Organizacja WZA a ochrona danych osobowych

Jaki zakres danych osobowych związanych z organizacją WZA spółka może przetwarzać?

Zakres danych osobowych, jakie każdy administrator może przetwarzać oraz dopuszczalne cele przetwarzania w każdym przypadku będą wynikać przede wszystkim z istniejącej podstawy prawnej.

W ramach organizacji WZA spółka będzie przetwarzała głównie dane swoich akcjonariuszy oraz innych osób uprawnionych do uczestnictwa i wykonywania prawa głosu na zgromadzeniu. Dla sporządzania

Joanna Toruniewska, Radca Prawny, Of Counsel, Chabasiewicz Kowalska i Partnerzy

materiały prasowe

i przechowywania list akcjonariuszy uprawnionych do udziału w WZA, list obecności, głosowania przez pełnomocnika oraz umożliwienia akcjonariuszom wykonywania ich praw w stosunku do spółki, podstawa przetwarzania danych osobowych koresponduje z obowiązkami spółki wynikającymi z przepisów prawa, w szczególności kodeksu spółek handlowych.

Przykładowo, przepisy wskazują, jakie konkretnie dane powinny znaleźć się na liście akcjonariuszy. Są to: nazwiska i imiona albo firmy uprawnionych, ich miejsce zamieszkania (siedziby), adres do doręczeń, liczba, rodzaj i numery akcji, liczba przysługujących im głosów, informacja, że prawo głosu z akcji przysługuje zastawnikowi lub użytkownikowi (na wniosek uprawnionego). W tym zakresie spółka posiada zatem upoważnienie do gromadzenia i przetwarzania danych.

Z przepisów kodeksu spółek handlowych wynika również obowiązek sporządzenia listy obecności na walnym zgromadzeniu. Lista powinna przedstawiać spis uczestników z wymienieniem liczby akcji, które każdy z nich przedstawia i służących im głosów. Powinna być również podpisana przez wszystkich uczestników zgromadzenia. Przepisy nie precyzują, jakie konkretnie dane mają składać na spis, należy jednak przyjąć, że wystarczające tu będą imiona i nazwiska obecnych osób.

Jeśli akcjonariusz reprezentowany jest na WZA przez pełnomocnika, będziemy mieć do czynienia dodatkowo z przetwarzaniem danych osobowych tego pełnomocnika. Spółka musi bowiem sprawdzić, czy dana osoba jest tą, która jest umocowana do działania na podstawie pełnomocnictwa. Przepisy nie precyzują, jakich konkretnie danych spółki mogą się w takiej sytuacji domagać. Wydaje się jednak, że mogą pytać o imię i nazwisko, numer wpisu na listę pełnomocników zawodowych lub PESEL, tak aby mieć pewność, że działający w imieniu akcjonariusza pełnomocnik jest rzeczywiście prawidłowo umocowany.

Należy pamiętać, że podstawą przetwarzania danych osobowych może być także istnienie konieczności przetwarzania do celów wynikających

z prawnie uzasadnionych interesów realizowanych przez spółkę. Interes ten może polegać m.in. na umożliwieniu kontaktowania się z akcjonariuszem, dochodzenia roszczeń czy też obrony przed takimi roszczeniami, ale również zapewnieniu prawidłowego przebiegu WZA czy weryfikacji tożsamości obecnych na WZA osób. W każdym przypadku spółka powinna w pierwszej kolejności ocenić, czy realizacja jej interesów nie stoi

w sprzeczności z mającymi nadrzędny charakter interesami lub podstawowymi prawami i wolnościami osoby, której dane dotyczą. Jeśli natomiast przepisy wprost nie precyzują, jakie dokładnie dane spółka może uzyskać i przetwarzać, zakres zbieranych danych powinien być adekwatny oraz ograniczony do tego, co niezbędne do celów, w których dane mają być przetwarzane, zgodnie z zasadą minimalizacji wynikającą z RODO.

Komu te dane mogą być udostępniane?

Udostępnienie danych osobowych jest jedną z operacji wykonywanych na danych w ramach ich przetwarzania. Administrator danych, aby udostępnić dane osobowe innemu podmiotowi, musi mieć zatem ku temu określone podstawy. W praktyce najczęściej przetwarzanie danych, w tym ich udostępnianie, będzie dopuszczalne, jeżeli jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

Zatem w każdym przypadku, w którym szczególny przepis prawa przyznaje podmiotowi uprawnienie do uzyskania dostępu do określonych danych osobowych, w takim zakresie udostępnienie danych nie będzie traktowane jako naruszenie prawa.

Przykładowo, akcjonariusz może przeglądać listę akcjonariuszy w lokalu spółki, żądać jej odpisu, a nawet żądać przesłania mu listy akcjonariuszy pocztą elektroniczną. Spółka ma zatem nie tylko prawo, ale

i obowiązek udostępnienia danych zawartych w liście akcjonariuszy temu, który się o to do niej zwróci. Akcjonariusz ma również prawo przeglądać księgę protokołów oraz żądać wydania poświadczonych przez zarząd odpisów uchwał. Uprawnieniu akcjonariusza w tym zakresie odpowiada natomiast obowiązek spółki udostępnienia (do przeglądnięcia) tych danych osobowych, które zostały ujęte w księdze protokołów (np. listy obecności na WZA czy listy akcjonariuszy głosujących korespondencyjnie).

