Harmonogram stosowania AI Act – oś czasowa, której nie można ignorować

Wbrew wielu opiniom przedsiębiorców, którzy wolą nie martwić się na zapas, kwestia „odkładania na później” nie dotyczy tematu AI Act. Przepisy częściowo zaczęły wchodzić w życie 1 sierpnia 2024 r. i od tego czas unijne rozporządzenie obowiązuje również w Polsce. Nie jest prawdą, że AI Act dotyczy jedynie wielkich graczy, dlatego temat dostosowania się do przepisów unijnego rozporządzenia nie powinien być odkładany na później przez żadnego przedsiębiorcę, który stosuje choćby sporadycznie narzędzia oparte na modelu sztucznej inteligencji. Wszystko zależeć będzie tu od sposobu i celu użytkowania.

Kogo zatem, tak naprawdę, obowiązuje rozporządzenie o systemach sztucznej inteligencji i jakie są terminy wprowadzenia przepisów?     

Kogo i od kiedy obowiązuje AI Act?

Co do zasady AI Act obowiązuje wszystkie podmioty używające w jakiś sposób w celach zarobkowych systemów sztucznej inteligencji. Przede wszystkim sposób użycia systemów AI będzie decydował o tym, jakie przepisy rozporządzenia będą się z tym wiązać. Jak zatem przedstawia się harmonogram stosowania AI Act?

• 1 sierpnia 2024 r. – wejście w życie AI Act;
• 2 lutego 2025 r. – przepisy ogólne z rozdz. I-II, zakazy z art. 5, AI Literacy (art. 4);
• 2 sierpnia 2025 r. – przepisy dotyczące sztucznej inteligencji ogólnego przeznaczenia (modele GPAI), obowiązki spoczywające na dostawcach modeli AI ogólnego przeznaczenia, wyznaczenie organów nadzoru przez państwa członkowskie (Polska w tej kwestii ma opóźnienie);
• 2 sierpnia 2026 r. – wydaje się, że to data kluczowa dla przedsiębiorców, zaczynają obowiązywać przepisy dotyczące systemów AI wysokiego ryzyka zawarte w Załączniku III, przepisy dotyczące przejrzystości (art. 50), właściwie rozpoczyna się egzekwowanie AI Act na szczeblu krajowym i unijnym;
• 2 sierpnia 2027 r. – przepisy dotyczący systemów wysokiego ryzyka z załącznika I, czyli produktów regulowanych (np. maszyny i urządzenia, transport i motoryzacja, ochrona zdrowia i bezpieczeństwo, produkty konsumenckie). 

Data 2 sierpnia 2026 r. jest kluczowa dla obszarów związanych z działem HR, outsourcingiem, fintechem, ocena kredytów, świadczeń, rozpoznawaniem biometrycznym. Będą dotyczyć:

• dostawców AI, czyli providers;
• użytkowników AI, czyli deployers – będą to np. pracodawcy, firmy rekrutacyjne.

Czym jest Digital Omnibus?

W kontekście przepisów AI Act trudno jest nie wspomnieć o przygotowywanym przez Parlament Europejski Cyfrowym Omnibusie. Ten pakiet deregulacyjny ma uprościć i ujednolić przepisy dotyczące cyberbezpieczeństwa i prywatności. W kontekście AI Actu Digital Omnibus ma proponować, między innymi:

• rozszerzenie uproszczeń dla małych i średnich przedsiębiorstw;
• ułatwianie przestrzegania przepisów o ochronie danych poprzez umożliwienie dostawcom i podmiotom stosującym wszystkie systemy i modele AI przetwarzania szczególnych kategorii danych osobowych w celu zapewnienia wykrywania i korygowania stronniczości, przy zapewnieniu odpowiednich zabezpieczeń;
• powiązanie harmonogramu wdrażania przepisów dotyczących systemów AI wysokiego ryzyka z dostępnością norm lub innych narzędzi wsparcia.

Digital Omnibus wiąże się z propozycją PE o odroczeniu części obowiązków dla systemów wysokiego ryzyka – najwcześniej do 2 grudnia 2027 r. To założenie mogłoby faktycznie opóźnić wejście wymogów, które zgodnie z AI Act swój termin mają 2 sierpnia 2026 r. Jednakże Cyfrowy Omnibus nie stanowi jeszcze przyjętych przepisów, dlatego bezpieczniej dla każdego przedsiębiorcy będzie przygotowywanie swojej działalności tak, aby była zgodna z przepisami, które wejdą w życie 2 sierpnia 2026 r.    

Krajowa ustawa implementacyjna Ministerstwa cyfryzacji

Projekt ustawy o systemach sztucznej inteligencji, który został przyjęty przez Radę Ministrów 31 marca 2026 r., a następnie przekazane do Sejmu, powinien, przynajmniej w teorii, wejść w życie do 2 sierpnia 2026 r. Do tego czasu Polska ma obowiązek uruchomienia przynajmniej jednej piaskownicy regulacyjnej, w której uczestnictw dla MŚP oraz startupów ma być bezpłatne.

Jakie są najważniejsze założenia, na tę chwilę, wersji projektu ustawy?

• zostanie ustanowiony nowy organ nadzorczy – Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji – który ma być niezależny od rządu i ma kontrolować przestrzeganie AI Act i ustawy;
• do zadań Komisji należeć będzie między innymi współpraca z Komisją Europjeską i Europejską Radą ds. AI, tworzenie piaskownic regulacyjnych, wydawanie wyjaśnień ogólnych (niewiążących, edukacyjnych) czy nakładanie kar;
• jedną z istotniejszych funkcji Komisji będzie możliwość wydawania wiążących opinii indywidualnych dla przedsiębiorców, które umożliwią za opłatą, w terminie 30 dni lub 60 dla spraw bardziej skomplikowanych uzyskanie opinii na temat złożonego zapytania na temat przepisów – będzie to mechanizm wzorowany na interpretacjach podatkowych;
• sankcje i kary mają wynikać bezpośrednio z AI Act, co dokładniej umówię poniżej;
• ustawa ma dotyczyć każdego przedsiębiorcy wprowadzającego systemy AI do obrotu lub stosującego je w działalności, a także dostawców i operatorów w rozumieniu AI Act. 

Struktury ryzyka a obowiązki przejrzystości w Rozporządzeniu o Sztucznej Inteligencji

Zbytnim uproszczeniem byłoby mówić o istnieniu 4 poziomów ryzyka w AI Act, gdyż tak naprawdę unijne rozporządzenia nie tworzy spójnej drabinki od systemów o minimalnym ryzyku aż do systemów zakazanych. Ponadto każda z kategorii ma swoją podstawę prawną w zupełnie innym artykule AI Act. Jak zatem to wygląda w praktyce?

Systemy zakazane obejmuje bezwzględny zakaz ich używania i nie istnieją żadne wyjątki od tej zasady. Podstawa prawna mieści się w art. 5 AI Act, który dotyczy przede wszystkim bezwzględnego zakazu manipulacji, dyskryminacji czy naruszeń praw podstawowych przy określonym zastosowaniu AI. Jakie najważniejsze zakazane praktyki obejmuje:

• bezwzględny zakaz najbardziej ryzykownych zastosowań AI (dotyczy naruszenia prawa człowieka, bezpieczeństwa lub wolności podejmowania decyzji);
• zakaz manipulacji i wpływania na decyzje użytkowników;
• zakaz wykorzystywania słabości osób w celu wpłynięcia na ich zachowanie w sposób szkodliwy;
• zakaz scoringu społecznego i profilowania „ryzyka przestępczego”;
• zakaz niektórych zastosowań biometrii (np. analizowanie emocji pracowników);
• silne ograniczenia dla rozpoznawania twarzy w przestrzeni publicznej.

Systemy wysokiego ryzyka są w jakimś stopniu dopuszczalne, ale obarczone jednocześnie rygorystycznymi obowiązkami, co szczegółowo omawiam poniżej. Podstawą prawną będzie tu art. 6 oraz załączniki I i III AI Act.

Odrębną kategorią są obowiązki przejrzystości, które reguluje art. 50 AI Act – można powiedzieć, że jest to odrębny reżim obowiązków informacyjnych, który może nakładać się na systemy z każdej innej kategorii. Wejście w życie obowiązków przejrzystości ma nastąpić właśnie 2 sierpnia 2026 r.

 Czego dotyczą obowiązki przejrzystości – kogo obowiązuje art. 50 AI Act?

Obowiązki przejrzystości, które wynikają z art. 50 AI Act, dotyczą przede wszystkim podmiotów będących:

• dostawcami systemów AI – nie tylko wielkie firmy, ale również np. te polskie, które opierają się na narzędziach modelu GPAI;
• wdrażającymi systemy AI;
• operatorami systemów AI ogólnego przeznaczenia (GPAI).

Przepisy art. 50, które dotyczą biznesu, można podsumować w następujący sposób:

• obowiązek informowania użytkownika o interakcji z AI;
• oznaczanie treści generowanych przez AI;
• informowanie o rozpoznawaniu emocji i biometrii – osoby poddawane takiej analizie muszą być o tym uprzednio poinformowane, poza tym dodatkowo obowiązuje zgodność z przepisami o ochronie danych osobowych;
• obowiązek oznaczania deepfake’ów;
• liczy się moment i forma przekazania informacji – to znaczy muszą być przekazane najpóźniej przy pierwszej interakcji oraz w jasny, zrozumiały i dostępny dla użytkownika sposób;
• art. 50 AI Act działa równolegle z RODO oraz innymi obowiązkami transparentności w prawie UE oraz krajowym.

Czym są systemy wysokiego ryzyka (art. 6 AI Act)?

Systemy wysokiego ryzyka sztucznej inteligencji są dokładnie opisane w art. 6 AI Act oraz w załącznikach I oraz III. Co istotne, nie można zamknąć tej kwestii w sztywnej definicji, gdyż bardzo istotnym aspektem będzie tu mechanizm samooceny. Jak zatem kwalifikować systemy wysokiego ryzyka AI i na co zwrócić szczególną uwagę?

Dwie ścieżki kwalifikacji systemów high-risk

Art. 6 AI Act wprowadza dwie ścieżki kwalifikacji uznania systemu AI jako wysokiego ryzyka:

1. Pierwsza jest niezależna od katalogu zastosowań z załącznika III rozporządzenia i dotyczy systemów AI związanych z bezpieczeństwem produktów regulowanych w prawie UE. Aby system został uznany za high-risk musi spełnić jednocześnie dwa warunki:
2. jest wykorzystywany jako element związany z bezpieczeństwem produktu lub sam stanowi produkt objęty regulacjami UE (załącznik I AI Act) – np. AI w urządzeniu medycznym albo w systemach przemysłowych, AI pełni tutaj rolę tzw. safety component;
3. produkt lub sam system AI jako produkt podlega ocenie zgodności przez stronę trzecią – oznacza to, że tylko taki system AI będzie systemem wysokiego ryzyka, który podlega formalnej procedurze certyfikacyjnej.

Data wejścia w życia stosowania tego przepisu to 2 sierpnia 2027 r.

• Bardziej kluczowa dla większości firm usługowych (HR, marketing, fintech, SaaS) będzie kwalifikacja druga oparta na katalogu obszarów zastosowań. Są to systemy AI używane w określonych obszarach życia społecznego i gospodarczego, które opisano w załączniku III AI Act. Są to między innymi obszary związane z:
• identyfikacją i kategoryzacją biometryczną osób fizycznych;
• zarządzaniem infrastruktura krytyczna i jej eksploatacją;
• kształceniem i szkoleniem zawodowym;
• zatrudnianiem, zarządzaniem pracownikami i dostępem do samozatrudnienia;
• zarządzaniem migracją, azylem i kontrolą graniczną;
• dostępem do podstawowych usług prywatnych oraz usług i świadczeń publicznych, a także korzystanie z nich.

Data wejścia w życie stosowania tego przepisu to 2 sierpnia 2026 r.

Kluczowy wyjątek – mechanizm samooceny

Mechanizm samooceny stanowi istotne odstępstwo od ogólnej zasady, zgodnie z którą systemy AI wymienione w załączniku III uznaje się za systemy wysokiego ryzyka (art. 6 ust. 3–4 AI Act). Zgodnie z tym przepisem, system AI nie musi być kwalifikowany jako wysokiego ryzyka, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych, w szczególności z uwagi na brak istotnego wpływu na wynik procesu decyzyjnego. Reasumując kluczowa będzie tutaj praktyczna rola i wpływ na decyzje dotyczące użytkownika.

Na czym będzie polegać brak istotnego wpływu na decyzję? Należy ocenić czy system AI realnie wpływa na decyzję dotyczącą człowieka – to znaczy nie włączymy go do systemów wysokiego ryzyka, jeśli AI:

• jedynie wspiera podejmowanie decyzji przez użytkownika;
• nie zmienia wyniku podejmowanej decyzji;
• nie ogranicza autonomii decyzyjnej człowieka.

W jakich wypadkach można zastosować wyjątek mechanizmu samooceny?

• przy wąsko określonych zadaniach proceduralnych, gdzie AI wykonuje techniczne, pomocnicze czynności – jak np. wstępna klasyfikacja danych, sortowanie dokumentów;
• poprawie wyniku decyzji człowieka – działanie AI następuje po zakończeniu decyzji i nie wpływa na jej treść – jak np. korekta błędów, optymalizacja raportów;
• wykrywanie wzorców bez wpływu na decyzję – AI analizuje i wskazuje wzorce, ale nie zastępuje człowieka ani nie wpływa na decyzję bez jego weryfikacji;
• w zadaniach przygotowawczych – AI przygotowuje dane do decyzji, ale jej nie podejmuje – jak np. analiza CV przez oceną rekrutera.

UWAGA! – Nawet w wypadku spełnienia powyższych warunków, jeśli system AI dokonuje profilowania osób fizycznych, to zawsze będzie uznawany za high-risk!

 Dostawca, który uzna dany system za niebędący systemem wysokiego ryzyka, ma obowiązek udokumentować swoją ocenę i zrobić to przed wprowadzeniem systemu na rynek.

Główne obszary wysokiego ryzyka z Annex III – czy Twoja firma tu działa?

 Dochodzimy do momentu, gdzie zapewne jako przedsiębiorca zadajesz sobie pytanie czy faktycznie nowe przepisy, które wejdą 2 sierpnia 2026 r., będą miały realny wpływ na Twoją firmę? Czy Twoja firma działa w obszarach objętych wysokim ryzykiem, które wymienia załącznik III AI Act?

Działalność, która w szczególności powinna przeanalizować użycie systemów AI w kontekście high-risk to:

• HR i zatrudnienie, agencje pracy tymczasowej, outsourcing – dotyczy to zastosowania AI przy screeningu CV, rankingu kandydatów, oceny pracowników, decyzji o awansie czy zwolnieniu;
• scoring finansowy stosowany w fintech czy e-commerce – jak np. ocena zdolności kredytowej, scoring klientów, decyzje o dostępie do usług;
• edukacja i szkolenia
• infrastruktura krytyczna, jak zarządzanie energią czy transport;
• administracja i migracja – stosowanie AI przy decyzjach administracyjnych, kontroli granicznej;
• wreszcie wymiar sprawiedliwości, który już samych przedsiębiorców nie dotyczy.

Przykład praktyczny – agencja pracy i system ATS

PRZYKŁAD: agencja pracy korzysta z zewnętrznego systemu ATS (Applicant Tracking System) z funkcją automatycznego rankingowania i wstępnego odrzucania kandydatów na podstawie analizy CV.

ANALIZA KWALIFIKACJI HIGH-RISK:

• obszar zastosowania – rekrutacja i selekcja pracowników (jest to pkt 4 Załącznika III AI Act);
• funkcja systemu – automatyczny i realny wpływ na decyzję o zaproszeniu lub odrzuceniu kandydata;
• wniosek – brak podstaw di zastosowania wyjątku mechanizmu samooceny, a zatem system kwalifikuje się jako wysokiego ryzyka.

KONSEKWENCJE PODMIOTU STOSUJĄCEGO:

• agencja jako deployer ma obowiązek korzystania z z sytemu wyłącznie zgodnie z instrukcją dostawcy (art. 26 ust. 1 AI Act);
• obowiązek poinformowania kandydatów i przedstawicieli pracowników o korzystaniu z AI w procesie rekrutacji (art. 26 ust. 7 AI Act);
• obowiązek monitorowania działania systemu i zgłaszania poważnych incydentów;
• ewentualny obowiązek przeprowadzenia oceny skutków systemów AI wysokiego ryzyka dla praw podstawowych (art. 27 AI Act).

 Jakie są obowiązki dla systemów wysokiego ryzyka?

Wracając jeszcze na chwilę do powyższego przykładu dodam, że wspomniana agencja pracy może błędnie sądzić, że będąc „tylko” użytkownikiem gotowego narzędzia AI od zewnętrznego dostawcy jej obowiązki są minimalne. Nic mylnego. AI Act nakłada obowiązki nie tylko na dostawcę, ale również właśnie na deployera, czyli podmiot stosujący. Dzieje się to niezależnie od tego, kto wyprodukował system AI.

Obowiązki dostawcy – providera (art. 9-17 AI Act)

Jakie zatem obowiązki ciążą na dostawcach systemów AI, czyli w wypadku naszego przykładu – na firmie, która udostępniła system ATS agencji pracy?

• przede wszystkim to system zarządzania ryzykiem – identyfikacja, analiza, ciągłe monitorowanie prze cały cykl życia systemu;
• wysokiej jakości dane treningowe;
• dokumentacja techniczna – szczegółowy opis systemu, logika algorytmu, parametry;
• rejestrowanie i logowanie działania systemu (audit trail) – możliwość odtworzenia procesu decyzyjnego;
• ocena zgodności przed wdrożeniem (conformity assessment) – w wielu przypadkach wymagany jest udział jednostki notyfikowanej (czyli niezależna, zewnętrzna organizacja);
• rejestracja w unijnej bazie danych (Eu Database).

Obowiązki podmiotu stosującego – deployer (art. 26-27 AI Act)

Pamiętaj, że nawet jeśli korzystasz z gotowego narzędzia AI od zewnętrznego dostawcy, to jako podmiot stosujący nie jesteś zwolniony z odpowiedzialności i ciążą na Tobie osobne obowiązki wynikające wprost z AI Act. Jakie będę te wymogi stawiane przez unijne rozporządzenie?

• w pierwszej kolejności korzystanie zgodnie z instrukcją dostawcy;
• konieczność zapewnienia nadzoru człowieka w funkcjonowaniu systemu AI;
• monitorowanie działania systemu i zgłaszanie poważnych incydentów organowi nadzoru – zgodnie z projektem polskiej ustawy – Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji;
• poinformowanie pracowników i ich przedstawicieli o korzystaniu z systemów AI wysokiego ryzyka w miejscu pracy, co jest szczególnie istotne dla działów HR i agencji pracy (art. 26 ust. 7);
• dokonanie oceny wpływu na prawa podstawowe (FRIA – Fundamental Rights Impact Assessment), co jest obowiązkowe dla podmiotów publicznych, podmiotów świadczących usługi publiczne oraz instytucje finansowych.

Obowiązek AI Literacy – czym jest i od kiedy obowiązuje?

W początkowej fazie artykułu, przy przepisach obowiązujących od 2 lutego 2025 r., wspomniałem o AI Literacy. Obowiązek ten dotyczy praktycznie każdej firmy używającej jakiegokolwiek narzędzia AI i nie ma tu większego znaczenia, czy jest uznawany za high-risk. AI Literacy to zapewnienie odpowiedniego poziomu kompetencji w zakresie AI wśród pracowników zajmujących się obsługą i wykorzystywaniem systemów AI. Wynika on z art. 4 AI Act i dotyczy wszystkich dostawców oraz podmiotów stosujących systemy AI, niezależnie od klasyfikacji ryzyka. W skrócie sens tego wymogu polega na wcieleniu w życie umiejętności efektywnego, a zarazem bezpiecznego wykorzystania systemu AI w codziennej pracy.

Jakie są unijne sankcje za naruszenia AI Act i brak regulacji w systemach AI wysokiego ryzyka?

Obowiązujące progi kary za naruszenie AI Act i brak regulacji w systemach AI wysokiego ryzyka wyznacza sam tekst unijnego rozporządzenia. Także projekt polskiej ustawy skierowany obecnie do Sejmu powołuje się na wysokość sankcji sugerowanych przez AI Act. Omówione są one w Rozdziale XII (art. 99-101).

Jak zatem wyglądają progi kar grzywny w wypadku naruszenia AI Act?

• Najwyższa kara przewidziana jest za naruszenie dotyczące zakazanych praktyk AI (art. 5) i wynosi ona aż do 35 mln euro lub jeśli sprawcą jest przedsiębiorstwo – do 7% globalnego rocznego obrotu (w zależności od tego, która z tych kwot jest wyższa).
• Nieprzestrzeganie któregokolwiek z przepisów dotyczących operatorów lub jednostek notyfikowanych, innych niż przepisy ustanowione w art. 5, w tym za naruszenie obowiązków dla systemów wysokiego ryzyka przez podmioty stosujące (art. 26) czy naruszenie obowiązków przejrzystości (art. 50)obowiązuje kara w wysokości do 15 mln euro lub 3 % obrotu (w zależności od tego, która z tych kwot jest wyższa).
• Wreszcie za podanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji jednostkom notyfikowanym lub właściwym organom krajowym w odpowiedzi na ich wniosek kara wynosi do 7,5 mln euro lub 1 % obrotu (w zależności od tego, która z tych kwot jest wyższa).

W Polsce karę nakładać będzie nowy organ nadzorczy, czyli Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.

Jak przygotować firmę – pięć kroków, aby sprostać wymogom zgodności z AI Act

Jeśli Twoja firma stosuje narzędzia AI, powinieneś je poddać odpowiedniej audytowi/analizie, żeby mieć pewność, jakie obowiązki AI Act będą dotyczyć Twojej działalności. Najlepiej dokonać tego z wykwalikowaną ku temu kancelarią prawną. Przygotowanie takie można przedstawić w 5 poniższych krokach:

1. Inwentaryzacja systemów AI – identyfikacja wszystkich narzędzi AI w firmie, w tym „gotowych” rozwiązań SaaS i zewnętrznych dostawców;
2. Analiza funkcji i celu systemu – czy system wpływa realnie na decyzje dotyczące osób fizycznych’
3. Porównanie z Załącznikiem II AI Act – dopasowanie do katalogu obszarów wysokiego ryzyka;
4. Ocena art. 6 ust. 3 – analiza czy możliwe jest zastosowanie wyjątku, jeśli tak, należy wykonać udokumentowanie oceny, a jeśli nie, uruchomić procedury compliance;
5. Dokumentacja i procedury – przygotowanie dokumentacji technicznej, polityk nadzoru, procedur zgłaszania incydentów oraz spełnienia obowiązku AI Literacy.

Najczęstsze błędy firm w zakresie systemów wysokiego ryzyka modeli AI ogólnego przeznaczenia

Wśród najczęściej popełnianych błędów w zakresie systemów wysokiego ryzyka można wyliczyć:

• brak inwentaryzacji systemów AI – założenie, że „to tylko narzędzie od zewnętrznego dostawcy” i niebranie pod uwagę obowiązków podmiotu stosującego;
• automatyczne uznanie systemu za high-risk bez przeprowadzenia analizy art. 6 ust. 3 – wiąże się to z niepotrzebna nadregulacją lub odwrotnie – błędne wykluczenie systemu bez dokumentacji;
• ignorowanie art. 26 ust. 7 – brak informowania pracowników i ich przedstawicieli o stosowaniu systemów wysokiego ryzyka;
• ignorowanie obowiązku AI Literacy (art. 4) – który obowiązuje już od lutego 2025 r.;
• utożsamianie braku, póki co, przyjęcia polskiej ustawy o systemach sztucznej inteligencji z brakiem obowiązków (AI Act jest rozporządzeniem unijnym, co jest równoznaczne z obowiązywaniem we wszystkich krajach UE, nawet pomimo braku ustawy implementacyjnej).

Jak nasza Kancelaria może pomóc w przygotowaniu się przed 2 sierpnia 2026 r.?

2026 r. wydaje się być dość przełomowym w kontekście wprowadzania w Polsce zmian w przepisach dotyczących systemów AI. Zbliżająca się data 2 sierpnia 2026 niesie ze sobą wejście w życie kolejnych obowiązków AI Act powiązanych z systemami wysokiego ryzyka czy obowiązkami przejrzystości, które pełnią kluczową w wielu obszarach istotnych na polskim rynku: sektorze HR, outsourcingu, agencjach pracy, fintechu czy medtechu. Dodatkowo trwają równoległe prace nad polską ustawą o sztucznej inteligencji, których zakończenie powinno zbiec się z terminem sierpniowym przepisów AI Act. Dlatego tak istotne jest przygotowywanie swojej firmy do tych kluczowych zmian już teraz.

Nasza Kancelaria oferuje kompleksowe wsparcie w zakresie dostosowania działalności do wymogów AI Act, projektowanych regulacji krajowych oraz działających równolegle do rozporządzenia unijnego przepisów, jak RODO, które idą z nim niejednokrotnie „ramię w ramię”. Wesprzemy naszych Klientów w identyfikacji i klasyfikacji systemów AI, przygotowaniu dokumentacji samooceny czy wdrożeniu procedur zgodnych z AI Act. Pomagamy także w przeprowadzeniu analiz wpływu na prawa podstawowe (FRIA), opracowaniu polityk i procedur wewnętrznych oraz dostosowaniu komunikacji z pracownikami (co ma szczególne znaczenie dla agencji zatrudnienia i działów HR). Zapewniamy też doradztwo w zakresie zgodności z RODO, w czym specjalizujemy się od lat oraz wsparcie przy kontrolach czy w kontaktach z organem nadzorczym. Naszym celem jest zapewnienie Twojej firmie zgodności z przepisami, co wiąże się z ograniczeniem ryzyk prawnych związanych z wdrażaniem i wykorzystaniem systemów AI w działalności gospodarczej.

Artykuł Systemy wysokiego ryzyka AI Act – czy Twój biznes jest zagrożony? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

O jakich dokumentach związanych z prawem pracy pracodawca powinien więc pamiętać? Na co zwrócić uwagę, żeby zabezpieczyć swoje interesy w dalszej fazie zatrudnienia? Jakie pracodawca ma uprawnienia, a jakie obowiązki? Na te inne pytania postaram się odpowiedzieć w niniejszym artykule.

Czym są akta osobowe pracownika i dokumentacja pracownicza?

