Nowe przepisy rozszerzają obowiązek raportowania ESG, który w ciągu kilku lat obejmie nawet małe i średnie przedsiębiorstwa. Nasuwa się zatem pytanie czy to raczej odgórnie nałożony obowiązek, do którego po prostu trzeba się będzie dostosować, czy też raporty w zakresie ESG można wykorzystać w rozwoju firmy gospodarczym, jak i finansowym? 

Dyrektywa CSRD – czym jest raportowanie ESG?

Raporty ESG są to sprawozdania niefinansowe, nazywane inaczej – być może trafniej – raportami zrównoważonego rozwoju. W Polsce dyrektywa CRSD, zgodnie z której ma odbywać się raportowanie, ma zostać wdrożona przez Projekt ustawy o zmianie ustawy o rachunkowości, ustawy o biegłych rewidentach, firmach audytorskich oraz nadzorze publicznym oraz niektórych innych ustaw. Ustawa została uchwalona przez Sejm w dniu 6 grudnia 2024 r. Ustawa wchodzi w życie w ciągu 14 dni od ogłoszenia, choć w przypadku części przepisów termin wejścia w życie został określony odmiennie.

Dyrektywa CRSD sposób raportowania ESG, wprowadzając Europejskie Standardy Sprawozdawczości Zrównoważonego Rozwoju (ESRS), które zostały przyjęte przez Komisję Europejską 31 lipca 2023 r. (ROZPORZĄDZENIE DELEGOWANE KOMISJI (UE) 2023/2772 z dnia 31 lipca 2023 r., uzupełniające dyrektywę Parlamentu Europejskiego i Rady 2013/34/UE w odniesieniu do standardów sprawozdawczości w zakresie zrównoważonego rozwoju).  Starano się również zachować zdolność współpracy z dotychczasowymi systemami, m.in. GRI czy ISSB.

W zakresie obowiązku sprawozdawczości jednostka dokonuje oceny istotności przedstawianych informacji. Jeżeli dana jednostka oceniła informację z zakresu ochrony środowiska, polityki społecznej i ładu korporacyjnego objęte ESRS jako nieistotną to nie jest wymagane ujawnianie tych informacji.

W skład uniwersalnych standardów (ESRS) wchodzą:

1. 2 standardy przekrojowe – wymogi ogólne oraz ogólne ujawnienia informacji
2. 10 standardów tematycznych:
3. dotyczące środowiska (zmiana klimatu, zanieczyszczenie, woda i zasoby morskie, różnorodność biologiczna i ekosystemy, wykorzystanie zasobów oraz gospodarka o obiegu zamkniętym);
4. dotyczące kwestii społecznych (kadra pracownicza, pracownicy w łańcuchu wartościowym, dotknięte społeczności, konsumenci i użytkownicy końcowi);
5. dotyczące kwestii zarządczych-ładu korporacyjnego (postępowanie w biznesie).

Dodatkowo, należy wyróżnić standardy sektorowe, które stosują się do wszystkich jednostek w danym sektorze. Zgodnie z rozporządzeniem dotyczą oddziaływania, ryzyka i możliwości, które są prawdopodobnie istotne dla wszystkich jednostek w określonym sektorze oraz które są nieobjęte lub w niewystarczającym stopniu objęte standardami tematycznymi.

Taki raport na temat zrównoważonego rozwoju i działalności firmy w obszarach środowiskowym, społecznym oraz zarządczym jest od 2024 r. objęty obowiązkiem audytu. Audytu dokona biegły rewident lub firma audytorska, która zatwierdzona jest przez państwo członkowskie do celów przeprowadzania badań ustawowych. Powinni oni posiadać wysoki poziom fachowej wiedzy technicznej i specjalistycznej w dziedzinie zrównoważonego rozwoju. 

Kogo dotyczy i od kiedy przedsiębiorstwa mają obowiązek raportowania zrównoważonego rozwoju?

Zgodnie z unijną dyrektywą CSRD pierwsze sprawozdania ESG powinny zostać złożone w 2025 r. (za rok 2024). Obowiązek ten będzie dotyczył dużych przedsiębiorstw, które objęte były już wcześniej raportowaniem niefinansowym NFRD – największych jednostek zainteresowania publicznego, które zatrudniają 500 pracowników. Muszą one również spełniać jedno z dwóch kryteriów finansowych: suma bilansowa musi wynosić powyżej 20 mln euro i/lub jej roczne przychody netto przewyższają 40 mln euro.

Kolejny stopień wprowadzenia obowiązku sporządzenia raportu ESG ma nastąpić w 2026 r. (za rok 2025). Wejdą na niego wszystkie duże spółki, które spełnią 2 z 3 kryteriów:

• zatrudniają ponad 250 pracowników;
• suma bilansowa przedsiębiorstwa wynosi powyżej 20 mln euro;
• roczne przychody netto wynoszą ponad 40 mln euro.

