Czy przedsiębiorstwo prowadzi rejestr działań przetwarzania?

Rejestr czynności przetwarzania: często pytane, różnie uzasadniane

Czy przedsiębiorstwo prowadzi rejestr czynności przetwarzania, różni się w zależności od firmy i zależy od faktycznej sytuacji w dokumencie łańcucha dostaw: czasami jest to już ustalone jako odpowiedź z poprzedniej listy pytań, czasami brakuje jeszcze dokumentu potwierdzającego. Jest to pytanie, które standardowo pojawia się w listach pytań dotyczących prywatności i ochrony danych, zwykle w tym samym bloku co pytania dotyczące umów przetwarzania i naruszenia danych. Klient, który to pyta, zwykle chce wiedzieć, czy dokument istnieje — nie jak kompletny jest.

Jeśli odpowiedź brzmi "tak", powinien się do niej załączyć konkretny dokument potwierdzający: sam rejestr lub jego wypis zawierający przetwarzania istotne dla relacji z tym klientem. Jeśli ten dokument brakuje, wtedy "nie" lub "nieznane" to szczera odpowiedź — twierdzenie, że rejestr istnieje, bez tego, że system go znajdzie, w razie kontroli klienta przynosi więcej pytań niż "nie". To pytanie pojawia się często w tym samym rzędzie co pytanie czy przedsiębiorstwo zawiera umowy przetwarzania z jej dostawcami usług, a obie odpowiedzi muszą być ze sobą spójne: rejestr bez umów przetwarzania lub odwrotnie, rzuca się w oczy osobie czytającej listę.

Dlaczego to pytanie merytoryczne nie wynika z CSRD

Dostarczane źródło w tym dossier to Dyrektywa (UE) 2022/2464 (CSRD), która dotyczy sprawozdawczości w zakresie zrównoważonego rozwoju, a nie rejestru działań przetwarzania — pojęcie to pochodzi z RODO, a nie z CSRD. Nie ma zatem artykułu z tej dyrektywy, który mógłby stanowić uzasadnienie dla tego pytania; odpowiedź musi pochodzić z dossier łańcucha dostaw samego przedsiębiorstwa, a nie z tego źródła. Kto otrzymuje to pytanie razem z innymi pytaniami dotyczącymi prywatności, często rozpoznaje to samo pochodzenie co w przypadku pytania dotyczącego nazwy statutowej przedsiębiorstwa: stały blok danych podstawowych, który jest wymagany przez prawie każdy portal klienta, niezależnie od tego, czy obowiązujące prawo rzeczywiście wymaga tego od danego przedsiębiorstwa.