Mobbing stanowi poważny problem i duże wyzwanie dla każdego pracodawcy. Grozi nie tylko rozbiciem zespołu pracowniczego, grzywnami, ale przede wszystkim z pozwami sądowymi, z jakimi będzie musiał zmierzyć się każdy pracodawca, który zaniedba ten temat w swojej organizacji. Same przepisy narzucają już na pracodawcę obowiązek przeciwdziałania mobbingowi. Jednak jakie działania podjąć? Które z nich są konieczne, a które z nich po prostu skuteczne? Czy w tworzeniu polityki antymobbingowej potrzebna jest kancelaria prawna? Na te i na inne pytania postaram się w niniejszym tekście odpowiedzieć.

Czym jest zjawisko mobbingu w miejscu pracy – definicja 

Zgodnie z obowiązującymi przepisami Kodeksu pracy mobbing można określić jako działania lub zachowania dotyczące pracownika lub skierowane przeciwko pracownikowi, które polegają na uporczywym i długotrwałym nękaniu lub zastraszaniu pracownika. Takie działanie wywołuje u niego zaniżoną ocenę przydatności zawodowej, poniżenie lub ośmieszenie, izolowanie lub wyeliminowanie go z zespołu pracowników (art. 94³ k.p.).

Jak to przykładowo może wyglądać w praktyce?

• obraźliwe komentarze, groźby, ciągła krytyka pracownika;
• publiczne poniżane, ośmieszanie;
• nadmierne przeciążenie pracą;
• celowy brak przydzielenia zadania pracownikowi;
• dyskryminacja.

Mobbing może wywołać u pracownika negatywne skutki zdrowotne, w związku z czym może on dochodzić od pracodawcy zadośćuczynienia, odszkodowania, a nawet ma prawo rozwiązać umowę o pracę na skutek mobbingu.

ZAPAMIĘTAJ, że mobbing stanowi uporczywe i długotrwałe zachowanie na szkodę pracownika!

Projekt zmian w Kodeksie pracy

Od początku 2025 r. trwają prace nad projektem zmian w Kodeksie pracy, które dotyczyć będą problemu mobbingu w miejscu pracy. W czerwcu pojawiła się druga wersja projektu, która proponuje między innymi[1]:

• doprecyzowanie w przepisach pojęcia mobbingu, z podkreśleniem jego charakteru, czyli powtarzalności i uporczywości;
• oddzielenie mobbingu od zdarzeń incydentalnych;
• wzięcie pod uwagę, przy ocenie mobbingu, subiektywnych odczuć lub reakcji pracownika, gdy są one racjonalne;
• wprowadzenie pojęcia mobbingu kierowniczego – polegający na nakazaniu innej osobie zachowań, będących przejawem mobbingu, a także zachęcanie do takich zachowań;
• wprowadzenie pojęcia mobbingu nieumyślnego – nieumyślne zachowania wobec pracownika, które mogłyby wywołać konkretny skutek, niezależnie od faktycznego wystąpienia tego skutku;
• wprowadzenie możliwości dochodzenia od pracodawcy zadośćuczynienia lub odszkodowanie nie tylko w momencie w sytuacji, gdy mobbing wywołał negatywne skutki zdrowotne.

Data wejścia projektowanych zmian planowana jest 3 kwartał 2025 r., choć termin ten wydaje się mało prawdopodobny. Z pewnością będzie o nich więcej pisać na naszym blogu, gdy tylko pojawią się jakieś konkrety.

[1] https://legislacja.gov.pl/projekt/12393651.

Przeciwdziałanie mobbingowi, czyli antymobbing w praktyce – co może pracodawca? 

Pracodawca ma obowiązek przeciwdziałać mobbingowi, jednak ustawa nie narzuca w żaden sposób konkretnych działań, które powinny być w tym celu podjęte. Kluczowe będzie opracowanie systemowych rozwiązań w zakresie przeciwdziałania nierównemu traktowaniu i zjawiskom mobbingu. Z pewnością muszą być one przede wszystkim skuteczne, a ich charakter można rozróżnić na:

• procedury profilaktyczne-prewencyjne;
• postępowanie skargowe – w jaki sposób oraz kogo osoba poszkodowana może zawiadomić o incydencie;
• postępowanie po wykryciu mobbingu lub otrzymaniu skargi.

Co zatem może pracodawca i jak powinien działać w celu zapobiegania mobbingowi?

Czym jest polityka antymobbingowa? 

Przepisy nie określają pojęcia polityki mobbingowej, mówią jedynie o obowiązku pracodawcy w przeciwdziałaniu występowania zjawisku mobbingu. W pewnym sensie można potraktować to jako pewną dowolność w działaniach pracodawcy, ale jednocześnie należy pamiętać, że ten sam Kodeks pracy wyraźnie obarcza właśnie osobę pracodawcy odpowiedzialnością i ewentualnymi konsekwencjami w postaci konieczności wypłacania odszkodowania i zadość uczynienia mobbingowanemu pracownikowi. Dlatego dobrym rozwiązaniem może być tutaj wprowadzenie polityki antymobbingowej, czyli zgromadzenie w jednym miejscu wszelkich wskazań, regulacji, wewnętrznych przepisów firmy w zakresie spraw przeciwdziałania mobbingowi i naruszeniom praw osób wykonujących obowiązku zawodowe. Samo posiadanie takiego dokumentu jednak nie wystarczy, gdyż kluczowe jest zaznajomienie z nimi każdego pracownika – na przykład podpisanie się przez pracowników pod znajomością polityki antymobbingowej może z pewnością pomóc pracodawcy w wypadku oskarżeń o mobbing w miejscu pracy lub już w samej sprawie sądowej.

Co zawiera polityka antymobbingowa?

Polityka antymobbingowa powinna określać wszystkie działania, jakie podejmowane są w firmie w celu zapobiegania przypadkom mobbingu oraz wyznaczenia dokładnej procedury skargowej, aby mobbingowany pracownik nie miał problemów ze zgłoszeniem. Dobrym pomysłem będzie zasięgnięcie pomocy w doświadczonej w prawie pracy kancelarii prawnej.

Jakie elementy powinien zatem zawrzeć w polityce antymobbingowej pracodawca?

• zapoznanie z treścią polityki wszystkich pracowników – przydatny będzie podpis potwierdzający od każdego pracownika przechowywany w aktach osobowych;
• zapewnienie pracownikom pomocy psychologicznej, medycznej, a nawet prawnej – takie działania ochronne mogą dotyczyć profilaktyki, jak i zarówno sytuacji, gdy do mobbingu już doszło;
• dokładne zdefiniowanie pojęcia mobbingu w oparciu o obowiązujące przepisy;
• być może opis konsekwencji, sankcji, które mogłyby zostać podjęte wobec mobbera (np. możliwość wypowiedzenia lub rozwiązania umowy, pociągnięcie do odpowiedzialności);
• opis procedury złożenia skargi przez mobbingowanego pracownika do pracodawcy – umożliwienie takiego działania i zaznajomienie z nim każdego pracownika;
• wprowadzenie komisji antymobbingowej.