Zgodnie z art. 94 pkt 9a Kodeksu pracy pracodawca ma obowiązek prowadzić i przechowywać w postaci papierowej lub elektronicznej dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników. W skład dokumentacji pracowniczej wchodzą, między innymi, akta osobowe, które z kolei składają się z 5 części: A, B, C, D i E, co dokładniej omawiam poniżej. Pracodawca prowadzi i przechowuje osobno dla każdego pracownika dokumentację pracowniczą (§ 2 Rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej w sprawie dokumentacji pracowniczej). Na dokumentację pracowniczą składają się m.in.: dokumenty płacowe, ewidencja czasu pracy, wnioski urlopowe czy wszystkie dokumenty niezbędne do ustalenia praw i obowiązków stron stosunku pracy.

Jakie są podstawy prawne prowadzenia dokumentacji pracowniczej – rozporządzenie i kodeks pracy?

U podstawy prawnej prowadzenia dokumentacji pracowniczej przez pracodawcę leżą dwa istotne źródła. Pierwszym z nich jest Kodeks pracy. Z jednej strony można tu wymieć art. 22¹, który mówi o danych, których ma żądać od przyszłego pracownika, na czele z danymi osobowymi, jak i historią zawodową oraz wykształcenia. Są to dane, których zgromadzenie niezbędne do nawiązania i realizacji stosunku pracy.

Z drugiej strony kluczowe zobowiązanie przepisami pracodawcy do prowadzenia i przechowywania dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników (art. 94¹ pkt 9a kp). Dodam, że kolejny pkt tego artykułu (9b) nakazuje pracodawcy, aby dokumentacja ta była prowadzona w sposób gwarantujący zachowanie jej poufności, integralności, kompletności oraz dostępności, w warunkach niegrożących uszkodzeniem lub zniszczeniem przez okres zatrudnienia, a także przez okres 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł.

Doprecyzowanie zasad odnośnie samej dokumentacji znajduje się w rozporządzeniu Ministra Rodziny, Pracy i Polityki Społecznej z 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej, które weszło w życie 1 stycznia 2019. Opisano w nim między innymi sposób prowadzenia akt osobowych pracownika oraz ich zawartość.

Jakie dokumenty pracodawca musi wymagać przed nawiązaniem stosunku pracy?

Pracodawca żąda od kandydata, który ubiega się o zatrudnienie, podania:

• imienia (imion);
• daty urodzenia;
• danych kontaktowych;
• wykształcenia;
• kwalifikacji zawodowych;
• przebieg dotychczasowego zatrudnienia, z wyłączeniem informacji o wynagrodzeniu w obecnym stosunku pracy oraz w poprzednich stosunkach pracy (art. 22¹  §1 k.p.).

Ustawodawca jednocześnie zaznaczył, że dane w zakresie wykształcenia, kwalifikacji zawodowych czy przebiegu dotychczasowego zatrudnienia mogą być wymagane tylko wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Pracodawca może również żądać podania dodatkowych danych, o ile niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

W celu zapoznania się z dokładnym opisem procesu rekrutacji z punktu widzenia pracodawcy, zapraszamy do lektury tekstu – Proces rekrutacji zgodny z RODO – CV, klauzule a ochrona danych osobowych kandydatów? – który znajduje się na naszym blogu.

Co powinny zawierać dokumenty potrzebne do zatrudnienia pracownika – umowa o pracę?

W przypadku zatrudnienia pracodawca żąda od pracownika podania następujących danych osobowych:

• adres zamieszkania;
• numer PESEL o ile posiada, w innym wypadku rodzaj i numer dokumentu potwierdzającego tożsamość;
• inne dane osobowe pracownika oraz dane osobowe dzieci i członków najbliższej rodziny pracownika, jeśli jest to konieczne do korzystania z uprawnień przewidzianych w prawie pracy;
• numer rachunku płatniczego (jeśli pracownik nie złożył wniosku o wypłacanie wynagrodzenia do rąk własnych);
• dostarczenie badań lekarskich, na które kieruje go pracodawca.

Najważniejszym instrumentem, który reguluje stosunek pracy jest umowa o pracę. Treść umowy o pracę reguluje art. 29 § 1 Kodeksu pracy. Zgodnie z tym przepisem w umowie o pracę powinny znaleźć się informacje o stronach umowy, więc także dane pracodawcy, adresie siedziby pracodawcy, a w przypadku pracodawcy będącego osobą fizyczną nieposiadającego siedziby – adresie zamieszkania. Ponadto musi się znaleźć informacja o rodzaju umowy, a więc czasie (w tym dniu jej rozpoczęcia), na jaki jest zawarta:

• umowa na czas określony;
• umowa na czas nieokreślony;
• umowa na okres próbny.

Musi zostać zawarta informacja o wynagrodzeniu ze wskazaniem składników wynagrodzenia, wymiarze czasu pracy, a także opis stanowiska (rodzaju pracy), które będzie miał zajmować pracownik. W umowie musi znaleźć się informacja o miejscu wykonywanej pracy, a także wymiarze czasu pracy. W umowie o pracę mogą się znaleźć często także dodatkowe postanowienia, które doprecyzowują wzajemną współpracę stron i zasady świadczenia pracy.  Przykładowo Strony mogą przewidzieć dodatkowe postanowienia odnośnie poufności, czy w sposób odmienny niż ustawowy uregulować moment przejścia praw autorskich. Dodatkowo, Strony mogą zawrzeć także odrębną umowę o zakazie konkurencji.

Jakie są obowiązki pracodawcy po podpisaniu umowy o pracę?

Po podpisaniu umowy dokumenty pracownicze, które musi przechowywać pracodawca wiążą się z kilkoma kwestiami, które uogólniając można zamknąć w:

• aktach osobowych;
• dokumentacji związanej ze stosunkiem pracy (m.in. ewidencja czasu pracy, wnioski urlopowe, listy obecności);
• regulaminach wewnętrzne pracodawcy;
• szkoleniach BHP czy np. RODO;
• obowiązkach informacyjnych, oświadczeniach i zgodach pracownika.

Jeden z egzemplarzy podpisanej umowy oddaje się pracownikowi, drugi egzemplarz pracodawca umieszcza w części B akt osobowych.

Do obowiązków pracodawcy należy również zgłoszenia pracownika do ZUS-u czy urzędu skarbowego na koniec roku podatkowego.

UWAGA – Kiedy podpisujesz umowę o pracę na czas określony, musisz przesłać taką informację do PIP w terminie 5 dni od jej zawarcia, inaczej może ci grozić kara grzywny od 1000 do 30 000 zł.

Co zawiera teczka akt osobowych?

Zgodnie z treścią rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej w sprawie dokumentacji pracowniczej każdy pracodawca ma obowiązek prowadzić dla każdego pracownika oddzielnie akta osobowe. Składają się one z 5 części:

• część A obejmuje oświadczenia lub dokumenty dotyczące danych osobowych, zgromadzone w związku z ubieganiem się o zatrudnienie, a także skierowania na badania lekarskie i orzeczenia lekarskie dotyczące wstępnych, okresowych i kontrolnych badań lekarskich (art. 229 § 1 pkt 1, § 1¹ i 1² k.p.);
• część B –oświadczenia lub dokumenty dotyczące nawiązania stosunku pracy oraz przebiegu zatrudnienia pracownika (m.in. umowę o pracę, oświadczenia lub dokumenty dotyczące danych osobowych w związku z nawiązaniem stosunku pracy, potwierdzenie zapoznania się pracownika z regulaminami, obwieszczeniami, przepisami, zasadami BHP (całość obszernych wymogów zawarta jest w treści rozporządzenia w § 3);
• część C – oświadczenia lub dokumenty związane z rozwiązaniem albo wygaśnięciem stosunku pracy;
• część D –odpis zawiadomienia o ukaraniu oraz inne dokumenty związane z ponoszeniem przez pracownika odpowiedzialności porządkowej lub odpowiedzialności określonej w odrębnych przepisach, które przewidują zatarcie kary po upływie określonego czasu;
• część E – dokumenty związane z kontrolą trzeźwości pracownika lub kontrolą na obecność w jego organizmie środków działających podobnie do alkoholu.

Obowiązki informacyjne wobec pracownika

Do bardzo ważnych obowiązków pracodawcy należą obowiązki informacyjne wobec pracownika. W szczególności, na podstawie art. 29 § 3 kp pracodawca musi przedstawić pracownikowi formalny dokument w postaci informacji o warunkach zatrudnienia. W ciągu 7 dni od dnia dopuszczenia pracownika do pracy, pracodawca musi poinformować go m.in. o:

–  dobowej i tygodniowej normie czasu pracy,

– dobowym i tygodniowym wymiarze czasu pracy,

– przerwach w pracy, dobowym i tygodniowym odpoczynku,

– zasadach dotyczących pracy w godzinach nadliczbowych i rekompensaty za nią,

– w przypadku pracy zmianowej – zasadach dotyczących przechodzenia ze zmiany na zmianę,

– w przypadku kilku miejsc wykonywania pracy – zasadach dotyczących przemieszczania się między miejscami wykonywania pracy,

–  innych niż uzgodnione w umowie o pracę przysługujących pracownikowi składnikach wynagrodzenia oraz świadczeniach pieniężnych lub rzeczowych,

– wymiarze przysługującego pracownikowi płatnego urlopu,

– zasadach rozwiązania stosunku pracy, prawie pracownika do szkoleń (jeśli są zapewniane),

–  układzie zbiorowym pracy lub innym porozumieniu zbiorowym,

– w przypadku, gdy pracodawca nie ustalił regulaminu pracy – terminie, miejscu, czasie i częstotliwości wypłacania wynagrodzenia za pracę, porze nocnej oraz przyjętym u danego pracodawcy sposobie potwierdzania przez pracowników przybycia i obecności w pracy oraz usprawiedliwiania nieobecności w pracy.

Dodatkowo, nie później niż w ciągu 30 dni pracodawca musi przedstawić także informację o  nazwie instytucji zabezpieczenia społecznego, do których wpływają składki na ubezpieczenia społeczne związane ze stosunkiem pracy oraz informacje na temat ochrony związanej z zabezpieczeniem społecznym, zapewnianej przez pracodawcę, przy czym nie dotyczy to przypadku, w którym pracownik dokonuje wyboru instytucji zabezpieczenia społecznego.

Dodatkowo, jeśli pracownik ma wykonywać pracę zdalnie to na podstawie Art.  67²¹ kp należy dodatkowo przekazać mu informację o jednostce organizacyjnej pracodawcy, w której strukturze znajduje się stanowisko pracy pracownika, który wykonuje pracę zdalną, a także  wskazanie osoby lub organu, którzy wykonują czynności z zakresu prawa pracy w imieniu pracodawcy, odpowiedzialnych za współpracę z pracownikiem wykonującym pracę zdalną oraz upoważnionych do przeprowadzania kontroli w miejscu wykonywania pracy zdalnej.

Jak widać, zgodnie z obecnym brzmieniem przepisów informacja o warunkach zatrudnienia jest bardzo rozbudowana, a dodatkowo powinna być indywidualnie dopasowana do pracownika. Można ją jedynie uprościć w ten sposób, że wskażemy pracownikowi odpowiednie przepisy prawa pracy, regulujące określone kwestie. Niemniej jednak, przygotowanie odpowiedniej informacji o warunkach zatrudnienia wymaga dokładnego przygotowania.

Kolejnym obowiązkiem pracodawcy jest udostępnienie pracownikom tekstu przepisów dotyczących równego traktowania w zatrudnieniu. Zazwyczaj ten obowiązek spełniany jest poprzez udostępnienie pracownikowi tekstu przepisów do podpisu, jednak może to także odbyć się poprzez rozpowszechnienie tekstu na terenie zakładu pracy w formie pisemnej albo poprzez zapewnienie pracownikom dostępu do tych informacji w inny sposób.

Dodatkowo, na podstawie art. 94² kp pracodawca jest także zobowiązany do informowania pracowników o   możliwości zatrudnienia w pełnym lub w niepełnym wymiarze czasu pracy, możliwości awansu, a także wolnych stanowiskach pracy. Jest to nowy obowiązek, który wynika z dyrektywy o jawności wynagrodzeń (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2023/970 z dnia 10 maja 2023 r. w sprawie wzmocnienia stosowania zasady równości wynagrodzeń dla mężczyzn i kobiet za taką samą pracę lub pracę o takiej samej wartości za pośrednictwem mechanizmów przejrzystości wynagrodzeń oraz mechanizmów egzekwowania).

Regulaminy wewnętrzne – pracy, wynagradzania, ochrony danych osobowych, bezpieczeństwa i higieny pracy

Pracodawca ma obowiązek nie tylko prowadzenia akt osobowych, ale również tworzenia i wdrażania regulaminów oraz polityk wewnętrznych, z którymi pracownik powinien zostać zapoznany przed rozpoczęciem wykonywania pracy. Wynika to z Kodeksu pracy oraz innych przepisów, jak RODO.

Jakie więc regulaminy wewnętrzny musi wdrożyć pracodawca i kiedy staje się to jego obowiązkiem?

• regulamin pracy ustala organizację i porządek w procesie pracy oraz związane z tym prawa i obowiązki pracodawcy i pracowników (art. 104 § 1 k.p.). Pracodawca, który zatrudnia co najmniej 50 pracowników ma obowiązek jego ustalenia, natomiast w wypadku mniejszej liczby pracowników jest to opcjonalne. W przypadku, gdy pracodawca zatrudnia co najmniej 20 i mniej niż 50 pracowników pracodawca wprowadza regulamin pracy, jeżeli zakładowa organizacja związkowa wystąpi z wnioskiem o jego wprowadzenie, chyba że w tym zakresie obowiązują postanowienia układu zbiorowego pracy (art. 104 § 3). Pracodawca jest obowiązany zapoznać pracownika z treścią regulaminu pracy przed dopuszczeniem go do pracy (art. 104³ § 2);
• regulamin wynagradzania – podobnie jak wyżej, pracodawca ma obowiązek jego ustalenia, gdy zatrudnia co najmniej 50 pracowników (art. 77² § 1 k.p.);
• obowiązki związane z ochroną danych osobowych – Kodeks pracy w sposób jednoznaczny w art. 94 pkt 9b kp wskazuje przez jaki okres należy przechowywać dokumentację pracowniczą (10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł, chyba że odrębne przepisy przewidują dłuższy okres przechowywania dokumentacji pracowniczej).  Ponadto, sposób jej przechowywania ma gwarantować zachowanie jej poufności, integralności, kompletności oraz dostępności. Niezależnie od powyższego, pracodawca musi spełniać też obowiązki wynikające bezpośrednio z RODO, takie jak przekazanie im klauzuli informacyjnej o przetwarzaniu ich danych osobowych (art. 13 RODO), czy udzielanie pracownikom upoważnień do przetwarzania danych osobowych, a także wprowadzenie ogólnych procedur RODO, zapoznanie z nimi pracowników oraz ich przeszkolenie w tym zakresie.
• BHP – szkolenie i instruktaż – zgodnie z art. 237³ § 2 k.p. pracodawca ma obowiązek przeszkolenia w zakresie bezpieczeństwa i higieny pracy każdego zatrudnionego pracownika. Jest to warunek konieczny do dopuszczenia takiej osoby do pracy. Podpisanie odbytego szkolenia przez pracownika jest przechowywane w jego dokumentacji pracowniczej; 

       Ważne: Pracownik powinien zostać poinformowany o ocenie ryzyka zawodowego – podpisane potwierdzenie tego powinno zostać umieszczone w części B akt osobowych pracownika.

Pracodawcy często decydują się także na dodatkowe regulacje wewnętrzne, które co prawda nie są obowiązkowe, ale stanowią element odpowiedzialnego budowania biznesu i tworzenia przyjaznego, inkluzywnego środowiska pracy. Takie polityki są elementem strategii ESG (z ang. environmental, social and corporate governence), na którą coraz więcej firm zwraca obecnie uwagę. Nie jest możliwe wskazanie tutaj zamkniętego katalogu tego typu procedur, jednak często pracodawcy ustalają przykładowo kodeks etyki, politykę antykorupcyjną, politykę bhp, czy politykę antymobbingową. Polityki ESG są często wymagane od przedsiębiorców przez większych kontrahentów, którzy są objęci lub wkrótce będą objęci obowiązkiem sprawozdawczości w tym zakresie i przykładają do tych kwestii dużą wagę.

Jakie są obowiązki pracodawcy wobec ZUS i innych urzędów?

Pracodawca ma obowiązek zgłosić każdego pracownika do ZUS-u w ciągu 7 dni od rozpoczęcia przez niego pracy. Dokonuje tego poprzez formularz zgłoszeniowy ZUS ZUA.  W przypadku przekazywania do Zakładu zgłoszeń do ubezpieczeń społecznych w postaci dokumentu elektronicznego, zgłoszenie w postaci dokumentu pisemnego z własnoręcznym podpisem osoby zgłaszanej płatnik przechowuje przez okres 5 lat (art. 36 ust. 8 ustawa o systemie ubezpieczeń społecznych).

Pracodawca nie zgłasza pracownika po podpisaniu umowy do Urzędu Skarbowego. W zakresie jego obowiązków natomiast jest obliczenie i pobranie zaliczki od podatku dochodowego pracownika, a następnie zapłata jej do 20 dnia miesiąca, który następuje po miesiącu, w jakim podatek został pobrany. Ponadto na koniec roku podatkowego pracodawca, który zatrudnia na umowę o pracę, musi dostarczyć US PIT-11 pracownika, który również jemu samemu musi zostać przekazany.

Jakie są najczęstsze błędy pracodawcy w sprawie dokumentacji pracowniczej?

Wprowadzone 1 czerwca 2025 r. zmiany dotyczące między innymi rynku pracy, zmieniły także przepisy w ustawie prawo przedsiębiorców, umożliwiając Państwowej Inspekcji Pracy przeprowadzanie niezapowiedzianych kontroli. Tym bardziej zatem pracodawcy powinni zwrócić uwagę i wystrzegać się błędów i niedociągnięć w temacie prowadzenia dokumentacji pracowniczej.

Jakie zdarzają się najczęściej?

• nieaktualizowanie dokumentów – brak aktualnych danych pracownika czy przebiegu jego zatrudnienia, brak uzupełnienie o dokumenty, które wymagane są przez zmieniające się przepisy;
• brak pisemnego potwierdzenia warunków zatrudnienia – brak zawarcia w umowie pisemnego potwierdzenia lub w oddzielnej umowie wszystkich elementów wymaganych w art. 29 k.p.;
• nieprowadzenie ewidencji czasu pracy lub prowadzenie jej w sposób niepełny;
• nieprawidłowe przechowywanie dokumentacji – np. brak ochrony danych osobowych, przechowywanie akt w miejscu dostępnym dla osób postronnych;
• brak podziału na części A, B, C, D i E albo mieszanie dokumentów;
• przekroczenie terminów – np. nieterminowe przekazanie informacji do ZUS;
• brak skierowania na badania lekarskie przed zatrudnieniem;
• żądanie od kandydata lub pracownika danych i dokumentów wykraczających poza przepisy Kodeksu pracy.

Zgodnie z art. 281 §1 pkt 6 i 6a i 7 pracodawcy grozi grzywna do 30 tys. zł za brak dokumentacji pracowniczej, nieprzechowywanie jej przez odpowiedni okres czasu czy też pozostawienie jej w warunkach grożących uszkodzeniem lub zniszczeniem!

Pytania i odpowiedzi

Poniżej przedstawiamy kilka najczęstszych pytań oraz odpowiedzi na temat dokumentacji pracowniczej.

Jak pracodawca może przechowywać dokumentację pracowniczą?

Pracodawca może przechowywać dokumentację pracowniczą w formie elektronicznej (w zabezpieczonym systemie teleinformatycznym) albo papierowej (w aktach osobowych).

Czy pracodawca musi wymagać od kandydata na pracę zgody do przetwarzania jego danych osobowych?

Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22¹ § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 RODO.

Kiedy pracodawca powinien podpisać umowę o zakazie konkurencji z pracownikiem? 

Zakaz konkurencji pracodawca może podpisać w trakcie trwania stosunku pracy w sytuacji, gdy chce zapobiec sytuacji, w której pracownik prowadzi działalność konkurencyjną wobec niego lub też świadczy pracę w ramach stosunku pracy lub na innej podstawie na rzecz podmiotu prowadzącego taką działalność. Po ustaniu stosunku pracy umowę o zakazie konkurencji podpisuje się natomiast w sytuacji, gdy pracodawca uzna, że ujawnienie szczególnie ważnych informacji, do których dostęp ma pracownik, mogłoby narazić pracodawcę na szkodę (Art. 101² § 1 k.p.). Należy jednocześnie pamiętać, że po ustaniu zatrudnienia należy pracownikowi wypłacać odszkodowanie, które nie może być mniejsze niż  25% wynagrodzenia pracownika otrzymanego przez okres odpowiadający zakazowi konkurencji (przy czym wynagrodzenie może być płatne miesięcznie).

Komu i kiedy pracodawca może wydać kopię akt osobowych pracownika?

Pracodawca wydaje kopię całości lub części dokumentacji pracowniczej na wniosek pracownika, byłego pracownika, małżonka (wdowy lub wdowca) w przypadku śmierci pracownika lub byłego pracownika, w postaci papierowej lub elektronicznej (art. 94¹² k.p.).

Kiedy pracodawca powinien podpisać umowę z pracownikiem o powierzeniu mienia?

Na podstawie art. 124 k.p. pracownik odpowiada za powierzone mu mienie, jednak z korzyścią dla pracodawcy, lecz również i pracownika, będzie uregulowanie powierzenia mienia podpisaną umową. Natomiast umowa jest konieczna, gdy pracownicy przyjmują wspólną odpowiedzialność materialną za mienie powierzone im łącznie z obowiązkiem wyliczenia się (jest to stosowane najczęściej wypadku gotówki powierzanej pracownikom, np. w hotelowej recepcji).

Jak nasza kancelaria może pomóc w temacie potrzebnych dokumentów do zatrudnienia pracownika, przestrzegania prawa pracy i kontroli PIP?

Na prowadzenie dokumentacji pracowniczej składa się cały szereg obowiązków wynikających z Kodeksu pracy, rozporządzeń oraz przepisów podatkowych i ubezpieczeniowych. Ryzyko popełnienia błędu, który miałby swoje konsekwencje podczas kontroli PIP lub ZUS, towarzyszy każdemu pracodawcy. Kluczowe wydaje się tutaj wsparcie kancelarii prawnej, która działa sprawnie w tematyce prawa pracy.

Nasz kancelaria może zaoferować szeroki wachlarz pomocy w prowadzeniu dokumentacji pracowniczej, zatrudnianiu, w tym legalizacji pobytu i pracy pracownika, będącego cudzoziemcem:

• przygotowanie i weryfikacja dokumentów związanych z nawiązaniem stosunku pracy, w tym w zakresie legalizacji pobytu i pracy pracownika, będącego cudzoziemcem; przygotowanie np. umowy, informacji o warunkach zatrudnienia, a także dokumentów z zakresu ochrony danych osobowych, bieżące doradztwo w zakresie zatrudniania cudzoziemców;
• tworzenie i aktualizacja regulaminów i polityk wewnętrznych – w tym regulaminu pracy, wynagradzania, pracy zdalnej, polityki sygnalistów i innych, jeśli firma uzna, że są one dla niej potrzebne (np. polityka antymobbingowa, polityka bhp, polityki ESG);
• doradztwo w kwestiach związanych z prowadzeniem dokumentacji pracowniczej zgodnie z rozporządzeniem o dokumentacji pracowniczej;
• przygotowanie firmy do kontroli PIP;
• stałe doradztwo prawne.

Artykuł Jakie są potrzebne dokumenty do zatrudnienia pracownika – co mówi kodeks pracy i rozporządzenie w sprawie dokumentacji pracowniczej? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Przedsiębiorstwa chętnie korzystają z takiego rozwiązania w obszarach zarządzania relacjami z klientami, kadrą i HR czy w księgowości. Pomimo wielu zalet usług w modelu SaaS, należy pamiętać, żeby w pełni zadbać o uregulowanie wszelkich niezbędnych aspektów umowy, aby w wypadku pojawienia się problemu, warunki odpowiedzialności za naruszenie umowy były jednoznacznie określone. Na co zatem zwrócić uwagę? Jakie kluczowe elementy powinny pojawić się w umowie w modelu SaaS?

Czym jest umowa SaaS – czy umowa Saas to umowa licencyjna i jak wybrać dostawcę?

Umowa SaaS zgodnie ze swoją nazwą – Software as s service – czyli oprogramowanie jako usługa podkreśla swoją najważniejszą cechę. W Saas kluczowe jest właśnie świadczenie usługi dostępu do funkcjonalności oprogramowania, a więc zapewnienie możliwości korzystania z niego z pełni funkcji w nim zawartych. Przedsiębiorca, który wykupuje dostęp za pośrednictwem umowy typu Saas, otrzymuje wraz z nim hosting i wsparcie techniczne ze strony dostawcy, co ma zapewnić prawidłowe działanie usługi. 

Cechą z pewnością wyróżniającą dostęp do oprogramowania w modelu Saas jest dostęp do niego za pośrednictwem chmury. Nie jest ono instalowane lokalnie u przedsiębiorcy, co z kolei występuje często w przypadku udzielania stricte licencji.

Umowa o świadczeniu usług Saas nie jest zawierana na wyłączność, to znaczy klient nie może oczekiwać, że dostęp będzie udzielony tylko i wyłącznie jego firmie – w przeciwieństwie do licencji wyłącznej. Zobowiązanie przez dostawcę do świadczenia ciągłej usługi (zapewnienie działania, wsparcia, dostępności) wykupuje się zasadniczo na zasadach abonamentu. Dokładne warunki są opisane w samej umowie. Firma ma zatem dostęp do oprogramowania, dopóki uiszcza opłaty za dany okres subkrybcyjny. Ponadto w umowie SaaS nie otrzymuje się dostępu do kodu źródłowego.

W wypadku umowy SaaS klient nie musi dbać o aktualizacje i potrzebne zmiany w oprogramowaniu, z którego korzysta, gdyż tym zajmuje się dostawca w ramach bieżącej obsługi. Inaczej wygląda sytuacja np. we wdrożeniu on-premise. Tutaj klient kupuje lub rozwija system u siebie, na własnej infrastrukturze, będąc samodzielnie zobowiązanym do dbania o aktualność programu. Niewątpliwą zaletą umowy SaaS jest tzw. skalowalność, czyli możliwość sprawnego dostosowywania usług do zapotrzebowania wielu firm jednocześnie.

Wydaje się zatem, że dość ważny jest wybór dostawcy oprogramowania SaaS – rozbudowane wsparcia, częstotliwość, skuteczność oraz odpowiedzialność, jaką na siebie bierze. Wszystko to zostaje uściślone w umowie SLA, która może zostać dołączona jako umowa utrzymaniowa, czyli dodatkowa gwarancja udzielanego wsparcia do otrzymywanej usługi.

Jakie są kluczowe elementy umowy modelu Saas – obowiązki dostawcy, prawa autorskie i zakres usługi? 

