Sluit de onderneming verwerkersovereenkomsten met haar dienstverleners?

Verwerkersovereenkomsten volgen uit het privacyregister, niet uit de CSRD

Deze vraag gaat over de AVG, niet over de aangeleverde bron. De Richtlijn (EU) 2022/2464 (CSRD) verplicht tot rapportage over duurzaamheid, inclusief het eigen bedrijfsgedrag en de ketenaanpak op sociaal en governance-vlak — maar de verplichting om verwerkersovereenkomsten te sluiten met dienstverleners die persoonsgegevens verwerken, staat niet in die richtlijn. Met de hier meegegeven bron is dus geen ja of nee te onderbouwen: het label staat op "nog te bepalen" en dat blijft zo totdat er een AVG-bron in het dossier ligt.

Dat betekent niet dat de vraag oninteressant is. Wie klanten heeft die dit vragen, heeft meestal al ergens vastgelegd welke dienstverleners persoonsgegevens verwerken — dat overzicht hoort bij het register van verwerkingsactiviteiten. Vanuit dat register is meteen te zien welke partijen een verwerkersovereenkomst nodig hebben: elke partij die namens de onderneming persoonsgegevens verwerkt, valt daaronder. Zonder dat register is de vraag over verwerkersovereenkomsten in de praktijk lastig te beantwoorden, ook los van wat hier als bron staat.

Waarom dit onderwerp los staat van de aangeleverde bron

De CSRD (Richtlijn (EU) 2022/2464) regelt de rapportageplicht over duurzaamheidsinformatie en raakt daarbij aan ketenrelaties, maar zij bevat geen bepaling over verwerkersovereenkomsten in de zin van gegevensbescherming. Die verplichting volgt uit de AVG, artikel 28. Zolang die bron niet is toegevoegd aan het dossier, blijft dit antwoord op "nog te bepalen" staan — net zoals bij een gerelateerd datalek-incident het antwoord afhangt van wat er is gemeld toen zich een datalek voordeed. Bewijs erbij, dan pas een ja of nee.