Elementem przeciwdziałania mobbingowi jest także podniesienie świadomości pracowników – organizowanie szkoleń nie tylko kadry HR, ale systematycznie organizowanie ich we wszystkich działach. Nadto, pracodawca powinien pamiętać o wypełnieniu obowiązku informacyjnego przewidzianego w przepisach w stosunku do pracowników. Zgodnie z art. 94¹ Kodeksu pracy pracodawca udostępnia pracownikom tekst przepisów dotyczących równego traktowania w zatrudnieniu w formie pisemnej informacji rozpowszechnionej na terenie zakładu pracy lub zapewnia pracownikom dostęp do tych przepisów w inny sposób przyjęty u danego pracodawcy.

Czym jest komisja antymobbingowa?

Składane przez pracowników skargi dotyczące mobbingu muszą być przez kogoś rozpatrywane i tym kimś nie musi być jedna osoba w postaci pracodawcy. Aby zapewnić odpowiedni poziom obiektywizmu pracodawca może powołać komisję antymobbingową, czyli w pewnym sensie zespół do spraw przeciwdziałania mobbingowi. Może być ona wyznaczana na dłuższy okres, może również stanowić doraźne wsparcie, czyli określone osoby powoływane są do niej na wypadek pojawienia się skargi. 

Jakimi cechami charakteryzować się komisja antymobbingowa?

• powinna być niezależna;
• bezstronna;
• przeszkolona w tematyce mobbingu.

Im bardziej kompetentne i bezstronne są osoby wybrane przez pracodawcę, tym w korzystniejszym świetle wypadnie on sam, kiedy decyzje komisji byłyby rozpatrywane na wypadek sprawy sądowej.

Nie ma też wcale konieczności, aby osoby wchodzące w skład komisji były członkami danej firmy – nie ma przepisu, który wymuszałby na pracodawcy taki wybór.

Pracodawca zapewnia w polityce, aby wybrane osoby były bezstronne poprzez wyłączenie z możliwości udziału w takiej komisji osób, które mogłyby być zainteresowane wynikiem postępowania. Przykładowe uregulowania mogą np. wykluczać z udziału w komisji osoby sprawcy i wnioskodawcy, ale także osoby powiązane z nimi (np. więzami rodzinnymi, czy koleżeńskimi). Uregulowania w tym zakresie będą zależały od pracodawcy oraz od specyfiki jego działalności.

Przebieg Postępowania Przed Komisją

Zazwyczaj polityka antymobbingowa zawiera szczegółowe uregulowanie w zakresie przebiegu oraz etapów postępowania przed Komisją. Polityka może w szczególności określać sposób procedowania, uprawnienia do przeprowadzenia określonych dowodów, czy wymagany termin zakończenia postępowania. Dodatkowo, polityka może także wskazywać na możliwe do zastosowania działania korekcyjne lub następcze, które mogą być rekomendowane kierownictwu firmy przez Komisję antymobbingową. Przykładowym działaniem następczym, w przypadku potwierdzenia przez Komisję wystąpienia mobbingu, może być zastosowanie sankcji dyscyplinarnych w stosunku do Pracownika, będącego sprawcą takich zachowań. Dodatkowo, Polityka może określać także obowiązek Pracodawcy do podejmowania działań, które będą nakierowane na zapobieganie podobnym zdarzeniom w przyszłości.

Co grozi za mobbing dla pracodawcy?

Zgodnie z obowiązującymi przepisami pracodawca może ponieść szeroko pojętą odpowiedzialność za mobbing – nie tylko w sytuacji, gdy sam personalnie za niego odpowiada, ale przede wszystkim, gdy dochodzi do niego w jego zakładzie pracy. Mogą go spotkać konsekwencje prawne, finansowe oraz wizerunkowe.

Co zatem grozi pracodawcy?

• wypłata odszkodowania, do żądania którego ma prawo mobbingowany pracownik;
• zadośćuczynienie za poniesione krzywdy, co w praktyce może wiązać się z wysokimi kwotami;
• odpowiedzialność karna i administracyjna;
• ryzyko procesu cywilnego – np. za naruszenie godności czy dobrego imienia mobbingowanego pracownika;
• utrata reputacji i rozbicie zespołu pracowniczego, co w konsekwencji wiąże się ze stratami finansowymi.  

Pytania i odpowiedzi

Poniżej przedstawiamy kilka najczęstszych pytań oraz odpowiedzi na temat mobbingu w miejscu pracy oraz polityki antymobbingowej przyjętej przez pracodawcę.

Czy polityka antymobbingowa jest obowiązkowa? 

Nie jest obowiązkowa. Kodeks pracy w tej kwestii daje pewną dowolność, ale jednocześnie nakłada obowiązek na pracodawcę, aby przeciwdziałał mobbingowi (art. 94³ §1 k.p.). Brak polityki antymobbingowej nie będzie z pewnością korzystny dla żadnego pracodawcy.

Czy mobbing może występować pomiędzy pracownikami?

Do mobbingu nie dochodzi tylko na linii pracodawca-pracownik, ale również może się on zdarzyć pomiędzy współpracownikami.

Czy pracodawca jest odpowiedzialny za mobbing? 

Tak, Kodeks pracy obecnie stawia pracodawcę w pozycji osoby, która ponosi odpowiedzialność za mobbing, którego dopuścił się jeden z jego pracowników. Mobbingowany pracownik może żądać właśnie od pracodawcy zadośćuczynienia albo odszkodowania (art. 94³ §3 i §4 k.p.).

Ile wynosi odszkodowanie za mobbing?

Minimalna wysokość odszkodowania, jakiego mobbingowany pracownik może dochodzić od pracodawcy wynosi nie mniej niż minimalne wynagrodzenie za pracę, czyli w w2025 r. 4666 zł – ustawa nie określa górnej granicy (art. 94³ §4).

Czy jednorazowy konflikt może być mobbingiem?

Zgodnie z definicją mobbingu jednorazowy konflikt czy też problematyczne zachowanie wymienione powyżej, nie jest mobbingiem, gdyż zgodnie z treścią ustawy musi być to zachowanie uporczywe i długotrwałe.

Czy stanowisko organizacji związkowej jest konieczne do wprowadzenia polityki antymobbingowej?

Pracodawca nie ma obowiązku brać pod uwagę stanowiska organizacji związkowej przy ustalaniu polityki antymobbingowej, lecz jest to jak najbardziej wskazane, gdyż pracodawca jest obowiązany szanować godność i inne dobra osobiste każdego pracownika (art. 11¹ k.p.).

Jak kancelaria prawna może pomóc firmie stworzyć politykę antymobbingową? 

Pomoc kancelarii prawnej w przygotowaniu polityki antymobbingowej stanowi nie tylko inwestycję w bezpieczeństwo firmy i pracowników, ale realne, często wręcz konieczne, wsparcie dla każdego pracodawcy. Stworzenie polityki antymobbingowej wspierającej profilaktyczne działania związane z występowaniem zjawiska mobbingu to jedno; drugą sprawą, nie mniej ważną jest stałe dostosowywanie ich do bieżących przepisów i aktywność w sferze dbania o środowisko społeczne własnej firmy oraz świadomość wszystkich pracowników.

Zaznajomiona z tematem prawa pracy kancelaria prawna pomoże:

• w przeprowadzanym systematycznie audycie wewnętrznym;
• w organizacji szkoleń dla pracowników oraz kadry;
• w reprezentacji pracodawcy przed sądem;
• w decyzjach komisji antymobbingowej;
• podczas kontroli PIP;
• i będzie służyć wsparciem pracodawcy podczas postępowania przy oskarżeniu o mobbing.

