Umowa powierzenia przetwarzania danych (DPA)

Umowa powierzenia przetwarzania danych (ang. Data Processing Agreement, DPA) to umowa, w której administrator danych osobowych zleca innej firmie przetwarzanie tych danych w swoim imieniu i na swoje polecenie. Wymaga jej art. 28 RODO. Firma, która dane przyjmuje, nazywa się podmiotem przetwarzającym: może z nimi robić tylko to, co zlecił administrator, i nie wykorzystuje ich do własnych celów.

Co musi zawierać

Art. 28 ust. 3 RODO wymienia elementy obowiązkowe. Umowa określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych oraz kategorie osób, których dane dotyczą. Zobowiązuje podmiot przetwarzający między innymi do działania wyłącznie na udokumentowane polecenie administratora, do zachowania poufności, do zabezpieczenia danych i do ich usunięcia albo zwrotu po zakończeniu usługi.

Dalsi podwykonawcy, w tym dostawcy AI

Podmiot przetwarzający nie może samodzielnie przekazać danych kolejnej firmie. Według art. 28 ust. 2 potrzebuje do tego uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora, a przy zgodzie ogólnej musi informować o zmianach, żeby administrator mógł się sprzeciwić. Dotyczy to także narzędzi AI: agencja, która wkleja dane klienta do czatu, korzysta z dalszego podmiotu przetwarzającego.

Jeśli dostawca zaczyna wykorzystywać dane do własnych celów, na przykład do trenowania modeli, przestaje działać wyłącznie na polecenie administratora i w tym zakresie sam staje się administratorem (art. 28 ust. 10). Dlatego przy narzędziach AI w umowie i w ustawieniach konta sprawdza się, czy trenowanie na danych klienta jest wyłączone.

Kiedy jej nie potrzeba

Umowa powierzenia nie jest potrzebna, gdy druga firma przetwarza dane jako osobny administrator, we własnym celu, albo gdy w ogóle nie dostaje danych osobowych. Przykład: biuro, które dostaje od klienta zanonimizowane zestawienie sprzedaży, nie przetwarza danych osobowych.

Szerzej o tym, jak umowa powierzenia wpływa na to, co wolno wkleić do modelu AI, piszemy we wpisie RODO a AI w małej firmie: co wolno wkleić do modelu, a czego nie.