kas pean sõlmima andmehalduri lepingu oma raamatupidajaga

Jah, enamikul juhtudel on see vajalik

Raamatupidaja, kes ettevõtte nimel persooniandmeid töötleb — näiteks palgahaldus, kliendiandmed arvetes või töötajate andmed — teeb seda tavaliselt andmetöötlejana. See tähendab, et ettevõtte ja raamatupidaja vahel peab olema andmetöötlusleping, sõltumata sellest, kas raamatupidaja on füüsilisest isikust ettevõtja või kontor. Kohustus ei seisnev selles, kas tegemist on "suure" või "väikese" kliendiga, vaid rollis, mida raamatupidaja tegelikult täidab: andmete töötlemine ettevõtte nimel ja vastavalt tema juhistele — ettevõtte, kes kliendi- või personaliandmeid hallitseb.

On üks erand, mida praktikas sageli tähelepanuta jäetakse: kui raamatupidaja määrab iseseisvalt, miks ja kuidas andmeid töödeldakse — näiteks seetõttu, et tal on Maksuameti või mõne muu seadusliku ülesande täitmiseks oma vastutus — siis võib ta selle osa suhtes olla ise andmete kontrollijaks, ja andmetöötlusleping pole siis õige instrument. Milline täpselt roll rakendub, sõltub sellest, kes tegelikult määrab andmetöötluse eesmärgid ja vahendid; see erineb iga olukorra puhul ja on kirjeldatud selgituses andmetöötleja ja andmete kontrollija üle. Mis sellisesse lepingusse sisuliselt kuulub, on loetav andmetöötluslepingu kohustuslike osade ülevaates.

Kust see järeldub: GDPR artikkelid 4 ja 28

GDPR artikkel 4 määratleb andmetöötlejat kui isikut, kes andmete kontrollija nimel persooniandmeid töötleb, ja GDPR artikkel 28 määrab, et selline töötlemine peab olema reguleeritud lepinguga, mis sisaldab fikseeritud osade komplekti. EDPB juhised selgitavad edasi, millal loetakse kedagi andmetöötlejaks ja millal iseseisva andmete kontrollijaks — raamatupidaja puhul, kes mõnikord järgib juhiseid ja mõnikord omab enda seaduslikku rolli, on see erinevus määrav.