Profesjonalna obsługa prawna będzie stanowić realne wsparcie dla firmy w przygotowaniu, a także wdrażaniu polityki antymobbingowej, a przede wszystkim pomoże uchronić pracodawcę przed wysokimi karami i grzywnami.    

Artykuł Polityka antymobbingowa w Twojej firmie – o co zadbać, aby uskutecznić antymobbing i nie skończyć w sądzie? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Jakie działania pracodawca powinien podejmować, żeby zminimalizować ryzyko pozwu? Na co powinno się zwrócić uwagę i co koniecznie wiedzieć przy ustalaniu stosunku pracy? Czym przede wszystkim różni się umowa o pracę a umowa cywilnoprawna? O tym o innych aspektach sprawy o ustalenie istnienia stosunku pracy postaram się opowiedzieć w poniższym tekście. 

Kodeks pracy i Kodeks cywilny 

Podstawą prawną dla ustalania umowy o pracę z pracownikiem jest Kodeks pracy. To on definiuje stosunek pracy, wskazuje obowiązki pracodawcy oraz pracownika. Natomiast stosunek cywilnoprawny wiąże się z podpisaniem umowy, którą regulują przepisy Kodeksu cywilnego. Jak to wygląda na przykładzie konkretnych przepisów?

Istnienie stosunku pracy – przepisy 

Istnienie stosunku pracy reguluje art. 22 §1 k.p. Aby odpowiedzieć na pytanie czy wykonywana praca stanowi stosunek pracy, koniecznie należy wykazać czy jest nią:

• wykonywanie pracy określonego rodzaju na rzecz pracodawcy;
• wykonywanie pracy pod kierownictwem pracodawcy;
• wykonywanie pracy w określonym miejscu i czasie wyznaczonym przez pracodawcę;
• wykonywanie pracy odpłatnie. 

Zatrudnienie na takich warunkach jest zatrudnieniem na podstawie stosunku pracy, bez względu na nazwę zawartej przez strony umowy (art. 22 §1¹).

ZAPAMIĘTAJ, że nie jest dopuszczalne zastąpienie umowy o pracę umową cywilnoprawną przy zachowaniu warunków wykonywania pracy, które zostały wymienione powyżej (art. 22 §1²).

Umowa cywilnoprawna – przepisy 

Natomiast w sytuacji, gdy pracownik jest zatrudniony na podstawie innej umowy niż umowa o pracę, czyli umowy cywilnoprawnej, to wtedy regulującymi ją przepisami jest Kodeks cywilny. Umowa cywilnoprawna może mieć przykładowo kształt umowy o dzieło, zlecenia, może być także umową zawieraną pomiędzy przedsiębiorcami (B2B). Mając na uwadze, że zazwyczaj taka umowa opiera się w znacznej mierze o przepisy dotyczące zlecenia to moja analiza będzie dotyczyć właśnie tych przepisów. Przepisy mówiące na temat umowy zlecenia stanowią art. 734 do 751 kodeksu cywilnego. Umowa zlecenie polega na tym, że przyjmujący zlecenie zobowiązuje się do dokonania określonej czynności prawnej dla dającego zlecenie (art. 734 §1). Kodeks zezwala na to, aby umowa zlecenie nie wiązała się z wynagrodzeniem dla wykonującego to zlecenie, ale podkreśla, że jeśli umowa nie mówi inaczej, ani nie wynika tak z okoliczności, to za wykonanie zlecenie należy się wynagrodzenie zgodne z taryfą lub odpowiadające wykonanej pracy (art. 735 §1 i 2).  Co do zasady zatem, jeśli nie umówiono się inaczej, zlecenie ma charakter odpłatny.

Przepisy wyraźne podkreślają też sposób rozliczania się za wykonane zlecenie. Jeżeli wykonanie zlecenia wymaga wydatków, dający zlecenie powinien na żądanie przyjmującego udzielić mu odpowiedniej zaliczki (art. 743). Natomiast wynagrodzenie za wykonane zlecenie należy się należy się przyjmującemu dopiero po wykonaniu zlecenia, chyba że co innego wynika z zawartej z pracodawcą umowy lub z przepisów szczególnych (art. 744).

Najważniejsze różnice pomiędzy umową o pracę a umową cywilnoprawną 

Podstawowymi różnicami pomiędzy umową o pracę a umową zlecenia, czy też w ogóle umową cywilnoprawną są:

• skutek wykonywanej pracy – w umowie zleceniu, o dzieło i B2B liczy się przede wszystkim czy przyjęte zlecenie jest wykonane, brak wykonania oznaczać będzie brak wypełnienia umowy, a zatem brak wynagrodzenia, natomiast jeśli w umowie o pracę zlecone zadanie nie zostanie wykonane ze względów, które są poza wpływem pracownika, to wcale nie oznacza to braku wypłaty;
• dobrowolność doboru środków i metod w zakresie wykonania zadania – osoba, która wykonuje zlecenie samodzielnie decyduje o tym, w jaki sposób wykona zlecenie, natomiast pracownik zobowiązuje się do wykonywania pracy pod kierownictwem pracodawcy;
• ponoszenie ryzyka za wykonywaną pracę – w wypadku umowy o pracę całą odpowiedzialność finansową, techniczną itd. ponosi pracodawca, a pracownik co do zasady ponosi odpowiedzialność do wysokości 3-krotności wynagrodzenia, a przy umowie cywilnoprawnej odpowiedzialność zleceniobiorcy jest w pełnej wysokości (przy czym może zostać ograniczona umownie);
• podporządkowanie się świadczeniu pracy – czas i miejsce pracy w przypadku pracownika wyznacza pracodawca, podczas gdy w przypadku umowy zlecenia zleceniobiorca samodzielnie planuje swoją pracę.

Jak uniknąć pozwu o ustalenie istnienia stosunku pracy 

Pozew ze strony współpracownika jest czymś, czego z pewnością każdy pracodawca chciałby uniknąć. Ten związany z ustaleniem istnienia stosunku pracy wiąże się nie tylko z koniecznością poniesienia kosztów procesowych czy niebezpieczeństwem negatywnej opinii na rynku pracy, ale również z prawdopodobieństwem wypłacenia roszczeń powodowi. Co do wartości przedmiotu sporu – pracownik może w szczególności wystąpić przeciwko pracodawcy o wynagrodzenie za nadgodziny, może żądać udzielenia zaległego urlopu wypoczynkowego, a pracodawca musi wówczas wypełnić zaległe zobowiązania wobec takiego pracownika. Uznanie umowy cywilnoprawnej za umowę o pracę powoduje także konieczność opłacenia zaległych składek ZUS .  Na co przedsiębiorca powinien zwrócić uwagę, aby uniknąć wytoczenia pozwu o ustalenie stosunku pracy i późniejszych problemów związanych z nieprawidłową konstrukcją umowy? 