W 2027 r. swoje raporty za rok poprzedni będą musiały składać małe i średnie firmy, które są notowane na giełdzie i muszą spełnić 2 z 3 warunków:

• zatrudniają ponad 10 pracowników;
• suma bilansowa przedsiębiorstwa wynosi powyżej 450 tys. euro;
• roczne przychody netto wynoszą ponad 900 tys. euro.

Co ciekawe, małe i średnie firmy będę miały możliwość odłożenia raportowania do 2028 i 2029 r.

Ostatecznie obowiązek raportowania obejmie ok. 3 tys. polskich firm. Z pewnością utrudnieniem dla polskich przedsiębiorców jest fakt, że Polska znacząco opóźniła się z przyjęciem odpowiednich przepisów implementujących dyrektywę i odpowiednie przepisy uchwaliła dopiero 6 grudnia 2024 r.

Co należy uwzględniać w raporcie zrównoważonego rozwoju?

Dokładniej na temat samego raportu ESG mówi dyrektywa uzupełniająca 2023/2772. Omówione są w niej dokładnie standardy ESRS oraz co powinny zawierać raporty. Oczywiście przedsiębiorstwo powinno składać raport z działalności istotnej dla siebie. Sprawozdania z działalności zrównoważonego rozwoju mają być sporządzane w formacie XHTML (elektroniczny format czytelny dla człowieka), przy tym odrębna sekcja ma być w formacie in-ilne XBRL (ułatwienie dla odczytu maszynowego).

Ważne pojęcia związane z ESG

O czym zatem należy pamiętać przy tworzeniu raportu ESG? Jest na wstępie kilka pojęć, z którymi należy się zapoznać i które należy wziąć pod uwagę przy raportowaniu:

• zasada podwójnej istotności, czyli ocena ryzyka z perspektywy dwóch wymiarów: istotności oddziaływania i istotności finansowej;
• istotność oddziaływania – Kwestia związana ze zrównoważonym rozwojem jest istotna z perspektywy oddziaływania, o ile odnosi się do istotnych rzeczywistych lub potencjalnych, pozytywnych lub negatywnych oddziaływań jednostki na ludzi lub środowisko w perspektywie krótko-, średnio- lub długoterminowej[1].
• istotność finansowa – jest istotna, o ile wywołuje, lub można racjonalnie oczekiwać, że wywołałaby istotne skutki finansowe w odniesieniu do jednostki. Ma to miejsce w przypadku, gdy kwestia związana ze zrównoważonym rozwojem stwarza ryzyko lub możliwości, które mają istotny wpływ lub można racjonalnie oczekiwać, że będą miały istotny wpływ na rozwój jednostki, jej sytuację finansową, wyniki finansowe, przepływy pieniężne, dostęp do finansowania lub koszt kapitału w krótko-, średnio- lub długoterminowej perspektywie czasowej[2].
• należyta staranność, czyli identyfikowanie rzeczywistych lub potencjalnych negatywnych skutków na środowisko lub ludzi;
• łączenie przeszłości, teraźniejszości, przyszłości w raporcie;
• informacje porównawcze – przygotowanie informacji porównawczych za poprzednich okres za pomocą mierników ilościowych i kwot pieniężnych przy przedstawianiu za okres bieżący;

Tematy związane ze strategią ESG – standardy i wskaźniki ESG

Poza wspomnianymi wyżej wymaganiami ogólnymi (ESRS 1) oraz ujawnieniami ogólnymi (ESRS 2) w raporcie należy uwzględnić kwestie związane ze zrównoważonym rozwojem objęte zakresem tematycznych ESRS:

