GDPR: Ce trebuie știut despre transferul de date personale între companii din același grup

Transferul de date între companii din același grup trebuie să respecte prevederile GDPR, la fel ca orice activitate de prelucrare a datelor personale.

În sensul GDPR, un grup de companii se referă la o întreprindere care controlează alte întreprinderi. Controlul se poate exercita prin deținerea efectivă a celorlalte întreprinderi sau chiar și în baza „competenței de a pune în aplicare norme în materie de protecție a datelor cu caracter personal”, așa cum scrie în preambulul GDPR.

În acest context, sediul principal al întreprinderii care exercită controlul ar trebui considerat drept sediul principal al grupului de întreprinderi, cu excepția cazului în care scopurile și mijloacele aferente prelucrării sunt stabilite de o altă întreprindere.

În activitatea de prelucrare a datelor, grupurile de companii pot să numească un singur responsabil cu protecția datelor. Totuși, acesta trebuie „să fie ușor accesibil din fiecare întreprindere”, este precizat în GDPR.

În același timp, pentru a eficientiza comunicarea intra-grup, companiile pot recurge la temeiul interesului legitim pentru a justifica transferul de date intra-grup, dacă acesta se face, de exemplu, în scop adminstrativ intern. O astfel de ipoteză ar fi prelucrarea de date pentru management-ul clientelei.

Începând din 25 mai 2018, GDPR este cadrul legal unic european în materie de prelucrări de date personale. Asta înseamnă că orice firmă care prelucrează date personale, inclusiv companiile românești, trebuie să-i respecte prevederile.