Porady dla pracodawców

Kluczowe dla pracodawcy jest prawidłowe skonstruowanie umowy tak, aby podpisując z pracownikiem umowę cywilnoprawną, unikać jakichkolwiek elementów typowych dla umowy o pracę. Oto kilka wskazówek, jakie można zastosować:

• skonsultuj się z wykwalifikowanym w prawie pracy prawnikiem;
• przeprowadzaj audyt umów, tak aby były one zgodne z obowiązującymi przepisami;
• stosuj wypłaty wynagrodzenia pracownikowi za rezultat wykonanej pracy;
• nie wprowadzaj w umowie elementów charakterystycznych dla stosunku pracy, jak np. urlop, polecenia służbowe pracodawcy i pod jego kierownictwem, grafik godzin pracy;
• unikaj podporządkowania – podkreślaj samodzielność wykonawcy, nie narzucaj sztywnych godzin pracy, nie wskazuj zadań i nie organizuj procesu ich realizacji;
• zadbaj, aby zapisane umowa miała faktyczne odzwierciedlenie w praktyce.

PAMIĘTAJ, że to nie nazwa umowy jest decydująca, ale charakter podpisanej umowy!

Uzasadnienie pozwu – kto musi udowodnić istnienie stosunku pracy?

Ciężar udowodnienia istnienia stosunku pracy spoczywa powodzie, czyli na współpracowniku, który składa pozew do sądu. Pracodawca musi jednak pamiętać, jak ważne jest, żeby zadbał o stosowne udokumentowanie swoich działań, gdyż w ten sposób łatwiej będzie mu udowodnić wypełnienie obowiązków ze swojej strony.

Dotychczasowe wyroki sądu – czego się spodziewać? 

Nieco problematyczny może okazać się fakt, że pomimo wyraźnych różnic pomiędzy rodzajami stosunków prawnych, nie zawsze daje się je łatwo rozróżnić.

• Przykładowo wyrok z uzasadnieniem Sądu Rejonowego Gdańsk-Południe w Gdańsku z dnia 7 maja 2018 r. (VI P 153/17), który dotyczył ustalenia stosunku pracy – potwierdza on, że sama nazwa umowy nie przesądza o jej charakterze prawnym.  Umowy o różnym charakterze mogą dotyczyć tych samych obowiązków. Ważne jest, który charakter dominuje – pracowniczy czy cywilny;
• Wyrok Sądu Najwyższego z dnia 30 listopada 2023 r. III PSK 3/23 dotyczy sądowego badania czy dany stosunkiem prawny jest stosunkiem pracy (w kontekście rozróżnienia z umową zlecenie);
• Wyrok Sądu Okręgowego w Łodzi VIII Wydział Pracy i Ubezpieczeń Społecznych VIII Pa 21/17 dotyczy wynagrodzenia za pracę w godzinach nadliczbowych oraz ustalenia stosunku pracy.

Z powyższego wynika, że niekiedy o rozróżnieniu umowy cywilnoprawnej od umowy o pracę mogą decydować niuanse, a kwalifikacja może nastręczać trudności. Z tego względu ważne jest, aby sformułować umowę odpowiednio, tj. z uwzględnieniem przedstawionych przeze mnie w niniejszym artykule zasad, a w razie wątpliwości skonsultować się z prawnikiem.

Jak przygotować się na kontrolę PIP? 

Od 1 czerwca 2025 r., wraz z ustawą o warunkach dopuszczalności powierzania pracy cudzoziemcom na terytorium Rzeczypospolitej Polskiej wprowadzono zmiany do art. 48 ustawy prawo przedsiębiorców, które wprowadzają możliwość niezapowiedzianych kontroli Państwowej Inspekcji Pracy. Kary grzywny za nieprawidłowe ustanowienie stosunku pracy mogą wynieść do 30 tys. zł (art. 281 §1 k. p.). Warto, aby każdy przedsiębiorca przygotował się na taką sytuację – jak to zrobić?

• w pierwszej kolejności najlepszym sposobem jest ścisła współpraca z wykwalifikowaną w prawie pracy kancelarią prawną;
• wykorzystując taką współpracę warto dokonać analizy, audytu wszystkich umów cywilnoprawnych;
• dopilnowanie, żeby podpisane umowy miały przełożenie na rzeczywistość – zleceniobiorcy powinny znać i rozumieć treść umów;
• compliance – stosownie do realiów prowadzona polityka zatrudnienia;
• odpowiednie przeszkolenie kadry.  

Na marginesie należy dodać, że w wykazie prac Rady Ministrów pojawiły się założenia projektu, zgodnie z którym Państwowa Inspekcja Pracy ma uzyskać możliwość zmieniania umowy cywilnoprawnej w umowę o pracę na podstawie decyzji administracyjnej[1]. Na dzień pisania tego artykułu nie poznaliśmy jeszcze treści proponowanej ustawy, stąd nie wiadomo, jakie będą przesłanki zastosowania tego typu narzędzia przez PIP.

[1] https://www.gov.pl/web/premier/projekt-ustawy-o-zmianie-ustawy-o-panstwowej-inspekcji-pracy-oraz-niektorych-innych-ustaw

Pytania i odpowiedzi

Poniżej przedstawiamy kilka najczęstszych pytań oraz odpowiedzi na temat pozwu o ustalenie istnienia stosunku pracy.

Jaki jest termin na wniesienie pozwu o ustalenie istnienia stosunku pracy?

Zgodnie z art. 186 Kodeksu postępowania cywilnego pracownik może złożyć pozew o ustalenie istnienia związania z pracodawcą stosunkiem pracy dopóki ma w tym interes prawny – nie ma zatem ograniczenia czasowego.

Jakie odszkodowanie przysługuje w wyniku powództwa o ustalenie istnienia stosunku pracy?

Kiedy pracownik wygra proces może mu przysługiwać odszkodowanie między innymi za okres wypowiedzenia (gdy pracodawca rozwiązał umowę), za niezgodne z prawem wypowiedzenie umowy o pracę, za pracę w godzinach nadliczbowych, za nie wydanie świadectwa pracy w terminie czy ekwiwalent za urlop. 

Kiedy następuje przedawnienie pozwu o ustalenie istnienia stosunku pracy?

Pozew o ustalenie istnienia stosunku pracy nie ulega przedawnieniu (art. 186 k.c.), za to przedawnieniu mogą ulec roszczenia ze stosunku pracy ulegają przedawnieniu z upływem 3 lat od dnia, w którym roszczenie stało się wymagalne (art. 291 §1 k.p.).

Kiedy przysługuje wypłata zaległego wynagrodzenia przy pozwie o ustalenie istnienia stosunku pracy?

Wypłata zaległego wynagrodzenia przysługuje pracownikowi po korzystnym dla niego wyroku sądu w terminie od dnia, w którym stało się ono wymagalne. Roszczenie po 3 latach ulega przedawnieniu (art. 291 §1 k.p.). 

Czy inspektor pracy może wnieść pozew o ustalenie istnienia stosunku pracy?

Inspektor pracy może, np. w wyniku kontroli PIP, wnieść pozew o ustalenie istnienia stosunku pracy (art. 10, ust. 1 pkt 11 i art. 33 ust. 1 pkt 3 ustawy o PIP). Może też za zgodą osoby zainteresowanej uczestniczyć w postępowaniu przed sądem pracy. Co więcej samo wniesienie powództwa nie wymaga zgody osoby, na rzecz której inspektor pracy występuje.

Jak nasza kancelaria może pomóc Twojej firmie?

