Ali podjetje sklada pogodbe o obdelavi podatkov s svojimi izvajalci storitev?

Pogodbe za obdelavo podatkov izhajajo iz registra zasebnosti, ne iz CSRD

To vprašanje se nanaša na GDPR, ne na navedeni vir. Direktiva (EU) 2022/2464 (CSRD) obvezuje k poročanju o trajnostnosti, vključno z lastnim poslovanjem in pristopom v dobavni verigi na področju socialnega in upravljavskega vidika — vendar obveznost za sklenitev pogodb za obdelavo podatkov s služabniki, ki obdelujejo osebne podatke, ni navedena v tej direktivi. S podanim virom torej ne moremo utemeljiti da ali ne: oznaka je na »še se bo določilo« in ostane tam, dokler v mapi ni vira GDPR.

To ne pomeni, da vprašanje ni zanimivo. Kdor ima stranke, ki to sprašujejo, je ponavadi negdje že navedel, katere služabnike obdelujejo osebne podatke — ta pregled spada v register dejavnosti obdelave podatkov. Iz tega registra je takoj mogoče videti, katere stranke potrebujejo pogodbo za obdelavo podatkov: v njo spadajo vsi subjekti, ki obdelujejo osebne podatke v imenu podjetja. Brez tega registra je vprašanje o pogodbah za obdelavo podatkov v praksi težko odgovoriti, tudi ločeno od tega, kaj je tu navedeno kot vir.

Zakaj je to področje ločeno od navedenega vira

CSRD (Direktiva (EU) 2022/2464) ureja obveznost poročanja o informacijah o trajnostnosti in se pri tem dotika odnosov v dobavni verigi, vendar ne vsebuje določbe o pogodbah za obdelavo podatkov v smislu varstva podatkov. Ta obveznost izhaja iz GDPR, člena 28. Dokler ta vir ni dodan v mapo, ostane ta odgovor na »še se bo določilo« — tako kot pri sorodnem incidentu uhajanja podatkov odgovor zavisi od tega, kaj je bilo prijavljeno, ko se je zgodilo uhajanje podatkov. Pridobite dokaz, šele potem da ali ne.