• ESRS E1 – Zmiana klimatu – przystosowanie się do zmiany klimatu, łagodzenie zmiany klimatu, energia;
• ESRS E2 – Zanieczyszczenie – zanieczyszczenie powietrza, wody, gleby, organizmów żywych i zasobów żywnościowych, substancje potencjalnie niebezpieczne oraz te wzbudzające szczególne obawy, mikrodrobiny plastiku, emisja gazów cieplarnianych, ślad węglowy;
• ESRS E3 – Woda i zasoby morskie – zużycie wody, pobory wody, zrzuty wody, zrzuty wody do oceanów, wydobycie i wykorzystanie zasobów morskich;
• ESRS E4 – Różnorodność biologiczna i ekosystemy – bezpośrednie czynniki oddziaływania na utratę bioróżnorodności (np. zmiana klimatu, bezpośrednia eksploatacja, zmiana sposobu użytkowania gruntów), oddziaływanie na stan gatunków (np. zagrożenie globalnym wyginięciem gatunku), oddziaływanie na zasięg i stan ekosystemów (np. degradacja gruntów, pustynnienie), oddziaływanie na usługi ekosystemowe i zależności od nich;
• ESRS E5 – Gospodarka w obiegu zamkniętym – wpływy zasobów, w tym wykorzystanie zasobów oraz wypływy zasobów związane z produktami i usługami, odpady;
• ESRS S1 – Kadra pracownicza – warunki pracy (np. bezpieczeństwo zatrudnienia, czas pracy, rokowania zbiorowe, odpowiednia płaca, work-life balance); równe traktowanie i równość szans dla wszystkich  (np. dysproporcja wynagrodzeń kobiet i mężczyzn, szkolenia i rozwój, środki zapobiegania przemocy i nękaniu w miejscu pracy), inne (np. praca dzieci, praca przymusowa, odpowiednie warunki mieszkaniowe);
• ESRS S2 – Pracownicy w łańcuchu wartości – podobne jak powyżej;
• ESRS S3 – Dotknięte społeczności – prawa gospodarcze, społeczne i kulturalne społeczności (np. odpowiednie warunki mieszkaniowe i żywność, woda i warunki sanitarne), prawa obywatelskie i polityczne społeczności (np. wolność wypowiedzi i zgromadzania się), prawa ludności rdzennej (np. samostanowienie, prawo kulturalne);
• ESRS S4 – Konsumenci i użytkownicy końcowi – oddziaływanie informacji na konsumentów lub użytkowników końcowych (np. prywatność, wolność wypowiedzi, dostęp do informacji), bezpieczeństwo osobiste konsumentów lub użytkowników końcowych (np. bezpieczeństwo i higiena pracy, ochrona dzieci), włączenie społeczne konsumentów lub użytkowników końcowych (np. niedyskryminacja, odpowiedzialne praktyki marketingowe);
• ESRS G1 – Prowadzenie działalności gospodarczej  – kultura korporacyjna, ochrona sygnalistów, dobrostan zwierząt, zaangażowanie polityczne i działalność lobbingowa, zarządzanie stosunkami z dostawcami w tym praktyki płatnicze, korupcja i przekupstwo (zapobieganie i wykrywanie, incydenty).

Czy ESG jest ważne i jak ESG wpływa na rozwój przedsiębiorstwa?

Cel dyrektywy CRSD stanowi zadbanie o to, aby rozwój gospodarczy nie odbywał się kosztem środowiska naturalnego, w którego skład wchodzi przecież także człowiek. Unijna dyrektywa stawia dość górnolotny dla samych przedsiębiorców cel neutralności klimatycznej do 2050 r. Ponadto w komunikacie z 20 maja 2020 r. zatytułowanym „Unijna strategia na rzecz bioróżnorodności 2030 – Przywracanie przyrody do naszego życia” Komisja zobowiązuje się do zapewnienia odbudowy, odporności i odpowiedniej ochrony wszystkich światowych ekosystemów do 2050 r. Celem tej strategii jest wprowadzenie bioróżnorodności w Europie na ścieżkę odbudowy do 2030 r[1]. Hasła te z pewnością bardzo wartościowe nie są dla właścicieli firm zapewne pierwszorzędnymi celami, gdyż dla nich w dużej mierze liczy się w biznesowym „tu i teraz”.

Wbrew pozorom raportowanie ESG może mieć jednak spore znaczenie ze względu na finanse dla większości firm i to nie w perspektywie dalekiej przyszłości, ale znacznie bliższej. Inwestorzy, jak banki czy agencje ratingowe, zwracają coraz większą uwagę na przedstawianie raportów z działalności środowiskowej, społecznej i zarządczej. Pełna otwartość przedsiębiorstw, które regularnie składają raporty ESG powoduje, że po prostu łatwiej jest zaufać takiej inwestycji. Przedstawianie pełnej skali ryzyka, ale i możliwości danej firmy stwarza uczciwy, klarowny obraz nie tylko w oczach inwestorów, lecz również pracowników czy klientów. Taka firma postrzegana jest na rynku jako transparentna i świadoma swojej działalności. To nie jedynie działanie na rzecz odpowiedzialności społecznej. Raporty ESG budują markę firmy jako odpowiedzialnego kapitału.

Ma to również swój praktyczny wymiar. Regularność w obserwowaniu i zbieraniu czynników ESG pozwala przedsiębiorcom łatwiej nadawać odpowiedni kierunek rozwoju. ESG staje się ważne dla firm, ponieważ pomaga wyznaczać rejony, w których powinno się w danym okresie zainwestować więcej pieniędzy, pomaga spojrzeć na działalność przedsiębiorstwa w szerszej perspektywie czasowej z zakresu zrównoważonego rozwoju. Wraz z raportem finansowym pokazuje pełny obraz działalności firmy i pomaga również w biznesowym rozwoju, z czego korzysta coraz więcej firm.    

Mając na uwadze powyższe, wskazać należy, że nawet jeśli w chwili obecnej wdrożenie strategii ESG nie dotyczy bezpośrednio Twojej firmy to już teraz warto zapoznać się z tą tematyką i zacząć przygotowywać firmę na nowe wyzwania. Wdrożenie ESG to nie tylko kolejny obowiązek, ale element, który może pośrednio wpłynąć pozytywnie na konkurencyjność firmy i zbudować jej pozytywny wizerunek. 