Współpraca z kancelarią prawną, rozpoczęta nie w akcji ratunkowej tuż przed kontrolą PIP, ale już o wiele wcześniej pozwoli przygotować i przede wszystkim zabezpieczyć firmę na wypadek ewentualnych konfliktów z pracownikami lub problemów z inspektorem pracy. Dobry prawnik stanowi nie tylko solidne wsparcie przy audytach umów, ale pozwoli również wdrożyć odpowiednio wcześnie politykę zatrudniania zgodną z obecnymi przepisami. Ostatecznie wsparcie przy kontroli PIP przy reprezentacja w sądzie pracy będzie tym skuteczniejsza, gdy zajmie się nią prawnik znający dobrze realia Twojej firmy. Kancelaria pomoże również w organizacji szkoleń w Twojej firmie oraz będzie stanowić nieodzowną pomoc przy przygotowywania ugód czy podczas negocjacji z pracownikami. Warto zainwestować, aby zminimalizować późniejsze ryzyko finansowe.

Artykuł Pozew o ustalenie istnienia stosunku pracy a umowa cywilnoprawna – jak chronić się przed ryzykiem powództwa w 2025 roku? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Co się zmienia?

Zmieniony został m.in. art. 477² §2 kpc, a dokładniej został wyjęty z niego kluczowy fragment – fraza „sąd na wniosek pracownika może w wyroku nałożyć” została zmieniona na:

„§2. Uznając wypowiedzenie umowy o pracę za bezskuteczne albo przywracając pracownika do pracy, sąd na wniosek pracownika nakłada w wyroku na pracodawcę obowiązek dalszego zatrudnienia pracownika do czasu prawomocnego zakończenia postępowania.”

W związku z tym został dodany również art. 755⁵, którego §1 brzmi:

„W sprawach z zakresu prawa pracy, w których pracownik podlegający szczególnej ochronie przed rozwiązaniem stosunku pracy za wypowiedzeniem lub bez wypowiedzenia dochodzi roszczenia o uznanie wypowiedzenia stosunku pracy za bezskuteczne lub o przywrócenie do pracy, sąd na wniosek uprawnionego na każdym etapie postępowania udzieli zabezpieczenia przez nakazanie dalszego zatrudnienia go przez pracodawcę do czasu prawomocnego zakończenia postępowania. Podstawą udzielenia zabezpieczenia jest jedynie uprawdopodobnienie istnienia roszczenia. Sąd może odmówić udzielenia zabezpieczenia wyłącznie w sytuacji, gdy roszczenie jest oczywiście bezzasadne”.

W praktyce doprowadzi to do tego, że pracodawca w takich przypadkach będzie musiał dalej zatrudniać osobę (pracownika podlegającego szczególnej ochronie), która złoży taki wniosek – aż do otrzymania wyroku w tej sprawie. Sąd może odmówić udzielenia zabezpieczenia wyłącznie wtedy, kiedy roszczenie jest oczywiście bezzasadne, a poza tym wyjątkiem zobowiązany będzie do udzielenia zabezpieczenia. Wygląda na to, że w wypadku, gdy nawet będzie to pracownik, który szkodzi firmie, to pracodawca będzie zobowiązany do jego dalszego zatrudniania.

Uchylenie zabezpieczenia

Uchylenie zabezpieczenia będzie możliwe, jeśli pracodawca wykaże, że po udzieleniu zabezpieczenia zaistniały przesłanki, o których mowa w art. 52 § 1 Kodeksu pracy:

1) ciężkiego naruszenia przez pracownika podstawowych obowiązków pracowniczych;

2) popełnienia przez pracownika w czasie trwania umowy o pracę przestępstwa, które uniemożliwia dalsze zatrudnianie go na zajmowanym stanowisku, jeżeli przestępstwo jest oczywiste lub zostało stwierdzone prawomocnym wyrokiem;

3) zawinionej przez pracownika utraty uprawnień koniecznych do wykonywania pracy na zajmowanym stanowisku.

Wydaje się wobec powyższego, że uchylenie zabezpieczenia będzie należało do rzadkości.

Pracownicy podlegający szczególnej ochronie

Wprowadzane zmiany nie dotyczą jednak wszystkich pracowników, a jedynie pracowników należących do grup podlegających szczególnej ochronie. Do grupy pracowników podlegających szczególnej ochronie zalicza się m.in.:

– kobiety w ciąży;

– rodziców na urlopach (macierzyńskich, rodzicielskich, ojcowskich, wychowawczych)

– pracownicy w okresie usprawiedliwionej nieobecności w pracy, w tym np. w trakcie zwolnienia lekarskiego

– działacze związków zawodowych

– pracownicy w wieku przedemerytalnym.

Należy zauważyć, że powyższe przepisy dotyczą każdego etapu postępowania, co oznacza, że pracodawca może być zmuszony do zatrudnienia pracownika nawet do momentu zakończenia postępowania w II instancji, bez względu na fakt, że działał on na szkodę swojego pracodawcy. Opisywane zmiany ocenić należy negatywnie. Nie tylko zmuszają pracodawców do ponoszenia potencjalnie bardzo dużych kosztów, ale także nakazują zatrudnianie pracownika, z którym prawdopodobnie pracodawca pozostaje w konflikcie i w dodatku przez długi okres czasu. Konieczność zatrudniania takiego pracownika może mieć negatywny wpływ na funkcjonowanie firmy, ale zgodnie z nowymi przepisami pracodawca nie ma w tym zakresie wyboru.

Artykuł Nowe zasady zabezpieczenia w sporach pracowniczych pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Naruszenie danych osobowych- co to właściwie jest?

Zgodnie z art. 4 ust 12 RODO naruszenie danych osobowych oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Naruszenie stanowi zatem incydent bezpieczeństwa, jednak nie wszystkie incydenty bezpieczeństwa to naruszenie danych osobowych – kluczowe jest tutaj to ostatnie pojęcie. RODO obowiązuje właśnie tylko w wypadku, gdy naruszone są dane osobowe. Naruszeniem bezpieczeństwa, podanym w definicji, „będzie naruszenie zabezpieczeń mających służyć ochronie danych”[1]. Według Grupy Roboczej Art. 29[2] naruszenia można podzielić na poniższe kategorie:

• naruszenie dotyczące poufności danych – naruszenie, w rezultacie którego dochodzi do nieuprawnionego lub przypadkowego ujawnienia lub nieuprawnionego dostępu do danych osobowych;
• naruszenie dotyczące integralności danych – naruszenie, w rezultacie którego dochodzi do nieuprawnionego lub przypadkowego zmodyfikowania danych osobowych;
• naruszenie dotyczące dostępności danych – naruszenie, w rezultacie którego dochodzi do przypadkowego lub nieuprawnionego dostępu do danych osobowych lub zniszczenia danych osobowych[3].

W wypadku stwierdzenie naruszenia, to administrator danych osobowych jest odpowiedzialny za ocenę incydentu, ewentualne zgłoszenie, podjęcie środków zaradczych i zapobiegawczych. W poniższym artykule spróbujemy przyjrzeć się schematowi działania w przypadku naruszenia zabezpieczeń oraz możliwościom zapobiegania.

