Ondernemingen die onder het toepassingsbereik van de Corporate Sustainability Reporting Directive (CSRD) vallen, moeten rapporteren over hun waardeketen. Om dit correct te doen is duurzaamheidsinformatie in de vorm van data nodig. Een grote groep (mkb-)ondernemingen zal verzocht worden deze informatie aan te leveren. In dit artikel leest u over de handel in data en aandachtspunten van een data-overeenkomst, waaronder de Algemene Verordening Gegevensbescherming (AVG).
Om ervoor te zorgen dat de partijen in de keten de gewenste duurzaamheidsdata aanleveren, kunnen contractuele (boete)clausules in overeenkomsten en/of algemene voorwaarden worden opgenomen. Een te ruime formulering van zo'n clausule confronteert een partij in de waardeketen met een onredelijke uitvraag en vereist dat zij veel meer informatie overleggen dan nodig is. Bijvoorbeeld: ‘het op eerste verzoek verstrekken van alle gewenste duurzaamheidsinformatie’. De CSRD bepaalt dat het niveau van de informatie die wordt uitgevraagd in de waardeketen ‘niet verder mag gaan dan de CSRD-standaarden voor kleine en middelgrote-ondernemingen’. Bij het opstellen van CSRD-informatieclausules is het daarom belangrijk om hiermee rekening te houden en te bepalen welke informatie daadwerkelijk opgevraagd of verstrekt moet worden.
Een grote groep ondernemingen in de waardeketen krijgt te maken met het verzoek tot het aanleveren van duurzaamheidsinformatie. Tegelijkertijd zien we dat sommige ondernemingen een onevenredige vergoeding vragen voor het aanleveren van de gewenste data aan de CSRD-onderneming. In een reactie daarop heeft BDO de ‘consultatie Implementatiebesluit richtlijn duurzaamheidsrapportering’ voorgesteld. Daarmee wil BDO in regelgeving verankeren dat a) een redelijke vergoeding mag worden gevraagd voor het aanleveren van duurzaamheidsinformatie die b) ‘ten hoogste de kostprijs’ bedraagt. Lees hier (1) onze volledige consultatiereactie.
Bij het uitvragen van data in overeenkomsten moet rekening worden gehouden met een aantal aandachtspunten. De rapportageverplichtingen van de CSRD omvatten ook gegevens die herleidbaar (kunnen) zijn naar personen, wat betekent dat het persoonsgegevens zijn die vallen onder de AVG. Hoewel er conform de CSRD-standaarden gerapporteerd moet worden, betekent dit niet dat de AVG niet van toepassing is op deze rapportageverplichtingen. Integendeel, het is expliciet opgenomen dat de relevante privacywetgeving in acht moet worden genomen. Om aan de CSRD-verplichtingen te voldoen, moet er goed worden nagedacht over welke gegevens precies moeten worden verstrekt.
Ditzelfde geldt ook voor gegevens die geen persoonsgegevens zijn, maar wel vertrouwelijke of belangrijke informatie bevatten voor de onderneming. Het is niet de bedoeling om onder de CSRD bijvoorbeeld te rapporteren over de inhoud van bedrijfsgeheimen of andere vertrouwelijke informatie, maar door onvoorzichtig informatie te verstrekken kan dit wel gebeuren. Het is daarom belangrijk om altijd goed te kijken naar de verplichting, de inhoud van de benodigde informatie en om indien nodig om hulp te vragen.
(1) https://www.internetconsultatie.nl/duurzaamheidsrapportage/reactie/3b952ded-b296-4574-acd0-e8c13929258d
