L'entreprise conclut-elle des contrats de traitement avec ses prestataires de services?

Les contrats de traitement de données découlent du registre de confidentialité, non du CSRD

Cette question porte sur le RGPD, non sur la source fournie. La Directive (UE) 2022/2464 (CSRD) impose une obligation de rapportage sur la durabilité, y compris le comportement commercial propre et l'approche de chaîne sur le plan social et de la gouvernance — mais l'obligation de conclure des contrats de traitement de données avec les prestataires de services qui traitent des données à caractère personnel ne figure pas dans cette directive. Avec la source fournie ici, il n'est donc pas possible de justifier un oui ou un non : le libellé est défini sur « à déterminer » et il en reste ainsi jusqu'à ce qu'une source RGPD se trouve dans le dossier.

Cela ne signifie pas que la question est sans intérêt. Ceux qui ont des clients qui la posent ont généralement déjà consigné quelque part quels prestataires de services traitent des données à caractère personnel — cet inventaire fait partie de du registre des activités de traitement. À partir de ce registre, il est immédiatement possible de voir quelles parties ont besoin d'un contrat de traitement de données : tout tiers qui traite des données à caractère personnel pour le compte de l'entreprise est concerné. Sans ce registre, la question relative aux contrats de traitement de données est en pratique difficile à répondre, indépendamment de ce qui figure ici comme source.

Pourquoi ce sujet est distinct de la source fournie

Le CSRD (Directive (UE) 2022/2464) régit l'obligation de rapporter les informations sur la durabilité et touche aux relations de chaîne, mais il ne contient aucune disposition relative aux contrats de traitement de données au sens de la protection des données. Cette obligation découle du RGPD, article 28. Tant que cette source n'a pas été ajoutée au dossier, cette réponse reste définie sur « à déterminer » — tout comme pour un incident de fuite de données connexe, la réponse dépend de ce qui a été signalé lors d'une violation de données. Preuve à l'appui, seulement alors un oui ou un non.