Wykrycie naruszenia danych osobowych

Administrator jest osobą odpowiedzialną za zbadanie i ewentualne zgłoszenie naruszenia danych osobowych. Według art. 33 RODO ma on w terminie nie późniejszym niż 72 godziny po stwierdzeniu naruszenia zgłosić je organowi nadzorczemu, o ile zachodzi taka potrzeba. Kluczowy zatem wydaje się moment „stwierdzenia”. Uznaje się, że jest to chwila, gdy uzyskał on pewność, iż doszło to wystąpienia incydentu bezpieczeństwa, jaki doprowadził do ujawnienia danych osobowych. Obrazuje to poniższy przykład:

Przykład 1: Pracownik przedsiębiorcy zauważa podejrzaną aktywność w systemie informatycznym Pracodawcy i zgłasza to do pracownika odpowiedzialnego za bezpieczeństwo w firmie. Pracownik sprawdza zgłoszenie i potwierdza, że doszło do włamania do bazy danych zawierającej dane osobowe. Pracownik niezwłocznie zgłasza to pracodawcy. Termin 72 godziny powinien być liczony od momentu potwierdzenia wystąpienia naruszenia, nie zaś od pierwszego zgłoszenia opisanego powyżej.

Administrator powinien ustanowić procedury, dzięki którym sprawdza i ocenia czy nie doszło do nieprawidłowości w trakcie przetwarzania danych.  On lub podmiot przetwarzający mogą korzystać z pewnych środków technicznych takich jak np. analizatory przepływu danych i analizatory dziennika umożliwiające zidentyfikowanie zdarzeń i ostrzeżeń poprzez ich zestawienie z dowolnymi danymi dziennika. Wszystkie środki zaradcze lub zapobiegawcze powinny być opisane przez administratora w sporządzonych planach reagowania na naruszenia danych osobowych. Ułatwi to działanie i wyjaśni, kto konkretnie jest odpowiedzialny za zarządzanie naruszeniem. W wypadku występowania współadministratorów wszelkie działania koniecznie należy rozpisać, aby odpowiedzialność nie rozmywała się. Administrator powinien również zawrzeć porozumienia z wszystkimi podmiotami przetwarzającymi, ponieważ w chwili naruszenia danych osobowych ważny jest czas podjętych działań i zdobyte informacje na temat wykrytych incydentów powinny być kierowane bezpośrednio do osoby odpowiedzialnej za reagowanie. 

 Podmiot przetwarzający powinien zgłaszać każdy przypadek podejrzenia naruszenia danych osobowych, gdyż to na administratorze ciąży odpowiedzialność decyzji, co do ewentualnego stwierdzenia incydentu bezpieczeństwa. RODO nie określa dokładnie czasu, w jakim takie zgłoszenie przez podmiot przetwarzający powinno być dokonane. Przepisy ograniczają się do nakazu – „bez zbędnej zwłoki” (art. 33 ust. 2 RODO). Często jednak w umowach powierzenia przetwarzania danych strony precyzyjnie wskazują ten czas- najczęściej jako 24 lub 48 godzin od momentu wykrycia naruszenia.

Kiedy zgłosić naruszenie organowi nadzorczemu?

W chwili potwierdzenia wystąpienia naruszenia danych osobowych administrator musi podjąć kilka działań. Po pierwsze należy ocenić ryzyko dla osób fizycznych (prawdopodobieństwo braku ryzyka, istnienie ryzyka lub wysoki poziom ryzyka), czy naruszenie może powodować ryzyko naruszenia praw i wolności, a zatem ostatecznie czy zgłosić sprawę do organu nadzorczego. W Polsce będzie nim Prezes Urzędu Ochrony Danych Osobowych, chyba że naruszenie będzie dotyczyć obywateli także innego kraju członkowskiego, wtedy organ wiodący powinien być ustalony w oparciu o art. 56 RODO. Administrator musi również ocenić czy owo naruszenie może spowodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. W wypadku odpowiedzi twierdzącej należy zawiadomić wszystkie osoby, których dane dotyczą. Wreszcie administrator musi podjąć działania naprawcze, które ograniczą skalę naruszenia, oraz takie, które umożliwią przywrócenie stanu sprzed wystąpienia incydentu[4].  

Przykład 1: Pracownik wynosi ze Spółki dokumenty kadrowe, aby dokończyć pracę w domu. Dokumenty chowa w torbie, a torbę pozostawia w samochodzie i udaje się na zakupy. Po powrocie do auta okazuje się, że ktoś włamał się do pojazdu i zabrał torbę z poufnymi dokumentami. W wyniku tego incydentu doszło do naruszenia danych osobowych zawartych w dokumentach kadrowych, w tym numerów PESEL, adresów, danych kontaktowych, danych finansowych. Naruszenie dotyczyło 50 pracowników. Zdarzenie powinno zostać zgłoszone do PUODO, a także z uwagi na wysokie ryzyko naruszenia praw osób fizycznych osoby dotknięte naruszeniem powinny zostać o nim poinformowane.

W celu zapobiegania sytuacjom naruszenia danych osobowych administrator może stosować różne środki zapobiegawcze, jak np. szyfrowanie, stosowanie haseł, przechowywanie zaszyfrowanych kopii zapasowych danych, które mogą pomóc zidentyfikować osoby, których dane zostały naruszone. Ważne jest także wdrożenie odpowiednich procedur, które określą w jaki sposób należy postępować z danymi. Wykradzione dane mogą być narzędziem w dokonaniu oszustwa, jakiego ofiarą padną osoby, których dane są przedmiotem naruszenia (wykorzystane danych do podjęcia pożyczek, włamania na konto bankowe czy sprzedaż tożsamości). Wreszcie ważne, aby działania były sumiennie dokumentowane, ponieważ organ nadzorczy może w każdej chwili zażądać weryfikacji przestrzegania art. 33.

Przykład 2: Pracownik firmy informatycznej wybrał się od razu po pracy do klubu. Nie miał czasu pojechać do domu, dlatego zabrał ze sobą służbowy komputer, który cały czas starał się „mieć na oku”. Niestety, w czasie gdy pracownik był w toalecie komputer skradziono. Komputer zawierał m.in. wrażliwe dane dotyczące zdrowia, ponieważ pracownik opracowywał oprogramowanie dla podmiotu medycznego. W wyniku kradzieży doszło do utraty tych danych oraz do ich udostępnienia osobie, która zabrała komputer. Administrator zgłosił naruszenie zarówno do PUODO, jak i poinformował osoby dotknięte naruszeniem.

 Elementy zgłoszenia do organu

Zgłoszenie administratora do organu nadzorczego musi zawierać kilka istotnych informacji, jak np. opis charakteru naruszenia danych osobowych, w miarę możliwości wskazywać kategorię, przybliżoną liczbę osób, których dane dotyczą oraz przybliżoną liczbę wpisów danych osobowych (ważne jest tutaj słowo „przybliżone”, gdyż brak dokładnych danych nie powinno wstrzymywać administratora przed zgłoszeniem). Poza tym ważne, aby zgłoszenie zawierało imię, nazwisko i dane kontaktowe inspektora danych osobowych (lub innego punktu kontaktowego), opis możliwych konsekwencji naruszenia, a także środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszenia ochrony danych osobowych, w tym zminimalizowaniu jego negatywnych skutków.

Jakie mogą być skutki naruszenia?

