¿Celebra la empresa acuerdos de encargo de tratamiento con sus proveedores de servicios?

Los acuerdos de encargo de tratamiento se derivan del registro de privacidad, no de la CSRD

Esta pregunta se refiere al RGPD, no a la fuente aportada. La Directiva (UE) 2022/2464 (CSRD) obliga a informar sobre sostenibilidad, incluida la conducta empresarial propia y el enfoque de la cadena en materia social y de gobierno corporativo — pero la obligación de celebrar acuerdos de encargo de tratamiento con prestadores de servicios que traten datos personales no figura en esa directiva. Con la fuente aquí aportada no es posible fundamentar un sí o un no: la etiqueta está en "por determinar" y así seguirá hasta que haya una fuente del RGPD en el dossier.

Eso no significa que la pregunta no sea interesante. Quien tiene clientes que la plantean suele haber documentado ya en algún lugar qué prestadores de servicios tratan datos personales — ese inventario debe formar parte de del registro de actividades de tratamiento. A partir de ese registro se puede ver inmediatamente qué partes necesitan un acuerdo de encargo de tratamiento: cada parte que trate datos personales en nombre de la empresa entra en esa categoría. Sin ese registro, la pregunta sobre acuerdos de encargo de tratamiento es difícil de responder en la práctica, independientemente de cuál sea la fuente aquí aportada.

Por qué este tema se trata aparte de la fuente aportada

La CSRD (Directiva (UE) 2022/2464) regula la obligación de informar sobre información en materia de sostenibilidad y afecta a las relaciones en la cadena, pero no contiene ninguna disposición sobre acuerdos de encargo de tratamiento en el sentido de protección de datos. Esa obligación se deriva del RGPD, artículo 28. Mientras esa fuente no se añada al dossier, esta respuesta seguirá en "por determinar" — igual que en caso de un incidente de violación de datos relacionado, la respuesta depende de lo que se notificó cuando se produjo una violación de datos. Con la prueba incluida, entonces sí o no.