Încheie întreprinderea acorduri de prelucrare cu furnizorii săi de servicii?

Acordurile de prelucrare rezultă din registrul privacității, nu din CSRD

Această întrebare se referă la GDPR, nu la sursa furnizată. Directiva (UE) 2022/2464 (CSRD) impune raportarea informațiilor de durabilitate, inclusiv comportamentul propriei întreprinderi și abordarea lanțului de aprovizionare sub aspectul social și de guvernanță — dar obligația de a încheia acorduri de prelucrare cu prestatorii de servicii care prelucrează date cu caracter personal nu se găsește în acea directivă. Cu sursa furnizată aici, nu se poate justifica nici un da, nici un nu: eticheta este setată la "de determinat" și rămâne așa până când o sursă GDPR este inclusă în dosar.

Aceasta nu înseamnă că întrebarea nu este interesantă. Cei care au clienți care o pun au de obicei deja documentat undeva care prestatori de servicii prelucrează date cu caracter personal — acest inventar face parte din registrul activităților de prelucrare. Din acel registru, se poate vedea imediat care parți au nevoie de un acord de prelucrare: orice parte care prelucrează date cu caracter personal în numele întreprinderii se încadrează în această categorie. Fără acel registru, răspunsul la întrebarea cu privire la acordurile de prelucrare este în practică dificil de dat, indiferent de ceea ce apare aici ca sursă.

De ce acest subiect este separat de sursa furnizată

CSRD (Directiva (UE) 2022/2464) reglementează obligația de raportare a informațiilor de durabilitate și atinge relațiile în lanțul de aprovizionare, dar nu conține nicio dispoziție privind acordurile de prelucrare în sensul protecției datelor. Acea obligație rezultă din GDPR, articolul 28. Atâta timp cât acea sursă nu a fost adăugată la dosar, răspunsul rămâne la "de determinat" — la fel ca în cazul unui incident de cădere a datelor conexe, răspunsul depinde de ceea ce a fost comunicat atunci când a apărut o cădere a datelor. Aduceți dovezi, doar atunci se poate da un da sau un nu.