Umowa SaaS, tak jak każda umowa, wymaga dostosowania do użytkowanego systemu w firmie oraz precyzyjnego określenia wymagań i obowiązków. Należy dokładnie opisać funkcjonalności, do których użytkownik uzyskuje dostęp. Klient powinien otrzymać informację czy może korzystać, między innymi, z modelu fakturowania, integracji z innymi aplikacjami czy też API. Umowa powinna zawierać również listę funkcji czy ograniczeń (ilość użytkowników, którzy mają jednocześnie dostęp, limit przechowywania danych).

Umowa SaaS może być zawierana na czas określony, np. 12 miesięcy lub nieokreślony, w którym zawarty ma być okres wypowiedzenia – standardowo 30 dni, czyli powinno się opłacić bieżący miesiąc przed rezygnacją. W umowie utrzymaniowej, czyli SLA (Service Level Agreement), należy zawrzeć czas reakcji i czas usunięcia usterki, godziny wsparcia, procedurę zgłoszenia błędu lub potrzeby wsparcia czy też określenie mechanizmów przy eskalacji problemu. Klient musi wiedzieć, jaka będzie procedura postępowania w wypadku, gdy usterka nie zostanie usunięta przez dostępne mu wsparcie techniczne.

Umowa powinna obejmować również kary umowne oraz precyzyjne określenie odpowiedzialności, jaką ponosi dostawca za utratę danych, niedostępność systemu lub błędy w jego działaniu. Uściślenie tego, o jaki procent płaconego abonamentu nastąpiłoby pomniejszenie w dłuższej niedostępności systemu czy wyłączenie odpowiedzialności w wypadku awarii dostawców zewnętrznych (np. operatorów chmury), również powinno zostać zawarte w treści umowy. 

Własność danych wprowadzanych do systemu – ochrona danych osobowych i zgodność z RODO 

Usługa SaaS wiąże się dość wyraźnie z przetwarzaniem danych osobowych. Do systemu wprowadzane są liczne dane, jak np. dane osobowe klientów czy pracowników, dane finansowe, handlowe itd. Z umowy powinno wynikać, że:

• dostawca nie może wykorzystać tych danych do innych celów niż świadczenie usług w modelu SaaS, których dotyczy umowa – w tym nie może udostępniać ich podmiotom trzecim;
• klient pozostaje wyłącznym administratorem danych;
• istnieje możliwość dostępu do danych i ich pobrania przez klienta;
• sprecyzowano czas przechowywania danych po zakończeniu umowy.

Przede wszystkim przetwarzanie danych osobowych podlega pod przepisy RODO i treść umowy musi być z nim zgodna. W tym ujęciu klient pełni rolę administratora danych, a dostawca oprogramowania SaaS – podmiotu przetwarzającego. Zgodnie z RODO elementem umowy SaaS powinna absolutnie pojawić się umowa powierzenia danych osobowych (art. 28 RODO). Opisane muszą zostać: cel i zakres przetwarzania, kategorie danych, kategorie osób, których dane dotyczą, obowiązki stron umowy, zasady korzystania z podwykonawców, jak np. dostawcy chmury.

W umowie powinny pojawić się także zasady szyfrowania danych osobowych oraz opis stosowanych środków bezpieczeństwa. Powinna zostać także zawarta procedura postępowania w razie naruszenia ochrony danych osobowych. 

Jakie są sposoby rozliczania z usługodawcą za usługę oprogramowania Saas?

Jak już wspomniałem, w umowie modelu SaaS zazwyczaj najczęstszą płatnością jest model subskrypcyjny. Abonament na określony czas, czyli na miesiąc, ewentualnie rok, z opcją automatycznego przedłużenia, chyba że klient wypowie umowę. Za okres wypowiedzenia przyjmuje się przeważnie jeden okres rozliczeniowy. 

W umowie powinno się określić wysokość opłat, terminy płatności, częstotliwość fakturowania. Można również zawrzeć sposób rozliczenia np. ewentualnych nadpłat. W umowie powinno się również umieścić informacje dotyczące sytuacji braku płatności ze strony klienta, a więc procedurę postępowania w takim przypadku – naliczanie odsetek, termin ewentualnego zablokowania dostępu do usługi czy też warunki przywrócenia dostępu po uregulowaniu płatności.

Jakie są uprawnienia klienta – co zrobić, aby nie ponieść odpowiedzialności za naruszenie umowy Saas?

Tak już wspomniałem, podstawą umowy SaaS jest udzielenie za opłatą uprawnienia do korzystania z oprogramowania/aplikacji. Klient nie nabywa prawa dostępu do kodu źródłowego, nie otrzymuje fizycznej kopii oprogramowania. Otrzymuje dostęp za pośrednictwem internetu – poprzez przeglądarkę lub np. API – do oprogramowania i nie może go samodzielnie rozwijać, modyfikować i nie ma też możliwości samodzielnego instalowania systemu.

Klient ma zakaz:

• reverse engineeringu (rozszyfrowania sposobu działania aplikacji SaaS, odzyskania kodu źródłowego);
• kopiowania funkcji;
• przekazywania logowania osobom trzecim.

Wszystkie powyższe zakazy powinny znaleźć się w treści umowy/regulaminu.

Podkreślę, że otrzymane prawo do korzystanie z oprogramowania jest ograniczone do danej firmy-klienta, i jest niewyłączne (czyli może być udzielane każdemu przedsiębiorstwu, które wykupi dostęp), nieprzenoszalne i zazwyczaj bez prawa udostępniania osobom trzecim (chyba że postanowiono inaczej i umowa dokładnie to precyzuje).

Klient nie ma prawa do podzlecania dostępu zewnętrznej firmie, jeśli umowa o tym nie mówi. W wypadku zapotrzebowania współpracy z firmą outsourcingową należy zastrzec w umowie prawo do korzystania przez podwykonawcę (najlepiej z określeniem celu, zakresu i odpowiedzialności).

System modelu SaaS może być zintegrowany z innymi systemami klienta, ale tylko pod warunkiem, że określa to wyraźnie umowa oraz istnieją warunki techniczne, które dopuszczają taką możliwość. Techniczne możliwości zależą tu m.in. od: dostępności API, zakresu dokumentacji czy możliwości konfiguracji systemu. Przypomnę, że integracja nie oznacza ingerencji w kod źródłowy.

Pod kątem prawnym taka integracja byłaby dopuszczalna, o ile umowa zawierałaby taką klauzulę, w której określałaby warunki, w tym zakres, odpowiedzialność i bezpieczeństwo, oraz sama nie zawierała zakazu modyfikowania środowiska. Powinno się również brać pod uwagę już posiadane przez klienta licencje – czy może on tworzyć połączenia pomiędzy oprogramowaniem SaaS a swoimi systemami.

Warto zadbać o precyzję w wytyczaniu granic i określaniu możliwości korzystania z oprogramowania, niż ograniczać się jedynie do suchego komunikatu „nabycia prawa do korzystania z aplikacji”.

Jaki jest czas trwania umowy – rozwiązywanie sporów, wypowiedzenie umowy za jej naruszenie?

Oprócz zwykłego wypowiedzenia umowy, czyli z określonym terminem wypowiedzenia (np. miesięcznym), warto w umowie uwzględnić także wypowiedzenie umowy w szczególnych sytuacjach:

• stale powracający brak dostępności systemu, a więc naruszenie umowy (w umowie utrzymaniowej SLA powinno zawrzeć się dopuszczalny procent czasu braku dostępności);
• stałe zaległości w opłacaniu abonamentu;
• naruszenie przepisów w związku z przetwarzaniem danych osobowych;
• nieautoryzowane działanie użytkowników systemu (np. próby obejścia zabezpieczeń).

W celu zabezpieczenia ciągłości działania systemu, warto w umowie zawrzeć stosowne mechanizmy ochronne:

• klauzule kontynuacji usług w wypadku np. zmiany właściciela dostawcy usługi;
• procedurę łatwego i szybkiego przeniesienia danych do innego systemu, o ile zajdzie taka potrzeba;
• backup dla klienta, jeśli zajdzie taka potrzeba.

Pomimo że umowa w modelu SaaS polega „jedynie” na udzieleniu dostępu do korzystania oprogramowania, to należy w niej zapisać także procedury, które znajdą zastosowanie po zakończeniu umowy. Mowa tutaj choćby o:

• obowiązku usunięcia danych klienta przez dostawcę;
• możliwości migracji danych do innego dostawcy;
• procedurę i koszty eksportu danych.

Zawarcie tych informacji pozwoli zapewnić ciągłość działania Twojej firmie.

Czy umowa Saas to umowa prosta – jak nie wpaść w pułapkę i nie popełnić błędu?

Przy pisaniu umowy SaaS zdecydowanie warto skorzystać z pomocy kancelarii prawnej, gdyż istnieje co najmniej kilka aspektów, których nie można pominąć, ani o nich zapomnieć. Należy pamiętać m.in. o:

• braku rozróżnienia między licencją a usługą – chociaż w samej umowie SaaS zostało zaszyte pojęcie licencji, to jednak jej podstawową i wyróżniającą funkcją jest usługa dostępu do funkcjonalności oprogramowania, a nie udzielenie na niego licencji, nie można zatem posługiwać się terminami charakterystycznymi dla umowy licencyjnej, gdyż może spowodować to niejednoznaczność prawną co do charakteru umowy;
• braku umowy SLA lub posługiwanie się w niej zbyt ogólnymi pojęciami;
• braku umowy powierzenia danych osobowych;
• unikaniu precyzyjnych określeń w opisie funkcjonalności systemu – np. samo stwierdzenie „platforma CRM”;
• braku klauzuli umowy na temat eksportu danych i ich formacie – może spowodować to utratę dostępu do danych przez klienta po zakończeniu umowy;
• braku uregulowania kwestii odpowiedzialności za dane.

Jak napisać umowę Saas korzystną i zgodną z prawem – pomoc prawnika?

Trudno zaprzeczyć, że pomimo pozorów prostoty, umowa SaaS jest złożonym dokumentem. Podstawą dla niej jest Kodeks cywilny, ale niemniej kluczową rolę odgrywa w jej powstawaniu prawo autorskie i prawa pokrewne oraz RODO. Umowa, która dotyczy usługi korzystania z funkcjonalności oprogramowania komputerowego, z uwagi na jej złożony charakter wymaga, aby w jej powstawaniu brał udział prawnik dobrze zorientowany w prawie IT. Bardzo istotne jest, aby rozumieć jak dana usługa działa i jakie ewentualne ryzyka ze sobą niesie.

Doświadczony w tych kwestiach prawnik będzie potrafił przetłumaczyć wymagania biznesowe i techniczne na zapisy w umowie, doradzi i zadba, jak odpowiednio zabezpieczyć dane, przygotuje precyzyjną umowę utrzymaniową czy zbalansuje interesy obydwu stron (dobra umowa zabezpiecza obydwie strony). Źle napisana umowa może przynieść znacznie większe koszty niż te, które można przeznaczyć na skuteczną pomoc prawną.

Niech duże zalety modelu Saas nie przyćmią ryzyka – o czym pamiętać?

Model SaaS zmienił sposób korzystania z oprogramowania – uprościł dostęp, obniżył koszty wejścia i pozwolił firmom szybciej się rozwijać. Należy jednak pamiętać, aby nie lekceważyć procesu tworzenia umowy, gdyż za błędy w dostępności systemu, utratę danych czy naruszenia RODO nadal ktoś ponosi odpowiedzialność, a wcale nie będzie to zawsze dostawca.

Umowa to jedyne narzędzie, które reguluje prawa i obowiązki stron, a w razie potrzeby pozwala dochodzić roszczeń. Brak precyzji, gotowy szablon lub ogólnikowe postanowienia często działają na niekorzyść obydwu stron, dlatego im wcześniej i bardziej precyzyjnie uregulujemy zasady współpracy, tym większa szansa, że unikniemy niepotrzebnych nieporozumień i konfliktów oraz skutecznie zabezpieczymy własne interesy.

Artykuł Jak bezpiecznie uregulować dostęp do usługi SaaS? Umowa w modelu SaaS – podstawowe zasady i aspekty prawne pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Od 10 listopada 2024 r. obowiązuje w Polsce Prawo komunikacji elektronicznej, którego przepisy mają ścisły związek z wysyłaniem informacji handlowej. Urząd Komunikacji Elektronicznej (UKE) uznaje za działanie marketingowe właściwie każdy kontakt, który prowadziłby w jakikolwiek sposób do sprzedaży. Przedsiębiorcy, aby uniknąć kar za niezamówioną informację handlową, muszą dysponować odpowiednią podstawą przetwarzania danych, gdyż właśnie do RODO w zakresie formalnych wymogów zgody odwołuje się wspomniane PKE. Co zatem należy wiedzieć? Jakie praktyki są dozwolone? Czy koniecznie sprzedawca musi posiadać zgodę na przedstawienie informacji handlowej?

Czym jest niezamówiona informacja handlowa?

W celu zdefiniowania informacji handlowej należy sięgnąć do innej ustawy, a dokładniej ustawy o świadczeniu usług drogą elektroniczną. Art. 2 mówi, że informacja handlowa to każda informacja przeznaczona bezpośrednio lub pośrednio do promowania towarów, usług lub wizerunku przedsiębiorcy lub osoby wykonującej zawód, co właściwie jest tożsame z przywołanym już zdaniem UKE. Zatem właściwie każdą informację, która będzie prowadzić bezpośrednio lub pośrednio do sprzedaży, można nazwać informacją handlową.

Zgodnie z przepisami zawartymi w PKE, niezamówioną informacją handlową będzie taka, na której przedstawienie nie było zgody. Czas zatem, aby przyjrzeć się bliżej podstawom prawnym.

PKE i RODO – podstawy prawne dotyczące wysyłania niezamówionej informacji handlowej

Na temat stosowania informacji handlowej, w rozumieniu przywoływanej definicji z ustawy o świadczeniu usług drogą elektroniczną, traktuje art. 398 PKE. Mówi on, że zakazuje się, bez zgody abonenta lub użytkownika końcowego, stosowania do celów przesyłania informacji handlowej:

• automatycznych systemów wywołujących, czyli np. nagrane systemy głosowe, zautomatyzowane wiadomości SMS;
• telekomunikacyjnych urządzeń końcowych, w szczególności w ramach korzystania z usług komunikacji interpersonalnej.

Zgoda może być wyrażona przez udostępnienie swojego adresu e-mail, przy czym istotne jest to, że takie udostępnienie musi mieć miejsce wyraźnie w celu przesyłania informacji handlowej, a w sprawach spornych to wysyłający komunikat handlowy będzie musiał przedstawić argumenty potwierdzające, że celem udostępnienia było właśnie otrzymywanie takich komunikatów. Najlepszym rozwiązaniem będzie tu pozyskiwanie takiego adresu przy wypełnianiu formularzy kontaktowych, zapisów na różne wydarzenia, przy okazji składania oświadczeń. W wypadku pozyskiwania danych osobowych, właśnie w oparciu o zgodę, warto, o ile to możliwe pod katem technicznym, żeby korzystać z opcji tzw. double opt-in. Takie podwójne potwierdzenie to mechanizm, który polega na potwierdzeniu podanego adresu e-mail oraz na potwierdzeniu zainteresowania poprzez dodatkowe potwierdzenie przesłanego zgłoszenia.

Według art. 400 PKE do uzyskania zgody stosuje się przepisy o ochronie danych osobowych, czyli RODO. Na co więc należy zwrócić uwagę i o czym pamiętać?

Zgoda na otrzymywanie oferty – kiedy e-mail staje się spamem, czyli co zrobić, aby nie naruszyć? 

Zgoda jest dobrowolnym, konkretnym, świadomym i jednoznacznym okazaniem woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych (art. 4 pkt. 11 RODO). Nie może być ona domyślna czy domniemana, tylko musi mieć zawsze charakter aktywnego zachowania. Udzielenie zgody można pozyskać np. poprzez zaznaczenie okienka na stronie internetowej. Musi w każdym razie taka czynność wskazywać w sposób jasny, że osoba, której dane dotyczą, akceptuje proponowane warunki przetwarzania jej danych.

Zgodnie z art. 7 ust. 3 udzielona zgoda może zostać w dowolnym momencie wycofana (art. 7 ust. 3) i wycofanie musi być równie łatwe, co jej wyrażenie. Przykładowo, marketingowa wiadomość e-mail powinna zawierać także link do wypisania się z newslettera.

Przy prowadzonych działaniach marketingowo-sprzedażowych należy zwrócić ponadto uwagę na art. 5 RODO i na podstawowe zasady przetwarzania danych:

• dane mają być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, nie mogą być również przetwarzane dalej w sposób niezgodny z tymi celami;
• przetwarzane dane mają być prawidłowe, w razie potrzeby uaktualniane – należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane;
• zgodnie z zasada minimalizacji danych, muszą być one przetwarzane w sposób adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane;
• dane muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane – przetwarzanie danych przez ograniczony i określony przedział czasu;
• zgodnie z zasada integralności i poufności, dane mają być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych – kluczowe jest tu przestrzeganie wewnętrznych polityk ochrony danych osobowych.

Podstawą przetwarzania danych osobowych może być również, patrząc z perspektywy regulacji RODO, w przypadku marketingu uzasadniony interes prawny administratora. Musi zachodzić jednak istotny i odpowiedni rodzaj powiązania pomiędzy administratorem a osobą, której dane dotyczą – np. jest to klient administratora. Musi zostać przeprowadzona dokładna ocena czy w czasie i kontekście, kiedy zbierane są dane osobowe, osoba, której dane dotyczą, posiada rozsądne przesłanki, żeby spodziewać się, że nastąpi przetwarzanie jej danych. W tym celu należy wziąć pod uwagę szereg elementów, jak np.:

charakter relacji zachodzącej pomiędzy administratorem a osobą, której dane dotyczą, sposób wykorzystania danych, sposób komunikacji albo fakt, czy dane zostały zebrane bezpośrednio od osoby, której dane dotyczą.

Czy zapytania typu coldmailing i coldcalling są dozwolone – jakie są praktyki przedsiębiorców?

Cold mailing oraz cold calling jako takie są przez PKE zabronione. Przypomnę, że każdy kontakt prowadzący w szerokim pojęciu do sprzedaży rozumiany jest jako marketing i niezbędna jest do niego uprzednia zgoda. Rynek jednak szuka wyjścia i przedsiębiorcy stosują praktyki w celu zminimalizowania ryzyka. Wśród nich można wymienić postępowanie zgodnie z poniższymi zasadami:

• podejmowany kontakt nie może mieć charakteru stricte marketingowego – celem może być zaproszenie na rozmowę, nawiązanie do uczestnictwa we wspólnym evencie;
• preferowanie kontaktu z wykorzystaniem nieosobowych danych kontaktowych, jak np. kontakt@… biuro@…;
• kontakt na e-mail spersonalizowany tylko w wypadku, kiedy mamy pewność, że adresat sobie tego życzy lub kiedy może otrzymać w związku z kontaktem jakąś wartość;
• kontakt telefoniczny tylko w dni robocze, najlepiej w godzinach 9-17;
• próby kontaktu nie mogą być nachalne, ani nagminne, najlepiej maksymalnie raz w tygodniu, a po trzech nieskutecznych próbach próby powinny zostać zaprzestane, a kontakt usunięty;
• należy usuwać dane także, jeśli osoba, z którą się kontaktujemy, wyraża sprzeciw;
• w razie wyrażenie zainteresowania ewentualną współpracą, powinno się zachęcić np. do kontaktu przez formularz, aby zmienić podstawę przetwarzania z uzasadnionego interesu administratora na zgodę.   

Ponadto powinno się przyjąć ogólną zasadę, że dobiera się potencjalnych klientów na zasadzie prawdopodobieństwa, kto potencjalnie mógłby być faktycznie zainteresowany ofertą – w szczególności danych firm pozyskanych np. z CEiDG, a nie osób fizycznych.

Jakie są niedopuszczalne praktyki marketingowe?

Wśród absolutnie niedopuszczalnych praktyk marketingowych można wymienić:

• wykonywanie połączeń telefonicznych na numery z posiadanej bazy danych, jednocześnie informując rozmówców, że ich numer został wygenerowany losowo;
• korzystanie z narzędzi marketingowych niezgodnych z RODO albo w sposób niezgodny z RODO;
• zdecydowanie bardziej ryzykowne jest prowadzenie działań marketingowych wobec osób fizycznych (konsumentów) niż przedsiębiorców.

Co prawda stosowanie niezamówionej informacji handlowej nie wiąże się z odpowiedzialnością karną, ale stosowne urzędy jak UKE czy UOKiK mogą nakładać na przedsiębiorców kary finansowe z jednoczesnym nakazem zaprzestania niedozwolonych praktyk. Decydując się na stosowanie niedozwolonych praktyk, warto w tej kwestii odpowiedzieć sobie na pytanie nie tylko o opłacalność ryzyka ewentualnej kary, ale także, czy warto ryzykować nadszarpnięcie dobrej opinii o naszej firmie oraz utratę zaufania kontrahentów oraz klientów.

Artykuł Jak uniknąć niezamówionej informacji handlowej – pobieranie zgody, unikanie spamu, prawidłowe przetwarzanie danych  pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Jak zatem zadbać o legalne i zgodne z prawem prowadzenie sprzedaży w sklepie internetowym w modelu dropshippingowym?

Czym jest dropshopping i jakie korzyści może z niego czerpać sklep internetowy?

Dropshipping jest modelem handlowym wykorzystywanym w sprzedaży e-commerce. Sklep internetowy, który nie chce zamrozić nadmiarowego towaru lub też po prostu nie ma możliwości magazynowania go, zawiera umowę z dostawcą, który przejmuje od tego sklepu obowiązki związane z wysyłką sprzedanych produktów. Sam dokładny kształt współpracy w dużej mierze zależy od tego, jak skonstruowana zostanie umowa pomiędzy sklepem internetowym a hurtownią i jak podzielą się one obowiązkami. Można przyjąć, że umowy dropshippingowe dzielą się na dwa typy:

• pierwszy, gdy to sklep internetowy pełni rolę głównie pośrednika poszukującego klientów i sprzedającego im towar, a całą obsługą klienta (zwrotami, reklamacjami itd.) przechowywaniem towaru i wysyłką zajmuje się hurtownia;
• drugi, kiedy to sklep internetowy ma obowiązki nie tylko marketingowe i sprzedażowe, ale również w zakresie całej obsługi klienta, a hurtownia jedynie przesyła sprzedany towar.

W praktyce nie istnieją oczywiście te dwa sztywno ograniczone modele dropshippingu, gdyż może on ewoluować w zależności od tego, jak umówią się obie strony. Przykładowo, dropshippingiem będzie również sytuacja, gdy przedsiębiorca A zapewnia stronę www, cieszącą się dużą renomą, za pośrednictwem której sprzedawany jest towar należący do przedsiębiorcy B, ale procesem sprzedaży, obsługą klienta i wysyłką zajmuje się przedsiębiorca B korzystający z tej strony internetowej jako swoistego marketu.

W tym dropshippingu sklep internetowy nie musi inwestować w żaden magazyn. Nie musi on również płacić za towar, stąd nie zamraża pieniędzy na większe ilości towaru. Dzięki temu sklep może poszerzyć swoją ofertę bez inwestowania w taką strategię większych kwot, które przez długi czas mogłyby się nie zwrócić przy normalnej sprzedaży detalicznej. Przedsiębiorca B może w zależności od zainteresowania klientów zwiększać lub zmniejszać ilość towarów i zamówień. Oczywiście drugą stroną medalu będzie nieco mniejszy zysk z prowadzenia sklepu przez przedsiębiorcę A niż w wypadku sprzedaży i wysyłki przez sam sklep internetowy, gdyż w tym modelu przedsiębiorca A będzie jedynie otrzymywać prowizję od sprzedanych za pośrednictwem jego strony produktów przedsiębiorcy B.

Kto może zawrzeć umowę dropshippingową z dostawcą?

Umowę z hurtownią może zawrzeć przedsiębiorca prowadzący działalność gospodarczą, choćby jednoosobową. Wcale nie oznacza to jednak, że tylko najmniejsze przedsiębiorstwa z niego korzystają. Znacznie większe sklepy internetowe, które z różnych względów potrzebują przyjęcia tej specyficznej logistyki handlowej, również bardzo chętnie przechodzą na taki model sprzedaży. Każdy przedsiębiorca musi jednak pamiętać, że decydując się na ten sposób sprzedaży, ma obowiązek przygotowania wszystkich potrzebnych dokumentów i wypełnienia stosownych przepisów, które zapewnią mu legalne działanie.

Co powinna zawierać umowa sklepu internetowego z hurtownią – zwroty, reklamacje, wysyłka?

Umowa zawierana z hurtownią jest chyba jednym z głównych wyróżników sprzedaży dropshippingowej, gdyż cały proces wysyłki zostaje przejęty przez dostawcę. Co jednak warto podkreślić, to sklep internetowy, jeśli ten dokonuje sprzedaży towaru klientowi, zawiera z nim stosowną umową, a więc jest on stroną, do jakiej zwróci się konsument w razie problemów. Dlatego bardzo ważne wydaje się, aby dopilnować jak najkorzystniejszej umowy dla przedsiębiorcy. Najważniejsze kwestie, jakie należy ustalić w dokumencie to:

• czas realizacji zamówienia – obecnie czas, jaki upływa pomiędzy sprzedażą a wysyłką towaru, jest dla konsumenta bardzo istotnym argumentem przy wyborze sklepu; dlatego uściślenie w umowie przedziału czasowego, w którym miałaby nastąpić wysyłka, stanowi bardzo ważny element umowy z hurtownią;
• reklamacja wysłanego towaru lub jego zwrot – to właściwie sine qua non w sprzedaży wysyłkowej, konsument musi wiedzieć, gdzie zwracać towar i na jakich zasadach. Sprzedawca właściwie nie uczestniczy w procesie wysyłki, a to do niego najczęściej konsument będzie się zwracał w takiej sprawie. Dlatego konieczne jest dookreślenie odpowiedzialności w tych kwestiach. Możliwe jest także wynegocjowanie, aby reklamacją i zwrotem zajmowała się sama hurtownia, co niewątpliwie byłoby najkorzystniejsze dla sklepu internetowego;
• wysokość marży, jaką pobiera hurtownia – np. „przerzucenie” na hurtownię obsługi zwrotów i reklamacji mogłoby podnieść wysokość marży dla dostawcy.

Sprawna i oparta na jasnych zasadach współpraca na linii sklep internetowy-hurtownia ostatecznie wpływa na zadowolenie konsumenta i jego opinię na temat sklepu, w jakim dokonuje zakupów. Dlatego tak ważne jest dopracowanie takiej umowy pod kątem prawnym.

