Umowa DPA - co to jest i czy szkoła jazdy jej potrzebuje
DPA (z angielskiego Data Processing Agreement) to po polsku umowa powierzenia przetwarzania danych osobowych. Wymaga jej RODO, a dokładniej art. 28, zawsze wtedy, gdy firma przekazuje dane osobowe innej firmie, która przetwarza je w jej imieniu - na przykład dostawcy programu, biuru rachunkowemu albo firmie hostingowej.
Administrator i podmiot przetwarzający - kto jest kim
- Administrator decyduje, po co i jak przetwarza dane. W szkole jazdy administratorem danych kursantów jest szkoła.
- Podmiot przetwarzający przetwarza dane na polecenie administratora. To np. dostawca systemu, w którym szkoła prowadzi kursantów i grafik jazd.
Umowę DPA zawiera administrator z podmiotem przetwarzającym. Bez niej przekazanie danych zewnętrznej firmie narusza RODO.
Czy szkoła jazdy potrzebuje umowy DPA?
Tak, jeśli dane kursantów trafiają do zewnętrznych usług. W typowej szkole jazdy dotyczy to m.in.:
- programu lub aplikacji do prowadzenia kursantów i rezerwacji jazd,
- biura rachunkowego, które widzi dane z faktur,
- usług do wysyłki SMS i e-maili do kursantów,
- przechowywania dokumentów w chmurze.
Szkoła nie musi pisać takiej umowy sama - zwykle przygotowuje ją dostawca usługi, a szkoła ją akceptuje.
Co musi zawierać umowa DPA
Art. 28 ust. 3 RODO wymienia elementy obowiązkowe. Umowa powinna określać:
- przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych i kategorie osób,
- że dane są przetwarzane wyłącznie na udokumentowane polecenie administratora,
- zobowiązanie osób z dostępem do danych do zachowania tajemnicy,
- środki bezpieczeństwa danych,
- zasady korzystania z dalszych podmiotów przetwarzających (podprocesorów),
- pomoc administratorowi w realizacji praw osób, np. dostępu do danych czy ich usunięcia,
- pomoc przy bezpieczeństwie i zgłaszaniu naruszeń,
- usunięcie albo zwrot danych po zakończeniu współpracy,
- udostępnienie informacji i umożliwienie audytów.
Na co uważać
- Umowa ma opisywać faktyczne przetwarzanie - także listę podprocesorów, np. serwerów i usług e-mail.
- Sprawdź, gdzie fizycznie są przechowywane dane i czy wychodzą poza Unię Europejską.
- Zachowaj potwierdzenie akceptacji umowy z datą i wersją dokumentu.
Jak to wygląda w Drivioo
Szkoła akceptuje umowę powierzenia przy zakładaniu konta, a w panelu widzi zaakceptowaną wersję i datę. Pełną treść umowy, z listą podprocesorów, znajdziesz na stronie umowa powierzenia (DPA). O innych obowiązkach przeczytasz w artykule RODO w szkole jazdy.