NDA chroni poufne informacje biznesowe – know-how, kod, strategię, dokumentację. DPA (umowa powierzenia przetwarzania danych osobowych) chroni dane osobowe, które przekazujesz innej firmie do przetwarzania. NDA jest dobrowolna, a DPA jest obowiązkowa, gdy powierzasz komuś dane osobowe (art. 28 RODO). Jedna umowa nie zastąpi drugiej.
NDA i DPA to jedne z najczęstszych umów w relacjach biznesowych. Bywają uznawane za „takie same” i mylnie wykorzystywane do tych samych celów, choć w rzeczywistości dotyczą zupełnie innych obszarów współpracy.
Zdarza się, że moi klienci utożsamiają obie te umowy i wychodzi z tego NDA, która ma chronić dane osobowe… chociaż to zupełnie nie jest jej cel. Ale klient nie musi o tym wiedzieć – po to jest prawniczka, która objaśnia prawo ludzkim językiem.
Dane a informacje – od czego zacząć
Zanim wyjaśnię różnice między umowami, uporządkujmy dwa pojęcia. Posłużę się ujęciem z jednej z moich ulubionych książek – „Prawo w IT. Praktycznie i po ludzku” Szymona Ciacha, który, podobnie jak ja, lubi tłumaczyć rzeczy skomplikowane w prosty sposób.
Dane to pojedyncze fakty, które same w sobie nie mają jeszcze merytorycznej wartości. Informacje to dane, które zostały już w jakiś sposób przetworzone i mają konstrukcję oraz sens. To rozróżnienie dobrze pokazuje, czym różnią się NDA i DPA.
Czym jest DPA
DPA (Data Processing Agreement, czyli umowa powierzenia przetwarzania danych osobowych) dotyczy danych osobowych. Jest obowiązkowa, gdy firma powierza dane osobowe innemu podmiotowi, na przykład zewnętrznemu dostawcy oprogramowania, firmie obsługującej procesy czy dostawcy narzędzi SaaS.
DPA nie jest tylko dobrą praktyką, ale obowiązkiem wynikającym z art. 28 RODO. Jeśli przekażesz komuś dane do przetwarzania bez takiej umowy, narażasz się na konsekwencje przewidziane w RODO, w tym na wysokie kary finansowe. Dlatego przy każdej współpracy, w której pojawiają się dane osobowe, DPA to jeden z pierwszych tematów do omówienia – niezależnie od tego, po której stronie jesteś.
Firma powierzająca dane to administrator. Decyduje, po co dane są zbierane, jak długo się je przechowuje i do czego mogą być wykorzystane. Mówiąc prościej: ustala reguły gry i odpowiada za to, czy dane są przetwarzane zgodnie z RODO.
Podmiot, któremu powierza się dane, to podmiot przetwarzający (procesor). Działa wyłącznie na polecenie administratora i w wyznaczonych granicach. Nie decyduje, po co dane są przetwarzane, i nie może wykorzystać ich do własnych celów.
Co musi zawierać umowa DPA
RODO wprost określa, co musi znaleźć się w umowie powierzenia. Umowa DPA musi określać m.in.:
- przedmiot i czas trwania przetwarzania,
- charakter i cel przetwarzania,
- rodzaj danych osobowych i kategorie osób, których dotyczą (np. klienci, pracownicy),
- obowiązki i prawa administratora,
- obowiązki podmiotu przetwarzającego, w tym środki bezpieczeństwa i zasady korzystania z podwykonawców.
Czym jest NDA
NDA (Non-Disclosure Agreement, czyli umowa o zachowaniu poufności) chroni informacje, które mają wartość biznesową – know-how, kod źródłowy, strategię, dokumentację techniczną czy informacje o działaniu produktu. Pamiętaj jednak, że NDA chroni konkretne informacje, które przekazujesz, a nie ogólną koncepcję biznesu – tę każdy może wymyślić niezależnie od Ciebie.
W przeciwieństwie do DPA treść NDA nie jest narzucona przez przepisy – obowiązuje zasada swobody umów. NDA nie jest obowiązkowa, ale to ważne zabezpieczenie przed ujawnieniem wrażliwych informacji, a wielu partnerów biznesowych nie rozpocznie bez niej współpracy.
Co powinna zawierać umowa NDA
Dobrą praktyką jest uwzględnienie w NDA:
- definicji informacji poufnych,
- celu, w jakim informacje są przekazywane,
- czasu trwania poufności,
- zasad zwrotu lub zniszczenia informacji po zakończeniu współpracy,
- kar umownych za naruszenie.
Szczegółowo omawiam to we wpisie Co powinna zawierać umowa NDA dla startupu?
Krótkie podsumowanie
| DPA | NDA | |
|---|---|---|
| Co chroni | dane osobowe | informacje biznesowe |
| Czy jest obowiązkowa | tak, przy powierzeniu danych | nie |
| Treść | określona przez RODO (art. 28) | zasada swobody umów |
| Dlaczego ją zawierasz | bo musisz | bo chcesz chronić swój biznes |
Najczęstsze pytania
Czy NDA może zastąpić DPA?
Nie. Nawet najlepsza NDA nie spełnia wymogów art. 28 RODO. Jeśli druga strona będzie przetwarzać dane osobowe w Twoim imieniu, potrzebujesz osobnej umowy powierzenia.
Czy mogę zawrzeć NDA i DPA w jednym dokumencie?
Tak, ale tylko wtedy, gdy część dotycząca powierzenia danych zawiera wszystkie elementy wymagane przez RODO. W praktyce przejrzyściej jest zawrzeć dwie osobne umowy albo dołączyć DPA jako załącznik do umowy głównej.
Kiedy DPA nie jest potrzebna?
Gdy druga strona nie przetwarza w Twoim imieniu danych osobowych – na przykład jeśli przekazujesz wyłącznie informacje o produkcie czy dane finansowe firmy. Wtedy wystarczy NDA.
Potrzebujesz NDA albo DPA dla swojej firmy?
Sprawdź ceny gotowych umów albo zamów umowę przygotowaną specjalnie pod Twoją sytuację.