Dostosowanie strony internetowej sklepu – regulamin i polityka prywatności

Konsument, który dokonuje zakupu w sklepie internetowym, musi posiadać jasne i konkretne informacje, które dotyczą sposobu składania zamówienia, sposobu płatności, dostępnych opcji wysyłki, czasu realizacji zamówienia i wysłania go, a także warunków reklamacji oraz zwrotu zakupionego towaru. Wszystkie te kwestie należy zawrzeć w regulaminie sklepu. Przeważnie to właściciel sklepu internetowego jest stroną w umowie, jaką zawiera konsument przy zakupie towaru, dlatego tak ważne jest, aby regulamin był dostosowany do danego sklepu internetowego, a nie bezwiednie powielany od innego sprzedawcy.

            Przy sprzedaży dropshippingowej konsument musi wiedzieć, kto wysyła towar, więc jeśli jest to magazyn zewnętrzny, musi zostać o tym poinformowany. Kluczowy jest kształt umowy z dostawcą, gdyż od niej zależy czas realizacji zamówienia i wysyłki. Pomimo że przedsiębiorca w tym przypadku nie zajmuje się wysyłką, to powinien on zadbać o jak najbardziej konkretne określenie w regulaminie, kiedy zakupiony przez klienta towar zostanie wysłany i jaką drogą. To samo dotyczy tematu reklamacji oraz zwrotów – również należy w umowie dokładnie ustalić z hurtownią, kto za to odpowiada, aby móc zawrzeć stosowne informacje w regulaminie.

Przy tworzeniu regulaminu sklepu internetowego trzeba pamiętać oczywiście o wielu innych kwestiach, jak np. wypełnieniu obowiązku informacyjnego, unikaniu klauzul niedozwolonych itd. 

Więcej na temat napisania regulaminu sklepu e-commerce dowiesz się w tekście „Regulaminy i umowy dla branży e-commerce – jak napisać regulamin sklepu internetowego?”

Drugim ważnym dokumentem, który ma wpływ korzystanie z modelu dropshippingu, jest polityka prywatności. To tutaj koniecznie należy powiadomić klientów, kto jest odbiorcą danych osobowych, jakie oni przekazują. Tutaj nie będzie to jedynie sklep internetowy czy wybrana przez sklep firma kurierska, ale właśnie zewnętrzny dostawca. Zgodnie z RODO osoby, których dane dotyczą, muszą wiedzieć, kto będzie przetwarzał ich dane osobowe.

Więcej na temat dostosowania sklepu internetowego do RODO i samej polityki prywatności przeczytasz w tekście „RODO dla sklepu internetowego – jak zabezpieczyć się w branży e-commerce?”

Umowa powierzenia danych pomiędzy sprzedawcą a hurtownią – ochrona danych osobowych konsumenta 

Bezpieczeństwo przetwarzania danych jest obszarem, któremu przedsiębiorca powinien poświęcić szczególną uwagę w handlu e-commerce. Model dropshippingu wymaga natomiast jeszcze szerszych działań w porównaniu z sytuacją, gdy sklep internetowy realizuje wszystkie swoje zamówienia samodzielnie. W przypadku dropshippingu sklep musi przekazać dostawcy liczne dane osobowe klientów, żeby ten mógł prawidłowo zrealizować wysyłkę (imię, nazwisko, adres, adres mailowy, często numer telefonu). Danych może być jeszcze więcej, kiedy to hurtownia miałaby zająć się obsługą klienta związaną ze zwrotami oraz reklamacjami. Aby wszystko odbyło się zgodnie z przepisami RODO musi zostać zawarta umowa powierzenia danych osobowych.

            Podstawą prawną jest tutaj art. 28 RODO, w którym znajdziemy kluczową informację – „jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą”. Oznacza to, że sklep internetowy, jako strona zawierają umowę sprzedaży z konsumentem, musi upewnić się, że warunki przetwarzania danych, jakimi dysponuje hurtownia, której powierza dane osobowe klientów, są wystarczające oraz zgodne z RODO.

            Umowa powierzenia danych powinna zawierać m.in.:

• informacje czy podmioty, którym hurtownia podpowierza dane (firmy kurierskie, wysyłkowe) spełniają również stosowne warunki bezpieczeństwa;
• informacje czy środki techniczne i organizacyjne, jakimi dysponuje dostawca są wystarczające dla bezpiecznego przetwarzania;
• określenie kategorii osób, których dane dotyczą;
• informacje, jakie dokładnie dane będą dalej przetwarzane;
• określenie dokładnego czasu trwania przetwarzania;
• określenie charakteru przetwarzania;
• określenie dokładnych zadań i obowiązków podmiotu przetwarzającego, przetwarzanie danych tylko na polecenie administratora danych (kiedy sklep przekaże hurtowni zamówienie do realizacji).

Więcej na temat umowy powierzenia danych przeczytasz w tekście „Umowa powierzenia przetwarzania danych osobowych zgodna z RODO – odpowiedzialność administratora a podmiotu przetwarzającego” (TU ADRES).

W czym możemy ci pomóc – co zrobić, żeby uniknąć kar i skarg klientów?

Najważniejszym aspektem prawnym w dropshippingu wydaje się dopilnowanie, aby nie naruszyć przepisów RODO. Kary za naruszenie RODO mogą spotkać w tym wypadku sklep internetowy za np.:

• brak umowy powierzenia danych osobowych;
• brak polityki prywatności;
• brak odpowiednich i aktualnych środków technicznych i organizacyjnych;
• w wypadku naruszenia danych – brak zgłoszenia o incydencie;
• brak rejestrowania czynności przetwarzania.

W zależności od rodzaju naruszenia kary nakładane przez PUODO wynoszą 2% lub 4% całkowitego światowego rocznego obrotu firmy z roku poprzedzającego lub też 10 mln lub 20 mln euro.

Dlatego też tak ważne jest, aby w umowie pomiędzy sklepem a dostawcą zawrzeć wszystkie najważniejsze aspekty oraz w sposób jasny i konkretny wyznaczyć obowiązki. Dzięki temu będzie można uniknąć wzajemnego przerzucania się odpowiedzialnością w sytuacji, gdyby doszło do wycieku danych osobowych. Dobrym pomysłem byłoby np. dokonanie pewnego rodzaju audytu RODO, zanim doszłoby do rozpoczęcia współpracy.

To samo dotyczy kwestii reklamacji, zwrotów i zasadniczo obsługi klienta. Nienajlepszy dla opinii sklepu internetowego byłby chaos informacyjny, jaki napotkałby klient w chwili zagubienia przesyłki, chęci jej zareklamowania, przedłużającego się czasu wysyłki czy też po prostu chęci zwrotu towaru. Warto zatem zadbać, żeby wszystkie dokumenty oraz umowy zostały zawarte w sposób prawidłowy, najlepiej z pomocą wykwalifikowanej kancelarii prawnej.   

Artykuł Obsługa prawna e-commerce w zakresie dropshippingu – umowa, sprzedaż, ochrona danych osobowych pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Obsługa w procesie sprzedaży – stworzenie bezpiecznego regulaminu sklepu internetowego (m.in. reklamacje, zwroty, gwarancja)

Regulamin jest jednym z najważniejszych, jeśli nie najważniejszym dokumentem w sklepie internetowym. Od tego czy jest on stworzony w odpowiedni sposób, czy uwzględnia całą specyfikę sklepu, a przede wszystkim wymogi prawne zależy bardzo wiele. Niestety niejednokrotnie właściciele sklepów internetowych nie zdają sobie sprawy, jak bardzo może utrudnić im życie źle skonstruowany regulamin. Idą na przysłowiową łatwiznę czasami wręcz kopiując teksty regulaminów z innych sklepów albo też nie przykładają się specjalnie, tworząc dokument pospiesznie, bez uwzględnienia charakteru własnego biznesu.

Wykwalifikowana kancelaria prawna może pomóc przedsiębiorcy w napisaniu regulaminu – pomóc, ponieważ dobry prawnik wie, że w stworzeniu regulaminu sklepu musi brać udział jego właściciel. To on zna najlepiej jego specyfikę, cele, obszary rozwoju. Obsługa prawna służy między innymi temu, żeby wszystkie te cechy w odpowiedni sposób uwzględnić przy tworzeniu dokumentów prawnych, a także temu, by wskazać, w jakich rejonach konieczne jest odpowiednie zabezpieczenie.

            W czym zatem w sklepie internetowym pomaga prawnik?

• w stworzeniu tekstu regulaminu, uwzględniającego grupę docelową (czy sklep skierowany będzie do przedsiębiorcy czy konsumenta, a może do obydwu tych grup, a może będzie uwzględniał także dodatkowe elementy grupy docelowej i będzie to sklep specjalistyczny) oraz sam sposób działania, czyli rodzaj sprzedawanych towarów lub usług, stosowanych sposobów dostawy i płatności, funkcjonowania strony internetowej sklepu;
• w optymalizacji regulaminu tak, aby wypełniał wymagania kluczowych dla e-commerce aktów prawnych, np. dyrektywy Omnibus (prawidłowy sposób informowania o cenach, publikowania opinii, stosowania promocji), dyrektywy towarowej (prawidłowy sposób przeprowadzenia procesu reklamacji, prawidłowa informacja o sprzedawanym towarze, obowiązki przedsiębiorcy przy zwrotach oraz reklamacjach), dyrektywy cyfrowej (reklamacja materiałów cyfrowych, pobieranie opłaty za materiały „darmowe”, np. ebooka,  w postaci danych osobowych), Rozporządzenia GPSR (o bezpieczeństwie produktów), Aktu o usługach cyfrowych (DSA), a także ustawy o prawach konsumenta, czy ustawy o świadczeniu usług drogą elektroniczną;
• w opracowaniu wzorów dokumentów odstąpienia od umowy i reklamacji, a także gwarancji, o ile przedsiębiorca podejmie decyzję o jej udzieleniu;
• w przypadku, gdy sklep już istnieje (zatem musi już posiadać regulamin) lub też pojawieniu się zmian w prawie – dokonanie audytu prawnego sklepu internetowego i wprowadzeniu wymaganych zmian do regulaminu w związku z tymi zmianami;

Więcej o samym stworzeniu regulaminu sklepu internetowego przeczytasz w tekście „Regulaminy i umowy dla branży e-commerce – jak napisać regulamin sklepu internetowego?”.

Obsługa prawna e-commerce w kontekście RODO – zabezpieczenie ochrony danych osobowych

Branża e-commerce ma to do siebie, że właściwie opiera się na przetwarzaniu danych osobowych. Cały proces działania opierający się na marketingu, sprzedaży oraz obsłudze klienta wymaga odpowiedniego, a zatem zgodnego z RODO, postępowania, które chroni dane osobowe klientów. Zaniedbanie w kwestiach bezpieczeństwa danych może doprowadzić do naruszenia ochrony danych osobowych  o poważnych konsekwencjach dla klientów, a także samych przedsiębiorców. Kary za naruszenia ochrony danych osobowych to tylko jedna strona tego, co spotyka wtedy sklepy. Zszargana opinia u klientów może być znacznie poważniejszą konsekwencją.

Jak kancelaria może w tym wypadku wspierać firmę?

• przeprowadzenie audytu RODO, tj. dokonanie wszechstronnej oceny całej działalności firmy pod kątem zgodności tej działalności z RODO, stosowanych w działalności narzędzi oraz dokumentów (m.in. art. 32 RODO – środki techniczne i organizacyjne, art. 25 – ochrona w fazie projektowania);
• prowadzeniu marketingu zgodnego z przepisami prawa – zadbanie o odpowiednie zaprojektowanie newslettera, zbieranie zgód, informowanie klientów o przetwarzaniu ich danych osobowych;
• stworzenie polityki prywatności oraz polityki cookies – spełnienie obowiązku informacyjnego administratora (art. 13 RODO), tutaj między innymi konieczne jest zawarcie celów przetwarzania, informacji kto przetwarza, a więc także komu powierzane są dane osobowe konsumentów, informacji o ewentualnym zautomatyzowanym podejmowaniu decyzji (art. 22 RODO), profilowaniu itd., a także przedstawienie szczegółowej informacji na temat stosowanych plików cookies.

Więcej na temat zastosowania RODO w sklepie internetowym znajdziesz w tekście „RODO dla sklepu internetowego – jak zabezpieczyć się w branży e-commerce?”

Wsparcie prawne w międzynarodowym e-biznesie – przygotowanie sklepu do sprzedaży zagranicą

Prowadzenie sklepu internetowego często wiąże się ze sprzedażą poza granicami Polski. Wiele sklepów swoje działania handlowe prowadzi nawet nie tylko w rejonach UE, ale również poza nią. Każda sprzedaż wiąże się z prawidłowym opodatkowaniem (podatek OSS, doliczanie cła).

Transakcja międzynarodowa to również transfer danych poza Polskę. Odpowiednia obsługa prawna e-commerce będzie w tym wypadku bardzo istotna, ponieważ przy transferze danych osobowych do krajów trzecich konieczne jest podjęcie stosownych działań, aby operacje te przebiegały zgodnie z prawem. Każdy transfer danych musi być zabezpieczony odpowiednim mechanizmem, który jest uznany i akceptowalny na gruncie RODO. 

Dużo zależy oczywiście, do jakiego kraju transfer się odbywa. Operacje transferu do krajów trzecich reguluje głównie V rozdział RODO, zaś art. 46 zawiera informacje dotyczące wyboru odpowiednich zabezpieczeń transferu poza granicę Europejskiego Obszaru Gospodarczego (EOG). Od lipca zeszłego roku, dzięki Data Privacy Framework (DPF), bezpieczny jest już transfer do USA. Warunkiem jest tylko posiadanie odpowiedniego certyfikatu przez przedsiębiorstwo, które mieści się na terenie Stanów Zjednoczonych. Najpopularniejszymi mechanizmami zabezpieczającym transfer są standardowe klauzule umowne oraz wiążące reguły korporacyjne.

Więcej na temat transferu danych osobowych do państw trzecich możesz przeczytać w tekście „Transfer danych do państwa trzeciego – jak prawidłowo przekazywać dane osobowe do państw trzecich zgodnie z RODO?”

Obsługa prawna sklepów internetowych we wdrożeniu dokumentacji wewnętrznej w firmie

Wewnętrzna dokumentacja musi regulować stosunki wewnętrzne, w tym z pracownikami i współpracownikami. Rolą pomocy prawnej jest z jednej strony zapewnienie, aby wszelkie działania, dokumenty i umowy były zgodne z przepisami, a z drugiej zapewnia  wsparcie w sytuacjach spornych pomiędzy pracodawcą a pracownikiem. Wyróżnić tu można przykładowo obszary:

• RODO – stworzenie i wdrożenie dokumentacji RODO (m.in. polityka naruszeń ochrony danych osobowych, polityka reagowania na wnioski podmiotów danych, rejestr osób upoważnionych do przetwarzania danych, rejestr czynności przetwarzania oraz kategorii czynności przetwarzania danych osobowych, instrukcja zarządzania systemami informatycznymi) oraz w razie potrzeby świadczenie usługi Inspektora ochrony danych osobowych (IOD);
• umowy pracownicze, umowy B2B, umowy zlecenia, umowy o dzieło, umowy o świadczenie usług;
• przygotowanie niezbędnych dokumentów pracowniczych – np. regulaminów pracy, regulaminów pracy zdalnej (w tym zagranicą), regulaminów wynagradzania, opracowanie informacji o warunkach zatrudnienia itp.

Kancelaria prawna oferuje pomoc w zabezpieczeniu kontaktów przedsiębiorcy z kontrahentami

W branży e-commerce, choć to kontakt z klientami jest najczęstszy, to również konieczna jest współpraca z kontrahentami. Konieczne jest zawieranie stosownych umów, aby ochraniać dane osobowe konsumentów, rozszerzać rynek sprzedaży przez wyszukiwanie pośredników, niejednokrotnie korzystanie z zewnętrznej księgowości, obsługi marketingowej czy dostawców IT. Za każdym razem przedsiębiorca musi zawrzeć umowę, aby chronić klientów, a przede wszystkim samego siebie. Dobra obsługa prawna w tym wypadku wydaje się niezbędna.

            Czego może dotyczyć pomoc kancelarii w tym zakresie?

• Umowa dropshippingowa – zachodzi najczęściej, gdy sklep internetowy decyduje się z różnych względów na nieprzechowywanie sprzedawanych towarów u siebie, ale w zewnętrznych magazynach dostawcy. Umowa ta musi zawierać m.in.: ustalenie, kto zajmuje się obsługą klienta (zwrotami, reklamacjami), czas realizacji zamówienia, wysokość pobieranej przez hurtownię prowizji. Należy pamiętać, że taki model handlowy wiąże się także ze odpowiednimi regulacjami w regulaminie sklepu oraz jego polityce prywatności;
• Umowa powierzenia danych osobowych – opiera się na art. 28 RODO, który mówi, że kiedy operacja przetwarzania ma być dokonywana w imieniu administratora, to korzysta on tylko z usług podmiotów zewnętrznych, jakie zapewniają wystarczające gwarancje wdrożenia stosownych środków technicznych oraz organizacyjnych dla ochrony prywatności osób fizycznych, których dane dotyczą. Taka umowa zawierana jest w każdej sytuacji, kiedy dane konsumentów są powierzane podmiotom zewnętrznym;
• Umowy dystrybucji, obsługi marketingowej, obsługi księgowej, umowy z dostawcami IT – umowy niezbędne do prowadzenia działalności, regulujące stosunki z kontrahentami, którzy dostarczają przedsiębiorcy określone usługi.

Kancelaria prawna zapewni pomoc zarówno w przygotowaniu umów, jak również w weryfikacji umów zaproponowanych przez kontrahenta. Celem działań kancelarii w takich przypadkach jest jak najlepsze zabezpieczenie interesów przedsiębiorcy i minimalizowanie ryzyka, które może wiązać się z daną umową.

Więcej o umowach dropshippingowych przeczytasz w tekście „Obsługa prawna e-commerce w zakresie dropshippingu – umowa, sprzedaż, ochrona danych osobowych”

Więcej o umowach powierzenia przeczytasz w tekście „Umowa powierzenia przetwarzania danych osobowych zgodna z RODO – odpowiedzialność administratora a podmiotu przetwarzającego”

Prawnik e-commerce pomocą w zabezpieczeniu marki sklepu – rejestracja i ochrona znaku towarowego

Zarejestrowanie i zabezpieczenie znaku towarowego swojego sklepu internetowego stanowi jedno z kluczowych działań wprowadzających markę na rynek e-commerce. Zgłoszenie znaku towarowego w Polsce następuje w Urzędzie Patentowym. Pełnomocnikiem strony w postępowaniu przed UP może być adwokat, radca prawny, rzecznik patentowy lub osoba świadcząca usługi transgraniczne w rozumieniu ustawy o rzecznikach patentowych. O zarejestrowanie znaku ubiegać się można drogą online, listownie oraz bezpośrednio w Urzędzie. Oczekiwanie na uzyskanie prawa ochronnego wynosi około 6 miesięcy, o ile nie wpłynie żaden sprzeciw ze strony innych przedsiębiorców.  Samo prawo ochronne na znak towarowy trwa 10 lat od daty zgłoszenia w Urzędzie. Następnie można je przedłużać (nie można o tym zapomnieć, gdyż wtedy utraciłoby się prawo ochrony znaku towarowego).

Można ubiegać się również o znak towarowy Unii Europejskiej – ZTUE – co można zrobić drogą elektroniczną. W takim wypadku przedsiębiorca uzyskuje ochronę na terenie całej Unii Europejskiej.

Posiadając już zarejestrowany i chroniony znak towarowy warto zwracać uwagę czy ubiegający się o rejestrację nie używają podobnych lub takich samych znaków. Można wtedy złożyć sprzeciw. Poza tym w przypadku natknięcia się na używanie przez kogoś znaku o dużym podobieństwie do naszego, warto poprzez prawnika skontaktować się z taką firmą z nakazem zaprzestania używania tego logo. W takiej sytuacji przydaje się dowód pierwszeństwa na znak towarowy, który można uzyskać odpłatnie w Urzędzie.

Jakie korzyści daje stała obsługa prawna w zakresie e-commerce?

Pomoc w bieżących problemach prawnych może dla sklepu internetowego przynosić duże korzyści. Każde przedsiębiorstwo ma swoje potrzeby oraz cele i najlepiej samemu ocenić, w jakich obszarach taka pomoc może być przydatna najbardziej. Może być to np.:

• firma, która działa w e-handlu na poziomie międzynarodowym, zawierając sporo umów z zagranicznymi kontrahentami lub konsumentami – może potrzebować obsługi prawnej w zakresie zawieranych umów;
• firma zatrudniająca dużo pracowników – na pewno skorzystałaby z obsługi w zakresie przygotowania pakietu dokumentów pracowniczych;
• właściwie każda firma z branży e-commerce, która przetwarza większe ilości danych osobowych- na pewno skorzystałaby z pomocy własnego Inspektora ochrony danych osobowych oraz kompleksowego audytu w zakresie RODO.

Prowadzenie sklepu internetowego nieodłącznie wiąże się z kontaktem z klientami, współpracującymi firmami, a także z przetwarzaniem dużych ilości danych osobowych. Im większa firma, tym większe prawdopodobieństwo wystąpienia problemów, z którymi zetknie się właściciel sklepu. Zmieniające się prawo oraz nieustannie rozwijające swoje możliwości zagrożenie płynące z sieci powoduje, że sklepy e-commerce wystawiane są, raz za razem, na niebezpieczeństwo naruszenia przepisów czy też kradzieży danych. Profesjonalnie przygotowana dokumentacja, cyklicznie dokonywane audyty bezpieczeństwa, doradztwo w zakresie e-handlu międzynarodowego stwarza solidne i bezpieczne podstawy dla prężnie działającego biznesu.     

Bieżąca obsługa prawna dla branży e-commerce może przynieść przedsiębiorcy wiele korzyści i odpowiednio zabezpieczyć jego biznes. Kancelaria prawna może nie tylko zadbać o odpowiedni regulamin i politykę prywatności na stronie internetowej, ale może również zapewnić odpowiednią pomoc w zakresie przygotowania umów, regulaminów, czy innych dokumentów. Zakres koniecznej obsługi ustalany jest indywidualnie z przedsiębiorcą i zależy od jego potrzeb biznesowych. Jeśli poszukujesz obsług prawnej dla e-commerce skontaktuj się z nami już dziś- omówimy Twoje potrzeby i ustalimy szczegóły.

Artykuł Obsługa prawna e-commerce – czy sklep internetowy potrzebuje prawnika? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Kto powinien zainteresować się przeprowadzeniem audytu prawnego strony internetowej? Kiedy powinien to zrobić? Wreszcie jak taki audyt przebiega?

Czym jest audyt prawny strony internetowej i kiedy go wykonać?

Audyt prawny strony internetowej jest wykonywany przez kancelarię prawną i stanowi proces sprawdzenia całej strony www przedsiębiorstwa pod kątem aktualnych przepisów prawa. Odpowiednio wykwalifikowane osoby analizują strukturę strony, dokumentację w niej zawartą (np. regulaminy, polityki prywatności) oraz jej funkcjonowanie (np. stosowane checkboxy, formularze).

Audyt prawny wykonywany może być przed uruchomieniem całej strony internetowej, kiedy przedsiębiorca chciałby upewnić się, że będzie działać zgodnie z prawem. Może również być przeprowadzany przy poważniejszych zmianach na stronie czy po prostu stanowić element regularnego badania poprawności działania firmy. Audyt stanowi ważną składową strategii analizy ryzyka i pozwala zabezpieczyć się przed ryzykami prawnymi.

Nie da się w sposób generalny wskazać, ile może zająć audyt strony internetowej. Wszystko będzie zależało od stopnia złożoności strony, dokumentów na niej dostępnych, rodzaju działalności firmy, w tym sprzedawanych produktów. Czas trwania audytu jest trudny do przewidzenia. Audyt zakończony jest otrzymaniem przez firmę odpowiedniej dokumentacji wraz z dokładnymi wskazówkami, co wymaga zmiany na stronie internetowej.

Jakie są kluczowe obszary audytu prawnego strony internetowej?

Należy pamiętać, że audyt prawny czy audyt RODO różni się od audytów technicznych stron internetowych. Takie koncentrują się na aspekcie technicznym strony www, prędkości jej działania, sprawnego funkcjonowania, optymalizacji do urządzeń mobilnych itd. Audyt prawny także może nawiązać do wdrożenia technicznych poprawek, z tymże będą one analizowane w kontekście działania strony zgodnie z przepisami prawa. 

Jak już wspomniałem przebieg samego audytu prawnego oraz badane podczas niego obszary zależą w dużej mierze od tego, czego oczekuje firma objęta audytem oraz od sytuacji, w jakiej audyt się odbywa. Na przykładzie sklepu internetowego można jednak wyróżnić elementy strony, które są weryfikowane podczas audytu pod kątem ochrony praw konsumenta, dyrektyw Omnibus oraz towarowej, ochrony danych osobowych czy też wprowadzonych niedawno – Prawa Komunikacji Elektronicznej oraz dyrektywy DSA. Kluczową dla przedsiębiorcy informacją są z pewnością konsekwencje w postaci kar finansowych, jakie mogą spotkać firmę za niewypełnianie obowiązujących przepisów.

Weryfikacja regulaminu sklepu internetowego

Temat tworzenia regulaminu jest bardzo rozległy, dlatego przybliżę go w dość skrótowy sposób. Więcej o pisaniu regulaminu dla sklepu internetowego możesz przeczytać w tekście „Regulaminy i umowy dla branży e-commerce – jak napisać regulamin sklepu internetowego?”.

Podstawą prawna do stworzenia regulaminu są liczne przepisy prawa, których nie zamyka nawet poniższa lista:

• ustawa o prawach konsumenta;
• ustawa o ochronie konkurencji i konsumentów;
• ustawę o świadczeniu usług drogą elektroniczną;
• prawo komunikacji elektronicznej;
• dyrektywa Omnibus;
• Kodeks cywilny;
• RODO.

To właśnie poprawność prawna w kontekście tych przepisów będzie sprawdzana podczas wykonywania audytu prawnego. Mieści się tu między innymi temat reklamacji, zwrotów (regulamin musi zawierać odpowiednie wzory formularzy), praw konsumenta (np. art. 12 ustawy o prawach konsumenta wymienia, jakie informacje powinny być przedstawione konsumentowi). Poza tym zwracana jest również uwaga na ewentualną obecność klauzul abuzywnych, czyli niedozwolonych – obecność ich w tekście regulaminu może spowodować nałożenie kar przez UOKiK (nawet do 10% obrotu z roku poprzedzającego ten, w którym nałożono karę). W samym regulaminie powinno się też zawrzeć omówienie krok po kroku samego procesu sprzedaży, od samego rozpoczęcia dodawania produktów do internetowego „koszyka”, poprzez wybór sposobów zapłaty i dostawy, realizację zamówienia oraz jego wysyłkę.

