Czy przedsiębiorstwo zawiera umowy powierzenia przetwarzania danych ze swoimi usługodawcami?

Umowy przetwarzania danych wynikają z rejestru prywatności, a nie z CSRD

Niniejsze pytanie dotyczy RODO, a nie dostarczonego źródła. Dyrektywa (UE) 2022/2464 (CSRD) nakłada obowiązek raportowania dotyczący zrównoważonego rozwoju, w tym zachowania własnego przedsiębiorstwa i podejścia łańcuchowego w sferze społecznej i ładu korporacyjnego — jednak obowiązek zawarcia umów przetwarzania danych z dostawcami usług przetwarzającymi dane osobowe nie wynika z tej dyrektywy. Na podstawie tutaj dostarczonego źródła nie można zatem uzasadnić ani odpowiedzi twierdzącej, ani przeczącej: etykieta jest ustawiona na "do określenia" i pozostanie taka do czasu, gdy w dossier pojawi się źródło RODO.

To nie oznacza, że pytanie jest bez znaczenia. Kto ma klientów stawiających to pytanie, zazwyczaj gdzieś już ustalił, którzy dostawcy usług przetwarzają dane osobowe — ten przegląd powinien być zawarty w rejestrze działań przetwarzania. Na podstawie tego rejestru można od razu zobaczyć, które strony potrzebują umowy przetwarzania danych: każda strona, która przetwarza dane osobowe w imieniu przedsiębiorstwa, podlega temu obowiązkowi. Bez tego rejestru pytanie o umowy przetwarzania danych jest w praktyce trudne do udzielenia odpowiedzi, niezależnie od tego, co tutaj podane jest jako źródło.

Dlaczego ten temat jest niezależny od dostarczonego źródła

CSRD (Dyrektywa (UE) 2022/2464) reguluje obowiązek raportowania informacji o zrównoważonym rozwoju i dotyczy relacji w łańcuchu dostaw, ale nie zawiera postanowienia dotyczące umów przetwarzania w rozumieniu ochrony danych. Ten obowiązek wynika z RODO, artykuł 28. Dopóki to źródło nie zostanie dodane do teczki, odpowiedź pozostaje na "do ustalenia" — dokładnie jak w przypadku powiązanego incydentu naruszenia bezpieczeństwa danych, gdzie odpowiedź zależy od tego, co istnieje zgłoszono w momencie, gdy doszło do naruszenia danych. Dowód w załączeniu, wtedy dopiero tak lub nie.