Sklapa li poduzeće ugovore o obradi podataka sa svojim pružateljima usluga?

Ugovori o obradbi proizlaze iz registra privatnosti, a ne iz CSRD-a

Ovo pitanje odnosi se na GDPR, a ne na priloženi izvor. Direktiva (EU) 2022/2464 (CSRD) obvezuje na izvještavanje o održivosti, uključujući vlastito poslovno ponašanje i pristup lancima opskrbe na društvenom i upravljačkom planu — ali obveza zaključivanja ugovora o obradbi sa davateljima usluga koji obrađuju osobne podatke ne nalazi se u toj direktivi. S priloženim izvorom, dakle, nije moguće potkrijepiti da ili ne — oznaka je na "još se određuje" i ostaje tako dok u dossier nije postavljen izvor iz GDPR-a.

To ne znači da pitanje nije zanimljivo. Tko ima klijente koji to pitaju, obično je negdje već zapisao koje davatelje usluga obrađuju osobne podatke — taj pregled pripada registru aktivnosti obrade. Iz tog registra odmah je vidljivo koje strane trebaju ugovor o obradbi: sve strane koje obrađuju osobne podatke u ime poduzeća spadaju u to. Bez tog registra, pitanje o ugovorima o obradbi je u praksi teško odgovoriti, neovisno o tome što je ovdje priloženo kao izvor.

Zašto je ovaj predmet odvojen od priloženog izvora

CSRD (Direktiva (EU) 2022/2464) regulira obvezu izvještavanja o informacijama o održivosti i pritom dodiruje odnose u lancu opskrbe, ali ne sadrži odredbu o ugovorima o obradbi u smislu zaštite podataka. Ta obveza proizlazi iz GDPR-a, članak 28. Dok taj izvor nije dodan u dossier, ovaj odgovor ostaje na "još se određuje" — baš kao što u srodnom slučaju kršenja podataka odgovor ovisi o tome što je prijavljeno kada je došlo do kršenja podataka. Dokaz uz to, tek tada da ili ne.