Niekiedy na stronach internetowych spotykamy się z wieloma podstronami, które wyodrębniają poszczególne informacje z regulaminu, tworząc osobne zakładki. Wówczas w czasie audytu konieczne jest sprawdzenie także tego typu podstron i upewnienie się, że są spójne z regulaminem. Brak spójności w tym zakresie mógłby powodować wątpliwości odnośnie wzajemnych obowiązków stron. 

Przetwarzanie danych osobowych – polityka prywatności oraz polityka cookies

Tak jak regulamin stanowi główny dokument regulujący zasady panujące w Twoim sklepie internetowym, tak można powiedzieć polityka prywatności wraz z polityką cookies wspierają u klienta poczucie bezpieczeństwa podczas korzystania z Twojej strony internetowej oraz są podstawą zbudowania zaufania wobec marki firmy. Obydwa dokumenty muszą być faktycznym odzwierciedleniem zgodności z RODO – opisem jak wykorzystywane są zbierane od klientów dane osobowe i jak są przetwarzane. 

Podczas audytu prawnego sklepu internetowego konieczna jest także jej weryfikacja pod kątem RODO. Na co zatem zostaje zwrócona szczególna uwaga?

• na podane informacje dotyczące celów przetwarzania danych osobowych oraz sprawdzenie czy uwzględnieni są wszyscy odbiorcy, do jakich trafiają dane osobowe (konsument musi wiedzieć, co dzieje się z jego danymi);
• wyjaśnienie i podanie informacji na temat transferu danych osobowych do krajów trzecich, o ile taki transfer ma miejsce (w praktyce taki transfer jest często możliwy w przypadku korzystania z narzędzi IT);
• sprawdzenie poprawności wypełnienia wszystkich obowiązków informacyjnych administratora wobec konsumenta włącznie z podaniem w polityce prywatności informacji o prawach przysługującym osobom, których dane dotyczą (prawo do dostępu do danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych, prawo do usunięcia danych, prawo do wniesienia sprzeciwu do przetwarzania, prawo do wycofania zgody, prawo do wniesienia skargi do organu nadzorczego);
• prawidłowe informacje na temat zautomatyzowanego przetwarzania danych (profilowania), o ile takie występuje;
• prawidłowe zgody od konsumentów – pliki cookie;
• sprawdzenie prawidłowości checkboxów, aby były zgodne z RODO i dyrektywą DSA;
• dostosowanie zgód do wymagań zawartych w przepisach.

Więcej na temat polityki prywatności przeczytasz w tekście w tekście: „RODO dla sklepu internetowego – jak zabezpieczyć się w branży e-commerce?”

Co jeszcze oferuje audyt strony internetowej – marketing, proces sprzedaży, formularz rekrutacyjny

Audyt prawny strony internetowej może dotyczyć jeszcze wielu rzeczy, jak stosowne dokumenty, umowy, formularze, klauzule, regulaminy – wszystko zależy od kształtu strony, co się na niej znajduje i czym zajmuje się sama firma. Można jednak wymienić tu jeszcze kilka tematów, które często sprawdzane są podczas audytu, w szczególności strony sklepu internetowego. Są to m.in.:

• newsletter – czy prawidłowo pobierane są zgody, czy jest prawidłowo skonstruowany;
• program lojalnościowy – czy skonstruowany jest zgodnie z RODO, czy posiada własny regulamin, czy zawiera w razie potrzeby stosowne informacje o obniżkach uwzględniające dyrektywę Omnibus;
• czy w sklepie znajdują się prawidłowe informacje o towarach oraz prawidłowe informacje o cenach, w tym z uwzględnieniem rozporządzenia GSPR (tj. rozporządzenia o bezpieczeństwie produktów);
• czy proces sprzedaży przebiega w sposób prawidłowy – np. czy pojawia się wymagane pole „potwierdzam zakup z obowiązkiem zapłaty”, czy pojawił się checkbox z akceptacją regulaminu oraz polityki prywatności;
• czy rekrutacje są prowadzone w sposób prawidłowy (jeśli są prowadzone za pomocą strony internetowej)– czy na stronie jest stosowny formularz rekrutacyjny, który informuje o przetwarzaniu danych osobowych podczas procesu rekrutacji (taka informacja może być również zawarta w polityce prywatności).

Dlaczego przedsiębiorca powinien przeprowadzić audyt prawny strony www?

Przede wszystkim audyt prawny nie powinien być rozumiany jako przymusowy obowiązek do wypełnienia, ale – spoglądając na sprawę od drugiej strony – niewymierna pomoc dla przedsiębiorcy w ulepszeniu swojej strony internetowej i jako ważne działanie profilaktyczne. 

Audyt prawny najlepiej wykonać przed rozpoczęciem działania strony, a także powtarzać go cyklicznie w czasie jej funkcjonowania. Istniejąca już strona internetowa może czerpać wiele korzyści z przeprowadzonego audytu. Dzieje się tak choćby w wypadku, gdy zmienia się prawo w kluczowy dla funkcjonowania strony sposób albo strona przechodziła gruntowną przebudowę i zmienił się jej sposób/zakres działania. Przedsiębiorca może również, korzystając ze stałej opieki prawnej, przeprowadzać okresowe audyty, które z pewnością uchronią go przed problematycznymi sytuacjami – poczynając od sporów z konsumentami, na karach nałożonych np. przez PUODO czy UOKiK, kończąc. Dlatego nie warto oszczędzać na operacji audytu prawnego i potraktować ją jako inwestycję, samemu biorąc w niej aktywny udział. Nikt przecież nie wie więcej na temat strony internetowej niż jej właściciel. 

Artykuł Przebieg audytu prawnego strony internetowej na przykładzie sklepu internetowego – czy każda firma go potrzebuje? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Czym jest platforma internetowa?

Platforma internetowa handlowa jest usługą korzystającą z oprogramowania, w tym strony internetowej, części strony internetowej lub aplikacji, obsługiwanej przez przedsiębiorcę lub w jego imieniu, która umożliwia konsumentom zawieranie umów na odległość z innymi przedsiębiorcami lub konsumentami[1]. Definicję uzupełnia Akt o usługach cyfrowych, który platformę internetową rozumie jako „dostawcę usługi hostingu, który na żądanie odbiorcy usługi przechowuje i rozpowszechnia publicznie informacje” (rozdz. I, art. 2 lit. h). DSA (Digital Service Act) jednocześnie wyłącza z dostawców usługi hostingu te podmioty, których wyżej wymienione działanie stanowi nieznaczną i wyłącznie poboczną funkcję innej usługi (podawanym przykładem jest serwis informacyjny, który pobocznie daje możliwość wstawiania komentarzy).

Pojęcie platformy internetowej jest jednak na tyle szerokie, że na potrzeby tego tekstu chciałbym głównie skupić się na tej odmianie handlowej, która wiąże się z branżą e-commerce.

Regulamin platformy e-commerce to także regulamin sklepu internetowego – RODO, polityka prywatności, obowiązek informacyjny

Poza specyficznymi wymogami, które dotyczą platform internetowych, nałożonych przez akty prawne takie jak Omnibus i DSA, przy tworzeniu regulaminu dla platformy należy pamiętać o całej reszcie przepisów, jakie wiążą się z pisaniem tego dokumentu dla sklepu internetowego. Przepisy prawa, których wypełnienie jest konieczne, aby regulamin platformy był prawidłowy, są liczne. Do tych najważniejszych należą:

·         ustawa o prawach konsumenta;

·         ustawa o ochronie konkurencji i konsumentów;

·         ustawa o świadczeniu usług drogą elektroniczną;

·         prawo komunikacji elektronicznej;

·         Kodeks cywilny;

·         RODO.

Najważniejszą zasadą, jaką powinien kierować się właściciel sklepu internetowego, przy tworzeniu regulaminu jest pamiętanie, żeby nie iść na łatwiznę kopiując go z innych stron. Regulamin to jeden z najważniejszych dokumentów na stronie i pisząc go należy koniecznie wziąć pod uwagę jego specyfikę, co się oferuje na stronie, jakie usługi, produkty. Np. jeżeli konsument może wystawiać opinie na temat usługi lub produktu, trzeba poinformować, kto może je wystawiać – czy każda osoba, niezależnie od tego, czy dokonała zakupu, co zmniejsza wiarygodność tak wystawionych opinii, czy może tylko zweryfikowani nabywcy produktu lub usługi.

W kontekście praw konsumenta trzeba pamiętać o zawarciu odpowiednich formularzy zwrotu, rezygnacji itd. Klient musi być poinformowany w jasny i prosty sposób, co do procesu zakupu oraz o prawach, jakie mu przysługują. Ochrona danych osobowych poprzez RODO, którego wypełnieniem jest przede wszystkim polityka prywatności wraz z polityką cookies, w regulaminie musi również mieć swoje odzwierciedlenie. Obowiązek informacyjny, czyli zawarcie wszelkich niezbędnych informacji o sprzedającym, jest podstawowym obowiązkiem każdego administratora strony. 

Wreszcie należy pamiętać o dwóch sprawach:

• jeśli czegoś nie zawrzemy w regulaminie sklepu internetowego, to nie będziemy tego mogli wymagać od klienta.
• w regulaminie nie możemy zawrzeć czegokolwiek i traktować tego jako nienaruszalnego prawa.

Klauzule abuzywne, czyli niedozwolone, stanowią postanowienia, których zawarcie w regulaminie grozi wysokimi karami finansowymi. Ich przykładami będą:

• całkowite wyłączenie odpowiedzialności sprzedającego za niezgodność towaru z umową;
• automatyczne przenoszenie kosztów zwrotu towaru na konsumenta;
• zmiana regulaminu sklepu ze strony przedsiębiorcy, bez uzasadnienia i prawa konsumenta do odstąpienia od umowy.

Więcej na temat stworzenia regulaminu dla sklepu internetowego przeczytasz w tekście „Regulaminy i umowy dla branży e-commerce – jak napisać regulamin sklepu internetowego?”.

Obowiązek informacyjny dużych platform internetowych – ochrona konsumenta i obowiązki wobec zewnętrznych dostawców według dyrektywy Omnibus

Dyrektywa Omnibus, czyli dyrektywa Parlamentu Europejskiego i Rady (EU) 2019/2161 z 27 listopada 2019 r. zmieniająca dyrektywę Rady 93/13/EWG i dyrektywy Parlamentu Europejskiego i Rady 98/6/WE, 2005/29/WE oraz 2011/83/UE, została zaimplementowana do polskiego prawa 1 stycznia 2023 r. Upłynęły już ponad 2 lata od tego unowocześnienia unijnych przepisów dotyczących ochrony konsumenta. Dostawcom platform internetowych zostały wtedy narzucone nowe obowiązki, które w założeniu mają unormować zobowiązania pomiędzy dostawcą platformy a podmiotem, który sprzedaje na tej platformie oraz zaoferować lepszą ochronę konsumentom.

Zgodnie z niniejszą dyrektywą dostawca platformy ma obowiązek udzielić konsumentowi wszelkich potrzebnych informacji, w sposób jasny i zrozumiały, zanim ten zostanie związany umową zawieraną na odległość lub jakąkolwiek ofertą w tym zakresie na internetowej platformie handlowej. Takie informacje dostawca platformy może również zebrać w treści regulaminu platformy – w szczególności powinien podać tam zasady podziału obowiązków z osobą trzecią, która oferuje towary na tej platformie.

Jakie obowiązki dla platform wiążą się z dyrektywą Omnibus?

• podanie ogólnych informacji dotyczących głównych parametrów decydujących o plasowaniu ofert przedstawianych konsumentowi w wyniku wyszukiwania – w skrócie konsument w klarowny sposób musi zostać powiadomiony dlaczego w takiej, a nie innej kolejności wyświetlają się wyniki wyszukiwania towarów; jeśli jest to efekt płatnej reklamy, konsument musi o tym wiedzieć. Uwaga – taka informacja nie może być „zaszyta” w regulaminie. Jak najbardziej można, a wręcz powinno się ją tam zawrzeć, ale musi być ona również zaprezentowana na głównej stronie, w łatwo dostępnym dla konsumenta miejscu;
• konsument musi zostać jasno poinformowany, jakie obowiązki ma wobec niego przedsiębiorca sprzedający mu towar, a jakie dostawca platformy handlowej;
• jeśli sprzedającym jest osoba fizyczna, to dostawca platformy musi o tym poinformować konsumenta i powiadomić wtedy, że nie obowiązują w takim wypadku prawa konsumentów, które wynikają z unijnego prawa ochrony konsumentów;
• dostawca platformy musi zweryfikować czy sprzedawca jest osobą fizyczną czy też przedsiębiorcą – powinno się wymagać od sprzedawców określenia swojego statusu np. za pomocą oświadczenia;
• dostawca platformy musi również umożliwić zewnętrznym sprzedawcom przekazanie konsumentowi wszelkich danych kontaktowych, cenie produktu, a także tożsamości sprzedawcy;
• informując o cenach zebranych ofert dostawca musi pamiętać w wypadku promocji o obowiązku podawania także najniższej możliwej ceny w ciągu ostatnich 30 dni;
• dostawca platformy musi informować o tym, czy weryfikuje każdą wystawioną opinię – co ciekawe, pomimo obecności w prawie dyrektywy Omnibus od ponad 2 lat, to w internecie wciąż można napotkać firmy, które w sposób jawny oferują kupowanie opinii.     

Prywatność i bezpieczeństwo w świecie e-commerce – obowiązki platform handlowych w kontekście Aktu o usługach cyfrowych (rozporządzenie DSA)

Rozporządzenie DSA (Digital Services Act, Akt o Usługach Cyfrowych) weszło w życie 17 lutego 2024 r. i postrzegane jest jako jedna z najważniejszych regulacji dla całej branży internetowej. Jego celem jest stworzenie warunków bezpiecznego, przewidywalnego i budzącego zaufanie środowiska internetowego, a także dostosowanie istniejących wcześniej przepisów do zmieniających się technologii. Chodzi tu między innymi o dyrektywę 2000/31/WE o handlu elektronicznym (dyrektywa e-commerce). DSA dotyczy firm internetowych, które świadczą usługi pośrednie, czyli między innymi internetowych platform handlowych. W ich wypadku świadczenie usług następuje drogą elektroniczną, więc konieczne jest dostosowanie regulaminu do treści Aktu o usługach cyfrowych. Poza umieszczeniem ich w regulaminie powinno się je podać w miejscu łatwo dostępnym dla konsumenta, w formacie nadającym się do odczytu maszynowego.

DSA przewiduje wiele obowiązków dla platform internetowych, ale należy zaznaczyć, że wyłącza się z nich te, które kwalifikują się jako mikro- i małe przedsiębiorstwa. Wymogi te obejmują m.in.:

• opracowanie wewnętrznego systemu rozpatrywania skarg – użytkownik platformy ma do 6 miesięcy prawo odwołania się od decyzji dostawcy internetowej platformy handlowej (jak np. zawieszenie/zamknięcie konta);
• zakaz stosowania tzw. dark patterns;
• informacje o pozasądowym rozwiązywaniu sporów;
• zawieszenie świadczenia usług podmiotom często przekazującym nielegalne treści;
• tzw. mechanizm „trusted flaggers” –  mechanizm zgłaszania i działania o zarządzanie zgłoszeniami pochodzącymi od zaufanych podmiotów sygnalizujących (czyli tzw. zaufani sygnaliści);
• zapewnienie prywatności i bezpieczeństwa małoletnim;
• zapewnianie transparentności reklam – użytkownik platformy nie może mieć wątpliwości, że prezentowana treść jest reklamą (czyli również należy wskazać w czyim imieniu jest ta reklama);
• należy zapewnić identyfikowalność przedsiębiorcom, którzy oferują produkty lub usługi;
• należy zaprojektować interfejs internetowy, który pozwali na realizację obowiązków dotyczących umowy, zgodności i bezpieczeństwa produktów przez przedsiębiorców;
• obowiązek informowania o nabyciu nielegalnego produktu lub usługi;
• poinformowanie czy i jak są moderowane oceny produktów, jak są weryfikowane;
• wyznaczenie punktu kontaktowego – dla użytkowników oraz organów nadzorczych, aby mieli możliwość szybkiego kontaktu drogą elektroniczną z dostawcą platformy.

Ochrona bezpieczeństwa produktów jako obowiązek dostawców internetowych platform handlowych

Rozporządzenie 2023/988 – GPSR, czyli o ogólnym bezpieczeństwie produktów, zaczęło obowiązywać 13 grudnia 2024 r. Głównym jego założeniem jest zapewnienie zdrowia i bezpieczeństwa konsumentów. Art. 22 rozporządzenia mówi właśnie o szczególnych obowiązkach dostawców internetowych platform handlowych. Wśród najważniejszych można wymienić:

• wyznaczenie punktu kontaktowego zapewniającego szybką i bezpośrednią komunikację;
• wprowadzenie wewnętrznych procedur dotyczących bezpieczeństwa produktów;
• podejmowanie niezbędnych środków w celu otrzymania i przetwarzania nakazów oraz podejmowanie działań bez zbędnej zwłoki – w tym usunięcia wszystkich identycznych treści odnoszących się do oferty danego produktu niebezpiecznego;
• korzystanie z programu Safety Gate – czyli unijnego systemu szybkiego ostrzegania o niebezpiecznych produktach żywnościowych, w regulaminie można poinformować, że konsumenci mogą znaleźć w Safety Gate listę niebezpiecznych produktów prowadzoną przez Komisję Europejską;
• bez zbędnej zwłoki – maksymalnie do 3 dni – rozpatrywanie zawiadomień dotyczących bezpieczeństwa produktów oferowanych do sprzedaży online za ich platformy;
• projektowanie i organizacja interfejsu, aby umożliwić przedsiębiorcom prowadzącym sprzedaż za pośrednictwem platformy danego dostawcy, podanie konsumentom wszystkich niezbędnych informacji (np. imię, nazwisko lub nazwa, zarejestrowana nazwa handlowa lub zarejestrowany znak towarowy, informacje umożliwiające identyfikacje produktu, wszelkie ostrzeżenia lub informacje na temat bezpieczeństwa produktu);
• zawieszanie świadczenia usług platformy przedsiębiorcom – po uprzednim uprzedzeniu świadczenia usług – którzy często oferują produkty niezgodne z GPSR;
• wreszcie współpraca z organami nadzoru rynku, przedsiębiorcami i odpowiednimi podmiotami gospodarczymi.

Więcej na temat rozporządzenia GPSR przeczytasz w tekście „Unijne rozporządzenie GPSR – kogo dotyczy nowe rozporządzenie o ogólnym bezpieczeństwie produktów?”

Jakie kary przewidziane są dla internetowych platform handlowych za nieprawidłowe warunki świadczenia usług?

Z powodu mnogości przepisów, które wpływają na obowiązki platform internetowych, kar związanych z ich nieprzestrzeganiem może być wiele. Poczynając od naruszenia RODO w regulaminie czy w polityce prywatności, za które UODO wyznacza karę do 2 lub 4% całkowitego rocznego globalnego obrotu z poprzedniego roku.

Za złamanie przepisów związanych z Aktem o usługach cyfrowych wiąże się kara do 6% światowego obrotu. Karą dla platformy za nieprzestrzeganie dyrektywy Omnibus – jak np. brak obowiązku informacyjnego, manipulowanie przy opiniach, cenach – może wynosić aż 10% obrotu rocznego.

Polskie przepisy, które mają ustanowić grzywny za łamanie rozporządzenia o ogólnym bezpieczeństwie produktów (GPSR) są obecnie w fazie projektu ustawy. Według założeń zaczną obowiązywać do końca pierwszego kwartału 2025 r. Proponowane kary dla dostawcy internetowych platform handlowych wyniosą do 1 mln zł. Tak wysoka kara co prawda jeszcze nie obowiązuje, ale już teraz warto wdrożyć odpowiednie zmiany, ponieważ termin wprowadzenia ustawy to koniec marca 2025 r.

[1] https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:32019L2161.

Artykuł Regulamin dla platform internetowych – świadczenie usług, dyrektywa Omnibus i akt o usługach cyfrowych a nowe obowiązki dla operatorów platform e-commerce pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

1. Kim jest inspektor ochrony danych osobowych? Nie w każdym przypadku administrator będzie miał obowiązek wyznaczenia w przedsiębiorstwie inspektora danych osobowych, lecz nie ulega wątpliwości, że posiadania odpowiednio przeszkolonej osoby na tym stanowisku stanowi ogromne wsparcie, w szczególności, gdy przetwarzanie danych osobowych jest jednym z głównych zadań administratora danych osobowych. Może być to ktoś wyznaczony z firmy lub też może być to podmiot zewnętrzny wykonujący zadania na podstawie umowy o świadczenie usług (art. 37 RODO). Nie każdy jednak może zostać inspektorem ochrony danych. IOD musi posiadać odpowiednie kwalifikacje zawodowe, według których jest wyznaczany. W szczególności musi posiadać stosowną wiedzę na temat prawa i praktyk w dziedzinie ochrony danych osobowych.  Powinien posiadać:
   • wiedzę na temat krajowych i europejskich przepisów i praktyk w zakresie ochrony danych osobowych, w tym dogłębnego zrozumienia RODO;
   • zrozumienie i wiedzę na temat procesu przetwarzania danych osobowych;
   • zrozumienie technologii informacyjnych i bezpieczeństwa danych;
   • znajomość sektora biznesowego i organizacji;
   • umiejętność promowania kultury ochrony danych w organizacji.
   Inspektor musi wykonywać swoje obowiązki z należytą starannością, tak aby pomoc w zakresie przestrzegania RODO mogła służyć administratorowi w celu podejmowania odpowiednich decyzji.   Inspektor danych osobowych powinien ponadto pełnić swoje obowiązki i zadania w sposób niezależny – nie może on choćby pełnić innej funkcji w przedsiębiorstwie jednocześnie będąc IOD-em. Niezależność IOD jest bardzo ważna, ponieważ pozwala mu pełnić obowiązki w sposób obiektywny i bezstronny.
2. Kiedy występuje konieczność powołania inspektora ochrony danych osobowych? Istnieją przypadki, w których wyznaczenie inspektora danych osobowych jest konieczne. Reguluje to art. 37 RODO. Z jednej strony dotyczy to podmiotów publicznych – kiedy przetwarzania dokonuje organ lub podmiot publiczny (wyjątkiem są sądy w zakresie sprawowania przez nie wymiaru sprawiedliwości). Z drugiej strony sprawa dotyczy już szerszego grona, to znaczy sektora prywatnego. Obowiązek wyznaczenia IOD-a występuje w sytuacji, gdy:
   • główną działalnością administratora lub podmiotu przetwarzania są operacje przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę; lub
   • główną działalnością administratora lub podmiotu przetwarzającego jest przetwarzanie na dużą skalę szczególnych kategorii danych osobowych (z art. 9 RODO) albo danych, które dotyczą wyroków skazujących i czynów zabronionych (z art. 10 RODO).
   Do szczególnych kategorii danych osobowych z art. 9 należą: pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Powyższe kryteria mają w dużej mierze charakter oceny i uzależnione są od konkretnej sytuacji. Z tego względu administrator musi przeanalizować prowadzoną przez siebie działalność pod kątem spełnienia powyższych przesłanek. W tym zakresie możemy posiłkować się Wytycznymi dotyczącymi inspektorów ochrony danych, wydanymi przez Grupę Roboczą Art. 29.
3. Czym jest przetwarzanie na duża skalę? Według Grupy Roboczej Art. 29 w celu ustalenia w większym przedsiębiorstwie, czy dochodzi do przetwarzania na duża skalę powinno się brać pod uwagę kilka aspektów, jak np.: liczba osób, których dane dotyczą, zakres geograficzny przetwarzania danych osobowych oraz zakres przetwarzanych danych, a także okres, przez jaki te dane są przetwarzane.  Przetwarzanie na duża skalę będzie dotyczyć szpitala, który przetwarza dane pacjentów w ramach prowadzonej działalności, ale nie będzie to już przetwarzanie danych przez pojedynczego lekarza. Przetwarzaniem na dużą skalę będzie też np. przetwarzanie danych osobowych klientów przez banki czy też ubezpieczycieli.
4. Co oznacza „główna działalność administratora”? Główna działalność administratora danych oznacza kluczowe operacje, jakie muszą być podejmowane przez administratora, aby mógł osiągnąć on swoje cele. Przetwarzanie danych musi stanowić jego zasadniczą działalność, a nie czynności podejmowane dodatkowo. Wspomniany powyżej szpital przetwarzana dane dotyczące zdrowia pacjentów, co stanowi jego główną działalność.
5. Co to jest regularne i systematyczne monitorowanie? Cechy regularnego i systematycznego monitorowania również omawia Grupa Robocza Art. 29. Występuje ono, między innymi, w świadczeniu usług telekomunikacyjnych, profilowaniu i ocenianiu ryzyka, śledzeniu lokalizacji czy programach lojalnościowych. Według Grupy Roboczej, działanie regularne powinno mieć cechy:
   • stałego lub podejmowanego w regularnych odstępach czasu;
   • cyklicznego lub powtarzającego się w określonych momentach;
   • było prowadzone stale lub okresowo.
   Działanie systematyczne rozumieją natomiast jako jedno lub więcej z cech:
   • musi występować zgodnie z określonym systemem;
   • musi być zorganizowane, metodyczne lub być zaaranżowane;
   • musi odbywać się według danego planu zbierania danych;
   • musi odbywać się w ramach danej strategii.
6. Jakie są zadania inspektora ochrony danych osobowych?·        
7.  powinien informować administratora danych, podmiot przetwarzający i pracowników, którzy przetwarzają dane osobowe o ich obowiązkach wynikających z RODO oraz innych przepisów UE lub państw członkowskich o ochronie danych oraz powinien doradzać im w tej sprawie;
   • ma posiadać fachową wiedzę na temat przetwarzania danych oraz najlepiej, aby znał sektor, w jakim dane przedsiębiorstwo prowadzi działalność gospodarczą;
   • musi stać na straży, czyli monitorować przestrzeganie RODO, innych przepisów UE lub państw członkowskich, a także polityk administratora lub też podmiotu przetwarzającego w dziedzinie ochrony danych osobowych: podział obowiązków, działania zwiększające świadomość, szkolenia personelu, który uczestniczy w operacjach przetwarzania oraz powiązane z tym audyty;
   • ma udzielać na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorować jej wykonanie zgodnie z art. 35 RODO;
   • ma współpracować z organem nadzorczym oraz ma się z nim kontaktować;
   • jest zobowiązany do zachowania tajemnicy lub poufności co do wykonywania swoich zadań – zgodnie z prawem UE lub prawem państwa członkowskiego.
   Podsumowując, IOD zajmuje się w przedsiębiorstwie wieloma sprawami z obszaru ochrony danych osobowych, m.in. wspiera administratora w przygotowaniu odpowiednich dokumentów, przedstawia swoje zalecenia i rekomendacje odnośnie odpowiedniego postępowania, prowadzi szkolenia związane z ochroną danych osobowych.
8. Jakie są zadania administratora wobec inspektora danych osobowych? Zgodnie z art. 39 RODO   inspektor danych osobowych: ·   ma obowiązek konsultowania się z inspektorem przy dokonywaniu oceny skutków dla ochrony danych ;
   • powinien skonsultować metodę, jaką należy zastosować przy przeprowadzaniu tej oceny;
   • powinien zasięgnąć opinii inspektora w sprawie ustalenia, jakie gwarancje należy zastosować w celu ograniczenia wszelkiego rodzaju zagrożeń dla praw i interesów osób, których dane dotyczą;
   • powinien skonsultować się z inspektorem w kwestii ustaleń, czy ocena skutków dla ochrony danych została przeprowadzona w prawidłowy sposób;
   • w wypadku, gdy administrator danych nie zgadza się z opinią IOD-a w kwestii oceny skutków dla ochrony danych, powinien pisemnie uzasadnić swoją decyzję;
   • musi odpowiednio wcześnie udostępniać inspektorowi niezbędne informacje, które dotyczą przetwarzania danych, aby miał on czas zapoznać się z nimi;
   • powinien zapewnić inspektorowi pełne wsparcie kadry kierowniczej, a także wsparcie finansowe i infrastrukturalne oraz dostęp do innych działów;
   • musi zapewnić łatwy, bezpośredni kontakt z inspektorem wszystkim pracownikom oraz organowi nadzorczemu – należy podać adres korespondencyjny, numer telefonu, adres e-mail, ponadto imię i nazwisko inspektora musi być przekazane do organu nadzorczego.
   Administrator musi zatem współpracować z inspektorem ochrony danych  na wielu płaszczyznach – powinien z nim konsultować wszelkie informacje w związku z przetwarzaniem danych osobowych, a także zapewnić mu współpracę całej organizacji, co umożliwi mu wykonywanie swoich obowiązków.
9. Czy jeden IOD może być wyznaczony dla wielu podmiotów? Zgodnie z przepisami RODO inspektor danych osobowych może pełnić swoją funkcję w więcej niż w jednym miejscu. Grupa przedsiębiorstw może wyznaczyć wspólnego IOD-a. Prawidłowe wykonywanie obowiązków przez administratora jest w dużej mierze uzależnione z łatwym kontaktem z nim przez pracowników przedsiębiorstw czy też organy nadzorcze. Dlatego tak ważne jest, aby administratorzy zadbali o pełne i prawidłowe udostępnienie danych kontaktowych do swoich IOD-ów.
10. Kto odpowiada za nieprzestrzeganie wymogów RODO dotyczących ochrony danych w przedsiębiorstwie? Inspektor ochrony danych nie jest osobiście odpowiedzialny za przestrzeganie przepisów, które dotyczą ochrony danych osobowych. Za zgodność z nimi odpowiedzialny jest administrator oraz podmiot przetwarzający. Mają oni obowiązek wykazać, że przetwarzanie danych osobowych odbywa się zgodnie z wymogami RODO. Mogą oni korzystać z pomocy fachowca w postaci inspektora. W wypadku postępowania wbrew zaleceniom inspektora ochrony danych będą musieli udokumentować swój wybór i odpowiednio go uzasadnić.
11. Jakie są kary od organów nadzorczych za niespełnienie obowiązku powołania inspektora ochrony danych osobowych? Administrator musi wyznaczyć inspektora ochrony danych osobowych w wymienionych w rozporządzeniu przypadkach, a ponadto jeśli wyznaczył go, także w ramach własnej dobrowolnej decyzji, musi mu umożliwić niezależne działanie. IOD nie jest jednak organem decyzyjnym. Nie ponosi on odpowiedzialności za zgodne z przepisami przetwarzanie ochrony danych osobowych  w przedsiębiorstwie, choć oczywiście może on ponieść odpowiedzialność pracowniczą, lub, w przypadku świadczenia usług na podstawie umowy cywilnoprawnej, kontraktową.   W Polsce kary za brak wyznaczenia inspektora wyznacza prezes Urzędu Ochrony Danych Osobowych. Obowiązek ten wiąże się nie tylko z samym wyznaczeniem, ale również z umieszczeniem danych kontaktowych inspektora, sporządzenia odpowiednich procedur jego funkcjonowania czy tez braku skierowania zawiadomienia do organu nadzorczego (Urzędu Ochrony Danych Osobowych).     Europejskie organy nadzorcze wydawały już niejednokrotnie decyzje o ukaraniu przedsiębiorstw w tej kwestii. W Belgii nałożył karę w wysokości 50 tys. euro na spółkę, gdzie pracownik będący inspektorem ochrony danych pełnił w firmie trzy różne funkcje. Administrator w sten sposób uniemożliwiał działanie inspektora w sposób niezależny. W Hiszpanii firma Glovoapp23 S.L. dostała karę 25 tys. euro za brak wyznaczenia IOD-a. IOD – podsumowanie Inspektor ochrony danych osobowych może być dla przedsiębiorcy realnym wsparciem przy prowadzeniu działalności. IOD nie tylko przygotuje odpowiednie polityki (np. procedurę ochrony danych osobowych, rejestr czynności przetwarzania, rejestr kategorii czynności przetwarzania itp.), ale także przeprowadzi szkolenie RODO, czy zaproponuje konkretne rozwiązanie biznesowe w zgodzie z RODO. Z tego względu warto rozważyć powołanie IOD nawet w sytuacji, gdy na gruncie przepisów nie będzie to obowiązkowe.

