Indgår virksomheden databehandleraftaler med sine tjenesteydere?

Databehandleraftaler følger af privatlivspolitikregisteret, ikke fra CSRD

Dette spørgsmål handler om GDPR, ikke om den medfølgende kilde. Forordning (EU) 2022/2464 (CSRD) forpligter til rapportering om bæredygtighed, herunder virksomhedens egen adfærd og kædetilgangen på sociale og governance-områder — men forpligtelsen til at indgå databehandleraftaler med tjenesteudbydere, der behandler personoplysninger, findes ikke i denne forordning. Med den her medfølgende kilde kan der således ikke underbygges et ja eller nej: mærket står på "endnu ikke fastlagt" og det bliver ved med det, indtil der er en GDPR-kilde i dossieret.

Det betyder ikke, at spørgsmålet er uinteressant. Enhver, der har kunder, som stiller dette spørgsmål, har som regel allerede fastlagt et eller andet sted, hvilke tjenesteudbydere, der behandler personoplysninger — det pågældende overblik hører til registret over behandlingsaktiviteter. Fra det pågældende register kan det straks ses, hvilke parter der har behov for en databehandleraftale: enhver part, der behandler personoplysninger på virksomhedens vegne, falder ind under det. Uden det pågældende register er spørgsmålet om databehandleraftaler i praksis vanskeligt at besvare, også bortset fra det, som her står som kilde.

Hvorfor dette emne står adskilt fra den medfølgende kilde

CSRD (Forordning (EU) 2022/2464) regulerer rapporteringspligten for bæredygtighedsinformationer og berører herved kæderelationer, men den indeholder ingen bestemmelse om databehandleraftaler i betydningen databeskyttelse. Den forpligtelse følger af GDPR, artikel 28. Så længe denne kilde ikke er tilføjet dossieret, forbliver dette svar på "endnu ikke fastlagt" — ligesom ved en relateret databeskyttelsesovertrædelse svaret afhænger af, hvad der blev anmeldt, da databeskyttelsesovertrædelsen fandt sted. Bevis dertil, og først derefter et ja eller nej.