L'impresa conclude accordi di responsabile del trattamento con i suoi fornitori di servizi?

Gli accordi di trattamento dei dati derivano dal registro della privacy, non dal CSRD

Questa domanda riguarda il GDPR, non la fonte fornita. La Direttiva (UE) 2022/2464 (CSRD) impone l'obbligo di riferire su informazioni di sostenibilità, incluso il comportamento aziendale interno e l'approccio della catena di fornitura in materia sociale e di governance — ma l'obbligo di concludere accordi di trattamento dei dati con i fornitori di servizi che trattano dati personali non è contenuto in tale direttiva. Con la fonte fornita non è quindi possibile sostenere un sì o un no: l'etichetta è impostata su "ancora da determinare" e rimane così fino a quando non viene inserita una fonte GDPR nel fascicolo.

Questo non significa che la domanda non sia interessante. Chi ha clienti che la pongono ha di solito già documentato da qualche parte quali fornitori di servizi trattano dati personali — questo elenco fa parte di registro delle attività di trattamento. Da tale registro è immediatamente possibile vedere quali parti hanno bisogno di un accordo di trattamento dei dati: ogni parte che tratta dati personali per conto dell'azienda ricade in questa categoria. Senza tale registro, la domanda sugli accordi di trattamento dei dati è nella pratica difficile da rispondere, indipendentemente da ciò che è riportato qui come fonte.

Perché questo argomento è separato dalla fonte fornita

Il CSRD (Direttiva (UE) 2022/2464) disciplina l'obbligo di riferire su informazioni di sostenibilità e tocca le relazioni della catena di fornitura, ma non contiene alcuna disposizione su accordi di trattamento dei dati nel senso della protezione dei dati. Tale obbligo deriva dal GDPR, articolo 28. Fino a quando tale fonte non è stata aggiunta al fascicolo, questa risposta rimane impostata su "ancora da determinare" — proprio come nel caso di una violazione dei dati correlata, la risposta dipende da ciò che è stato notificato quando si è verificata una violazione dei dati. Prova inclusa, solo allora un sì o un no.