Artykuł Inspektor ochrony danych osobowych – 10 rzeczy, które powinien wiedzieć przedsiębiorca przy wyznaczaniu IOD  pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Jakie zatem dokumenty RODO powinna posiadać firma, aby odpowiednio zabezpieczyć przetwarzane dane osobowe zgodnie z wymogami RODO?

Czy każdą firmę obowiązuje wdrożenie RODO?

Kluczową informacją dla każdego przedsiębiorcy jest konieczność wdrożenia dokumentacji RODO tak, aby obowiązywało od pierwszego dnia prowadzenia firmy. Dlatego każdy administrator ma obowiązek wprowadzić w życie oraz stosować wymagane przez RODO dokumenty. Przykładowo przedsiębiorstwo, które nie wdroży rejestru czynności przetwarzania lub nie zadba o stosowne umowy powierzenia danych z kontrahentami, będzie działało niezgodnie z przepisami prawa. Czy zatem każda firma musi się o to martwić zanim wystartuje ze swoją działalnością? Odpowiedź jest tutaj bardzo prosta – przepisy RODO obowiązują każdą firmę, o ile przetwarza ona w jakikolwiek sposób dane osobowe. W praktyce dotyczy to właściwie każdej istniejącej firmy, gdyż trudno wyobrazić sobie, aby istniała działalność, jaka nie przetwarzałaby w ogóle danych osobowych. Nie ma tu znaczenia czy to działalność jednoosobowa, czy przedsiębiorstwo zatrudniające setki pracowników – każdy przedsiębiorca powinien przeanalizować, jaki będzie zakres jego obowiązków wynikających z zasad RODO i jakie dokumenty powinien w związku z tym przyjąć w swojej firmie. Pomocne w tym zakresie mogą okazać się ogólnodostępne wytyczne, przygotowane przez Europejską Radę Ochrony Danych Osobowych (EROD). EROD przygotowała m.in. Poradnik RODO dla małych firm, gdzie przedsiębiorcy mogą znaleźć podstawowe informacje na temat ochrony danych osobowych oraz swoich obowiązków w zakresie zapewnienia zgodności z przepisami[1].

Które dokumenty związane z RODO są wymagane od przedsiębiorcy?

Tak jak już to zaznaczyłem, liczba wymaganych dokumentów, a przede wszystkim ich zawartość, jest zależna od zakresu przetwarzanych danych osobowych, a także od wielkości samej firmy. Trudno więc zamknąć listę w jednej konkretnej formie. Z pewnością jednak do najważniejszych dokumentów RODO, jakie są wymagane od przedsiębiorcy, należą:

• rejestr czynności przetwarzania, prowadzony przez administratorów danych osobowych (art. 30 ust. 1 RODO) – w jego skład wchodzą: dane administratora, cele przetwarzania, opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych, wszelkie dane związane z transferem do krajów trzecich, planowane terminy usunięcia poszczególnych kategorii danych, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1;
• rejestr kategorii czynności przetwarzania, prowadzony przez podmioty przetwarzające dane osobowe w imieniu administratora (art. 30 ust. 2 RODO);
• analizy ryzyka (art. 32 RODO) oraz przygotowywanie raportów z ocen skutków dla ochrony danych osobowych;
• procedury zgłaszania naruszeń zgromadzonych danych osobowych do organu nadzorczego (art. 33 RODO);
• rejestr naruszeń ochrony danych osobowych (art. 33 ust. 5 RODO);
• polityka ochrony danych osobowych (art. 24 RODO);
• informacja o stosowanych środkach technicznych i organizacyjnych dotyczących ochrony danych osobowych (art. 5, 24, 32 RODO);
• wzory upoważnień do przetwarzania danych osobowych dla pracowników i współpracowników, ewidencja osób upoważnionych do przetwarzania danych osobowych pracowników firmy (art. 29 RODO);
• procedury IT związane z ochroną danych osobowych, w tym instrukcja w zakresie zarządzania systemami informatycznymi, plany ciągłości działania; instrukcje dotyczące systemów IT dla pracowników;
• klauzule informacyjne dla wszystkich osób, których dane są przetwarzane przez administratora – np. dla pracowników, kontrahentów, klientów.
• materiały informacyjne i szkoleniowe RODO dla pracowników;
• umowy powierzenia przetwarzania danych osobowych;
• dokumenty związane z transferem danych osobowych do krajów trzecich: np. standardowe klauzule umowne, ocena skutków transferu danych – TIA (tzw. transfer impact assessment).

Jak w firmie przechowywać dokumenty RODO?

Dokładny okres przechowywania dokumentów ochrony danych osobowych nie jest wyznaczony przez RODO, co nie oznacza, że nie ma w tekście rozporządzenia stosownego odniesienia do tego tematu. Art. 5 mówi wyraźnie, że przechowywanie w formie umożliwiającej identyfikację osoby, której dane dotyczą, powinno odbywać się przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (lit. e). Decyzja leży tu po stronie administratora, gdyż to on odpowiada za przechowywane dane osobowe. Musi on brać tu pod uwagę między innymi obowiązek rozliczalności, a zarazem minimalizacji danych. Poza tym administrator, ustalając okresy retencji, powinien uwzględniać odpowiednie krajowe przepisy jak np. Kodeks pracy. Jedno jest pewne – nie może przechowywać nieskończenie długo danych osobowych, o ile nie ma do tego ważnej podstawy prawnej, np. nie upoważnia go do tego przepis prawa. Przetwarzanie danych osobowych bez ważnej podstawy prawnej będzie stanowiło naruszenie ochrony danych osobowych, za które administrator ponosi odpowiedzialność przed UODO.

Dane osobowe, które są przetwarzane w ramach działalności firmy powinny zostać usunięte lub poddane anonimizacji w chwili zakończenia ustalonego okresu retencji. Należy przy tym pamiętać, że obowiązkiem administratora jest poinformowanie osób, których dane przetwarza o okresie przetwarzania i przechowywania danych oraz o celach i podstawach przetwarzania, a także ich podstawowych prawach, jak np. prawie do usunięcia danych czy o dostępnie do danych (art. 13 RODO).

Sama dokumentacja RODO może mieć formę zarówno elektroniczną, jak i papierową. Zazwyczaj administratorzy jedynie niezbędną część dokumentacji sporządzają w formie pisemnej, natomiast w przeważającym zakresie, tam, gdzie jest to możliwe, dokumentację prowadzi się w formie elektronicznej. Przykładowo, o wiele bardziej praktyczne jest prowadzenie rejestrów czynności przetwarzania oraz kategorii czynności przetwarzania w formie elektronicznej, co pozwala na łatwe uaktualnianie tych dokumentów zawsze wtedy, gdy zaistnieje taka potrzeba.

Środki techniczne i organizacyjne zapewniające stosowną ochronę dokumentacji RODO

Głównym wyznacznikiem w zakresie wdrożenia odpowiedniej dokumentacji RODO jest art. 5 Rozporządzenia, który stanowi jeden z najważniejszych przepisów w całym rozporządzeniu. Za pierwszą wytyczną w zakresie ochrony danych osobowych w firmie należy uznać zasady minimalizacji danych (lit. c), ograniczenia celu (lit. b), ograniczenia przechowywania (lit. e). Mówiąc najprościej, im mniej danych przetwarzamy, ograniczając się do tego, co jest faktycznie niezbędne w osiągnięciu celu oraz im mniej osób będzie miało dostęp do tych danych, tym mniejsza szansa, że dojdzie do incydentu naruszenia bezpieczeństwa danych osobowych. 

Wdrażając dokumentację RODO administrator powinien także mieć na uwadze inne zasady, przewidziane w art. 5 RODO, tj. w szczególności zasadę zgodności z prawem, rzetelności i przejrzystości (lit. a), zasadę prawidłowości danych osobowych (lit. d), integralności i poufności (lit. f).

Poza przyjęciem odpowiedniej dokumentacji, do obowiązków administratora należy także wdrożenie stosownych technicznych środków, aby przetwarzanie danych osobowych odbywało się w sposób bezpieczny i zgodnie z aktualną wiedzą techniczną. Do takich środków technicznych w kontekście przechowywania danych będą zaliczać się np. odpowiednie drzwi zabezpieczające, sejf szyfrowany (w wypadku przechowywania dokumentów w formie papierowej) czy stosowne zabezpieczenia typu firewall, oprogramowanie antywirusowe, które należy regularnie aktualizować (w razie przechowywania w sposób cyfrowy, np. w chmurze).

Do odpowiednich środków technicznych zaliczyć można szyfrowanie, pseudonomizację, czy wszelkie zabezpieczenia technologiczne w obszarze IT, których stosowny dobór będzie mieć kluczowe znaczenie dla bezpieczeństwa danych. Należy jednocześnie podkreślić, że zgodnie z RODO nie ma zamkniętego katalogu środków technicznych, do których administrator powinien się stosować. Zamiast tego, RODO nakazuje administratorowi dokonywanie stosownej oceny w celu ustalenia, czy określone środki techniczne będą w danym przypadku wystarczającego, z uwzględnieniem aktualnej wiedzy technicznej.

Administrator ma obowiązek zadbania o przyjęcie środków organizacyjnych, co oznacza nie tylko wdrożenie i stosowanie odpowiednich procedur i polityk, ale także prowadzenie regularnych szkoleń pracowników oraz odpowiedniego zarządzania kadrą pracowniczą – ograniczeniu dostępu do danych tylko do osób upoważnionych oraz na zasadzie udzielania dostępu tylko w niezbędnym zakresie. Bardzo istotne jest także dokonywanie regularnych przeglądów zakresu udzielonych dostępów. 

W wypadku wszelkich wątpliwości przedsiębiorcy dotyczących bezpieczeństwa przechowywanych danych powinno się przeprowadzić audyt bezpieczeństwa RODO – samodzielnie lub we współpracy z wykwalifikowaną kancelarią prawną.

Z uwagi na zasadę rozliczalności wszelkie działania, które są podejmowane przez przedsiębiorcę w ww. zakresie powinny być odpowiednie dokumentowane w taki sposób, aby przedsiębiorca był w stanie udowodnić, jakie działania prowadził w zakresie ochrony danych osobowych. 

Jaką dokumentację powinien posiadać przedsiębiorca w razie incydentu naruszenia ochrony danych osobowych?

W razie wystąpienia naruszenia ochrony danych osobowych, w przypadku gdy naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator ma w obowiązku w ciągu 72 godzin zgłosić incydent do organu nadzorczego (PUODO) oraz bez zbędnej włoki zawiadomić o tym osoby, których dane dotyczą. Gdyby po 72 godzinach od potwierdzenia naruszenia administrator nie zawiadomił PUODO, musiałby on uzasadnić i udokumentować opóźnienie.

Administrator w zawiadomieniu musi zawrzeć:

• opis jasnym i prostym językiem charakteru naruszenia;
• do organu nadzorczego – kategorie i przybliżoną ilość osób, których dane dotyczą, a także kategorię oraz przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
• imię i nazwisko oraz dane kontaktowe Inspektora Ochrony Danych Osobowych (IOD) lub wyznacza inny kontakt;
• możliwe konsekwencje naruszenia;
• środki, które zastosował lub proponuje w celu zaradzenia naruszeniu ochrony danych osobowych, a także środki w celu zminimalizowania jego ewentualnych negatywnych skutków;

Ponadto administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, okoliczności ich naruszenia, ich skutki, a także podjęte działania zaradcze. Czyni to poniekąd we własnym interesie, gdyż pomoże to w weryfikacji przestrzegania przepisów przez administratora. W zależności od wagi naruszenia administrator może być także zobowiązany do wystosowania odpowiednich zawiadomień o naruszeniu do podmiotów, których dane były przedmiotem naruszenia. 

Ocena konieczności złożenia zawiadomienia do PUODO, a także zawiadomienia osób, których dane dotyczą, wymaga odpowiedniego oszacowania ryzyka, jakie wiąże się z danym naruszeniem. Z tego względu ważne jest, aby ustalić z wyprzedzeniem, w jaki sposób administrator będzie dokonywał tych czynności w przypadku wystąpienia incydentu związanego z ochroną danych osobowych. Z tego względu jest istotne, aby ww. procedura została szczegółowo zapisana w wewnętrznych dokumentach przedsiębiorcy w taki sposób, aby nie było wątpliwości, jak należy podstępować w przypadku wystąpienia naruszenia ochrony danych osobowych w firmie. Każdy pracownik i współpracownik powinien znać i potrafić zastosować ten sposób postępowania.

Jakie kary są przewidziane za brak dokumentacji RODO i czy audyt RODO może im zapobiec? 

Kary za naruszenie RODO, w zależności od rodzaju naruszenia, wynoszą 2% lub 4% całkowitego światowego rocznego obrotu firmy z roku poprzedzającego lub też 10 mln lub 20 mln euro. Firmę może spotkać kara pieniężna przykładowo w następujących przypadkach.:

• brak polityki bezpieczeństwa;
• brak rejestrowania czynności przetwarzania;
• brak stosownych komunikatów o naruszeniu danych;
• brak odpowiednich dokumentów, klauzul przy przekazywaniu danych osobowych do krajów trzecich;
• brak zawarcia umów powierzenia przetwarzania danych osobowych;

Organ nadzorczy bierze pod uwagę okoliczności każdego indywidualnego wypadku, jak waga i czas naruszenia, czy był to skutek przypadkowego zaniedbania, czy też umyślny czyn, czy administrator podjął samodzielne działania naprawcze, czy też może usiłował zatuszować, ukrywać swój błąd.

Koszty zaniedbania ochrony danych osobowych mogą być bardzo wysokie nie tylko dla osób, których dane dotyczą, ale również dla samej firmy. Dlatego warto pomyśleć już na starcie, zanim do czegokolwiek dojdzie, o skorzystaniu z pomocy doświadczonej Kancelarii prawnej lub po prostu powołaniu we własnym przedsiębiorstwie Inspektora ochrony danych, który stanowi wartościową pomoc i wsparcie dla każdego administratora.

[1] Poradnik dostępny tutaj: https://www.edpb.europa.eu/sme-data-protection-guide/home_en

Artykuł RODO w firmie – jaką dokumentację powinien posiadać przedsiębiorca? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Na czym polega umowa powierzenia danych osobowych?

Kluczowy dla umowy powierzenia danych osobowych jest art. 28 RODO, który mówi wprost, że w wypadku, kiedy operacja przetwarzania ma być dokonywana w imieniu administratora, to korzysta on tylko z usług podmiotów zewnętrznych, jakie zapewniają wystarczające gwarancje wdrożenia stosownych środków technicznych oraz organizacyjnych dla ochrony prywatności osób fizycznych, których dane dotyczą (art. 32 RODO). Wobec powyższego, w pierwszej kolejności administrator danych nie może powierzyć przetwarzania danych innemu podmiotowi, jeśli nie będzie miał pewności, że ów podmiot zapewni odpowiedni poziom bezpieczeństwa. 

            Podstawą prawną przetwarzania przez podmiot przetwarzający jest umowa lub inny instrument prawny, które podlegają prawu Unii lub prawu państwa członkowskiego. Taka umowa zawarta pomiędzy administratorem a podmiotem przetwarzającym służy określeniu przede wszystkim co dokładnie jest przetwarzane i przez jaki okres czasu, jaki jest charakter oraz cel przetwarzania, rodzaj danych osobowych, które są przetwarzane. Ponadto umowa ustala kategorię osób, których dane dotyczą oraz obowiązki administratora i podmiotu przetwarzającego.

Jakie są obowiązki podmiotu przetwarzającego wyznacza RODO w umowie powierzenia?

Podmiot przetwarzający posiada kilka ważnych obowiązków względem administratora danych osobowych, lecz chyba najważniejszą zasadą, która scala właściwie wszystkie działania, jest konieczność, aby podmiot przetwarzał dane osobowe tylko i wyłącznie na udokumentowane polecenie administratora. To administrator ponosi niezmiennie odpowiedzialność za bezpieczeństwo danych osobowych powierzonych do przetwarzania, choć w tym wypadku dzieli ją również z podmiotem przetwarzającym, ta reguła zapewnia, że właściwie nic nie powinno się wydarzyć bez wiedzy i zgody administratora. Oczywiście mogą wydarzyć się tu wyjątki, jak np. przy transferze danych osobowych do państwa trzeciego lub organizacji międzynarodowej – może pojawić się obowiązek przetwarzania wobec podmiotu przetwarzającego, który zostaje narzucony odgórnie przez prawo Unii lub państwa członkowskiego, podmiot przetwarzający musi jednak wtedy poinformować o tym fakcie administratora. 

Jakie pozostałe obowiązki ciążą na podmiocie przetwarzającym?

• obowiązek zachowania tajemnicy – musi zadbać, aby osoby, które dokonują przetwarzania danych osobowych, zobowiązały się do jej zachowania lub też aby podlegały one odpowiedniemu ustawowemu obowiązkowi;
• zapewnienie bezpieczeństwa przetwarzania – jest obowiązany do podjęcia wszelkich stosownych środków bezpieczeństwa na podstawie art. 32 RODO (wspomniane już środki techniczne i organizacyjne, jak: pseudonomizacja, zapewnienie poufności, integralności, dostępności i odporności systemów i usług przetwarzania, testowanie, analiza bezpieczeństwa);
• przestrzeganie warunków korzystania z usług innego podmiotu przetwarzającego
  w przypadku podpowierzenia danych (o czym więcej poniżej);
• dzielenie odpowiedzialności z administratorem – w miarę możliwości pomaga mu z wywiązywania się z obowiązków odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania jej praw (np. prawo do informacji, dostępu, sprostowania, usunięcia danych);
• pomoc administratorowi w wywiązaniu się z obowiązków wynikających z art. 32-36 RODO, czyli np. zgłaszania naruszenia danych, zawiadomienia osób, których dane dotyczą o incydencie, ocena skutków dla ochrony danych osobowych;
• usunięcie lub zwrot administratorowi wszystkich danych osobowych po zakończeniu przetwarzania, chyba że co innego nakazuje prawo Unii lub innego państwa członkowskiego;
• udostępnienie administratorowi lub upoważnionemu audytorowi wszelkie informacje, które będą niezbędne do wykazania spełnienie obowiązków wyznaczonych podmiotowi przez art. 28 RODO.

Współpraca administratora z podprocesorem przy realizacji umowy powierzenia danych osobowych

Do obowiązków administratora danych osobowych, przy zawieraniu umowy powierzania, należy:

• dostarczenie i udokumentowanie wszelkich instrukcji dotyczących przetwarzania danych przez podmiot przetwarzający – może mieć to istotne znaczenie dla wypełnienia wymogu rozliczalności (art. 5 ust. 2 RODO);
• zapewnienie, przed przetwarzaniem i w trakcie całego procesu przetwarzania, spełniania przez podmiot przetwarzający obowiązków określonych w RODO poprzez prowadzenie kontroli i audytów – najczęściej administratorzy wysyłają ankiety, które mają sprawdzić gotowość wypełnienia przez podmiot przetwarzający wszystkich obowiązków wynikających z RODO;
• ustalenie wszelkich szczegółów odnośnie powierzenia przetwarzania, w tym rodzajów i kategorii powierzanych danych osobowych, celów przetwarzania, dopuszczalnych operacji przetwarzania w umowie powierzenia przetwarzania danych osobowych;
• ocena środków technicznych i organizacyjnych zaproponowanych przez procesora jako wystarczających do zapewnienia ochrony danych osobowych, które mają być przetwarzane;

Podmiot przetwarzający musi udostępnić administratorowi wszystkie informacje, które są niezbędne do wypełnienia obowiązków wynikających z art. 28 RODO. Ma on obowiązek poinformowania administratora, jeśli zdaniem procesora polecenie, jakie dostał jest niezgodne z RODO lub z innymi przepisami Unii lub państwa członkowskiego. Podmiot przetwarzający nie ma jednak w takiej sytuacji obowiązku zaprzestania przetwarzania danych osobowych, gdyż to administrator ponosi odpowiedzialność za legalność przetwarzania. Procesor dokonuje przetwarzania w imieniu administratora, co wprost mówi art. 28 ust. 1 RODO. Mimo to w sytuacji, gdy podmiot przetwarzający nie poinformuje administratora, że wydane mu polecenie narusza wymogi RODO, może zostać obciążony karą pieniężną (art. 83 ust. 4 lit. a RODO). Oczywista będzie również odpowiedzialność procesora, gdyby działał on wbrew poleceniom administratora lub poza instrukcjami zgodnymi z prawem (art. 82 ust. 2 RODO). 

Co powinna zawierać umowa powierzenia przetwarzania danych osobowych – procedury, obowiązki, formularze

Najważniejszą ogólną uwagą, jaką powinno się na samym początku udzielić, jest stwierdzenie, że umowa powierzenia nie powinna być powieleniem przepisów RODO. Umowa powinna przede wszystkim być dostosowana do danej sytuacji przetwarzania i ma zawierać szczegółowe informacje dotyczące współpracy pomiędzy administratorem i procesorem oraz określać, w jaki sposób ten drugi powinien pomagać pierwszemu, by wypełniać wskazane w RODO obowiązki w związku z przetwarzaniem danych osobowych. 

            Co zatem powinna zawierać umowa powierzenia?

