Dnia 30 września 2020 roku upływa przesunięty termin na podpisanie umowy z podmiotem prowadzącym rejestr akcjonariuszy oraz dokonanie pierwszego wezwania do złożenia dokumentów akcji. Na tym gruncie pojawiły się wątpliwości dotyczące prawidłowego sposobu przetwarzania danych osobowych w związku z przekazaniem danych akcjonariuszy do zewnętrznego podmiotu:
- czy podmiot prowadzący rejestr będzie administratorem, czy procesorem danych osobowych, a co za tym idzie,
- czy spółka powinna podpisać z podmiotem umowę powierzenia przetwarzania danych osobowych.
W tej sprawie zajął stanowisko Prezes Urzędu Ochrony Danych Osobowych rozwiewając jednocześnie przytoczone powyżej wątpliwości. Stwierdził on, iż spółka przekazująca dane akcjonariuszy oraz podmiot prowadzący rejestr, to dwaj administratorzy danych osobowych. Zdaniem Prezesa UODO taka kwalifikacja wynika z interpretacji przepisów KSH dotyczących dematerializacji i opiera ją na następujących okolicznościach:
- indywidualne przetwarzanie danych osobowych przez dom maklerski wynika z faktu, iż zgodnie ze znowelizowanymi przepisami ma on szereg obowiązków i uprawnień, które spełnia z inicjatywy własnej, nie zaś z polecenia spółki,
- jedynie podmioty prowadzące rejestr są uprawnione do wystawiania świadectw rejestrowych co jest własnym, przewidzianym w ustawie zadaniem i samodzielnym celem przetwarzania danych osobowych zawartych w rejestrze,
- wpis w rejestrze akcjonariuszy może być zainicjowany nie tylko przez spółkę, która pierwotnie przekazała dane, ale także akcjonariusza oraz każdego, kto ma w tym interes prawny – w przypadku zainicjowania wpisu przez inny podmiot niż spółka proces ten przebiega zupełnie bez jej wpływu, co sprawia, iż trudno uznać spółkę za administratora, który autonomicznie ustala cele przetwarzania danych osobowych w rejestrze akcjonariuszy.
W ocenie Prezesa UODO zawieranie przez spółki niepubliczne umowy powierzenia przetwarzania danych osobowych z podmiotem prowadzącym rejestr byłoby więc praktyką niewłaściwą. Zwracamy uwagę, że mimo tego faktu oba podmioty mają względem osób, których dane przetwarzają obowiązki właściwe dla administratora danych osobowych. Warto o tym pamiętać wobec zbliżających się terminów podpisania umowy o prowadzenie rejestru oraz wysyłki pierwszych wezwań do akcjonariuszy.
