Wiążące Reguły Korporacyjne (ang. Binding Corporate Rules, tzw. BCR-y) stanowią istotny instrument pozwalający korporacjom międzynarodowym na przekazywanie danych osobowych do podmiotów należących do jednej grupy korporacyjnej, w tym do podmiotów zlokalizowanych w tzw. państwach trzecich (tzn. poza obszarem Europejskiego Obszaru Gospodarczego).
Niestety, aktualnie obowiązujące przepisy ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (DzU z 2002 r. Nr 101, poz. 926, z późn. zm., zwanej dalej „ustawą") nie odwołują się w żaden sposób do tego instrumentu prawnego. Polska nie przystąpiła również do tzw. porozumienia Mutual Recognition, co powoduje, że zatwierdzenie konkretnych WRK przez organ ds. ochrony danych osobowych z innego państwa UE nie jest uznawane per se w naszym kraju. W praktyce oznacza to, że krajowy administrator danych planujący przekazywać (transferować) dane osobowe w oparciu o zatwierdzone BCR-y w ramach procedury współpracy, powinien wystąpić do Generalnego Inspektora Ochrony Danych Osobowych o wyrażenie przez niego zgody na taki transfer, w oparciu o art. 48 ustawy.
W ramach dotychczasowej praktyki orzeczniczej GIODO, w szczególności w sytuacji, gdy strony transferu danych osobowych łączyła stosowna umowa transferowa, odbiorcy danych z państw trzecich, którym dane osobowe mogły być przekazywane, wskazywani byli przez organ precyzyjnie (z nazwy i siedziby), w samej sentencji decyzji administracyjnej. Praktykę taką – w sytuacji posługiwania się umowami transferowymi – można zrozumieć, choć nie bez pewnych zastrzeżeń (w art. 48 ustawy mowa bowiem o przekazaniu danych „do państwa trzeciego", nie zaś do „odbiorcy danych w państwie trzecim").
W sytuacji jednak korzystania z instrumentu prawnego, jakim są WRK, sytuacja ulega komplikacji. Grupa podmiotów należąca do korporacji międzynarodowej może bowiem ulegać zmianom, co jest naturalnym procesem w ramach tego rodzaju struktur, a w szczególności tych obejmujących zasięgiem kilkadziesiąt – lub więcej – państw świata, w tym tych spoza EOG.
W tej sytuacji konieczność występowania z wnioskiem o zgodę GIODO na transfer danych osobowych do każdego nowego członka grupy kapitałowej z zatwierdzonymi już BCR-ami, mającego siedzibę w państwie trzecim, oznaczałaby regularne – praktycznie niekończące się – kontakty z organem i oczekiwanie na decyzję administracyjną. Podważałoby to sens tego rodzaju instrumentu prawnego, czyniłoby też trudnym do zaakceptowania obciążenia biurokratyczne, z którymi liczyć musiałby się krajowy administrator danych.
