Uzavírá podnikání smlouvy o zpracování se svými poskytovateli služeb?

Smlouvy se zpracovateli vyplývají z registru ochrany osobních údajů, nikoli z CSRD

Tato otázka se týká GDPR, nikoli poskytnutého zdroje. Směrnice (EU) 2022/2464 (CSRD) ukládá povinnost hlášení informací o udržitelnosti, včetně vlastního chování podniku a přístupu k dodavatelskému řetězci v sociální a správní oblasti — ale povinnost uzavírat smlouvy se zpracovateli se poskytovateli služeb, kteří zpracovávají osobní údaje, není v této směrnici obsažena. S poskytnutým zde zdrojem nelze tedy odůvodnit ano nebo ne: štítek je nastaven na "ještě k určení" a zůstane tak, dokud v dossieru nebude zdroj týkající se GDPR.

To neznamená, že otázka není zajímavá. Kdo má zákazníky, kteří to požadují, má obvykle někde již zdokumentováno, kteří poskytovatelé služeb zpracovávají osobní údaje — tento přehled patří k registru činností zpracování. Z tohoto registru je ihned vidět, které strany potřebují smlouvu se zpracovatelem: každá strana, která jménem podniku zpracovává osobní údaje, pod toto spadá. Bez tohoto registru je otázka týkající se smluv se zpracovateli v praxi obtížně zodpověditelná, a to navíc od toho, co zde stojí jako zdroj.

Proč je toto téma odděleno od poskytnutého zdroje

CSRD (Směrnice (EU) 2022/2464) upravuje povinnost hlášení informací o udržitelnosti a při tom se dotýká vztahů v řetězci, ale neobsahuje ustanovení o smlouvách se zpracovateli v smyslu ochrany údajů. Tato povinnost vyplývá z GDPR, článek 28. Dokud tento zdroj není přidán do dossieru, zůstává tato odpověď na "ještě k určení" — stejně jako v případě souvisejícího incidentu úniku údajů závisí odpověď na tom, co bylo nahlášeno, když k úniku údajů došlo. Důkaz přiložit, teprve pak ano nebo ne.