Przy braku odpowiedniej i szybkiej reakcji naruszenie ochrony danych osobowych może skutkować powstaniem uszczerbku fizycznego, szkód majątkowych lub niemajątkowych u osób fizycznych, takich jak utrata kontroli nad własnymi danymi osobowymi lub ograniczenie praw, dyskryminacja, kradzież lub sfałszowanie tożsamości, strata finansowa, nieuprawnione odwrócenie pseudonimizacji, naruszenie dobrego imienia, naruszenie poufności danych osobowych chronionych tajemnicą zawodową lub wszelkie inne znaczne szkody gospodarcze lub społeczne[5]. Dlatego tak ważna jest szybka reakcja oraz upewnienie się, że wdrożono wszelkie odpowiednie techniczne środki ochrony danych oraz środki organizacyjne (np. odpowiednie procedury zabraniające wynoszenia dokumentów lub nośników z biura), by od razu stwierdzić naruszenie i poinformować organ nadzorczy. Dokonuje się tego po badaniu prawdopodobieństwa – czy sytuacja naruszenia danych osobowych będzie skutkować ryzykiem naruszenia praw lub wolności osób fizycznych. W wypadku, gdy poziom takiego ryzyka ocenia się jako niski, nie ma obowiązku zawiadomienia organu nadzorczego.

Przykład: Pracownik zakładu fryzjerskiego postanawia odejść z pracy. Przed odejściem kopiuje dane klientów, których obsługiwał. Po założeniu własnej działalności przesyła do nich wiadomości z zaproszeniem do nowego salonu. Były pracodawca odnotował incydent jako naruszenie danych osobowych w swoich rejestrach, jednak nie dokonał zgłoszenia uznając, że nie ma ryzyka naruszenia praw lub wolności osób fizycznych z uwagi na rodzaj, a także niewielką skalę skopiowanych danych. 

Zawiadomienie osoby, której dane dotyczą

W wypadku decyzji zgłoszenia naruszenia do organu nadzorczego sprawa wydaje się znacznie prostsza, gdyż ocenia się sytuacje, które już się wydarzyły. Obowiązek powiadomienia z art. 34 RODO dotyczy natomiast sytuacji hipotetycznych, a zatem potencjalnego naruszenia praw i wolności podmiotu danych i jego poziomu. Nie wymaga się więc, aby wysokie ryzyko się zmaterializowało i by rzeczywiście doszło do naruszenia praw lub wolności. Osoby, których dane dotyczą, powinny zostać zawiadomione bez zbędnej zwłoki, ale RODO nie podaje dokładnego terminu.

Treść zawiadomienia powinna zawierać podobne informacje, co przy zgłoszeniu do organu nadzorczego, czyli: opis charakteru naruszenia, imię, nazwisko i dane inspektora ochrony danych, opis możliwych konsekwencji oraz środków zastosowanych lub proponowanych przez administratora. Co do formy komunikatu głównym wymogiem jest celowość, czyli obowiązek, aby treść była zrozumiała dla osób, których dane dotyczą. Można przyjąć z dużą dozą prawdopodobieństwa, że nie będą one zaznajomione z fachową terminologią, więc język powinien być jasny i prosty.

Przykładowy komunikat może brzmieć następująco:

Szanowni Państwo,

W dniu 20 maja 2023 r. doszło do naruszenia danych osobowych w naszej firmie, polegającego na utracie poufności niektórych dokumentów kadrowych. Dokumenty zawierały następujące dane: imię, nazwisko, adres, numer telefonu, PESEL. Dostęp został przez nas zablokowany, wdrożyliśmy także dodatkowe zabezpieczenia. Możliwe konsekwencje zdarzenia obejmują dalsze wykorzystanie Pani/Pana danych w sposób nieuprawniony, w tym w celu uzyskania kredytów, pożyczek, ubezpieczeń. Więcej informacji może Pan/Pani uzyskać od naszego Inspektora Ochrony Danych Osobowych pod numerem telefonu…………., e-mail…………..

Grupa Robocza Art. 29 w powołanych wyżej wytycznych wskazuje, że administrator powinien brać pod uwagę, przy ocenie prawdopodobieństwa naruszenia praw i wolności osób fizycznych, następujące kryteria: rodzaj naruszenia, charakter, wrażliwość i ilość danych osobowych (to wydaje się kluczowym czynnikiem podczas oceniania ryzyka), łatwość identyfikacji osób fizycznych, waga konsekwencji dla osób fizycznych, cechy szczególne danej osoby fizycznej, cechy szczególne administratora danych oraz liczba osób fizycznych, na które naruszenie wywiera wpływ.

Zasada rozliczalności

Zgodnie z treścią art. 33 ust. 5, który wynika z art. 5 RODO, czyli z tzw. zasadą rozliczalności, administrator ma obowiązek dokumentowania wszystkich przypadków naruszeń danych osobowych, nawet tych, które nie były zgłoszone. Dokumentacja może zostać wykorzystana jako element dla stwierdzenia przestrzegania przez administratora ciążących na nim obowiązków przez organ nadzorczy (por. art. 24 RODO). Administrator powinien przechowywać wszelkie dane dot. naruszenia danych osobowych, okoliczności ich naruszenia (przyczyny, przebieg zdarzeń), skutki oraz podjęte działania zaradcze.

RODO nie wskazuje w tym wypadku, jak długo powinna być przechowywana taka dokumentacja. Na pewno ma to następować przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (art. 5 RODO), ale musi się mieścić w zakresie, w jakim administrator mógłby zostać wezwany do przedstawienia organowi nadzorczemu dowodów na przestrzeganie przepisów art. 33. Oczywiście jeśli przechowywana dokumentacja nie zawiera danych osobowych, to powyższe przepisy RODO nie obowiązują.

Grupa Robocza Art. 29 zwraca również uwagę, że w dokumentacji powinno się znaleźć uzasadnienie podjętych decyzji, a w szczególności, kiedy została podjęta decyzja o niezgłaszaniu przypadku do organu nadzorczego. Administrator winien zapisać argumenty, które spowodowały, że naruszenie danych osobowych nie zostało zgłoszone. Również warto stosownie uzasadnić lub po prostu zapisać dowody, jeśli administrator uznał, że został spełniony któryś z warunków dopuszczający brak wymogu powiadamiania organu nadzorczego (wspomniany wyżej art. 33 ust. 3)[6].     

Sankcje za naruszenie ochrony danych osobowych

Naruszenie przepisów z art. 33 oraz 34 RODO może skutkować karami finansowymi w wysokości do 10 mln euro, a w przypadku przedsiębiorstwa – w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Ważne jest, że dotyczy to nie tylko braku powiadomienia osoby fizycznej, której dane dotyczą, lub zgłoszenia naruszenia organowi nadzorczemu. Kara może podlegać także nieprawidłowe zgłoszenie, brak odpowiedniej dokumentacji, błędne sformułowanie zawiadomienia, czyli generalnie brak wypełnienia obowiązków administratora wynikających z opisywanych przepisów. Poniższe przykłady pokazują, że odpowiedzialność w tym zakresie nie ma charakteru iluzorycznego.

11 lutego 2021 r. PUODO ukarał Krajową Szkołę Sądownictwa i Prokuratury, karą w wysokości 100 tys. zł, za wyciek kilkudziesięciu tysięcy danych osobowych (m.in. sędziów, asesorów prokuratury i referendarzy sądowych). Wynikało to z niezastosowania odpowiednich środków technicznych i organizacyjnych przy migracji danych osobowych z również nieprawidłowo zastosowanej umowy z podmiotem zewnętrznym[7].    

