Slutar företaget datalagringsavtal med sina tjänsteleverantörer

Databehandlingsavtal följer av integritetregistret, inte av CSRD

Denna fråga handlar om GDPR, inte om den tillhandahållen källan. Direktiv (EU) 2022/2464 (CSRD) föreskriver rapportering om hållbarhet, inklusive eget företagsbeteende och kedjeansats på sociala och styrelsefrågorna — men skyldigheten att ingå databehandlingsavtal med tjänsteleverantörer som behandlar personuppgifter finns inte i direktivet. Med den källan som tillhandahålls här går det således inte att underbygga ett ja eller nej: etiketten är satt på "ännu inte fastställt" och förblir så tills dess att en GDPR-källa finns i dossieren.

Det betyder inte att frågan är ointressant. Den som har kunder som ställer denna fråga har vanligtvis redan dokumenterat någonstans vilka tjänsteleverantörer som behandlar personuppgifter — denna översikt hör till registret över behandlingsaktiviteter. Från detta register syns omedelbar vilka parter som behöver ett databehandlingsavtal: varje part som behandlar personuppgifter för företagets räkning faller därunder. Utan detta register är frågan om databehandlingsavtal i praktiken svår att besvara, även oberoende av vad som här anges som källa.

Varför detta ämne står separat från den tillhandahållen källan

CSRD (Direktiv (EU) 2022/2464) reglerar rapporteringskravet för hållbarhetsinformation och berörs därigenom av kedjebetingelser, men den innehåller ingen bestämmelse om databehandlingsavtal i betydelsen dataskydd. Denna skyldighet följer av GDPR, artikel 28. Så länge denna källa inte har lagts till dossieren förblir detta svar på "ännu inte fastställt" — precis som när ett relaterat dataintrång är svaret beror på vad som rapporterades när ett dataintrång inträffade. Bevis tillsammans med det, bara då ett ja eller nej.