Wiążące reguły korporacyjne

Wiążące reguły korporacyjne (ang. binding corporate rules, dalej: WRK) stanowią jeden z instrumentów prawnych mających zapewnić odpowiedni poziom zabezpieczenia danych osobowych zgodnie z art. 46 rozporządzenia 2016/679. Mogą być stosowane przez administratora lub podmiot przetwarzający, którzy posiadają jednostkę organizacyjną na terytorium państwa członkowskiego, przy jednorazowym lub wielokrotnym przekazaniu danych osobowych administratorowi lub podmiotowi przetwarzającemu w co najmniej jednym państwie trzecim w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą. Muszą one zostać zatwierdzone przez właściwy organ nadzorczy oraz spełniać warunki wymienione w art. 47 ust. 1 rozporządzenia 2016/679.

Zgodnie z rozporządzeniem 2016/679, WRK są zatwierdzane przez właściwy organ nadzorczy, gdy spełnione zostaną łącznie trzy warunki:

• WRK muszą być prawnie wiążące oraz mieć zastosowanie do każdego z członków grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą i są przez każdego z tych członków egzekwowane;
• WRK muszą wyraźnie przyznawać osobom, których dane dotyczą, egzekwowalne prawa w związku z przetwarzaniem ich danych osobowych;
• WRK muszą spełniać wymogi określone w art. 47 ust. 2 rozporządzenia 2016/679.

Europejska Rada Ochrony Danych (ang: European Data Protection Board, dalej: EROD) wydała Zalecenia nr 1/2022 w sprawie wniosku o zatwierdzenie oraz elementów i zasad, które powinny znaleźć się w Wiążących Regułach Korporacyjnych dla Administratora (art. 47 rozporządzenia 2016/679) (link: https://uodo.gov.pl/pl/537/2896). Obecnie trwają prace nad podobnym dokumentem dotyczącym Wiążących Regułach Korporacyjnych dla podmiotów przetwarzających. Obowiązującym dokumentem są Wytyczne WP257 (link: https://ec.europa.eu/newsroom/article29/items/614110).

Aktualna lista zatwierdzonych WRK znajduje się tutaj. (link: https://www.edpb.europa.eu/our-work-tools/accountability-tools/bcr_en).