Grupa kapitałowa nie może złożyć wniosku o zatwierdzenie kodeksu postępowania RODO

W świetle art. 40 ust. 2 RODO kompetencje w zakresie tworzenia i zmian kodeksów postępowania RODO mają zrzeszenia i inne podmioty reprezentujące określone kategorie administratorów lub podmioty przetwarzające. Dodatkowo w motywie 98 RODO wskazano na zrzeszenia lub inne organy reprezentujące kategorie administratorów lub procesorów.

Grupa kapitałowa to inaczej grupa przedsiębiorstw w rozumieniu art. 4 pkt 19 RODO czyli przedsiębiorstwo sprawujące kontrolę oraz przedsiębiorstwa przez nie kontrolowane;. Podmioty działające w grupach kapitałowych pozostają ze sobą w ścisłych relacjach organizacyjnych i gospodarczych.

Stanowisko to potwierdza także Europejska Rada Ochrony Danych. W Wytycznych EROD nr 1/2019 dotyczących kodeksów postępowania i podmiotów monitorujących zgodnie z rozporządzeniem 2016/679 wskazano, że uprawnienie do wnioskowania o zatwierdzenie kodeksu ma podmiot reprezentujący branżę. Nie ma natomiast znaczenia pozycja rynkowa. Reprezentatywność została tu powiązana z aspektem podmiotowym. Natomiast grupy kapitałowe cechują się podporządkowaniem tzw. spółce matce ze względu na jej pozycję rynkową.

Z tego względu Prezes UODO zachęca grupy kapitałowe zainteresowane tworzeniem kodeksów postępowania RODO do współpracy z innymi podmiotami z tej samej branży w celu utworzenia zrzeszenia (np. na podstawie pisemnego porozumienia).