Ar įmonė sudaro duomenų tvarkymo sutartis su jos paslaugų teikėjais?

Duomenų tvarkymo sutartys kyla iš privatumo registro, o ne iš CSRD

Šis klausimas yra apie BDAR, o ne apie pateiktą šaltinį. Direktyva (ES) 2022/2464 (CSRD) įpareigoja atskaitomybę dėl darnumo, įskaitant nuosavą verslo elgesį ir tiekimo grandinės požiūrį į socialinius ir valdymo klausimus — tačiau įpareigojimas sudaryti duomenų tvarkymo sutartis su paslaugų teikėjais, kurie tvarko asmens duomenis, nėra nurodytoje direktyvoje. Naudojant čia pateiktą šaltinį, negalima pagrįsti taip arba ne: etiketė nustatyta į "dar nustatyti" ir taip lieka, kol į failą įtrauktas BDAR šaltinis.

Tai nereiškia, kad klausimas yra neaktualus. Norintieji, kurie turi klientus, keliančius šį klausimą, dažniausiai jau kažkur fiksuotina, kurie paslaugų teikėjai tvarko asmens duomenis — tas apžvalga priklauso duomenų tvarkymo veiklų registrui. Iš to registro iš karto matyti, kurioms šalims reikalinga duomenų tvarkymo sutartis: kiekviena šalis, kuri vardu verslo subjekto tvarko asmens duomenis, patenka į šią kategoriją. Be to registro, klausimas apie duomenų tvarkymo sutartis praktikoje yra sunkus atsakyti, nepaisant to, kas čia pateikiama kaip šaltinis.

Kodėl ši tema yra atskira nuo pateikto šaltinio

CSRD (Direktyva (ES) 2022/2464) reglamentuoja ataskaitų teikimą apie tvarumą ir susijusi su tiekimo grandinės santykiais, tačiau joje nėra nuostatymo dėl duomenų tvarkymo sutarčių, kaip apibrėžta duomenų apsaugoje. Ši pareiga kyla iš BDAR, 28 straipsnio. Kol šis šaltinis nepridėtas prie bylos, šis atsakymas lieka "dar nenustatytas" — kaip ir susijusio duomenų saugumo pažeidimo atveju atsakymas priklauso nuo to, kas yra pranešta kai įvyko duomenų pažeidimas. Įrodymai turėtų būti pridedami, tada tik taip arba ne.