[1] https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32022L2464.

[1] https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=OJ%3AL_202302772.

[2] https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=OJ%3AL_202302772.

Artykuł Czym jest ESG i czy jest potrzebne w zarządzaniu twoim przedsiębiorstwem? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Kto może zostać fundatorem?

Zgodnie z art. 11 ustawy o fundacji rodzinnej fundatorem fundacji rodzinnej może być wyłącznie osoba fizyczna posiadająca pełną zdolność do czynności prawnych, która złożyła oświadczenie o ustanowieniu fundacji rodzinnej w akcie założycielskim albo w testamencie.

Fundacja może mieć więcej niż jednego fundatora, chyba że jest ustanawiana w testamencie. Co warte podkreślenia osoba zakładająca fundację nie utraci bez własnej woli kontroli nad fundacją – prawa fundatora są niezbywalne, może on przekazać natomiast zakres swoich obowiązków innej osobie, co ważne jednak to fundator ustala, komu i w jakiej formie.

W przypadku założenia fundacji rodzinnej przez więcej niż jednego fundatora, prawa i obowiązki fundatora będą, co do zasady, wykonywanie wspólnie. Co to oznacza w praktyce? Wspólne wykonywanie praw podlega zasadom znanym dla współwłasności rzeczy, określonych w Kodeksie cywilnym[1]. Tu znów można jednak zastrzec w statucie fundacji, komu i w jakim stopniu powierza się odpowiednie prawa i obowiązki.

Jeszcze jedna, kluczowa wydaje się, sprawa związana z odpowiedzialnością fundatora jest warta wspomnienia. A mianowicie po przeniesieniu majątku na fundację rodzinną, to ona będzie odpowiadać za związane z nim zobowiązania oraz aktywności. Fundator nie będzie odpowiadał za zobowiązania fundacji – związek między nim a oddanym fundacji majątkiem zostaje w chwili przeniesienia przerwany.

Założenie fundacji rodzinnej krok po kroku

Sposób powstania fundacji rodzinnej został szczegółowo uregulowany w Rozdziale 4 ustawy. Zgodnie z art. 21 ustawy do powstania fundacji rodzinnej wymagane jest:

1. złożenie oświadczenia o ustanowieniu fundacji rodzinnej w akcie założycielskim albo w testamencie;
2. ustalenie statutu;
3. sporządzenie spisu mienia;
4. ustanowienie organów fundacji rodzinnej wymaganych przez ustawę lub statut;
5. wniesienie funduszu założycielskiego przed wpisaniem do rejestru fundacji rodzinnych w przypadku ustanowienia fundacji rodzinnej w akcie założycielskim albo wniesienie funduszu założycielskiego w terminie dwóch lat od dnia wpisania fundacji rodzinnej do rejestru fundacji rodzinnych w przypadku ustanowienia fundacji rodzinnej w testamencie;
6. wpisanie do rejestru fundacji rodzinnych.

Założycielski akt oraz testament wprowadza się w formie aktu notarialnego. Minimalny fundusz założycielski wynosi 100 tys. zł. W akcie notarialnym musi być zawarty statut fundacji ustalany przez fundatora (lub fundatorów). Poza tym fundację rodzinną należy zgłosić do specjalnego rejestru fundacji rodzinnych, który prowadzi Sąd Okręgowy w Piotrkowie Trybunalskim. W takiej chwili fundacja uzyskuje osobowość prawną. Do czasu wpisu do rejestru fundacja rodzinna jest fundacją rodzinną w organizacji (art. 23 ustawy).

Fundacja rodzinna w organizacji jest reprezentowana przez fundatora lub pełnomocnika wyznaczonego przez fundatora, ewentualnie w przypadkach wyszczególnionych przez ustawę reprezentantem będzie zarząd.

Ustalenie statutu fundacji rodzinnej

Podstawowe zasady działalności fundacji rodzinnej są zawarte w statucie, który ustala fundator. W statucie reguluje się nazwę fundacji – jak już wspominaliśmy w poprzednim tekście jest w tym zakresie duża dowolność, jedynie musi ona zawierać słowa „fundacja rodzinna” albo skrót „f. r.”. W statucie ustalana jest także siedziba fundacji oraz szczegółowy cel. Określa się w nim beneficjentów, którzy będą otrzymywali świadczenia od fundacji rodzinnej albo też część majątku po jej rozwiązaniu. Tak jak to również zostało opisane w poprzednim tekście – potencjalni beneficjenci należą do dwóch kategorii: osób fizycznych oraz organizacji pozarządowych. Zaznaczmy, że beneficjentem będzie mógł zostać również sam fundator.

W treści statutu określony zostaje również sposób prowadzenia listy beneficjentów. To właśnie na niej znajdują się szczegółowe dane dotyczące beneficjenta i jego uprawnień. Lista będzie zawierać dane niezbędne do realizacji świadczeń oraz wykonania obowiązków publicznoprawnych, stąd np. konieczne jest przekazanie PESEL albo NIP beneficjenta albo innej danej pozwalającej na identyfikację beneficjenta[2].

