Повод за статията е решението на норвежкия надзорен орган, но е полезна и за всички установени у нас дружества
Колко от публичните компании в България имат в сайтовете си информация за обработването на личните данни на английските си акционери? Ще проверя задължително. Защото с излизането на Великобритания от ЕС борсовите посредници прехвърлят лични данни към трета страна.
Mowi изпълни предписанията и допълни политиката за поверителност на сайта си
Норвежкият орган за защита на данните (Datatilsynet) публикува през април 2022 г. решение, в което порица Mowi ASA за нарушения на член 14 от Общия регламент относно защитата на данните (Регламент (ЕС) 2016/679) (GDPR).
През 2021 г. пребиваващ в Германия акционер на Mowi уведомява Datatilsynet, че германска банка го е потърсила, защото Mowi иска личните му данни.
Субектът на данните изпраща имейл до Mowi, с който упражнява правото си на достъп съгласно член 15 от GDPR, който остава без отговор. През октомври 2021 г. субектът на данни изпраща жалба срещу Mowi до Datatilsynet.
През март 2022 г. Mowi не оспорва заключенията на Datatilsynet. Надзорният орган установява, че в Норвегия и други европейски страни физическите лица купуват акции чрез банка, което означава, че компанията не знае непременно кои са нейните акционери. Но дружеството може да бъде информирано от самия акционер. Според Datatilsynet, когато компанията получи такава информация, личната информация се обработва и следователно компанията трябва да предостави на съответните акционери цялата информация, изисквана от член 14 от GDPR. Datatilsynet обаче установи, че Mowi не го е направил.
Datatilsynet заявява, че Mowi твърди, че не се изисква да предоставя никаква информация относно обработването в съответствие с член 14, параграф 5, букви а) и в) от GDPR. Datatilsynet отхвърли този аргумент, първо, защото изключенията в член 14, параграф 5 от GDPR трябва да се тълкуват и прилагат тясно, и второ, защото член 14, параграф 5, буква а) от GDPR определя изключение от задълженията в член 14 от GDPR, което се прилага „където и доколкото“ субектът на данните вече разполага с информацията. Според Datatilsynet това изключение се прилага само ако администраторът може да демонстрира каква информация вече има субектът на данни, как и кога я е получил.
Datatilsynet издава порицанието срещу Mowi за нарушаване на член 14 от GDPR, като не е предоставил цялата необходима информация, изисквана в него. В допълнение, Datatilsynet нарежда на Mowi да предприеме мерки, за да гарантира, че субектите на данни, включително акционерите на Mowi, получават цялата информация, изисквана от член 14 от GDPR, включително чрез изменяйки своята политика за поверителност, ако е необходимо. Освен това Datatilsynet разпореди на Mowi да уведоми Datatilsynet за предприетите мерки за спазване на тази заповед в рамките на четири седмици след получаване на решението, което може да бъде обжалвано пред Окръжен съд в Осло.
Компанията за морски дарове Mowi е със седалище в Норвегия, но има предприятия и акционери в няколко европейски държави. Поради това Норвежкият орган за защита на данните си е сътрудничил с няколко надзорни органа в други страни от ЕИП чрез така наречения механизъм “на едно гише“. Като водещ надзорен орган, Норвежкият орган за защита на данните носи основната отговорност за разследването, обработката и вземането на решения по случая.