Ține întreprinderea un registru al activităților de prelucrare?

Registru al activităților de prelucrare: frecvent întrebat, diversificat justificat

Faptul că o întreprindere ține un registru al activităților de prelucrare variază de la o companie la alta și depinde de situația reală din dosarul lanțului: uneori acest lucru este deja stabilit ca răspuns dintr-un chestionar anterior, uneori documentul justificativ nu este încă disponibil. Aceasta este o întrebare care apare în mod standard în chestionarele privind confidențialitatea și protecția datelor, de obicei în același bloc ca și întrebările despre acorduri de prelucrare și breșe de date. Clientul care pune această întrebare dorește de obicei să știe dacă există un document — nu cât de complet este.

Dacă răspunsul este "da", acesta trebuie să fie însoțit de un document justificativ concret: registrul în sine, sau un extras din acesta cu prelucrările relevante pentru relația cu acel client. Dacă lipsește acel document, atunci "nu" sau "necunoscut" este răspunsul onest — a revendica un registru fără ca sistemul să-l găsească, determină mai multe întrebări în cazul unei verificări de către client decât un "nu". Această întrebare apare des în același rând ca și întrebarea dacă compania încheie acorduri de prelucrare cu furnizorii săi de servicii, iar cele două răspunsuri trebuie să fie mutual consistente: un registru fără acorduri de prelucrare, sau invers, se observă la cine revizuiește lista.

De ce întrebarea aceasta din punct de vedere conținutului nu decurge din CSRD

Sursa furnizată în acest dosar este Directiva (UE) 2022/2464 (CSRD), care se referă la raportarea durabilității și nu la un registru al activităților de prelucrare — acest concept provine din RGPD, nu din CSRD. Prin urmare, nu există niciun articol din această directivă care să servească drept justificare pentru această întrebare; răspunsul trebuie să provină din dosarul de lanț al întreprinderii în sine, nu din această sursă. Cine primește această întrebare împreună cu alte întrebări legate de confidențialitate, recunoaște adesea aceeași origine ca la întrebarea privind denumirea statutară a întreprinderii: un bloc standard de date de bază care este solicitat de aproape fiecare portal de client, indiferent dacă reglementarea subiacentă impune efectiv acest lucru pentru această întreprindere.