiduje możliwość wyznaczenia jednego Inspektora Ochrony Danych dla całej grupy.

Krok 3: wybierz model dla każdej relacji i podpisz umowy.

Tam, gdzie jedna spółka obsługuje inne – umowa powierzenia z art. 28 RODO. Tam, gdzie spółki wspólnie korzystają z danych do własnych celów – umowa o współadministrowanie z art. 26 RODO. Nie ma jednego modelu dla całej grupy. Każda relacja wymaga osobnej decyzji.

Krok 4: opracuj matrycę dostępów.

Wytnij dostępy, które nie mają uzasadnienia. Programista z jednej spółki nie musi mieć dostępu do CRM drugiej. Handlowiec z polskiej spółki nie musi widzieć akt kadrowych czeskiej. Zasada minimalizacji danych brzmi prosto – i jak to z prostymi zasadami bywa, jest nagminnie ignorowana, bo ograniczanie dostępów wymaga wysiłku.

Krok 5: przeszkol kluczowe osoby.

Jedno spotkanie z konkretnymi przykładami i jasnymi regułami. Co wolno, czego nie wolno, co zrobić, gdy jest wątpliwość. Menedżerowie i handlowcy muszą wiedzieć, że dane z jednej spółki nie krążą swobodnie do innej tylko dlatego, że macie tego samego właściciela.

Krok 6: zaplanuj regularny przegląd.

Raz w roku wystarczy, żeby sprawdzić, czy mapa przepływów nadal odpowiada rzeczywistości. Spółki dochodzą, odpadają, zmienia się zakres usług, wchodzą nowe narzędzia – każda zmiana może tworzyć nowe przepływy danych, które trzeba zakwalifikować i udokumentować.

📌 Praktyczna wskazówka: zacznij od kroku pierwszego, nawet jeśli nie masz czasu na resztę. Mapa przepływów to fundament – bez niej każde inne działanie jest strzelaniem w ciemno. Sama mapa już daje Ci obraz, gdzie są największe luki, i pozwala ustalić priorytety.

Dlaczego wdrożenie RODO w grupie spółek ma sens biznesowy?

Compliance RODO w grupie bywa postrzegane jako koszt – czas, pieniądze, dokumenty, które i tak nikt nie czyta. Ale to tylko złudne podejście.

Pierwsza kontrola UODO to moment, w którym brak dokumentacji uderza najmocniej. Organ może nałożyć karę na każdą spółkę uczestniczącą w nieuregulowanym transferze – osobno. W grupie składającej się z trzech podmiotów to trzy osobne postępowania i trzy osobne ryzyka finansowe za to samo zdarzenie.

Żądanie usunięcia danych od klienta to drugi moment weryfikacji. Jeśli nie masz mapy przepływów, nie wiesz, w ilu systemach i w ilu spółkach dane tego klienta się znajdują. Wykonanie żądania – które ma ustawowy termin – staje się operacyjnym kryzysem. Z mapą i matrycą dostępów to procedura, którą wykonuje jedna osoba w ciągu godziny.

Due diligence przy wejściu inwestora to trzeci punkt, który nasi klienci zapamiętują najlepiej. Inwestor pyta o compliance RODO – to standardowa część procesu. Brak dokumentacji przepływów danych w grupie to red flag, który może opóźnić lub skomplikować transakcję. Ponadto naruszenia i nieuporządkowane przepływy mogą też prowadzić do utraty zaufania biznesowego ze strony inwestorów i klientów.

Najważniejsze, co powinieneś zapamiętać

Jeśli dotrwałeś do końca – kudos! Teraz warto zatrzymać się na chwilę i zabrać ze sobą konkretne wnioski, niezależnie od tego, czy zdecydujesz się na audyt z naszą pomocą, czy nie.

• Każda spółka w grupie jest osobnym administratorem danych – wspólny właściciel, zarząd czy biuro nie tworzą automatycznej podstawy do transferu danych.
• Powiązania właścicielskie nie zastępują umowy – żadna ze spółek nie może przesyłać danych do siostrzanej bez udokumentowanej podstawy prawnej.
• Art. 6 RODO daje trzy podstawy: zgodę, realizację umowy i uzasadniony interes – każda wymaga osobnej dokumentacji i pasuje do innego scenariusza.
• Wybór między powierzeniem a współadministrowaniem zależy od jasnych faktów – jeśli obie spółki decydują o celach przetwarzania, to jest współadministrowanie, niezależnie od nazwy podpisanej umowy.
• Mapa przepływów danych to fundament każdego wdrożenia – bez niej nie wiesz, co naprawić ani od czego zacząć.
• Kara UODO może spaść na kilka spółek jednocześnie za to samo zdarzenie – to realna konsekwencja nieuregulowanych transferów.
• Wdrożenie zwraca się przy pierwszej kontroli, żądaniu usunięcia danych i due diligence – to nie tylko compliance, to narzędzie operacyjne i przewaga handlowa.

