Kas ettevõte sõlmib andmetöötlemise lepinguid oma teenusepakkujatega?

Töötlemislepiingud tulenevad privaatsusregistrist, mitte CSRD-st

See küsimus käsitleb GDPR-i, mitte esitatud allikat. Direktiiv (EL) 2022/2464 (CSRD) kohustab teatama jätkusuutlikkuse teabe, sealhulgas oma äritegevuse ja tarneahela lähenemise kohta sotsiaal- ja valitsemisalal — kuid kohustus sõlmida töötlemislepinguid teenusepakkujatega, kes teavet töödeldes, ei sisaldy selles direktiivis. Siinse allikaga ei saa seega vastust leida ega eitada: märgis on seatud "veel määramata" ning see jääb selliseks, kuni dossieesse lisatakse GDPR-allikas.

See ei tähenda, et küsimus ei ole huvitav. Kellel on kliente, kes seda küsivad, on tavaliselt kuskil juba märgitud, millised teenusepakkujad isikuandmeid töötlevad — see ülevaade kuulub andmetöötlemise tegevuste registrisse. Sellest registrist on kohe näha, millised pooled vajavad töötlemislepingut: iga pool, kes töötleb isikuandmeid ettevõtte nimel, kuulub selle alla. Ilma sellise registrita on küsimus töötlemislepingute kohta praktikas keeruline vastata, olenemata siinse allikast.

Miks see teema erineb esitatud allikast

CSRD (Direktiiv (EL) 2022/2464) reguleerib jätkusuutlikkuse teabe teatamise kohustust ja puudutab seejuures tarneahela suhteid, kuid see ei sisalda määrusi töötlemislepingute kohta andmekaitse mõttes. See kohustus tuleneb GDPR-ist, artiklist 28. Kuni seda allikat ei ole dossieesse lisatud, jääb see vastus seisule "veel määramata" — nagu seotud andmelekke intsidendi puhul oleneb vastus sellest, mis tehti teatava andmelekke korral. Tõend kaasas, alles siis jah või ei.