A empresa celebra contratos de processamento com os seus prestadores de serviços?

Acordos de processamento resultam do registro de privacidade, não do CSRD

Esta pergunta diz respeito ao RGPD, não à fonte fornecida. A Diretiva (UE) 2022/2464 (CSRD) obriga à comunicação de informações sobre sustentabilidade, incluindo o comportamento empresarial próprio e a abordagem da cadeia de valor em termos sociais e de governança — mas a obrigação de celebrar acordos de processamento com prestadores de serviços que processem dados pessoais não consta nessa diretiva. Com a fonte aqui fornecida, portanto, não é possível fundamentar um sim ou um não: o rótulo está definido como "a determinar" e assim permanecerá até que uma fonte relativa ao RGPD conste do dossiê.

Isso não significa que a pergunta seja desinteressante. Quem tem clientes que colocam essa questão geralmente já terá registado em algum lugar quais prestadores de serviços processam dados pessoais — esse mapa integra o registro de atividades de processamento. A partir desse registro é imediatamente possível ver quais partes necessitam de um acordo de processamento: todas as partes que processem dados pessoais em nome da empresa se enquadram nessa categoria. Sem esse registro, a pergunta sobre acordos de processamento é, na prática, difícil de responder, independentemente do que consta aqui como fonte.

Porque este tema se distingue da fonte fornecida

O CSRD (Diretiva (UE) 2022/2464) regula a obrigação de comunicação de informações sobre sustentabilidade e, ao fazê-lo, envolve relações da cadeia de valor, mas não contém qualquer disposição relativa aos acordos de processamento no sentido da proteção de dados. Essa obrigação decorre do RGPD, artigo 28.º. Enquanto essa fonte não for adicionada ao dossiê, a resposta permanecerá como "a determinar" — tal como no caso de um incidente de violação de dados relacionada, a resposta depende do que foi comunicado quando ocorreu a violação de dados. Com a prova em anexo, apenas então sim ou não.