czy muszę zawrzeć umowę przetwarzania danych z moim księgowym

Tak, w większości przypadków jest to konieczne

Księgowy, który przetwarza dane osobowe w imieniu przedsiębiorstwa — na przykład w administracji płac, dane klientów na fakturach lub dane pracowników — robi to zwykle jako podmiot przetwarzający. Oznacza to, że między przedsiębiorstwem a księgowym musi istnieć umowa przetwarzającego, niezależnie od tego, czy księgowy jest pracownikiem samozatrudnionym, czy pracuje w biurze. Obowiązek nie zależy od tego, czy chodzi o "dużego" lub "małego" klienta, ale od roli, którą księgowy faktycznie pełni: przetwarzanie danych na zlecenie i zgodnie z instrukcjami przedsiębiorstwa, które zarządza danymi klientów lub pracowników.

Istnieje wyjątek, który w praktyce jest często pomijany: jeśli księgowy niezależnie decyduje dlaczego i jak dane są przetwarzane — na przykład dlatego, że wobec urzędu skarbowego lub innego zadania ustawowego ponosi własną odpowiedzialność — to może być sam administratorem danych dla tej części, a umowa przetwarzającego nie byłaby wówczas odpowiednim narzędziem. Która rola dokładnie ma zastosowanie, zależy od tego, kto faktycznie określa cele i sposoby przetwarzania; różni się to w zależności od sytuacji i opisane jest w wyjaśnieniu na temat podmiotu przetwarzającego lub administratora danych. Co powinno się znaleźć w takiej umowie, można przeczytać w przeglądzie obowiązkowych elementów umowy przetwarzającego.

Gdzie to wynika: artykuł 4 i 28 RODO

Artykuł 4 RODO definiuje podmiot przetwarzający jako osobę przetwarzającą dane osobowe na zlecenie administratora danych, a artykuł 28 RODO stanowi, że przetwarzanie to musi być udokumentowane w umowie zawierającej ustalony zestaw elementów. Wytyczne EDPB wyjaśniają dalej, kiedy ktoś uważany jest za podmiot przetwarzający, a kiedy za własnego administratora danych, co u księgowego — który czasami pełni instrukcje, a czasami ma własną ustawową rolę — sprawia, że to rozróżnienie ma znaczenie decydujące.