Obowiązek udostępnienia pewnych danych osobowych wynika również z ustawy o ofercie publicznej i warunkach wprowadzania instrumentów finansowych do zorganizowanego systemu obrotu oraz

o spółkach publicznych. Spółka zobowiązana jest przykładowo do przekazania KNF informacji o akcjonariuszach uprawnionych do wzięcia udziału w walnym zgromadzeniu, a następnie, po odbyciu zgromadzenia, wykazu akcjonariuszy posiadających co najmniej 5 proc. liczby głosów, z określeniem liczby głosów przysługujących każdemu z nich z posiadanych akcji i wskazaniem ich procentowego udziału w liczbie głosów na danym walnym zgromadzeniu oraz w ogólnej liczbie głosów.

Od udostępnienia danych osobowych należy odróżnić powierzenie ich przetwarzania, kiedy to spółka pozostaje dysponentem danych, a jedynie w pewnym zakresie zleca ich przetwarzanie innemu podmiotowi. Przykładowo, w sytuacji, kiedy organizacja zdalnego WZA czy obsługa zdalnego głosowania odbywa się za pośrednictwem aplikacji dostarczanej przez zewnętrzną firmę, możemy mieć do czynienia z powierzeniem przetwarzania danych uczestników WZA. Taki dostawca usługi na zlecenie spółki może bowiem przetwarzać dane w zakresie niezbędnym do potwierdzenia obecności uczestników, ich identyfikacji czy rejestracji oddanych przez nich głosów. W przypadku powierzenia przetwarzania danych osobowych należy pamiętać o zawarciu stosownej umowy, w której określone zostaną przede wszystkim przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą.

W jaki sposób procedury związane z danymi osobowymi powinny się zmienić, jeżeli spółka organizuje również zdalne WZA?

Organizacja zdalnego WZA będzie wymagała weryfikacji treści statutu spółki z punktu widzenia zapisów uniemożliwiających lub utrudniających przeprowadzenie zgromadzenia przy wykorzystaniu środków komunikacji elektronicznej, a także przygotowania regulaminu określającego zasady udziału w takim zgromadzeniu. Z punktu widzenia ochrony danych osobowych generalne zasady dotyczące przetwarzania pozostaną jednak takie same. Przetwarzanie danych osobowych nadal musi odbywać się zgodnie z istniejącą podstawą prawną, administrator powinien przetwarzać tylko te dane, które są niezbędne ze względu na cel ich zbierania. Zobowiązany jest też do spełnienia obowiązku informacyjnego wobec wszystkich osób, których dane przetwarza. Organizacja WZA w formie zdalnej, np. w formie tele- lub wideokonferencji, będzie natomiast wymagała od spółki dodatkowego rozważenia, w jaki sposób zabezpieczyć nie tylko realizację uprawnień akcjonariuszy związanych z uczestnictwem w zgromadzeniu i wykonywaniem prawa głosu, ale również jakie środki bezpieczeństwa, w szczególności techniczne, zastosować w celu prawidłowej ochrony ich danych osobowych.

W szczególności, konieczne będzie zastosowanie odpowiedniego systemu umożliwiającego identyfikację akcjonariuszy i innych osób uczestniczących w zgromadzeniu. Co istotne, zastosowane w tym zakresie środki nie mogą wykraczać poza to, co jest niezbędne dla identyfikacji osoby uprawnionej. Procedura nadawania dostępu do walnego zgromadzenia nie może więc skutkować zbieraniem danych nadmiarowych, tj. takich, które nie są absolutnie niezbędne do realizacji zamierzonego celu, a jednocześnie nie może prowadzić do ograniczania prawa uczestnictwa w WZA. Przepisy nie przewidują żadnych procedur weryfikacji dokumentów uprawniających akcjonariuszy do udziału w zgromadzeniu ani potwierdzających umocowanie ustanowionych przez nich pełnomocników. Proces weryfikacji powinien odbywać się jeszcze przed datą odbycia WZA, poprzez analizę dokumentów przesłanych w wersji papierowej lub elektronicznej bądź załączonych do systemu obsługującego zdalne WZA. Tak zidentyfikowanym akcjonariuszom można następnie przekazać specjalne kody identyfikujące, hasła czy klucze, które pozwolą im bezpiecznie zalogować się na zgromadzeniu.

Jakie dane i jak długo powinniśmy przechowywać, a które usunąć zaraz po WZA?

Generalnie dokumenty korporacyjne powinny być przechowywane w sposób nieprzerwany przez cały okres istnienia spółki, a nawet po jej rozwiązaniu. W konsekwencji również dane osobowe zawarte w takiej dokumentacji (listy akcjonariuszy, księga protokołów, protokoły ze zgromadzeń wraz z listami obecności) spółka jest uprawniona przechowywać przez cały ten czas.

Zniszczeniu lub archiwizacji przez krótszy okres mogą natomiast podlegać inne dane osobowe, w których posiadanie spółka weszła niejako przy okazji organizacji WZA (np. adres e-mailowy czy numer telefonu, którym akcjonariusz posługiwał się w kontaktach ze spółką w celu rozwiązania problemów technicznych związanych z uczestnictwem w zdalnym WZA). W takim przypadku spółka może przetwarzać te dane również przez okres przedawnienia potencjalnych roszczeń, jakie mogą być wobec niej podnoszone.