FAQ — najczęściej zadawane pytania o RODO w grupie kapitałowej

Czy grupa kapitałowa może mieć jednego Inspektora Ochrony Danych?

RODO przewiduje taką możliwość – RODO wprost dopuszcza, żeby jedna osoba pełniła funkcję Inspektora Ochrony Danych (IOD) dla kilku podmiotów z grupy. Wymaga to jednak, żeby IOD był łatwo dostępny dla każdej jednostki organizacyjnej i pozostawał w kontakcie z każdym podmiotem w grupie, tak aby mógł efektywnie wykonywać swoje obowiązki wobec każdego z administratorów. W praktyce przy większych grupach jeden IOD może być niewystarczający – zależy to od skali przetwarzania danych w ramach poszczególnych podmiotów.

Jakie kary grożą za nieuregulowany przepływ danych między spółkami?

UODO może nałożyć karę administracyjną na każdy podmiot, który naruszył przepisy – osobno. Górna granica wynikająca z art. 83 ust. 5 RODO (Rozporządzenie 2016/679) to 20 milionów euro lub 4% całkowitego rocznego obrotu przedsiębiorstwa z poprzedniego roku, w zależności od tego, która kwota jest wyższa. W grupach wielospółkowych oznacza to, że jedno zdarzenie może skutkować kilkoma równoległymi postępowaniami i kilkoma osobnymi karami.

Jak RODO reguluje CV kandydatów przesyłanych do kilku spółek w grupie?

Kandydat aplikujący do konkretnej spółki nie wyraża zgody na udostępnienie swoich danych innym podmiotom z grupy. Przekazanie CV do siostrzanej spółki bez wiedzy kandydata i bez odrębnej podstawy prawnej to naruszenie. W praktyce oznacza to, że wspólne narzędzie rekrutacyjne z dostępem dla kilku spółek wymaga albo osobnej zgody kandydata na każdą spółkę, albo umowy regulującej ten przepływ – w zależności od faktycznej roli każdego z podmiotów w procesie.

Jak RODO wpływa na due diligence przy wejściu inwestora do grupy?

Inwestor w ramach due diligence pyta o compliance RODO – to standardowa część badania spółki przed transakcją. Brak rejestru czynności przetwarzania, brak umów regulujących przepływ danych w grupie i nieuporządkowana dokumentacja to red flagi, które mogą wydłużyć proces lub podnieść poziom ryzyka transakcji. Grupy, które mają porządek w tym obszarze, przechodzą tę część due diligence szybciej i bez dodatkowych pytań.

Czy dane można transferować poza EOG między spółkami zależnymi?

Transfer danych poza Europejski Obszar Gospodarczy (EOG) – na przykład do spółki zależnej w USA, Indiach czy Singapurze – wymaga dodatkowej podstawy prawnej poza art. 6 RODO. Możliwe opcje to standardowe klauzule umowne (SCC – Standard Contractual Clauses) zatwierdzone przez Komisję Europejską, wiążące reguły korporacyjne (BCR – Binding Corporate Rules) albo inne mechanizmy wskazane w rozdziale V RODO. BCR są przeznaczone właśnie dla grup międzynarodowych, ale ich uzyskanie jest procesem wielomiesięcznym – warto zacząć wcześnie.

Bibliografia

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO): https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679
• Wytyczne EROD 07/2020 dotyczące pojęcia administratora i podmiotu przetwarzającego: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_pl
• Komunikat UODO w sprawie stosowania RODO w grupach kapitałowych: https://uodo.gov.pl/pl/138/941

Image by Mario Aranda from Pixabay

Autor tekstu

Arkadiusz Szczudło

Jestem adwokatem i CEO w kancelarii Creativa Legal, mentorem i twórcą internetowym. Specjalizuję się w bezproblemowej obsłudze prawnej klientów z sektora technologicznego m.in. startupy, SaaS, spółki technologiczne, agencje marketingowe, czy e-commerce B2C/B2B. Jako prawnik, jak i przedsiębiorca, koncentruję się na wyznaczonym celu, starając się przewidzieć potencjalne zagrożenia w jego osiągnięciu. To z kolei sprawia, że trudno jest mnie zaskoczyć – a co za tym idzie – moich klientów.

Poznaj autora