Tekee yritys käsittelysopimuksia palveluntarjoajillensa?

Tietojen käsittelijöiden sopimukset johdetaan tietosuojarekisteristä, ei CSRD:stä

Tämä kysymys koskee GDPR:ää, ei toimitetusta lähteestä. Direktiivi (EU) 2022/2464 (CSRD) velvoittaa raportoimaan kestävyysinformaatiosta, mukaan lukien yrityksen oman toiminnan ja arvoketjulähestymistavan sosiaali- ja hallintokysymyksissä — mutta velvollisuus tehdä tietojen käsittelijöiden sopimukset palvelun tarjoajien kanssa, jotka käsittelevät henkilötietoja, ei sisälly kyseiseen direktiiviin. Annetun lähteen perusteella ei siis voida perustella kyllä tai ei: tunnus on "määritettävänä" ja se pysyy sellaisena, kunnes dossieissa on GDPR-lähde.

Tämä ei tarkoita, että kysymys olisi epämielenkiintoinen. Asiakkailla, joilla on asiakkaita, jotka esittävät tämän kysymyksen, on yleensä jo jossain dokumentoitu, mitkä palvelun tarjoajat käsittelevät henkilötietoja — tämä luettelo kuuluu käsittelytoimintojen rekisteriin. Tämän rekisterin perusteella on välittömästi nähtävissä, mitkä osapuolet tarvitsevat tietojen käsittelijöiden sopimuksen: jokainen osapuoli, joka käsittelee henkilötietoja yrityksen puolesta, kuuluu tähän piiriin. Ilman tätä rekisteriä vastaaminen tietojen käsittelijöiden sopimuksia koskevaan kysymykseen on käytännössä vaikeaa, riippumatta siitä, mitä tässä lähteenä toimii.

Miksi tämä aihe erottuu toimitetusta lähteestä

CSRD (direktiivi (EU) 2022/2464) säätelee kestävyysinformaatiosta raportoimisen velvollisuutta ja koskettaa siinä ketjusuhteita, mutta se ei sisällä määräyksiä tietojen käsittelijöiden sopimuksista tietosuojan merkityksessä. Tämä velvollisuus johdetaan GDPR:n 28. artiklasta. Kunnes kyseinen lähde on lisätty dossiehin, tämä vastaus pysyy "määritettävänä" — aivan kuten siihen liittyvässä tietovuoto-tilanteessa vastaus riippuu siitä, mikä ilmoitettiin tietovuodon sattuessa. Todisteet mukaan, vasta sitten kyllä tai ei.