Ponadto w statucie zawarte są informacje na temat zasad, w tym szczegółowego trybu, zrzeczenia się uprawnień przez beneficjenta, czasu trwania fundacji (o ile został on wyznaczony), wartości funduszu założycielskiego (wspomniane minimum 100 tys. zł), a także zasad powoływania, odwoływania, oraz uprawnień i obowiązków członków organów fundacji rodzinnej ( o czym dokładniej poniżej).

W statucie musi zostać również określony przynajmniej jeden beneficjent, który będzie uprawniony do uczestnictwa w zgromadzeniu beneficjentów, a także zostają opisane zasady zmiany statutu oraz przeznaczenie majątku fundacji rodzinnej po jej rozwiązaniu, w tym określenie beneficjenta uprawnionego do mienia w związku z rozwiązaniem fundacji rodzinnej.

Mogą zostać tam również zawarte informacje o zasadach współpracy organów fundacji, szczegółowe zasady likwidacji fundacji oraz wytyczne dotyczące inwestowania majątku fundacji rodzinnej (art. 28 ustawy).

Sporządzenie spisu mienia

Po wniesieniu funduszu założycielskiego powinien zostać sporządzony przez fundatora spis majątku w formie pisemnej. Nie jest to jednorazowy dokument, ale powinien on być aktualizowany w każdym roku ze względu na dochody fundacji, za co miałby być odpowiedzialny zarząd fundacji. W spisie mienia powinny zostać zawarte informacje o rzeczach i prawach wniesionych przez fundatora oraz inne osoby w momencie założenia fundacji, a także w trakcie jej trwania. Podane dane mają zawierać rodzaj i wartość każdego z wniesionych składników majątku, stan i cena z chwili ich wniesienia, a także ich wartość podatkową.

Ze względu na podatek dochodowy od osób fizycznych w spisie muszą zostać uwzględnione proporcje wartości mienia wniesionego do fundacji rodzinnej przez każdego z fundatorów lub przez fundację rodzinną. Wiąże się to ze zwolnieniem od podatku spadku i darowizn dla beneficjenta należącego do grupy zero danego fundatora.

Jakie są organy fundacji rodzinnej?

Fundacja rodzinna, podobnie jak spółki prawa handlowego, działa przez swoje organy. Organami fundacji rodzinnej są:

– zarząd,

– rada nadzorcza oraz

– zgromadzenie beneficjentów.

Poniżej przyjrzymy się ich kompetencjom.

Zarząd

Do pełnienia funkcji członka zarządu może być powołana osoba fizyczna posiadająca pełną zdolność do czynności prawnych. W jego skład może wchodzić jedna lub więcej osób (nie ma określonej jakiejś granicy). Na zarządzie spoczywa odpowiedzialność za faktyczną realizację celów fundacji. Będzie stanowić głównego pośrednika między fundacją rodzinną a beneficjentami. Do zadań zarządu należy również prowadzenie spraw fundacji oraz reprezentowanie jej na zewnątrz czy też podejmowanie czynności związanych z zapewnieniem płynności finansowej i wypłacalności fundacji rodzinnej. Ponadto powinien, nie rzadziej niż raz w roku, dokonywać przeglądu przechowywanych danych osobowych, a następnie usuwać te, które nie są już wykorzystywane.  W związku z dostępnością dla zarządu różnych poufnych danych fundatora jak i beneficjentów, należy podkreślić jak istotna będzie dbałość o zachowanie bezpieczeństwa w ochronie majątku i prywatności fundatora, jak i beneficjentów. Każdy członek zarządu, nawet po wygaśnięciu kadencji, jest zobowiązany do dotrzymywani tajemnicy fundacji. Pod tym pojęciem kryją się, między innymi,  informacje dotyczące kierunku inwestowania, organizacyjne lub inne informacje posiadające wartość gospodarczą, a także informacje dotyczące beneficjentów.

Rada nadzorcza

Natomiast rada nadzorcza może, ale nie musi być powołana przez fundatora. Sytuacja zmienia się, kiedy liczba beneficjentów przekracza 25 osób. Rada nadzorcza pełni funkcje nadzorcze wobec zarządu w zakresie przestrzegania prawa i postanowień zawartych w statucie. Statut fundacji może rozszerzyć jej uprawnienia. Powołania i odwołania członków rady nadzorczej dokonuje fundator, a po śmierci fundatora – zgromadzenie beneficjentów – chyba że w treści statutu zostały zawarte inne postanowienia.

