Czy w opisanych sytuacjach powstaje konieczność zawarcia umowy powierzenia przetwarzania danych osobowych?

Podmiot wykonujący działalność leczniczą (podmiot A) dzierżawi aparaty diagnostyczne od dostawcy, który świadczy również usługę serwisu tych aparatów (podmiot B). Serwisant realizując usługę ma dostęp do danych pacjentów przetwarzanych w aparacie. Dodatkowo, podmiot B świadczy usługę zdalnego serwisu poprzez połączenie VPN. Usługa należy do tej firmy. Dane osobowe pacjentów znajdujące się na aparacie mają być zamaskowane dla zdalnych serwisantów. Zamaskowania danych dokonuje podmiot B. Serwis pracuje na danych technicznych.

Jakie działania podmiot A powinien podjąć w kontekście przetwarzania i ochrony danych osobowych?

Czy w opisanych sytuacjach powstaje konieczność zawarcia umowy powierzenia przetwarzania danych osobowych? Czy wystarczające jest zawarcie umowy o zachowaniu poufności? Czy sam fakt świadczenia usługi serwisu (serwisant pracuje na danych technicznych, a przy okazji ma dostęp do danych osobowych pacjentów i pracowników) niesie za sobą konieczność zawarcia umowy powierzenia, czy jest ona zbędna?