Köt-e az unternehmung adatfeldolgozási szerződéseket a szolgáltatóival?

Az adatfeldolgozási megállapodások az adatvédelmi nyilvántartásból következnek, nem a CSRD-ből

Ez a kérdés az GDPR-ről szól, nem az átadott forrásról. Az (EU) 2022/2464 irányelv (CSRD) a fenntarthatóságra vonatkozó információ-szolgáltatást írja elő, beleértve a vállalat saját magatartását és a láncfelügyeleti megközelítést társadalmi és irányítási téren — azonban az olyan szolgáltatókat kezelő adatkezelőkkel az adatfeldolgozási megállapodások megkötésének kötelezettségét nem tartalmazza. Az itt átadott forrás alapján tehát nem támasztható alá sem az igen, sem a nem válasz: a címke "még meghatározandó" értékre van állítva, és így marad, amíg az adatvédelmi nyilvántartásban nincs AVG-forrás.

Ez nem jelenti azt, hogy a kérdés unalmas lenne. Aki olyan ügyfelei vannak, akik ezt kérdezik, az általában már valahol rögzítette, mely szolgáltatók dolgoznak fel személyes adatokat — ezt az áttekintést hozzá kell rendelni a feldolgozási tevékenységek nyilvántartásához. E nyilvántartás alapján azonnal látható, mely felek igényelnek adatfeldolgozási megállapodást: azok a felek, akik a vállalat nevében személyes adatokat feldolgoznak, alá tartoznak. E nyilvántartás nélkül az adatfeldolgozási megállapodásokra vonatkozó kérdés a gyakorlatban nehéz megválaszolni, függetlenül attól, hogy itt mi áll forrásként.

Miért áll ez a téma az átadott forrástól függetlenül

A CSRD (az (EU) 2022/2464 irányelv) a fenntarthatósági információkra vonatkozó jelentéstételt szabályozza, és ezt tekintetében érinti a lánc-relációkat, azonban nem tartalmaz rendelkezéseket az adatvédelmi értelemben vett adatfeldolgozási megállapodásokról. Ez a kötelezettség az GDPR 28. cikkéből következik. Amíg ezt a forrást nem adják hozzá az adatlaphoz, ez a válasz "még meghatározandó" marad — csakúgy, mint egy kapcsolódó adatvédelmi incidens esetén a válasz attól függ, hogy mi történt amikor adatvédelmi incidens fordult elő. Ha van bizonyíték, csak akkor igen vagy nem.