Zgromadzenie beneficjentów

Zgromadzenie beneficjentów powołuje fundator i jest to organ obligatoryjny w fundacji rodzinnej. Będzie mógł w nim wziąć udział każdy beneficjent, któremu zostanie przyznane takie prawo. Jednym z głównych zadań zgromadzenia jest uzupełnianie składu pozostałych organów fundacji – w wypadku, gdy istnieje w fundacji rada nadzorcza, to po śmierci fundatora właśnie zgromadzenie powołuje nowych członków rady. Podobnie wygląda to w analogicznej sytuacji śmierci fundatora z powoływaniem członków zarządu, jeśli nie została w fundacji powołana rada nadzorcza. Co do istnienia samego zgromadzenia, to po śmierci fundatora, powołanie zgromadzenia będzie mógł dokonać każdy z należących doń beneficjentów. Do pozostałych zadań zgromadzenia zaliczyć można zatwierdzanie sprawozdań finansowych, a także wybór firmy audytorskiej lub zespołu audytorów[3].

Ustawa zawiera szereg uregulowań dotyczących kwestii funkcjonowania organów fundacji, jak np. możliwość uczestnictwa w posiedzeniu na odległość, miejsca, gdzie odbywa się posiedzenie (co do zasady w siedzibie fundacji, ale może również w innym miejscu) czy zasady jawności głosowań.

Przed założeniem fundacji rodzinnej należy dokładnie rozważyć, jaka powinna być jej struktura oraz w jaki sposób (w zakresie w jakim ustawa pozostawia tutaj swobodę) ustalić zadania poszczególnych organów. Wszystkie te kwestie powinny zostać uregulowane w statucie. Założenie fundacji rodzinnej wymaga skrupulatnego planowania i rozważenia odpowiedniego modelu działania.

[1] Uzasadnienie projektu ustawy o fundacji rodzinnej, https://www.sejm.gov.pl/Sejm9.nsf/druk.xsp?nr=2798.

[2] Tamże.

[3] Tamże.

Źródła”:

Uzasadnienie projektu ustawy o fundacji rodzinnej, https://www.sejm.gov.pl/Sejm9.nsf/druk.xsp?nr=2798.

Zobacz inne nasze teksty odnośnie fundacji rodzinnej:

1. „Jak zaplanować sukcesję z fundacją rodzinną – rozpoczynamy cykl” – https://paluckiszkutnik.pl/2023/10/26/jak-zaplanowac-sukcesje-z-fundacja-rodzinna-rozpoczynamy-cykl-artykulow/
2. „Fundacja rodzinna a podatki – czy to się opłaca?” – https://paluckiszkutnik.pl/2023/11/17/fundacja-rodzinna-a-podatki-czy-to-sie-oplaca/
3. „Fundacja rodzinna a prawo spadkowe – zmiany w obowiązujących przepisach” – https://paluckiszkutnik.pl/2023/11/28/fundacja-rodzinna-a-prawo-spadkowe-zmiany-w-obowiazujacych-przepisach/

Artykuł Założenie fundacji rodzinnej – przewodnik pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

22 marca 2023 r. weszła w życie długo oczekiwana ustawa o fundacji rodzinnej z dnia 26 stycznia 2023 r. Czym jest fundacja rodzinna, kto może być zainteresowany jej utworzeniem, jak i w jakim celu można ją utworzyć- na te wszystkie pytania spróbujemy odpowiedzieć w naszym cyklu artykułów, odnoszących się do tej problematyki. Przeanalizujemy, czy fundacja rodzinna będzie lekiem na bolączki tych osób, które zastanawiają się w jaki sposób rozporządzić swoim majątkiem po śmierci, czy raczej okaże się niewiele wnoszącą instytucją, której nadmierny formalizm utrudni lub uniemożliwi jej zastosowanie w praktyce.

Celem wprowadzenia nowego bytu prawnego, jakim jest fundacja rodzinna jest przede wszystkim zabezpieczenie sukcesji firm rodzinnych.  W uzasadnieniu nowelizacji wskazano, że dotychczasowe przepisy prawne nie zapewniały sprawnej, bezproblemowej możliwości zabezpieczenia sukcesji firmy rodzinnej. Przedsiębiorcy mogli korzystać z szeregu przepisów (np. prawa cywilnego), jednak nie było to rozwiązanie idealne. Nowa ustawa jest  odpowiedzią na postulaty środowiska firm rodzinnych, a celem jest zapewnienie sukcesji międzypokoleniowej oraz zapobieżenie rozdrobnieniu majątku.

Fundacja rodzinna – co to jest?

Zgodnie z art. 2 ustawy o fundacji rodzinnej fundacja rodzinna jest osobą prawną utworzoną w celu:

–  gromadzenia mienia,

– zarządzania nim w interesie beneficjentów oraz

– spełniania świadczeń na rzecz beneficjentów.

Zgodnie z ustawą fundacja rodzinna musi działać w określonym celu, który ustala Fundator. Fundator to osoba, która ustanawia fundację – o tym jednak w jaki sposób się to odbywa opowiemy w kolejnym artykule z serii.