• konkretne zadania i obowiązki podmiotu przetwarzającego w kontekście planowanego przetwarzania oraz ryzyka naruszenia praw lub wolności osoby, której dane dotyczą;
• określenie przedmiotu przetwarzania – sformułować w sposób wystarczająco szczegółowy, aby było jasne, jaki jest główny cel przetwarzania powierzonych danych osobowych
• określenie dokładnego czasu trwania przetwarzania;
• określenie charakteru przetwarzania (np. nagrywanie obrazów podczas monitoringu) oraz celu – nie powinien być to opis ogólny, ale wystarczająco wyczerpujący;
• określenie rodzaju danych osobowych, które będą przetwarzane;
• określenie kategorii osób, których dane dotyczą – charakterystyka grupy osób, których dane będą przetwarzane (np. pracownicy);
• obowiązki i prawa administratora – o których mowa jest powyżej;
• w wypadku dalszego podpowierzenia danych osobowych powinno pojawić się zobowiązanie podmiotu przetwarzającego, aby te same obowiązki dotyczące ochrony danych osobowych pomiędzy administratorem a nim, zostały nałożone także na ten kolejny podmiot przetwarzający, czyli podprocesora.
• umowa może być oparta w całości lub części na standardowych klauzulach umownych;
• umowa może zawierać odpowiednie procedury i wzory formularzy, co usprawni przekazanie administratorowi wszelkich potrzebnych informacji.

Jaka powinna być forma umowy powierzenia danych?

Każde przetwarzanie, które dokonuje podmiot przetwarzający, musi zostać uregulowane umową powierzenia. Taka umowa ma formę pisemną, w tym formę elektroniczną. W swoich Wytycznych EROD 07/2020 dotyczące pojęć administratora i podmiotu przetwarzającego zawartych w RODO (s. 35) zaleca, aby w akcie prawnym znalazły się niezbędne podpisy, zgodnie z obowiązującym prawem (np. prawem zobowiązań), w celu uniknięcia jakichkolwiek nieporozumień.

Tak jak zostało to powyżej wspomniane – administrator oraz podmiot przetwarzający mogą oprzeć się w pełni na standardowych klauzulach umownych przy tworzeniu umowy powierzenia lub zawrzeć własną umowę przy zastosowaniu wszystkich obowiązkowych elementów. W przypadku standardowych klauzul umownych, które zastępują umowę powierzenia strony powinny się oprzeć na Decyzji wykonawcza Komisji (UE) 2021/915 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych między administratorami a podmiotami przetwarzającymi na podstawie art. 28 ust. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 oraz art. 29 ust. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725.

  Natomiast w przypadku transferów danych osobowych do krajów trzecich konieczne jest odpowiednie zabezpieczenie takiego międzynarodowego przekazywania danych – stąd konieczne jest zastosowanie odpowiedniego mechanizmu zgodnie z art. 46 RODO, w tym w szczególności standardowych klauzul umownych na podstawie Decyzji wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw trzecich na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679). Takie klauzule będą wówczas wypełniały nie tylko wymagania dotyczące umowy powierzenia, ale także odpowiednio zabezpieczą transfer do kraju trzeciego.

W wypadku, gdy jest co najmniej dwóch administratorów (tj. współadministratorów), każdy z nich powinien zawrzeć umowę powierzenia w zakresie przetwarzania danych osobowych przypisanym im celom.

Jak dokonać podpowierzenia danych osobowych?

Podpowierzenie danych jest to w skrócie dalsze powierzenie, którego dokonuje subprocesor (podprocesor), a więc dalszy podmiot przetwarzający. Subprocesor w celu dalszego przetwarzania danych osobowych, za które niezmiennie odpowiedzialny jest administrator, musi posiadać jego zgodę. Jak zatem tego dokonać?

            Nieco upraszczając sprawę są trzy możliwe scenariusze takich sytuacji:

1. przy zawieraniu umowy powierzenia między administratorem a podmiotem przetwarzającym z góry wiadomo, że dojdzie do dalszego przetwarzania danych u uprzednio określonych podprocesorów;
2. przy zawieraniu umowy powierzenia między administratorem a podmiotem przetwarzającym  z góry wiadomo, że dojdzie do dalszego przetwarzania, ale tożsamość podprocesorów nie jest jeszcze określona;
3. decyzja o dalszym powierzeniu następuje już w trakcie obowiązywania umowy zawartej między administratorem a podmiotem przetwarzającym.

W pierwszym przypadku będzie musiało do uprzedniej szczegółowej zgody administratora na korzystanie z usług tych podmiotów przez procesora. Szczegółowej, gdyż w umowie będą zawarte dane konkretnych podprocesorów. Taka zgoda może być elementem umowy lub stanowić osobny dokument.  

Podobnie będzie z przypadkiem drugim, z tymże w dokumencie musi zostać wyrażona na podstawie ogólnej pisemnej zgody administratora danych. Wynika to z faktu, że tożsamości subprocesorów nie są znane jeszcze na etapie podpisywania umowy. Taka zgoda powinna mieć jednak przewidywać możliwość zgłoszenia sprzeciwu wobec takiego dalszego przetwarzania. Ewentualny sprzeciw pojawiłby się, jeśli administrator uznałby, że podprocesor nie spełnia wystarczających gwarancji ochrony danych osobowych – nie należy zapominać, że to administrator przez cały czas nosi odpowiedzialność za bezpieczeństwo danych. 

W przypadku wskazanym w pkt 3 powyżej administrator również będzie zobowiązany do wyrażenia uprzedniej szczegółowej zgody na skorzystanie z usług dalszych podmiotów przetwarzających – z tą różnicą, że ta zgoda zostanie udzielona już w trakcie obowiązywania umowy, a nie w momencie jej zawarcia lub przed jej zawarciem. 

Jakie kary są przewidywane za naruszenie prawa przy umowie powierzenia?

Za naruszenie przepisów art. 28 RODO może zostać nałożona administracyjna kara pieniężna (art. 83 ust. 4 RODO) w wysokości do 10 mln euro, a w wypadku przedsiębiorstwa do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Taka kara może zostać nałożona na administratora np. gdy korzysta on umowy powierzenia z podmiotem przetwarzającym, który nie zapewnia stosownej ochrony danych osobowych. Taki sam skutek może przynieść sytuacja, gdy powierza się przetwarzanie danych bez podpisania umowy lub tez innego instrumentu prawnego.

Może zostać ukarany także procesor, gdy nie zawarł on umowy lub innego instrumentu prawnego z innym podmiotem przetwarzającym. Przypomnijmy, że dzieli on współodpowiedzialność z administratorem, jeśli brał on udział w określaniu celów i sposobów przetwarzania. Poza tym jeśli procesor bez wiedzy oraz zgody administratora podejmie takie działania, to będzie ponosił odpowiedzialność jak administrator w stosunku do tego przetwarzania (art. 28 ust. 10 RODO).        

Należy pamiętać, że umowa powierzenia nie powinna być jedynie automatycznie podpisywanym wzorem, ale powinna zawierać realne określenie wzajemnych praw i obowiązków administratora i podmiotu przetwarzającego. W ten sposób umowa powierzenia realnie wpłynie na sposób wykonywania obowiązków przez podmiot przetwarzający i zapewni odpowiednie bezpieczeństwo przetwarzanych danych osobowych.

Artykuł Umowa powierzenia przetwarzania danych osobowych zgodna z RODO – odpowiedzialność administratora a podmiotu przetwarzającego pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Na czym polega kontrola UODO i kiedy jest możliwa?

Kontrola UODO, jak już wspomniałem, zostaje przeprowadzona przez Prezesa Urzędu i dotyczy ona przestrzegania przepisów stosowania RODO. Dzieje się tak w trzech przypadkach:

• kiedy stanowi ona część zaplanowanych kontroli, w tym tzw. kontroli sektorowych (zapowiadanych okresowo przez PUODO kontroli w określonych sektorach przedsiębiorstw, np. telekomunikacyjnych).
• kiedy jest prowadzona na podstawie uzyskanych przez PUODO informacji (np. w trakcie postępowania w zakresie naruszenia ochrony danych osobowych).
• kiedy jest prowadzona w ramach monitorowania przestrzegania RODO.

Kontrola UODO może być zatem spodziewaną reakcją np. na wyciek danych osobowych czy też być efektem doniesienia na podejrzewane uchybienia w stopniu zabezpieczeń danych. Kontrola może mieć charakter niezależny, ale także może odbywać się w ramach toczącego się już postępowania administracyjnego. W tym drugim przypadku informacje uzyskane w czasie kontroli będą elementem postępowania dowodowego. Kontrola może także  stanowić element szerszej strategii sprawdzania przestrzegania przepisów RODO – ewentualne kontrole sektorowe są zapowiadane przez Prezesa na stronie UODO na początku roku kalendarzowego.

Osoba, przeprowadzająca kontrolę w imieniu PUODO ma m.in. prawo do wstępu do budynków i pomieszczeń w celu przeprowadzenia kontroli, a także żądania dostępu do określonych dokumentów i informacji, o czym napiszę szczegółowo poniżej.

Kontrolowany jest natomiast zobowiązany do pełnej współpracy z kontrolowanym, w tym powinien sporządzać kopie i wydruki dokumentów oraz informacji zgromadzonych na nośnikach elektronicznych.

Czynności kontrolne mogą być  w danym przypadku ograniczone tylko do tego, co osoba kontrolująca uzna za właściwe. Może się zdarzyć w szczególności, że kontrola jest ograniczona do żądania przedstawienia dodatkowych wyjaśnień lub dokumentów i niekoniecznie łączy się z czynnościami kontrolnymi w siedzibie przedsiębiorcy. 

Kto może przeprowadzić kontrolę w zakresie przetwarzania ochrony danych osobowych w siedzibie przedsiębiorcy? 

Bezpośrednio w siedzibie przedsiębiorstwa kontrolę przeprowadza osoba upoważniona przez PUODO. Może być to pracownik Urzędu albo członek czy też pracownik organu nadzorczego państwa członkowskiego.

            Istnieją sytuacje, kiedy wyznaczona osoba może zostać wyłączona z udziału w kontroli (na wniosek lub z urzędu) w sytuacji, gdy:

• wyniki kontroli mogłyby wpływać na prawa lub obowiązki jego, jego małżonka, osoby pozostającej z nim faktycznie we wspólnym pożyciu, krewnego i powinowatego do drugiego stopnia albo na osoby związanej z nim z tytułu przysposobienia, opieki lub kurateli;
• są wątpliwości co do jego bezstronności.

Pierwszy powód wydaje się być właściwie częścią składową powodu drugiego, ponieważ można śmiało zakładać, że jeśli wynik kontroli oddziaływałby w jakikolwiek sposób na kontrolującego, to mogłoby to świadczyć o braku jego bezstronności.

Podmiot objęty kontrolą (przedsiębiorstwo) w przypadkach wskazanych powyżej ma prawo do złożenia wniosku o wyłączenie z udziału w kontroli do Prezesa UODO, który wydaje rozstrzygnięcie w tym zakresie. Prezes UODO może także podjąć taką decyzję z urzędu.  

Jakie są prawa i obowiązki kontrolującego?

Poddawany kontroli przedsiębiorca może wymagać od kontrolującego okazania imiennego upoważnienia oraz legitymacji służbowej. Natomiast jeśli kontrolującym jest członek lub pracownik organu nadzorczego, to musi on okazać imienne upoważnienie wraz z dokumentem tożsamości.

            Warto, aby zainteresowany przedsiębiorca wiedział, co ma zawierać imienne upoważnienie, którego ma wymagać, gdyż niespełnienie jednego z warunków będzie prawomocnym powodem do niewpuszczenia kontrolującego. Zgodnie z art. 81 ust. 2 Ustawy o ochronie danych osobowych imienne upoważnienie powinno zawierać:

• wskazanie podstawy prawnej przeprowadzenia kontroli;
• oznaczenie organu;
• imię i nazwisko, stanowisko służbowe kontrolującego oraz numer legitymacji służbowej lub gdy kontrolujący jest pracownikiem lub członkiem organu nadzorczego – imię i nazwisko wraz z numerem dokumentu potwierdzającego tożsamość;
• określenie zakresu przedmiotowego kontroli;
• oznaczenie kontrolowanego;
• wskazanie daty rozpoczęcia i przewidywanego końca kontroli;
• podpis Prezesa Urzędu;
• pouczenie kontrolowanego o jego prawach i obowiązkach;
• datę i miejsce wystawienia upoważnienia.

Ponadto kontrolujący ma obowiązek zachowania w tajemnicy informacji, o których dowiedział się podczas kontroli. Po zakończeniu kontroli kontrolowanemu przedstawia się protokół kontroli. Kontrolowany może go podpisać albo przedstawić swoje zastrzeżenia w ciągu 7 dni. W przypadku złożenia zastrzeżeń kontrolujący może przeprowadzić dodatkowe czynności albo zmienić lub uzupełnić protokół w formie aneksu. W przypadku braku podpisania protokołu i nieprzedstawienia zarzutów uznaje się, że kontrolowany odmówił podpisania protokołu. Protokół kontroli doręcza się kontrolowanemu w dwóch egzemplarzach (w postaci elektronicznej lub w papierowej).   

W trakcie kontroli kontrolujący ma prawo do:

• wstępu w godzinach 6:00-22:00 na grunt oraz do budynków, lokali, pomieszczeń kontrolowanego przedsiębiorstwa;
• wglądu do dokumentów i informacji, które mają bezpośredni związek z zakresem przedmiotowym kontroli;
• przeprowadzenia oględzin miejsc, przedmiotów, urządzeń, nośników oraz systemów informatycznych lub teleinformatycznych służących do przetwarzania danych;
• żądania złożenia pisemnych lub ustnych wyjaśnień oraz przesłuchiwań w charakterze świadka osoby w zakresie niezbędnym do ustalenia stanu faktycznego;
• zlecania sporządzania ekspertyz i opinii.

Na koniec warto dodać, że Prezes Urzędu lub kontrolujący mogą zwrócić się do Policji o pomoc w wykonaniu działań kontrolnych, o ile będzie to niezbędne.  

Czy warto mieć swoją reprezentację i prawne wsparcie – jakie są obowiązki i prawa kontrolowanego przedsiębiorcy?

Firma, którejdziałalność jest przedmiotem kontroli PUODO może skorzystać z reprezentacji profesjonalnego pełnomocnika, który będzie reprezentował jej interesy w czasie kontroli. W wypadku przeprowadzania kontroli PUODO albo naruszenia ochrony danych osobowych  taka osoba będzie najlepszym kontaktem reprezentującym przedsiębiorstwo. Dobra znajomość przepisów RODO oraz orientacja w innych regulacjach prawnych jest koniecznością, aby wypełnić obowiązki spoczywające na firmie, w której działalności obecne jest przetwarzanie danych osobowych.

            Zgodnie z art. 83 ust. 1 Ustawy o ochronie danych osobowych kontrolowany jest zobowiązany do pisemnego wskazania osoby upoważnionej do reprezentowania go podczas kontroli. Wszelkie czynności kontrolne mają miejsce w obecności kontrolowanego albo upoważnionej przez niego osoby. W przypadku niewskazania osoby upoważnionej czynności prowadzi się w obecności osoby czynnej w lokalu przedsiębiorstwa.

            Jakie zatem najważniejsze obowiązki spoczywają na kontrolowanym przedsiębiorstwie?

• zapewnienie kontrolującemu oraz osobom upoważnionym do udziału w kontroli warunków i środków niezbędnych do sprawnego przeprowadzenia kontroli – szczególnie sporządzenie we własnym zakresie kopii lub wydruków dokumentów oraz informacji zgromadzonych na nośnikach, urządzeniach lub systemach;
• dokonanie potwierdzenia za zgodność z oryginałem sporządzonych kopii i wydruków;
• odpowiedzenie na wszelkie pytania i wątpliwości ze strony kontrolującego – w szczególności, kiedy kontrola przebiega pisemnie przez Prezesa UODO, a nie w przedsiębiorstwie przez wyznaczonego przez niego przedstawiciela;
• obowiązek współpracy z kontrolującym pod groźbą nałożenia kary;
• w terminie 7 dni od dnia przedstawienia protokołu kontroli do podpisu podpisanie go albo złożenie pisemnego zastrzeżenia co do jego treści.

Jeśli w wyniku czynności kontrolnych Urząd uzna, że mogło dojść do naruszenia ochrony danych osobowych, niezwłocznie zostanie wszczęte postępowanie w tym przedmiocie.

Co zawiera protokół kontroli?

Protokół kontroli jest przygotowywany przez kontrolującego. Ustala on stan faktyczny na podstawie zebranych dowodów podczas przeprowadzanej kontroli. Przypomnę, że taki protokół musi zostać podpisany przez kontrolowanego (ewentualnie musi on złożyć pisemne zastrzeżenia wobec niego).

A co dokładniej zawiera taki protokół?

• wskazanie nazwy lub imienia i nazwiska oraz adresu kontrolowanego;
• imię i nazwisko osoby reprezentującej kontrolowanego oraz nazwę organu reprezentującego kontrolowanego;
• imię i nazwisko, stanowisko służbowe, numer legitymacji służbowej oraz numer imiennego upoważnienia kontrolującego;
• datę rozpoczęcia i zakończenia kontroli;
• określenie zakresu przedmiotowego kontroli;
• opis stanu faktycznego ustalonego w toku kontroli oraz inne informacje, które mają istotne znaczenia dla oceny zgodności przetwarzania danych z przepisami o ochronie danych osobowych;
• wyszczególnienie załączników;
• omówienie poprawek, skreśleń i uzupełnień dokonanych w protokole;
• pouczenie kontrolowanego o prawie zgłaszania zastrzeżeń do protokołu oraz o prawie odmowy podpisania protokołu kontroli;
• datę i miejsce podpisania protokołu przez kontrolującego oraz kontrolowanego.

Audyt, szkolenia i stała kontrola zabezpieczeń – doradztwo w przygotowaniu się do kontroli UODO

Najlepszym sposobem na przygotowanie firmy na ewentualną kontrolę UODO jest trzymanie ręki na pulsie działalności związanej z przetwarzaniem danych osobowych. Im więcej danych osobowych przedsiębiorstwo przetwarza, tym bardziej powinno zwracać uwagę na kontrolę aktualnych zabezpieczeń oraz obowiązujących przepisów dotyczących ochrony danych. Wyznaczenie Inspektora Ochrony Danych Osobowych, tj. IOD-a będzie tutaj z pewnością dużym ułatwieniem, nawet jeśli na gruncie przepisów jego wyznaczenie nie będzie obowiazkowe.

            Bardzo ważne będzie przeprowadzanie regularnych audytów zgodności z RODO ze względu na nowelizacje przepisów prawnych oraz z uwagi na zmiany technologiczne. Bardzo ważne dla dbania o bezpieczeństwo przetwarzanych danych jest wykonywanie analizy ryzyka oraz oceny skutków dla ochrony danych. Więcej na temat wykonywania audytu RODO można znaleźć w naszym tekście, który omawia dokładnie temat audytu (TUTAJ WSTAWIĆ LINK DO TEKSTU).

Jakie są ewentualne kary i grzywny za brak współpracy z kontrolującym lub utrudnianie kontroli przez unikaniu kontaktów?

Zgodnie z art. 108 ust. 1 Ustawy o ochronie danych osobowych każdy, kto udaremnia lub utrudnia kontrolującemu prowadzenie kontroli przestrzegania przepisów o ochronie danych osobowych, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch.

            Dodatkowo, należy mieć na uwadze, że współpraca z organem nadzorczym jest obowiązkiem przedsiębiorcy gruncie RODO.  Współpraca może polegać w szczególności na niezwłocznym przekładaniu żądanych przez UODO dokumentów albo udzielaniu wyjaśnień we wskazanych przez urząd terminach. Należy mieć na uwadze, że za brak współpracy UODO może również nałożyć karę, co ma często miejsce w praktyce (por. np. Decyzja PUODO z dnia 25 stycznia 2023 r., DKE.561.35.2022).

Artykuł Jak przedsiębiorca powinien postępować podczas kontroli UODO – czy potrzebna mu reprezentacja? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Odpowiednie wdrożenie i procedury – jaki jest zakres audytu zgodności z RODO? 

Zakres audytu RODO zależy w dużej mierze od branży, dla jakiej się go wykonuje. W niektórych przypadkach wymagane mogą być zupełnie odmienne niż dla innych przedsiębiorców procedury bezpieczeństwa danych osobowych, które powinno się wdrożyć, ze względu na obszar, w jakim firma działa i specyficzne dla niej ryzyka. Dlatego inaczej będzie prowadzony audyt RODO IT, jeszcze inaczej audyt dla agencji rekrutacyjnej, a jeszcze inaczej audyt RODO dla podmiotu medycznego. Kancelaria prawna, która wykonuje audyt zawsze dostosowuje się do konkretnego klienta podczas przeprowadzania audytu. Istotą całej operacji jest zapewnienie bezpieczeństwa, dlatego tak ważne jest dostosowanie wymogów i procedur do konkretnej branży.

             Można jednak oczywiście wyróżnić pewne elementy audytu, które w pewnym zakresie zobrazują jego przebieg oraz to, jakie aspekty działania firmy mogą być w trakcie audytu poddane analizie:

• wszystkie mające znaczenie dla ochrony danych osobowych dokumenty firmowe, takie jak:

– regulamin strony internetowej;

– polityka prywatności;

– polityka cookies;

– zgody marketingowe;

– regulamin pracy;

– wzór umowy B2B;

– wzór umowy o pracę;

– wzór umowy cywilnoprawnej;

– aktualne umowy z kontrahentami (m.in. umowa z biurem księgowym, umowa z dostawą oprogramowania, umowa dotycząca niszczenia dokumentów);

– istniejące dokumenty RODO (polityki, rejestry, procedury, polityka haseł, instrukcje dotyczące systemów informatycznych);

• zgodność stosowanych rozwiązań w zakresie bezpieczeństwa i cyberbezpieczeństwa z wymogami RODO;
• sposób prowadzenia działań marketingowych zgodnie z RODO;
• sposób prowadzenia działań sprzedażowych zgodnie z wymaganiami RODO;
• rekrutacja zgodnie z RODO;
• wypełnienie obowiązku informacyjnego zgodnie z art. 13 i 14 RODO;
• czy w firmie dochodzi do międzynarodowego transferu danych osobowych i czy ten transfer jest odpowiednio zabezpieczony.

 Wdrożenie RODO – na czym polega raport przetwarzania danych osobowych? 

Kiedy zdecydujemy się przeprowadzić kompleksowy audyt RODO w firmie, możemy stworzyć przy tym raport przetwarzania danych osobowych. Zostają w nim zawarte rekomendacje i wskazówki dla poszczególnych działów firmy oraz dla przedsiębiorstwa jako całości. Raport służy przede wszystkim temu, aby wskazać te elementy działalności, które powinny ulec poprawie i jednocześnie zawiera on propozycje rozwiązań w tym zakresie. Ten opracowany na podstawie audytu dokument ma służyć pomocą przedsiębiorcy w opracowaniu strategii udoskonalenia procesu przetwarzania i ochrony danych osobowych zgodnie z obowiązującymi przepisami RODO i najnowszymi rekomendacjami i wytycznymi, w tym wytycznymi EROD (Europejskiej Rady Ochrony Danych Osobowych) oraz UODO (Urzędu Ochrony Danych Osobowych).

Przeprowadzenie audytu, którego efektem jest raport przetwarzania danych osobowych, stanowi w pewnym sensie jedynie wstęp do dalszych działań, kiedy przygotowana i wdrożona zostaje dokumentacja RODO, niezbędna dla danej firmy albo dotychczas istniejąca dokumentacja zostaje poddana niezbędnym zmianom i poprawkom. Informacje, jakie zawarte zostają w raporcie przetwarzania danych osobowych, stanowią podstawę do stworzenia dokumentów, które są specjalnie dopasowane do działalności poddawanej audytowi firmy. Uwzględniają one sytuację firmy oraz branżę, w której ona działa.  Można orzec, że audyt i wdrożenie odpowiednich procedur stanowi podstawę zapewnienia bezpieczeństwa danych, jaką może zaoferować administrator danych osobowych.

Kodeks pracy, ustawa o rachunkowości i inne – jakie przepisy poza RODO są brane pod uwagę podczas audytu? 

RODO nie stanowi jedynych przepisów, jakie są brane pod uwagę podczas audytu ochrony danych osobowych. Należy zaznaczyć, że ze względu na zapewnienie pełnej zgodności procesów przetwarzania danych osobowych w firmie konieczna jest znajomość orzecznictwa sądów, a poza tym wszelkich wytycznych, rekomendacji i zaleceń organów nadzorczych. Ponadto ze względu na międzynarodowy charakter RODO, podczas audytu, często wymagane jest uwzględnienie nie tylko zaleceń Urzędu Ochrony Danych Osobowych (UODO), lecz również wytycznych Europejskiej Rady Ochrony Danych Osobowych (EROD), a pomocniczo także wytycznych organów nadzorczych w innych krajach (np. francuskiego CNIL czy brytyjskiego ICO).

             W trakcie audytu brane są także pod uwagę inne przepisy krajowe, mające wpływ na przetwarzanie danych osobowych w przedsiębiorstwie. Są to, między innymi, Kodeks pracy, ustawa o rachunkowości, ustawa o świadczeniu usług drogą elektroniczną, czy prawo telekomunikacyjne lub inne przepisy, często specyficzne dla danej branży. Dzięki wykorzystaniu znajomości tych wszystkich przepisów i zaleceń możliwe jest:

• przygotowanie dokumentów RODO;
• udzielenie wsparcia w sporządzeniu analizy ryzyka, oceny skutków dla ochrony danych;
• udzielanie konsultacji w zakresie ochrony danych osobowych;
• świadczenie usług doradztwa w zakresie międzynarodowego transferu danych osobowych;
• zapewnienie pełnej obsługi naruszeń ochrony danych osobowych.

Jaka dokumentacja RODO jest przygotowywana po przeprowadzeniu audytu?

Po przeprowadzeniu audytu, dzięki zapoznaniu się z indywidualną sytuacją firmy, możliwe jest przygotowanie odpowiednich dokumentów, które są konieczne do zapewnienia ochrony danych osobowych w organizacji. Przykładowe dokumenty, jakie zostają przygotowane po dokonaniu audytu to (ze względu na zawsze indywidualny charakter audytu nie jest to pełna lista):

• polityka ochrony danych osobowych;
• polityka haseł;
• instrukcja zarządzania systemem informatycznym;
• rejestr czynności przetwarzania danych osobowych;
• rejestr kategorii przetwarzania danych osobowych;
• klauzula informacyjna art. 13 RODO;
• klauzula informacyjna art. 14 RODO;
• procedura postępowania w przypadku naruszenia ochrony danych osobowych, procedura zgłaszania naruszenia ochrony danych osobowych;
• procedura realizacji praw osób, których dane dotyczą;
• rejestr naruszeń ochrony danych osobowych;
• wzór umowy powierzenia przetwarzania danych osobowych;
• wzór upoważnienia do przetwarzania danych osobowych.

