pitääkö minun tehdä tietojen käsittelijän sopimus kirjanpitäjäni kanssa

Kyllä, useimmissa tapauksissa se on tarpeen

Kirjanpitäjä, joka käsittelee henkilötietoja yrityksen puolesta — esimerkiksi palkkahallinnoinnissa, asiakastiedoissa laskuissa tai henkilöstön tiedoissa — toimii yleensä käsittelijänä. Tämä tarkoittaa, että yrityksen ja kirjanpitäjän välillä on oltava käsittelyä koskeva sopimus, riippumatta siitä, onko kirjanpitäjä itsenäinen ammatinharjoittaja vai toimistossa. Velvoite ei riipu siitä, onko kyseessä "suuri" vai "pieni" asiakas, vaan siitä, mitä roolia kirjanpitäjä todellisuudessa hoitaa: käsittelee tietoja yrityksen toimeksiannosta ja ohjeiden mukaisesti — yrityksessä, joka hallinnoi asiakas- tai henkilöstötietoja.

On olemassa poikkeus, joka käytännössä usein jätetään huomioimatta: jos kirjanpitäjä päättää itsenäisesti, miksi ja miten tietoja käsitellään — esimerkiksi siksi, että hänellä on omaa vastuuta Verohallintoa tai muuta laillista tehtävää varten — hän voi olla omalla osallaan itse rekisterinpitäjä, jolloin käsittelyä koskeva sopimus ei ole oikea väline. Mitkä roolit todellisuudessa soveltuvat, riippuu siitä, kuka tosiasiallisesti määrää käsittelyn tarkoitukset ja keinot; se vaihtelee tilanteittain ja on kuvattu selostusteessa rekisterinpitäjän tai käsittelijän roolista. Mitä tällaiseen sopimukseen sisällöllisesti tulee sisältyä, voidaan lukea yleiskatsauksesta käsittelyä koskevan sopimuksen pakollisista osista.

Mistä se ilmenee: GDPR:n 4 ja 28 artikla

GDPR:n 4 artiklassa määritellään käsittelijä henkilöksi, joka käsittelee henkilötietoja rekisterinpitäjän puolesta, ja GDPR:n 28 artiklassa määrätään, että tämä käsittely on vahvistettava sopimuksella, joka sisältää tietyn joukkon osia. EDPB:n ohjeissa käsitellään tarkemmin sitä, milloin jotakuta pidetään käsittelijänä ja milloin omana rekisterinpitäjänä, mikä kirjanpitäjän kohdalla — joka joskus noudattaa ohjeita ja joskus hoitaa omaa laillista roolia — tekee erottelusta ratkaisevaa.