Fundacja rodzinna powstaje z chwilą wpisu do rejestru fundacji rodzinnych (art. 4 ustawy). Rejestr fundacji rodzinnych prowadzi Sąd Okręgowy w Piotrkowie Trybunalskim, który w zakresie fundacji rodzinnym jest sądem rejestrowym. Zgodnie z ustawą, co do zasady, w postępowaniu przed sądem rejestrowym, stosują się przepisy kpc, chyba że ustawa stanowi inaczej.

Fundacja rodzinna może posiadać jednostkę terenową albo jednostki terenowe.

Na czym mogą polegać świadczenia na rzecz beneficjentów fundacji rodzinnej?

Jak wyżej wskazano fundacja może być utworzona w celu spełniania świadczeń na rzecz beneficjentów. Zgodnie z ustawą (art. 2 ust. 2) przez świadczenie rozumie się składniki majątkowe, w tym środki pieniężne, rzeczy lub prawa, przeniesione na beneficjenta albo oddane beneficjentowi do korzystania przez fundację rodzinną albo fundację rodzinną w organizacji, zgodnie ze statutem i listą beneficjentów.

Beneficjentem fundacji może być także osoba fizyczna. W takim przypadku fundacja rodzinna może w szczególności pokrywać koszty utrzymania tej osoby lub koszty jej kształcenia. Jeśli natomiast beneficjentem jest organizacja pozarządowa, która prowadzi działalność pożytku publicznego w rozumieniu właściwych przepisów, to celem fundacji rodzinnej może być wsparcie działalności tej organizacji.

Jak nazwać fundację rodzinną?

Zgodnie z art. 3 ustawy nazwa fundacji rodzinnej może być dowolnie obrana, jednak ustawa wprowadza obowiązek oznaczenia jej słowami „fundacja rodzinna” albo skrótem „f. r.”. Należy przy tym wskazać, że zgodnie z ustawą wyłącznie fundacja rodzinna może używać ww. oznaczeń – nie będzie zatem dopuszczalne posługiwanie się nimi przez przedsiębiorców, czy inne podmioty. Fundacja rodzinna będzie zatem odróżniała się w obrocie od innych przedsiębiorców.

Oświadczenia fundacji rodzinnej

Ustawa w sposób szczegółowy reguluje, w jaki sposób fundacja rodzinna powinna składać oświadczenia. Zgodnie z art. 7 ustawy jeżeli z innych przepisów nie wynika inaczej, oświadczenia składane przez fundację rodzinną beneficjentowi, sądom, organom administracji publicznej, instytucjom państwowym i w zamówieniach handlowych zawierają:

1) nazwę fundacji rodzinnej, jej siedzibę i adres;

2) numer, pod którym fundacja rodzinna jest wpisana do rejestru fundacji rodzinnych;

3) numer identyfikacji podatkowej (NIP).

Dodatkowo, zgodnie z art. 6 fundacja musi w sposób należyty dokumentować transakcje dokonywane na rzecz beneficjentów, które mogą być wykonywane wyłącznie za pomocą rachunku płatniczego (art. 6 ustawy).

Prowadzenie działalności gospodarczej przez fundację rodzinną

W sposób szczególny możliwość wykonywania działalności gospodarczej przez fundację rodzinną reguluje art. 5 ustawy. Mówi on, że fundacja może wykonywać działalność gospodarczą w rozumieniu art. 3 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców, jednak jedynie w zakresie:

1. zbywania mienia, o ile mienie to nie zostało nabyte wyłącznie w celu dalszego zbycia;
2. najmu, dzierżawy lub udostępniania mienia do korzystania na innej podstawie;
3. przystępowania do spółek handlowych, funduszy inwestycyjnych, spółdzielni oraz podmiotów o podobnym charakterze, mających swoją siedzibę w kraju albo za granicą, a także uczestnictwa w tych spółkach, funduszach, spółdzielniach oraz podmiotach;
4. nabywania i zbywania papierów wartościowych, instrumentów pochodnych i praw o podobnym charakterze;
5. udzielania pożyczek:

a) spółkom kapitałowym, w których fundacja rodzinna posiada udziały albo akcje,

b) spółkom osobowym, w których fundacja rodzinna uczestniczy jako wspólnik,

c) beneficjentom;

• obrotu zagranicznymi środkami płatniczymi należącymi do fundacji rodzinnej w celu dokonywania płatności związanych z działalnością fundacji rodzinnej;
• produkcji przetworzonych w sposób inny niż przemysłowy produktów roślinnych i zwierzęcych, z wyjątkiem przetworzonych produktów roślinnych i zwierzęcych uzyskanych w ramach prowadzonych działów specjalnych produkcji rolnej oraz produktów opodatkowanych podatkiem akcyzowym, o ile ilość produktów roślinnych lub zwierzęcych pochodzących z własnej uprawy, hodowli lub chowu, użytych do produkcji danego produktu stanowi co najmniej 50% tego produktu;
• gospodarki leśnej.

