Vedligeholder virksomheden et register over behandlingsaktiviteter?

Register over behandlingsaktiviteter: ofte spurgt, variabelt begrundet

Om virksomheden fører et register over behandlingsaktiviteter, er forskelligt fra virksomhed til virksomhed og afhænger af den faktiske situation i kædefilmappen: nogle gange er dette allerede fastlagt som svar fra en tidligere spørgeskema, nogle gange mangler dokumentationen stadig. Dette er et spørgsmål, der almindeligt forekommer i spørgeskemaer om privatlivs- og databeskyttelse, normalt i samme blok som spørgsmål om databehandleraftaler og datalækager. Den kunde, der stiller dette spørgsmål, vil normalt vide, om der findes et dokument — ikke hvor fuldstændigt det er.

Hvis svaret er "ja", skal der vedlægges et konkret bevisstykke: registeret selv, eller et uddrag heraf med de behandlingsaktiviteter, der er relevante for forholdet til denne kunde. Hvis dette stykke mangler, er "nej" eller "ukendt" det ærlige svar — at påstå et register uden at systemet finder et, giver ved en stikprøvekontrol fra kunden flere spørgsmål end et nej. Dette spørgsmål står ofte på samme linie som spørgsmålet om virksomheden indgår databehandleraftaler med sine tjenesteydere, og de to svar skal være indbyrdes konsistente: et register uden databehandleraftaler, eller omvendt, falder i øjnene hos den, der læser listen igennem.

Hvorfor dette spørgsmål ikke følger materielt af CSRD

Den leverede kilde i denne filmaps er Direktiv (EU) 2022/2464 (CSRD), som handler om bæredygtighedsrapportering og ikke om et register over behandlingsaktiviteter — dette begreb kommer fra GDPR, ikke fra CSRD. Der er således ingen artikel i dette direktiv, der tjener som begrundelse for dette spørgsmål; svaret skal komme fra virksomhedens egen kædefilmaps, ikke fra denne kilde. Den, der modtager dette spørgsmål sammen med andre privatlivsspørgsmål, genkender ofte samme oprindelelse som ved spørgsmålet om virksomhedens statutory name: en fast blok grundlæggende data, der bliver anmodet om af næsten hver kundeportal, uafhængigt af spørgsmålet om, hvorvidt det underliggende regelgivning faktisk er bindende for denne virksomhed.