Comitetul European pentru Protecția Datelor (EDPB) a adoptat la 10 noiembrie 2026 recomandările finale privind regulile corporatiste obligatorii pentru persoanele împuternicite de operator, cunoscute sub denumirea de BCR-P (Business Consent Rules - Processors). Aceste reguli permit grupurilor multinaționale să stabilească garanții comune atunci când transmit date personale către companii afiliate care le prelucrează în țări din afara Spațiului Economic European (SEE) recomandările finale ale EDPB. Grupurile care dețin deja astfel de reguli aprobate sunt obligate să le adapteze în cadrul actualizării anuale programate pentru 2028.
Regulile BCR-P acoperă transferurile de la un procesator supus GDPR către subcontractanți din același grup, incluzând și transferurile ulterioare între membrii care au aderat la aceste reguli. Totuși, pentru transferurile directe de la un client exterior grupului către un procesator dintr-o țară terță, se trebuie verificat mecanismul de transfer aplicabil, deoarece BCR-P ale furnizorului nu acoperă acest flux dacă nu există o decizie de adecvare și nu se utilizează garanții precum clauzele contractuale standard.
Documentul final, anunțat public la 11 noiembrie, actualizează două documente de orientare preluase în 2018 și se aplică de la data publicării versiunii finale anunțul public. Autoritățile de supraveghere vor utiliza aceste recomandări pentru a evalua dosarele de aprobare și garanțiile pe care grupurile trebuie să le includă. EDPB cere ca atât solicitanții noi, cât și cei cu dosare în curs, să își alinieze regulile în timpul procedurii de aprobare.
Calendarul din 2028 se aplică titularilor existenți și solicitanților ai căror dosare au ajuns la stadiul de proiect consolidat la publicarea recomandărilor, cu condiția ca EDPB să emită avizul până la 30 iunie 2027. Pentru titularii existenți, actualizarea menită să consolideze garanțiile nu declanșează în general o nouă procedură de aprobare.
Conform recomandărilor, formularul de aprobare conține două părți: prima descrie grupul, entitățile implicate, fluxurile de date și motivele, iar cea de-a doua include documentele justificative. Autoritatea desemnată indică momentul depunerii acestei a doua părți și emite aprobarea după ce EDPB se pronunță asupra proiectului de decizie. Autoritățile competente pentru operator și procesator pot controla transferurile efective.
Regulile trebuie să garanteze persoanelor dreptul de a depune plângeri, de a se adresa autorităților sau instanțelor și de a cere despăgubiri. Una sau mai multe entități ale grupului din SEE trebuie să își asume răspunderea pentru încălcările comise de membrii din afara SEE. Grupul este obligat să prevadă instruirea personalului, audituri și măsuri corective.
Consultația publică, desfășurată între 19 ianuarie și 2 martie 2026, a atras 11 contribuții. În versiunea finală, grupurile sunt obligate să transmită rezultatele auditurilor interne operatorului la cerere. EDPB a specificat că procesatorul poate comunica direct cu persoanele vizate în cadrul soluționării reclamațiilor, dacă acest lucru este convenit cu operatorul.
Înainte de un transfer, procesatorul și operatorul trebuie să evalueze dacă legile și practicile din țara de destinație permit respectarea garanțiilor și dacă sunt necesare măsuri suplimentare. Procesatorul care trimite datele aplică aceste măsuri, iar operatorul le verifică. Legalitatea transferului concret depinde de modul în care sunt aplicate angajamentele grupului și celelalte obligații prevăzute de GDPR.