Czy ośrodek zdrowia powinien zawrzeć umowę powierzenia przetwarzania danych osobowych z dystrybutorem urządzeń zewnętrznych umożliwiających odczyt z urządzeń wszczepialnych pacjentom?

Firma jest dystrybutorem sprzętu medycznego (programator). Jest to urządzenie zewnętrzne umożliwiające odczyt z urządzeń wszczepialnych pacjentom. Klientami są ośrodki zdrowia. Firma udziela 24-miesięcznej gwarancji i zapewnia serwis urządzenia. W instrukcji obsługi dołączonej do urządzenia informuje klienta, że przed planowaną wysyłką programatora do serwisu (biura firmy), klient musi zgrać dane medyczne z programatora i przesłać "wyczyszczone" urządzenie bez danych osobowych swoich pacjentów. Klienci jednakże wymuszają na firmie podpisywanie umów powierzenia przetwarzania danych osobowych pacjentów na okoliczność serwisu wpisując w jej treść, że firma będzie przetwarzać dane szczególne ich pacjentów. Firma tak naprawdę nie ma celu w przetwarzaniu danych osobowych, jest zainteresowana jedynie urządzeniem.

Czy w opisanej sytuacji należy zawrzeć umowę powierzenia przetwarzania danych osobowych?