Передача персональных данных подрядчику оформляется договором поручения на обработку - отдельным документом или разделом в основном договоре. В нем нужно прописать перечень данных, цель обработки, срок и меры защиты, а также обязанность подрядчика не передавать данные дальше без вашего согласия. Устной договоренности или общих слов о конфиденциальности недостаточно.
В договоре обязательно должны быть: точный перечень передаваемых данных (лучше не писать общими фразами вроде «все необходимые данные», а перечислить категории), цель, ради которой подрядчик их обрабатывает, срок хранения и порядок уничтожения после окончания работ, а также обязанность подрядчика соблюдать конфиденциальность и применять меры защиты не ниже, чем требует уровень защищенности вашей информационной системы.
Передача данных подрядчику не снимает ответственность с вас как с оператора: если утечка произойдет на стороне бухгалтерской компании, отвечать перед Роскомнадзором и клиентами в первую очередь будете вы, а уже потом разбираться с подрядчиком в рамках договора. Поэтому стоит закрепить в договоре право проверять, как подрядчик хранит данные, и обязанность немедленно сообщать вам о любых инцидентах.
Отдельно нужно согласие сотрудников и клиентов на передачу их данных третьим лицам - если в исходном согласии такого пункта не было, придется собрать его заново или включить формулировку о возможной передаче обработчикам персональных данных в новую редакцию согласия.