Czym jest analiza ryzyka oraz ocena skutków dla ochrony danych osobowych?

Szczególne znaczenie w dokumentacji RODO mają analiza ryzyka oraz ocena skutków dla ochrony danych. Analiza ryzyka musi zostać przeprowadzona w zakresie procesów przetwarzania danych w firmie. W niektórych przypadkach może również objąć swoim zakresem konkretny proces przetwarzania danych osobowych (np. analiza ryzyka stosowania monitoringu wizyjnego, analiza ryzyka aplikacji IT, analiza ryzyka działań rekrutacyjnych). Dopiero podczas wykonywania audytu zostaje zazwyczaj podjęta decyzja czy dana analiza ryzyka jest konieczna.

             Ocena skutków dla ochrony danych (DPIA) jest kwalifikowaną oceną ryzyka, która w niektórych przypadkach jest obowiązkowa. Przeprowadzenie takiej analizy jest niezbędne w sytuacji, gdy przetwarzanie danych osobowych może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych (art. 35 RODO). Ocena taka nie zawsze jest łatwa, dlatego  warto skorzystać ze wsparcia wykwalifikowanej kancelarii prawnej, która pomoże dokonać odpowiedniej weryfikacji w oparciu o przepisy RODO oraz odpowiednie wytyczne organów nadzorczych i Grupy Roboczej art. 29.

Międzynarodowe transfery danych osobowych

Obecnie firmy, które działają w Polsce często współpracują z przedsiębiorstwami z innych krajów. Taka działalność może wiązać się z transferem danych osobowych do kraju trzeciego, czyli poza obszar terytorium Europejskiego Obszaru Gospodarczego (EOG). Taki transfer nie zawsze uznawany jest za bezpieczny z punktu widzenia RODO. Konieczne jest często podjęcie wtedy dodatkowych środków, jak np. podpisanie standardowych klauzul umownych,  czy zastosowanie odpowiednich środków technicznych zabezpieczających taki transfer danych.

             Odpowiednia kancelaria prawna dokonuje weryfikacji czy transfer do określonych krajów jest bezpieczny i dozwolony na gruncie RODO, a w razie konieczności pomaga przygotować stosowne procedury bezpieczeństwa. Wskazuje jak zabezpieczyć taki transfer, jakie umowy, dotyczące ochrony danych, należy podpisać. 

             Należy pamiętać, że do międzynarodowego transferu danych dochodzi nie tylko w przypadku współpracy z firmą mającą siedzibę w kraju trzecim. Transfer danych osobowych może mieć miejsce także w następujących przypadkach:

• praca zdalna z kraju trzeciego przy skorzystaniu z usług podmiotu trzeciego;
• świadczenie usług zdalnie z kraju trzeciego;
• korzystanie z oprogramowania, chmury i innych rozwiązań w sytuacji, gdy dane są hostowane w tzw. kraju trzecim;

>>>Szukasz więcej na temat transferu danych do krajów trzecich? Sprawdź: Jak prawidłowo przekazywać dane osobowe do krajów trzecich?

Czy audyt RODO jest obowiązkowy?

Firma, w której działalności pojawia się w jakikolwiek sposób przetwarzanie danych osobowych, powinna przeprowadzać cykliczne audyty RODO. Najlepiej jest zlecić takie działanie wykwalifikowanej kancelarii prawnej, która specjalizuje się w ochronie danych osobowych. Często przedsiębiorcy nie zdają sobie sprawy, jak bardzo dotyczy ich ten temat. Dopiero po nałożeniu kar przez organy nadzorcze, okazuje się jak ważne jest regularne sprawdzanie aktualności zabezpieczeń i stosowania odpowiednich procedur, które należy wdrażać.   

Artykuł Audyt i wdrożenia RODO – dlaczego warto wdrożyć procedury ochrony danych osobowych i przeprowadzić audyt RODO w firmie?   pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

„Będziemy martwić się, kiedy do tego w ogóle dojdzie” – takie podejście wydaje się najprostsze i najlepsze, kiedy dla przedsiębiorca musi zmagać się z wieloma problemami, które są o wiele bardziej istotne dla niego w danej chwili. Problem w tym, że w wypadku naruszenia ochrony danych osobowych nie liczy się jedynie reakcja po zdarzeniu, ale również, w stopniu nie mniej istotnym, jakie były działania administratora danych przed takim potencjalnym incydentem. 

Jak więc należy postąpić w przypadku zajścia naruszenia ochrony danych osobowych w przedsiębiorstwie oraz jakie działania powinien podjąć każdy administrator, który przetwarza jakiekolwiek dane osobowe?

Czym jest naruszenie ochrony danych osobowych?

W kwestii danych osobowych wszystkim reguluje RODO, czyli obowiązujące już szósty rok rozporządzenie o ochronie danych na terenie całej Unii Europejskiej. Według niego, naruszenie ochrony danych osobowych stanowi naruszenie bezpieczeństwa danych, które  prowadzi do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych (art. 4 pkt 12 RODO). 

            Grupa Robocza Art. 29 rozróżniła trzy kategorie takiego naruszenia:

• naruszenie dotyczące poufności danych – w rezultacie którego dochodzi do nieuprawnionego lub przypadkowego ujawnienia lub nieuprawnionego dostępu do danych osobowych;
• naruszenie dotyczące integralności danych – w rezultacie którego dochodzi do nieuprawnionego lub przypadkowego zmodyfikowania danych osobowych;
• naruszenie dotyczące dostępności danych – w rezultacie którego dochodzi do przypadkowego lub nieuprawnionego dostępu do danych osobowych lub zniszczenia danych osobowych.

W jakim przypadku konieczne jest zgłoszenie naruszenia ochrony danych osobowych?

Administrator danych ma obowiązek zgłoszenia incydentu do organu nadzorczego (Urzędu ochrony danych osobowych) oraz do wszystkich osób, których dane dotyczą, jeśli naruszenie, do którego doszło, skutkuje ryzykiem naruszenia praw lub wolności osób fizycznych.

            Co to znaczy?

       RODO w motywie 85 dość jasno precyzuje, że dzieje się tak w wypadku, gdy naruszenie ochrony danych osobowych może powodować powstaniem uszczerbku fizycznego, szkód majątkowych lub niemajątkowych u osób fizycznych –  takich, jak:

• utrata kontroli nad własnymi danymi osobowymi;
• ograniczenie praw;
• dyskryminacja
• kradzież lub sfałszowanie tożsamości;
• strata finansowa;
• nieuprawnione odwrócenie pseudonomizacji (mówiąc wprost – nieuprawnione odszyfrowanie zabezpieczonych danych);
• naruszenie dobrego imienia;
• naruszenie poufności danych osobowych chronionych tajemnicą zawodową
• wszelkie inne znaczne szkody gospodarcze lub społeczne.

Kto jest odpowiedzialny za ochronę danych osobowych w firmie?

Administrator jest osobą odpowiedzialną prawnie za przetwarzanie danych osobowych przez niego samego lub w jego imieniu. Zgodnie z RODO, administrator to osoba fizyczna lub prawna, organ publiczny lub jednostka lub inny podmiot, który ustala samodzielnie (lub wspólnie z innymi) cele i sposoby przetwarzania danych osobowych.

Jako pomoc może on wyznaczyć:

• podmiot przetwarzający dane – czyli osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora;
• Inspektora Ochrony Danych Osobowych (IOD) – czyli osobę, która dysponuje fachową wiedzą w zakresie ochrony danych osobowych, służy on pomocą oraz poradą, ale nie jest to organ decyzyjny – administrator może, ale nie musi wysłuchać porady IOD-a (co istotne w niektórych przypadkach przepisy regulują konieczność powołania IOD-a);

Nikt nie może zdjąć jednak odpowiedzialności z administratora i to zawsze on pozostanie osobą decyzyjną. Ma on obowiązek wdrożyć (samodzielnie lub w wyznaczyć kogoś, kto uczyni to w jego imieniu) odpowiednie i skuteczne środki zapobiegawcze oraz musi być w stanie wykazać, że przetwarzanie danych, za które jest odpowiedzialny, pozostaje zgodne z przepisami RODO. Wreszcie to administrator ponosi odpowiedzialność za powiadomienie organu nadzorczego i osób, których dane dotyczą, w wypadku zajścia naruszenia ochrony danych osobowych. Ma też obowiązek podjęcia wszystkim niezbędnych działań po zajściu takiego incydentu. On też jest odpowiedzialny za podjęcie ewentualnej decyzji o braku konieczności powiadomienia organu nadzorczego czy osób, których dane dotyczą.

Jakie kroki należy podjąć, kiedy dowiadujemy się, że doszło do naruszenia danych osobowych?

1. W momencie, kiedy dochodzi do stwierdzenia naruszenia bezpieczeństwa w związku z przetwarzaniem danych osobowych, administrator ma obowiązek nie później niż w terminie 72 godzin zgłosić incydent do organu nadzorczego – chyba że jest małe prawdopodobieństwo, żeby skutkowało wystąpieniem ryzyka naruszenia praw lub wolności osób fizycznych (art. 33 RODO). 

2. Administrator danych bez zbędnej zwłoki zawiadamia osoby, których dane dotyczą, o naruszeniu ochrony ich danych (jest kilka wyjątków – w kolejnym punkcie).

3. Administrator w zawiadomieniu:

• opisuje jasnym i prostym językiem charakter i okoliczności naruszenia ochrony danych osobowych w swojej organizacji;
• do organu nadzorczego – przesyła kategorie i przybliżoną ilość osób, których dane dotyczą, a także kategorię oraz przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
• podaje imię i nazwisko oraz dane kontaktowe Inspektora Ochrony Danych Osobowych lub wyznacza inny kontakt;
• opisuje możliwe konsekwencje naruszenia;
• opisuje środki, które zastosował lub proponuje w celu zaradzenia naruszeniu ochrony danych osobowych, a także środki w celu zminimalizowania jego ewentualnych negatywnych skutków;

4. Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, okoliczności ich naruszenia, ich skutki, a także podjęte działania zaradcze. Pomoże to weryfikacji przestrzegania przepisów przez administratora.

5. Jeśli zawiadomienie o naruszeniu zostało zgłoszone do organu nadzorczego po terminie 72 godzin, administrator powinien uzasadnić i udokumentować opóźnienie. 

Kiedy nie jest wymagane powiadomienie osób, których dane dotyczą, o naruszeniu?

Nie ma takiej konieczność w przypadkach, gdy:

• administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony i zostały one zastosowane do ochrony danych osobowych, których dotyczy naruszenie (np.. szyfrowanie, które uniemożliwi odczyt danych osobom nieuprawnionym) – innymi słowy wybrane wcześniej środki ochrony w pełni zabezpieczają dane osobowe, które uległy naruszeniu;
• administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka wystąpienia naruszenia praw i wolności osób, których dane dotyczą;
• zawiadomienie osób, których dane dotyczą, wymagałoby niewspółmiernie dużego wysiłku – można podjąć wtedy inne działania, jak np. wydać publiczny komunikat, umieścić go na stronie internetowej czy też zastosować inny środek, który byłby w tym wypadku skuteczny.

W takich wypadkach bardzo przydaje się osoba inspektora danych osobowych, który może posłużyć wiedzą oraz poradą – tym bardziej że często IOD-em jest prawnik.

Jakie są sankcje za naruszenie danych osobowych?

Naruszenie przepisów art. 33 i 34 RODO, czyli obowiązku zgłaszania naruszenia ochrony organowi nadzorczemu oraz osobom, których dane dotyczą, skutkuje w wysokości do 10 mln zł, a w wypadku przedsiębiorstwa karą w wysokości 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.

            Co jednak istotne i warte ponownego podkreślenia – w samym zajściu incydentu naruszenia ochrony danych osobowych nie chodzi tylko o prawidłowe działania po samym naruszeniu. Kluczowe jest zastosowanie wcześniej odpowiednich środki ochrony – technicznych i organizacyjnych, które w odpowiedni sposób zabezpieczą przetwarzane dane. Ponieważ to właśnie o bezpieczeństwo tych danych chodzi. W razie gdy dojdzie do naruszenia, stosowne środki ochrony mogą zapobiec skutkom naruszenia praw lub wolności osób fizycznych, a więc sytuacji, do której żaden administrator danych osobowych nie chce dopuścić.

            Świadczy o tym niedawna kara nałożona przez Prezesa Urzędu Ochrony Danych Osobowych na spółkę medyczną w wysokości 1,5 mln zł. W spółce doszło do olbrzymiego wycieku danych, w tym wrażliwych danych klientów, o którym spółka dowiedziała się od samych hakerów, którzy zażądali pieniędzy. Dopiero wtedy spółka zgłosiła sprawę do organu nadzorczego. Kara wynikła przede wszystkim z olbrzymiego zaniedbania ochrony danych osobowych, jakiego dopuściła się spółka:

• brak aktualnych zabezpieczeń;
• nieprzestrzeganie własnych środków bezpieczeństwa;
• brak wdrożenia odpowiednich środków ochrony.

W wypadku działań związanych z ochroną danych osobowych równie ważne są odpowiednie czynności podejmowane w wypadku zajścia naruszenia bezpieczeństwa, co wszelkie środki i działania zapobiegawcze, które podejmuje i przestrzega przedsiębiorstwo.

Artykuł Co zrobić, jeśli doszło do naruszenia ochrony danych osobowych w firmie i jak to zgłosić? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Każda firma, która sprzedaje cokolwiek przez internet, w jakiś sposób dokonuje operacji przetwarzania danych, co chcąc nie chcąc jest terenem, na jakim rządzi RODO. 

Jakie są podstawy przetwarzania danych osobowych w branży e-commerce?

Zgodnie z art. 4 RODO pojęcie przetwarzania danych jest bardzo szerokie. Oznacza ono operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Jak widać od razu w działalności e-commerce wykonujemy przynajmniej część z nich, licząc choćby podstawowe działania, jak np. przechowywanie danych klientów, czy pobieranie danych dotyczących płatności itd.

Danych, jakie są zbierane w sklepie internetowym, nie da jednoznacznie sklasyfikować, ponieważ wszystko zależy tu od działalności, jaka jest prowadzona oraz od samego przedsiębiorcy. Dane osobowe przetwarzane są przede wszystkim podczas procesów, które wiążą się z sama sprzedażą (rachunkowością, księgowością, wysyłką) oraz marketingiem, czyli ofertami, jakie przesyłane są do klientów. Działalność e-commerce opiera operacje przetwarzania głównie na podstawach prawnych wskazanych art. 6 ust. 1 lit. a) oraz lit. b) RODO. 

Przetwarzanie danych, gdzie podstawą jest umowa między sprzedawcą a klientem (lit. b), wiążę się umożliwieniem wysyłki i płatności za towar lub usługę. Dane takie jak: imię, nazwisko, adres, numer telefonu są konieczne do wykonania  zawartej pomiędzy stronami umowy. Musimy jednak uważać, aby nie zbierać danych nadmiarowych – tj. takich, które nie są niezbędne z punktu widzenia danego procesu. Żadna księgarnia internetowa nie powinna zbierać od konsumenta np. numeru PESEL wysłania do niego towaru. Nie ma żadnego wzorca, a każdy przedsiębiorca kieruje się swoją działalnością i musi do niej dostosować zakres zbieranych danych. Należy przy tym pamiętać o dwóch rzeczach. Po pierwsze zawsze kierować się zasada minimalizacji danych, czyli zbierać tyle danych, ile jest niezbędnych do osiągnięcia celu – im mniej danych zbierzemy, tym mniejsze wiąże się z tym ryzyko. Oraz po drugie – zbieranie od klientów nawet samego adresu e-mail będzie już uznawane za przetwarzanie danych osobowych.

Drugą podstawą przetwarzania danych osobowych przez sklepy internetowe jest zgoda klienta (lit. a). Administrator danych musi tu pamiętać, że zgoda musi być dobrowolna, jednoznaczna, świadoma i nie może zależeć od niej zawarcie umowy. Zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem (art. 7 ust. 2 RODO). Zgoda wykorzystywana jest tu przede wszystkim do działalności marketingowej.

Polityka prywatności – jak spełnić obowiązek informacyjny RODO w sklepie internetowym 

Administrator sklepu internetowego spełnia obowiązek informacyjny poprzez wprowadzenie na stronę internetowa polityki prywatności. Informacje, jakie powinien on tam zawrzeć, znajdują się w art. 13 RODO, lecz dobra polityka prywatności nie jest jedynie spełnieniem tych wytycznych. Musi być przejrzysta, napisana w prosty sposób, aby osoba, której dane dotyczą, nie może mieć problemów ze znalezieniem najpotrzebniejszych wiadomości. Prostota również tutaj będzie najlepszym drogowskazem.

            Co zatem powinno znaleźć się w dokumencie polityki prywatności?

• dane administratora – nazwa firmy, imię nazwisko, adres, dane kontaktowe; a także informacje o powołaniu inspektora ochrony danych osobowych (jeśli został powołany)
• cele przetwarzania danych osobowych oraz podstawa prawna przetwarzania;
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
• informacje o przekazywaniu danych;
• informacja o prawach przysługującym osobom, których dane dotyczą, czyli: prawo dostępu do danych, prawo do ograniczenia przetwarzania danych, prawo do usunięcia danych, prawo do przenoszenia danych, prawo do wniesienia sprzeciwu do przetwarzania, prawo do wycofania zgody, wniesienia skargi do organu nadzorczego;
• okres, przez który dane osobowe będą przechowywane lub kryteria jego ustalenia;
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
• informację o zautomatyzowanym podejmowaniu decyzji/profilowaniu.

Pozyskanie zgody klienta na przetwarzanie danych osobowych w sklepie internetowym

Zgoda jest jedną z głównych podstaw przetwarzania danych osobowych wykorzystywanych w internecie przez przedsiębiorców. W branży e-commerce bywa ona najczęściej wykorzystywana do działań marketingowych. Opisane przez mnie powyżej warunki prawidłowo przeprowadzonej zgody – dobrowolność, jednoznaczność, wyrażenie jej w pełni świadomie – mimo że klarownie zawarte w art. 7 RODO, często nie są przestrzegane przez administratorów. W szczególności w przypadku plików cookies, czyli popularnych ciasteczek, stosowane są nielegalne praktyki w postaci utrudniania użytkownikom cofnięcia zgody na śledzenie ich ruchu w internecie. Domyślne zaznaczanie zgody na wszystkie warunki czy ukrywanie co ważniejszych opcji to tylko jedne ze stosowanych praktyk. Wiele w tej sprawie zmieniły jednak rozporządzenia DSA (Digital Services Act) oraz DMA (Digital Market Act).

Zgoda na wykorzystywanie plików cookies w sklepie internetowym

Pliki cookies są niewielkimi plikami tekstowymi, które stanowią swoisty ślad obecności na stronie internetowej konkretnej osoby. Innymi słowy są to pliki wysyłane do przeglądarki przez witrynę, w chwili naszych odwiedzin na niej. Służą do zapamiętaniu danych z odwiedzenia tej strony, dzięki czemu kiedy odwiedzimy ją ponownie będzie działać sprawniej „pod nas”, dostosowując się pod nasze preferencje. Dosyć wygodne, a jednocześnie jest to element profilowania osób, których dane dotyczą. Wyrażając zgodę na to otrzymujemy np. reklamy rzeczy, które faktycznie nas interesują, gdyż po prostu chwilę wcześniej szukaliśmy ich w sieci. Nic dziwnego, że tak chętnie korzystają z tego sklepy internetowe.

Od dnia 17 lutego 2024 r. w całej UE zaczął obowiązywać akt o usługach cyfrowych (wspominany DSA), natomiast chwilę wcześniej, bo w maju 2023 r., wszedł w życie akt o rynkach cyfrowych (DMA). Obydwa rozporządzenia nieco unormowały wykorzystywanie plików cookies.. Wprowadzane zasady nie dotyczą jedynie technologicznych gigantów, choć o nich jest najgłośniej. Właściwie każdy przedsiębiorca z branży e-commerce musi dostosować sposób uzyskiwania zgody na wykorzystywanie „ciasteczek”. Wymagania sprowadzają w sumie do jednego – uproszczenia i większej przejrzystości podanych informacji, tak aby osoba, której dane dotyczą, mogła wyrazić świadomą i dobrowolną zgodę. Belka z informacjami na temat wykorzystania plików cookie, która wyświetla się w momencie odwiedzenia witryny internetowej musi zawierać na jednym banerze możliwość jasnej zgody lub odmowy, informacje jak wykorzystywane są pliki cookies i dokładne opisanie ich oraz zgód. Ponadto domyślnie te zgody powinny być wyłączone, tak aby nie wpływać na wydaną zgodę. Należy także pamiętać, że na stronie sklepu internetowego powinna być także aktualna polityka plików cookies, w której użytkownik będzie w stanie znaleźć wszystkie niezbędne informacje.

Profilowanie w działaniach marketingowych w sklepie online – jakie są podstawy przetwarzania danych? 

Profilowanie ma na celu jak najlepsze poznanie klienta, aby być w stanie przewidywać jego potrzeby. Cechą immanentną profilowania jest to, że polega ono na dowolnym zautomatyzowanym przetwarzaniu danych osobowych, które pozwala ocenić czynniki osobowe osoby fizycznej, a w szczególności analizować lub prognozować aspekty dotyczące efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji lub zainteresowań, wiarygodności lub zachowania, lokalizacji lub przemieszczania się osoby, której dane dotyczą. Często jest ono wykorzystywane właśnie do działań marketingowych.

Podstawą takich działań wykorzystywanych w programach lojalnościowych, z których osoby, których dane dotyczą, czerpią korzyści (w zasadzie taka jest ich idea) jest najczęściej uzasadniony interes administratora lub umowa. Na potrzeby marketingowych kontaktów mailowych czy smsowych potrzebna będzie natomiast zgoda klienta, co wynika z ustawy o świadczeniu usług drogą elektroniczną oraz prawa telekomunikacyjnego.

Bardzo ważne jest w wypadku profilowania, aby uczestnicy programów lojalnościowych mieli klarownie przedstawione zasady – za co otrzymują specjalne, indywidualne oferty. Przypomnijmy, że osoba, której dane dotyczą, ma prawo do sprzeciwu, czyli do tego, żeby nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu danych (art. 22). Poza tym przedsiębiorcy wykorzystujący profilowanie w działaniach marketingowych muszą wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapobiec ewentualnej dyskryminacji osób fizycznych. Ryzyko opiera się na wyciąganiu nieprawdziwych wniosków z uzyskanych wyników opartych wyłącznie na zautomatyzowanym przetwarzaniu danych.

Rejestr czynności, klauzule i dokumenty – o czym przedsiębiorca powinien pamiętać przy wewnętrznej dokumentacji RODO dla sklepu internetowego?

Poza zewnętrzną dokumentacją, czyli tą udostępnianą klientowi, sklep internetowy musi również posiadać dokumentację wewnętrzną. Tworzy się ją z myślą o współpracujących z przedsiębiorstwem firmach czy pracownikach, w celu zapewnienia zgodnej z RODO działalności firmy. Do takiej dokumentacji należą m.in.:

• polityka bezpieczeństwa – polityka ochrony danych osobowych;
• polityka naruszeń ochrony danych osobowych;
• polityka reagowania na wnioski podmiotów danych;
• klauzule informacyjne – wzory klauzul dla różnych grup podmiotów i w razie potrzeby dostosowywane je do różnych kategorii odbiorców;
• analiza ryzyka i ocena skutków dla ochrony danych;
• umowy powierzenia danych osobowych (np. z zewnętrznymi firmami księgowymi, dostawcami narzędzi IT);
• upoważnienia do przetwarzania danych osobowych – wszyscy dopuszczeni do danych osobowych muszą mieć takie upoważnienie oraz muszą być zobowiązani do zachowania poufności;
• rejestr osób, które są upoważnione do przetwarzania danych osobowych;
• instrukcja zarządzania systemami informatycznymi – np. jak robić kopie zapasowe, jakie stosować hasła, jak używać w sposób bezpieczny systemów informatycznych;
• rejestr czynności przetwarzania oraz kategorii czynności przetwarzania danych osobowych.

Powyższy katalog ma częściowo charakter przykładowy. Dokumentacja wewnętrzna powinna być dostosowana do konkretnego przedsiębiorstwa i jego specyfiki. Zakres dokumentacji może być nieco inny w zależności od branży, w jakiej działa firma, a także skali tej działalności. Z tego względu warto jest przeprowadzić tzw. audyt ochrony danych osobowych w firmie.

Audyt RODO

Audyt RODO w firmie, czyli audyt ochrony danych osobowych, polega na kompleksowym zbadaniu całości działania firmy pod kątem bezpieczeństwa przetwarzania danych osobowych. W trakcie audytu należy przeanalizować poszczególne elementy działalności i zbadać, w jaki sposób zbierane są dane osobowe i w jaki sposób następnie są one przetwarzane czy wprowadzone są odpowiednie okresy retencji danych i czy dane osobowe są po tych okresach usuwane. W ramach audytu konieczne jest przeanalizowanie dokumentów stosowanych w firmie – zarówno dokumentów z zakresu ochrony danych osobowych, ale także innych, dotyczących ogólnych kwestii, a także sprawdzenie strony internetowej firmy oraz weryfikacja stosowanych w firmie narzędzi i praktyk.  Celem audytu jest ocena całości działalności firmy pod kątem zapewnienia należytej ochrony danych osobowych. Dopiero po przeprowadzeniu audytu można stwierdzić, jaką dokumentację RODO (zarówno wewnętrzną, jak i skierowaną do klientów i kontrahentów) dana firma powinna wdrożyć.

Zapewnić klientowi komfort

W całej operacji wdrażania RODO w witrynie internetowej, jaką jest sklep internetowy, chodzi nie tylko o samo przestrzeganie przepisów, ale przede wszystkim o to, do czego to ono prowadzi, a mianowicie do poczucia bezpieczeństwa klienta, który odwiedza naszą stronę. Dlatego tak istotna jest jasność komunikatu, unikanie zgubienia się w bełkotliwej treści przepisu, a w jej miejsce oferowanie klarownych i zrozumiałych informacji. Klient musi z łatwością móc odnaleźć się na stronie – nie tylko w celu znajdowania interesujących go towarów, ale także w wypadku, jeśli szuka informacji o administratorze, wzoru reklamacji czy odstąpienia od umowy. Musi mieć jasny przekaz na co się zgadza oraz wprost podaną możliwość braku wyrażenia zgody. Administrator sklepu internetowego musi nie tylko zadbać o obecność na stronie wszystkich wymaganych przepisów, lecz przede wszystkim zapewnić, formą przekazania, ich użyteczność i dostępność. 

Artykuł RODO dla sklepu internetowego – jak zabezpieczyć się w branży e-commerce? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.