NDA i DPA – jedne z najpowszechniejszych umów w relacji biznesowej, podobne do siebie nawzajem, często wręcz uznawane za „takie same” i niestety mylnie wykorzystywane do tych samych celów, choć w rzeczywistości służą innym obszarom współpracy między podmiotami. 

Zdarza się niestety, że moi klienci utożsamiają obie te umowy z sobą i wychodzi z tego NDA, która ma chronić dane osobowe… chociaż to zupełnie nie jest jej cel. Ale klient nie musi o tym wiedzieć – po to jest prawniczka, która objaśnia prawo ludzkim językiem.

Zanim wyjaśnię jakie są różnice między umowami…

Określimy sobie najpierw kontrast między informacjami a danymi. Jest to kluczowe dla zrozumienia istoty umów, na których skupia się niniejszy wpis. Pamięć bywa zawodna, dlatego warto najpierw uporządkować podstawowe pojęcia – gdy je zrozumiemy, wiedza zostanie z nami na dłużej.

Posłużę się definicjami z z jednej z moich ulubionych książek „Prawo w IT. Praktycznie i po ludzku„ Szymona Ciacha, która przekonała mnie do siebie głównie tym, że autor, podobnie jak ja, lubi tłumaczyć rzeczy skomplikowane w prosty, przystępny sposób i przekłada wiedzę techniczną na język zrozumiały dla każdego.

Dane to po prostu fakty, które same w sobie nie mają żadnej merytorycznej wartości. Natomiast informacje to zbiór danych, które zostały już w jakiś sposób przetworzone, dzięki czemu treść ma już konstrukcję i sens merytoryczny. Ten krótki wstęp pozwoli zobrazować różnice między umowami NDA i DPA.

Czym jest DPA

DPA (Data Processing Agreement, czyli umowa powierzenia przetwarzania danych osobowych) chroni dane, a konkretnie dane osobowe, czyli te wspomniane wcześniej fakty. Ta umowa jest obowiązkowa w przypadku gdy firma powierza dane osobowe innemu podmiotowi, na przykład zewnętrznemu dostawcy oprogramowania, firmie zajmującej się optymalizacją procesów, dostawcy narzędzi SaaS, itp.

Warto tu zaznaczyć, że DPA nie jest tylko dobrą praktyką, a obowiązkiem wnikającym z art. 28 RODO. Jeśli przekażesz innemu podmiotowi dane do przetwarzania bez ustalenia warunków, a więc bez zawarcia takiej umowy, narażasz się na konsekwencje wynikające z przepisów RODO, czyli kary finansowe, a są to niemałe kwoty. Dlatego nawiązując jakąkolwiek współpracę, niezależnie po której stronie tej współpracy jesteś, DPA to pierwszy temat, który należy poruszyć.

Firma powierzająca dane to Administrator – decyduje o tym po co dane są zbierane, jak długo się je przechowuje i do czego mogą być wykorzystane. Mówiąc prościej Administrator ustala reguły gry i to on odpowiada za to, czy dane są przetwarzane zgodnie z RODO.

Podmiot, któremu powierza się te dane to Procesor, który działa wyłącznie na polecenie Administratora i w granicach, które ten mu wyznaczył. Procesor nie decyduje, po co dane są przetwarzane, nie staje się ich właścicielem i nie może wykorzystać ich do własnych celów (innych niż te określone w umowie). Jego zadaniem jest wykonać to, co zleci Administrator – nic poza tym.

Co musi zawierać umowa DPA

Przepisy RODO narzucają konkretną treść, jaka musi się zawierać w Umowie powierzenia przetwarzania danych osobowych.
Umowa DPA musi określać m.in.:
– jakie dane są powierzane,
– przez jaki czas,
– w jakim celu,
– czyje i jakie konkretnie dane osobowe będą przetwarzane (np. klientów albo pracowników),
– obowiązki stron wynikające z powierzenia przetwarzania tych danych,
– warunki ich wykorzystywania,
– środki bezpieczeństwa związane z powierzeniem i przetwarzaniem danych.

Czym jest NDA

NDA (Non-Disclosure Agreement, czyli umowa o zachowaniu poufności) chroni informacje czyli coś, co stanowi już wypracowaną wiedzę, przedstawia jakąś wartość biznesową i merytoryczną, na przykład know-how, kod źródłowy, strategia, dokumentacja techniczna, informacja o programie i jego działaniu, czyli wszystkie elementy wrażliwe. Pamiętaj, że umowa NDA nie chroni pomysłu.

W przeciwieństwie do umowy DPA opisanej we wcześniejszym akapicie, treść NDA nie jest ściśle określona i narzucona przez przepisy. NDA nawet nie jest obowiązkowa, ale jest to przydatna forma zabezpieczenia stron i jest zalecana przed ujawnieniem wrażliwych informacji. Mimo tej dobrowolności, podmiot z którym współpracujesz może nie chcieć dalszej współpracy bez podpisania tej umowy.

Co może zawierać umowa NDA

Sporządzając taką umowę dobrą praktyką jest zawarcie takich elementów jak:
– definicje
– jakie informacje przekazujemy
– w jakim celu
– na jaki czas
– co ma się stać z poufnymi informacjami/dokumentacją po tym okresie
– kary umowne za złamanie warunków umowy NDA

Krótkie podsumowanie dla utrwalenia:

DPA	NDA
dane	informacje
obowiązkowe	nieobowiązkowe
treść określona przez RODO (art. 28)	zasada swobody umów
chroni dane osobowe	chroni informacje biznesowe
zawierasz, bo musisz	zawierasz bo chcesz chronić swój biznes