Art. 4 pkt 20 RODO
„Wiążące reguły korporacyjne” oznaczają polityki ochrony danych osobowych stosowane przez administratora lub podmiot przetwarzający, którzy posiadają jednostkę organizacyjną na terytorium państwa członkowskiego, przy jednorazowym lub wielokrotnym przekazaniu danych osobowych administratorowi lub podmiotowi przetwarzającemu w co najmniej jednym państwie trzecim w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą.
Wiążące reguły korporacyjne (ang. BCR – Binding Corporate Rules) to instrument prawny w postaci sformalizowanych wewnętrznych polityk ochrony danych osobowych stosowany pomiędzy podmiotami należącymi do tej samej grupy przedsiębiorców (np. grupy kapitałowej). Przedmiotowe polityki mają na celu określenie zasad przekazywania danych osobowych do państw trzecich, w którym znajduje się co najmniej jeden z podmiotów z tej grupy przedsiębiorców
Wiążące reguły korporacyjne stosuje się w celu ochrony danych osobowych podczas przekazywania danych osobowych do państw trzecich.
Wewnętrzne reguły korporacyjne to po prostu zestaw wewnętrznych polityk dotyczących przetwarzania przetwarzania danych, w tym procedur oraz kodeksów postępowania.
Jak wskazuje D. Karwalą[1], w praktyce tego rodzaju „polityki” mogą stanowić dowolnego kształtu wewnętrzną dokumentację, która określa na jest mianem „wewnętrznych kodeksów korporacyjnych”, „podstawowych zasad”, tzw. polityk parasolowych itd.
W ramach wiążących reguł korporacyjnych przygotowywane są specjalne procedury, komunikaty, umowy wiążące poszczególnych członków korporacji, powiązane ze sobą w celu osiągnięcia skutku jednolitego przestrzegania przez wszystkie podmioty grupy określonych obowiązków związanych z ochroną danych osobowych.
Przedmiotowe narzędzie prawne wiążą wszystkie podmioty w ramach grupy przedsiębiorstw nimi objętymi. Wiążące reguły korporacyjne mają charakter wewnętrzny. Nie wiążą zatem podmiotów, które nie należą do grupy przedsiębiorców.
Treść wiążących reguły korporacyjnych określają indywidualnie podmioty (administratorzy lub podmioty przetwarzające) należące do grupy przedsiębiorców w konsultacji z organem nadzorczym.
Tak. Wiążące reguły korporacyjne wymagają zatwierdzenia przez krajowy organ nadzorczy zgodnie z mechanizmem spójności przewidzianym w art. 63 RODO.
Niniejszy artykuł ma na celu jedynie przybliżenie definicji wiążących reguł korporacyjnych. Przepisy art. 47 oraz 64 RODO również odnoszą się do wiążących reguł korporacyjnych. Co więcej, Grupa Robocza art. 29 wielokrotnie podejmowała tematykę wiążących reguł korporacyjnych, m.in.:
[1] D. Karwala, Wiążące reguły korporacyjne [w:] Ochrona danych osobowych, pod red. D. Lubasz, Warszawa 2020, s. 368-369.
Źródła: