Articolul 47 GDPR reglementează regulile corporatiste obligatorii (Binding Corporate Rules — BCR) — un set de politici interne, aprobate de autoritatea de supraveghere, prin care un grup de firme poate transfera liber date personale între entitățile sale din diferite țări, inclusiv din afara UE.
Ce prevede articolul?
- BCR se aplică transferurilor în interiorul aceluiași grup de întreprinderi (companie-mamă, filiale, sucursale) angajate într-o activitate economică comună.
- Regulile trebuie să fie obligatorii din punct de vedere juridic pentru toate entitățile grupului și să confere drepturi opozabile persoanelor vizate.
- Conținutul minim include: structura grupului, transferurile vizate, principiile de protecție a datelor, mecanismele de reclamație, dovada respectării și cooperarea cu autoritatea de supraveghere.
- BCR necesită aprobarea prealabilă a autorității de supraveghere competente, printr-o procedură de coerență la nivel european — un proces amplu, potrivit mai ales grupurilor mari.
Ce înseamnă în practică pentru o firmă?
BCR sunt relevante mai ales pentru corporații multinaționale cu filiale în mai multe țări, care transferă frecvent date de angajați sau clienți între entități. Pentru un IMM românesc, procesul de obținere a unor BCR proprii e, de regulă, disproporționat de complex și costisitor — soluții precum clauzele contractuale standard sunt mult mai accesibile.
Exemplu concret
Un grup multinațional cu birouri în Germania, România și Statele Unite adoptă BCR pentru a permite transferul liber al datelor de resurse umane între toate entitățile sale, fără să negocieze clauze contractuale separate pentru fiecare pereche de țări. Odată aprobate de autoritate, regulile devin obligatorii pentru toate filialele.
Greșeli frecvente
- Confundarea BCR cu o simplă „politică internă de confidențialitate", fără aprobarea autorității — BCR au nevoie de aprobare oficială pentru a fi valabile ca mecanism de transfer.
- Alegerea BCR pentru un grup mic, unde costurile și durata procesului depășesc clar beneficiile.
- Neactualizarea BCR pe măsură ce structura grupului sau tipurile de prelucrare se schimbă.
Se leagă de principiul general al transferurilor internaționale și de clauzele contractuale standard, alternativa cea mai accesibilă pentru majoritatea firmelor. Vezi și ghidul GDPR. Faci parte dintr-un grup cu filiale internaționale? Discutăm mecanismul potrivit.
Întrebări frecvente
BCR sunt potrivite pentru un IMM?
De regulă nu — procesul de aprobare e amplu și costisitor. Pentru majoritatea firmelor mici și mijlocii, clauzele contractuale standard (Art. 46) sunt soluția mai practică.