Vai uzņēmums slēdz datu apstrādes nolīgumi ar saviem pakalpojumu sniedzējiem?

Datu apstrādes nolīgumi izriet no privātuma reģistra, nevis no CSRD

Šis jautājums attiecas uz GDPR, nevis uz sniegto avotu. Direktīva (ES) 2022/2464 (CSRD) nosaka pienākumu sniegt informāciju par ilgtspējamību, tostarp par paša uzņēmuma darbību un piegādes ķēdes pieeju sociālajos un pārvaldības jautājumos — taču pienākums noslēgt datu apstrādes nolīgumus ar pakalpojumu sniedzējiem, kas apstrādā personas datus, nav ietverts šajā direktīvā. Tādējādi, izmantojot šeit sniegto avotu, nav iespējams pamatot jā vai nē: etiķete ir "vēl jānosaka" un tā paliek tāda, līdz failā ir pieejams GDPR avots.

Tas nenozīmē, ka jautājums nav interesants. Kuriem ir klienti, kas to prasa, tie parasti jau kaut kur ir reģistrējuši, kuri pakalpojumu sniedzēji apstrādā personas datus — šim pārskaitam jāatrodas datu apstrādes reģistrā. Pamatojoties uz šo reģistru, uzreiz ir redzams, kuras puses ir noslēgušas datu apstrādes nolīgumu: katra puse, kas uzņēmuma vārdā apstrādā personas datus, ietilpst šajā kategorijā. Bez šī reģistra jautājums par datu apstrādes nolīgumiem ir praktiski sarežģīts atbildēt, neatkarīgi no tā, kāds avots šeit ir norādīts.

Kāpēc šis jautājums atšķiras no sniegtā avota

CSRD (Direktīva (ES) 2022/2464) nosaka pienākumu sniegt pārskatu par ilgtspējamības informāciju un pieskaras piegādes ķēdes attiecībām, taču tajā nav noteikuma par datu apstrādes nolīgumiem datu aizsardzības nozīmē. Šis pienākums izriet no GDPR 28. panta. Kamēr šis avots nav pievienots failam, šī atbilde paliek "vēl jānosaka" statusā — tāpat kā saistītā datu noplūdes gadījumā atbilde ir atkarīga no tā, kas tika ziņots, kad notika datu noplūde. Apraksts pievienots — tikai tad jā vai nē.