Las cesiones o comunicaciones (transferencias) de datos de carácter personal objeto del tratamiento solo pueden realizarse a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario, según el artícul 6.1 del RGPD.
Grupo de empresas y transferencias de datos
La existencia de un grupo de empresas no afecta para que cada una de las sociedades integradas en el mismo no mantenga diferenciada y plena su personalidad jurídica.
Por lo tanto, si por parte de alguna de las empresas pertenecientes al grupo, se produce un acceso para sus propios fines a los datos de cualquiera de las otras, estaríamos ante una situación clara de comunicación o cesión de datos entre empresas. Este hecho requerirá la existencia de una condición lícita del tratamiento.
Interés legítimo
Los responsables que forman parte de un grupo empresarial pueden tener un interés legítimo en transmitir datos personales dentro del grupo empresarial para fines administrativos internos, según considerando 48 del RGPD.
El interés debería apreciarse de cada responsable y no del grupo, sin perjuicio de los supuestos de corresponsabilidad. Aunque a veces, la transferencia de datos dentro del grupo puede estar fundada en el interés legítimo de todas las empresas del grupo.
Transferencias de datos intra grupo
Existen distintas normas que imponen la obligación de comunicación intra grupo, especialmente cuando se trata de grupos consolidados.
Consentimiento
Hay que tener en cuenta que el tratamiento de datos por todas las empresas del grupo procede de una única prestación del consentimiento a la primera de las empresas que reciba los datos. El consentimiento del interesado es esencialmente revocable.
Transmisión de empresas
Se presumen lícitos los tratamientos de datos, incluida su transferencia, que puedan derivarse del desarrollo de cualquier operación de modificación estructural de sociedades. Estos tratamientos han de ser necesarios para el buen fin de la operación y garantizar la continuidad en la prestación de los servicios.
Si la operación no llega a concluirse, la entidad cesionaria debe proceder con carácter inmediato a la supresión de los datos.
En estos casos, nos encontramos ante un tratamiento que debe fundarse en alguna de las causas de legitimación previstas en el artículo 6.1 del RGPD.
Pidan presupuesto sin compromiso de implantación de la normativa vigente
