Księga akcyjna powinna być prowadzona od momentu rejestracji spółki i jest wewnętrzną ewidencją, w której gromadzone są dane o akcjach imiennych, imiennych świadectwach tymczasowych, ale także o przeniesieniu praw z akcji, ustanowieniu na nich ograniczonych praw rzeczowych. Istotną jej częścią są też dane identyfikujące akcjonariusza.
Księga akcyjna ma charakter zbioru danych osobowych w rozumieniu art. 7 pkt 1 ustawy o ochronie danych osobowych z 29 sierpnia 1997 r. (DzU z 2002 r. nr 101, poz. 926, ze zm.; dalej – ustawa), gdyż jej prowadzenie polega na przetwarzaniu między innymi informacji na temat nazwiska, imienia, adresu, adresu do korespondencji akcjonariusza.
Zrzeszony, czyli kto
Przyjęcie, że księga akcyjna w spółce z udziałem osób fizycznych, emitującej akcje imienne, ma cechy zestawu danych o charakterze osobowym, który powinien być kwalifikowany jako zbiór danych osobowych, nie przesądza jeszcze o konieczności zgłoszenia go do rejestracji generalnemu inspektorowi ochrony danych osobowych (GIODO) w trybie art. 40 ustawy. Pojawiające się kontrowersje w tej mierze i rejestrowanie przez GIODO ksiąg akcyjnych jako zbioru danych są następstwem wadliwego odczytywania art. 43 ust. 1 pkt 4 ustawy.
Ów przepis zwalnia z obowiązku rejestracji zbiorów danych osobowych, powiązanych z "osobami zrzeszonymi" u administratora danych. W Polsce nie istnieje zrzeszenie jako odrębny typ osoby prawnej. Ergo, pojęcie „zrzeszenia" u administratora danych należy odnosić do wszystkich osób prawnych typu korporacyjnego. Oznacza to, że w wypadku spółki akcyjnej „zrzeszonymi" u niej osobami fizycznymi są akcjonariusze, tak jak i w spółce komandytowo-akcyjnej. Z kolei w spółdzielni będą to członkowie spółdzielni.
O fakcie „zrzeszenia" decyduje stosunek wewnętrzny łączący korporacyjną osobę prawną z osobą fizyczną. Można mieć słuszne zastrzeżenia co do legislacyjnej „estetyczności" nazwy złożonej „osoby u nich (administratorów danych) zrzeszonych", ale nie zwalnia to z próby racjonalnej wykładni normy z art. 43 ust. 1 pkt 4 ustawy.