ali moram skleniti pogodbo z obdelavo osebnih podatkov s svojim računovodjo

Ja, v večini primerov je to potrebno

Knjižničar, ki v imenu podjetja obdeluje osebne podatke — na primer skrb za plačilne liste, podatke strank v računih ali podatke zaposlenih — to običajno počne kot obdelovalec. To pomeni, da mora obstajati pogodba med podjetjem in knjižničarjem, ne glede na to, ali je knjižničar samostojni podjetnik ali pisarna. Obveznost ni odvisna od vprašanja, ali gre za »velikega« ali »majhnega« stranke, temveč od vloge, ki jo knjižničar dejansko opravlja: obdelovanje podatkov na naročilo in v skladu z navodili podjetja, ki upravlja s podatki strank ali zaposlenih.

Obstaja izjema, ki se v praksi pogosto spregleda: če knjižničar samostojno določi, zakaj in kako se podatki obdelujejo — na primer ker ima za Finančno upravo ali drugo zakonsko nalogo lastno odgovornost — je za ta del mogoče sam odgovoren za obdelavo, in pogodba torej ni pravo sredstvo. Katera vloga se natanko uporablja, je odvisna od tega, kdo dejansko določa namene in sredstva obdelave; to se razlikuje glede na situacijo in je opisano v razlagi o obdelovalcu ali odgovornem za obdelavoKaj mora biti vsebovano v takšni pogodbi, si lahko preberete v pregledu obveznih delov pogodbe z obdelovalcem.

Kjer je to navedeno: člen 4 in 28 GDPR

Člen 4 GDPR opredeljuje obdelovalca kot osebo, ki v imenu odgovornega za obdelavo obdeluje osebne podatke, člen 28 GDPR pa določa, da se ta obdelava mora dokumentirati v pogodbi s fiksno skupino delov. Smernice EDPB podrobneje razdelajo, kdaj se oseba šteje za obdelovalca in kdaj kot lastni odgovorni za obdelavo, kar je pri knjižničarju — ki včasih sledi navodilom in včasih ima lastno zakonsko vlogo — razlikovanje določujoče.