Czy w przypadku zamówienia w podmiocie zewnętrznym audytu cyberbezpieczeństwa lub wykonania testów penetracyjnych mamy do czynienia z powierzeniem przetwarzania danych osobowych?

Czy w przypadku zamówienia w podmiocie zewnętrznym audytu cyberbezpieczeństwa lub wykonania testów penetracyjnych mamy do czynienia z powierzeniem przetwarzania danych osobowych, co wiązałoby się z koniecznością realizacji wymogów wynikających z art. 28 RODO?

Czy może wystarczy w tym przypadku odpowiednie oświadczenie o poufności w związku z ewentualnym dostępem do danych, który może mieć miejsce w związku z np. wykryciem podatności?