Vede podnikání registr činností zpracování?

Registr aktivit zpracování: často kladena otázka, různě podložena

Zda podnik vede registr aktivit zpracování, se liší podnik od podniku a závisí na skutečné situaci v řetězovém spisu: někdy je to již stanoveno jako odpověď z dřívějšího dotazníku, někdy stále chybí podpůrný dokument. Toto je otázka, která se standardně vyskytuje v dotaznících týkajících se ochrany soukromí a ochrany osobních údajů, obvykle v téže části jako otázky týkající se smluv se zpracovateli a úniku údajů. Klient, který tuto otázku klade, obvykle chce vědět, zda dokument existuje — ne jak úplný je.

Pokud je odpověď "ano", měla by být doplněna konkrétním důkazním materiálem: samotným registrem nebo výpisem z něj obsahujícím zpracování relevantní pro vztah s tímto zákazníkem. Pokud tento materiál chybí, je "ne" nebo "neznámo" poctivá odpověď — uplaťování si nároku na registr bez toho, aby jej systém našel, vyvolá při kontrole prováděné zákazníkem více otázek než odpověď ne. Tato otázka se často objevuje ve stejné řadě jako otázka zda se podnik zavazuje ke smlouvám o zpracování s poskytovateli služeba obě odpovědi musí být vzájemně konzistentní: registr bez smluv o zpracování nebo naopak se patrně upozorní těm, kdo seznam procházejí.

Proč se tato otázka věcně neobjevuje v CSRD

Poskytnutý zdroj v tomto dossier je Směrnice (EU) 2022/2464 (CSRD), která se zabývá zprávami o udržitelnosti a nikoli registrem činností zpracování — tento pojem pochází z GDPR, nikoli z CSRD. Neexistuje tedy žádný článek této směrnice, který by sloužil jako odůvodnění pro tuto otázku; odpověď musí pocházet z řetězcového dossiera samotného podniku, nikoli z tohoto zdroje. Pokud podnik obdrží tuto otázku spolu s dalšími otázkami týkajícími se ochrany osobních údajů, často si všimne stejného původu jako u otázky na právní název podniku: pevného bloku základních údajů, který vyžaduje téměř každý portál zákazníků, bez ohledu na to, zda příslušná právní úprava je skutečně povinná pro tento podnik.