Innym głośnym przypadkiem jest wyrok dotyczący spółki morele.net jeszcze z 2019 r., powiązany z wyciekiem ponad 2 mln danych osobowych klientów. Wiązało się to, między innymi, z próbami wyłudzeń, jaki zgłaszały poszkodowane osoby. W dniu 9 lutego 2023 r. Naczelny Sąd Administracyjny wydał wyrok, sygn. akt III OSK 3945/21, który  uchylił zaskarżony wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 września 2020 r., sygn. akt II SA/Wa 2559/19 oraz decyzję Prezesa UODO z dnia 10 września 2019 r. w przedmiocie nałożenia kary pieniężnej w związku z wyciekiem danych osobowych. W decyzji tej PUODO nałożył na morele.net karę w wysokości 3 mln złotych. Na tym etapie wiemy już, że morele nie zapłaci tej kary. Zwróćmy jednak uwagę, że Wyrok NSA nie kończy sprawy, ponieważ będzie ona teraz ponownie rozpatrywana przez PUODO.

RAMKA:

Przykładowe naruszenia danych osobowych[8]:

Przykład 1: Serwer przedsiębiorstwa zajmującego się transportem publicznym został narażony na atak za pomocą oprogramowania szantażującego, a jego dane zostały zaszyfrowane przez sprawcę ataku. Zgodnie z ustaleniami z wewnętrznego dochodzenia sprawca nie tylko zaszyfrował dane, ale także dokonał ich eksfiltracji. Naruszone zostały dane osobowe klientów i pracowników, a także kilku tysięcy osób korzystających z usług przedsiębiorstwa (np. kupujących bilety online). Poza podstawowymi danymi dotyczącymi tożsamości naruszenie dotyczyło numerów dowodów tożsamości i danych finansowych, takich jak dane kart kredytowych. Istniała zapasowa baza danych, ale ona również została zaszyfrowana przez sprawcę ataku.

Przykład 2: Agencja pośrednictwa pracy padła ofiarą cyberataku, w wyniku którego na jej stronie internetowej został umieszczony złośliwy kod. Ten złośliwy kod sprawił, że dane osobowe przesłane za pośrednictwem internetowych formularzy podań o pracę i przechowywane na serwerze internetowym stały się dostępne dla nieupoważnionej osoby (osób). Możliwe, że naruszenie dotyczyło 213 takich formularzy; po przeanalizowaniu danych, które zostały naruszone, stwierdzono, że naruszenie nie dotyczyło żadnych szczególnych kategorii danych. Zainstalowane złośliwe oprogramowanie posiadało funkcje, które pozwoliły sprawcy ataku na usunięcie wszelkich historii eksfiltracji, a także umożliwiły monitorowanie przetwarzania danych na serwerze i przechwytywanie danych osobowych. Oprogramowanie wykryto dopiero miesiąc po jego zainstalowaniu.

Przykład 3: Podczas włamania do świetlicy środowiskowej skradziono dwa tablety. Na tabletach znajdowała się aplikacja, która zawierała dane osobowe dzieci uczęszczających do świetlicy. Dotyczyło to imion i nazwisk, dat urodzenia, danych osobowych związanych z edukacją dzieci. Zarówno zaszyfrowane tablety, które w momencie włamania były wyłączone, jak i aplikacja były chronione silnym hasłem. Dane zapasowe były skutecznie i łatwo dostępne dla administratora. Po uzyskaniu informacji o włamaniu opiekun świetlicy wydał zdalne polecenie wyczyszczenia tabletów wkrótce po odkryciu włamania.

Przykład 4: Dział zatrudnienia urzędu administracji publicznej wysłał wiadomość e-mail – o zbliżających się szkoleniach – do osób zarejestrowanych w jego systemie jako poszukujące pracy. Przez pomyłkę do wiadomości e-mail dołączono dokument zawierający dane osobowe wszystkich osób poszukujących pracy (imię i nazwisko, adres e-mail, adres pocztowy, numer ubezpieczenia społecznego). Liczba osób, których to dotyczy, wynosi ponad 60 000. Następnie urząd skontaktował się ze wszystkimi odbiorcami i poprosił ich o usunięcie poprzedniej wiadomości oraz o niewykorzystywanie zawartych w niej informacji.

Przykład 5: Z ośrodka odwykowego skradziono papierowy rejestr. Rejestr zawierał podstawowe dane identyfikacyjne i zdrowotne pacjentów przyjętych do ośrodka odwykowego. Dane były przechowywane tylko w wersji papierowej, a lekarze leczący pacjentów nie mieli dostępu do kopii zapasowych. Rejestru nie przechowywano w zamkniętej szufladzie ani zamkniętym pomieszczeniu, administrator danych nie stosował systemu kontroli dostępu ani żadnych innych środków zabezpieczających dokumentację papierową.

[1] Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz, red. dr Paweł Litwiński, Legalis.pl; Guidelines 9/2022 on personal data breach notification under GDPR, dostęp: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_en

[2] Zob. Wytyczne dotyczące zgłaszania naruszeń ochrony danych osobowych zgodnie z rozporządzeniem 2016/679, WP250 rev.01.

[3] Porównaj: Wytyczne dotyczące zgłaszania naruszeń ochrony danych osobowych zgodnie z rozporządzeniem 2016/679 (https://archiwum.uodo.gov.pl/pl/file/2611).

[4] Porównaj: tamże.

[5] Porównaj motyw 85 preambuły RODO.

[6] Porównaj: https://archiwum.uodo.gov.pl/pl/file/2611.

[7] Porównaj: https://uodo.gov.pl/pl/322/1913.

[8] Wszystkie przykłady pochodzą z Wytycznych EROD 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych przyjęte 14 grudnia 2021, dostęp: https://edpb.europa.eu/system/files/2022-09/edpb_guidelines_012021_pdbnotification_adopted_pl.pdf

Artykuł Jak reagować i zabezpieczyć firmę na wypadek naruszenia ochrony danych osobowych? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Szereg podjętych działań, w szczególności:
a. obrona praw wspólnika mniejszościowego podczas zgromadzeń wspólników,
b. skuteczne reprezentowanie wspólnika w procesach mających na celu zaskarżanie uchwał podejmowanych na niekorzyść wspólnika (art. 249 par. 1 ksh i n.),
c. skuteczne reprezentowanie wspólnika w procesie o udostępnienie wspólnikowi mniejszościowemu przez spółkę (w trybie art. 212 par. 4 ksh) żądanych przez niego informacji i dokumentów

zaowocowało zawarciem ugody z pozostałymi wspólnikami i spółką, co w konsekwencji pozwoliło na umorzenie udziałów reprezentowanego przez spółkę wspólnika.

Artykuł Pomyślne zakończenie procedury opuszczenia spółki przez mniejszościowego udziałowca pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Wymogi formalne pozwu – adres pozwanego pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Uchylenie się od błędu wywołuje również skutek rzeczowy pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Odpowiedni dostęp do drogi publicznej a możliwość przejazdu pojazdów mechanicznych pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Dopuszczalność badania nieważności umowy zawartej przez pełnomocnika pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Niezgodność zarzutu przedawnienia z zasadami współżycia społecznego pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Sposób miarkowania kary umownej pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Zbieg podstaw do żądania zapłaty kary umownej pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Dopuszczalność darowizny na wypadek śmierci pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Złożenie wniosku o stwierdzenie nabycia spadku a przerwanie biegu przedawnienia roszczenia o zachowek pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Uchylenie się od skutków prawnych niezłożenia pod wpływem błędu oświadczenia w przedmiocie przyjęcia bądź odrzucenia spadku – wymogi prawne pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.