A empresa mantém um registro de atividades de tratamento?

Registro de atividades de tratamento: frequentemente perguntado, com fundamentação variável

Se a empresa mantém um registro de atividades de tratamento varia de empresa para empresa e depende da situação de facto no dossiê da cadeia: por vezes esta informação já está consignada como resposta de um questionário anterior, por vezes ainda falta o documento comprobatório. Esta é uma pergunta que surge habitualmente em questionários sobre privacidade e proteção de dados, geralmente no mesmo bloco que as perguntas sobre contratos de processamento e violações de dados. O cliente que faz esta pergunta quer geralmente saber se existe um documento — não qual é o grau de completude do mesmo.

Se a resposta for "sim", deve estar acompanhada de um documento comprobatório concreto: o registro em si, ou um extrato do mesmo com os tratamentos que são relevantes para a relação com esse cliente. Se esse documento faltar, então "não" ou "desconhecido" é a resposta honesta — afirmar a existência de um registro quando o sistema não encontra um, gera mais perguntas numa auditoria do cliente do que um "não". Esta pergunta está frequentemente associada à pergunta se a empresa celebra contratos de processamento com os seus prestadores de serviços, e as duas respostas devem ser mutuamente coerentes: um registro sem contratos de processamento, ou vice-versa, destaca-se para quem revê a lista.

Por que esta pergunta não decorre materialmente da CSRD

A fonte fornecida neste dossiê é a Diretiva (UE) 2022/2464 (CSRD), que trata de relato de sustentabilidade e não de um registro de atividades de tratamento — este conceito provém do RGPD, não da CSRD. Portanto, não existe nenhum artigo desta diretiva que sirva de fundamentação para esta pergunta; a resposta deve provir do dossiê de cadeia da própria empresa, não desta fonte. Quem recebe esta pergunta juntamente com outras perguntas sobre privacidade reconhece frequentemente a mesma origem que em a pergunta sobre a designação estatutária da empresa: um bloco fixo de dados básicos que é solicitado por quase todos os portais de clientes, independentemente de a regulamentação subjacente ser efetivamente obrigatória para esta empresa.