Ali vodi podjetje register dejavnosti obdelave podatkov?

Register dejavnosti obdelave: pogosto vprašano, različno utemeljeno

Ali podjetje vodi register dejavnosti obdelave, se razlikuje od podjetja do podjetja in je odvisno od dejanske situacije v datoteki verige: včasih je to že določeno kot odgovor iz prejšnjega vprašalnika, včasih pa manjka dokazni dokument. To je vprašanje, ki se običajno pojavi v vprašalnikih o zasebnosti in varstvu podatkov, običajno v isti sekciji kot vprašanja o sporazumih s procesirjem in podatkovnih kršitvah. Odjemalec, ki to vprašanje postavlja, običajno želi vedeti, ali dokument obstaja — ne kako popoln je.

Če je odgovor »da«, mora biti priložen konkreten dokazni dokument: sam register ali njegov izpisek s predelavami, ki so relevantne za razmerje s tem odjemalcem. Če ta dokument manjka, je »ne« ali »neznano« pošten odgovor — trditev o obstoju registra brez tega, da ga sistem najde, pri pregledu odjemalca sproži več vprašanj kot odgovor »ne«. To vprašanje je pogosto v isti vrsti kot vprašanje ali podjetje sklene pogodbe o obdelavi podatkov s svojimi ponudniki storitev, in oba odgovora morata biti medsebojno skladna: register brez pogodb o obdelavi podatkov ali obratno privlači pozornost tistemu, ki je vprašalnik pregledal.

Zakaj to vprašanje vsebinsko ne izhaja iz CSRD

Navedeni vir v tej datoteki je Direktiva (EU) 2022/2464 (CSRD), ki se ukvarja s poročanjem o trajnosti in ne s registrom dejavnosti obdelave — ta koncept izhaja iz GDPR, ne iz CSRD. Zato ni člena iz te direktive, ki bi služil kot utemeljitev za to vprašanje; odgovor mora priti iz datoteke verige samega podjetja, ne iz tega vira. Tisti, ki ta vprašanja prejme skupaj z drugimi vprašanji o zasebnosti, pogosto prizna isto izvor kot pri vprašanju o statutarnem imenu podjetja: fiksni blok osnovnih podatkov, ki ga zahteva skoraj vsak odjemalčev portal, ne glede na to, ali temeljna zakonodaja dejansko obvezuje to podjetje.