Dwa ostatnie punkty można wykonywać tylko i wyłącznie w związku z prowadzonym przez fundację gospodarstwem rolnym.

Fundacja rodzinna nie jest sposobem na ucieczkę od odpowiedzialności

Fundacja rodzinna nie może zostać wykorzystana do uniknięcia odpowiedzialności przez fundatora za swoje zobowiązania. Zgodnie z ustawą w przypadku niektórych zobowiązań fundacja rodzinna będzie ponosić odpowiedzialność solidarną z fundatorem. Zasady odpowiedzialności solidarnej fundacji rodzinnej za zobowiązania fundatora zostały wskazane w art. 8 i 9 ustawy. Przepisy odnoszą się tutaj do odpowiedzialności za zobowiązania powstałe przed ustanowieniem fundacji, w tym w zakresie obowiązku alimentacyjnego. Zgodnie z ustawą, jeśli fundator posiada takie zobowiązania, to fundacja rodzinna ponosi za te zobowiązania odpowiedzialność solidarną. Zgodnie z przepisami odpowiedzialności tej nie można bez zgody wierzyciela wyłączyć ani ograniczyć.

Fundacja rodzinna odpowiada także za wykonanie powstałego po jej ustanowieniu obowiązku alimentacyjnego obciążającego fundatora. Przepisy obejmują także postępowanie egzekucyjne – w przypadku, gdy egzekucja z majątku fundatora obowiązku alimentacyjnego powstałego po ustanowieniu fundacji rodzinnej okaże się bezskuteczna, uprawniony może prowadzić egzekucję z majątku fundacji rodzinnej. Powyższe uregulowanie nie stanowi przy tym przeszkody do wniesienia powództwa przeciwko fundacji rodzinnej, zanim egzekucja z majątku fundatora okaże się bezskuteczna.

Zgodnie z art. 9 odpowiedzialność solidarna fundacji rodzinnej ogranicza się do wartości mienia wniesionego przez fundatora według stanu z chwili wniesienia, a według cen z chwili zaspokojenia wierzyciela.

Jak wykorzystać fundację rodzinną w praktyce?

Ustawa o fundacji rodzinnej stanowi ważne narzędzie planowania sukcesji przede wszystkim w firmach rodzinnych. Umożliwi ona zabezpieczenie posiadanego majątku, sukcesji własnego przedsiębiorstwa i samodzielne zdecydowanie, jaką wyznaczyć mu przyszłość. Ustawa daje dużą dowolność fundatorowi, czyli osobie fizycznej zakładającej fundację, w ustalaniu statutu fundacji oraz planowaniu jej celów, w tym przykładowo w zakresie  ustalenia, kto będzie beneficjentem majątku (osoba, która otrzyma pieniądze lub inne korzyści).

Tutaj warto zauważyć, że założenie fundacji rodzinnej będzie opłacalne również dla osoby posiadającej firmę lub duży majątek, która chciałaby za swojego życia rozdzielić go według własnego uznania, np. sprzedając firmę. Wprowadzona ustawa daje korzyści podatkowe – daje możliwość uniknięcia wysokich podatków od spadków i darowizn.

Ustawa jest ułatwieniem również dla osób, które zamierzają długofalowo, na wiele pokoleń, planować rozwój firmy lub posiadanego majątku – w taki sposób, aby nie został on roztrwoniony przez spadkobierców.

Innym przykładem osób zainteresowanych założeniem fundacji rodzinnej mogą być wspomniane osoby posiadające duży majątek, np. kolekcjonerzy. W każdym wypadku ustawa oferuje im zapewnienie o właściwym zagospodarowaniu ich dobrami, zgodnie z ich wolą.

Fundacja rodzinna może okazać się ciekawym narzędziem, które pozwoli fundatorom zarządzać majątkiem i spełniać świadczenia na rzecz beneficjentów. Co należy zrobić, aby założyć taką fundację? Jakie wymagania spełnić? O tym, w jaki sposób założyć fundację rodzinną napiszemy w kolejnym artykule.

Źródła:

Uzasadnienie projektu ustawy o fundacji rodzinnej, https://www.sejm.gov.pl/Sejm9.nsf/druk.xsp?nr=2798.

Zobacz inne nasze teksty odnośnie fundacji rodzinnej:

1. „Założenie fundacji rodzinnej – przewodnik” – https://paluckiszkutnik.pl/2023/11/03/zalozenie-fundacji-rodzinnej-przewodnik/
2. Fundacja rodzinna a podatki – czy to się opłaca? – https://paluckiszkutnik.pl/2023/11/17/fundacja-rodzinna-a-podatki-czy-to-sie-oplaca/
3. „Fundacja rodzinna a prawo spadkowe – zmiany w obowiązujących przepisach” – https://paluckiszkutnik.pl/2023/11/28/fundacja-rodzinna-a-prawo-spadkowe-zmiany-w-obowiazujacych-przepisach/

Artykuł Jak zaplanować sukcesję z fundacją rodzinną – rozpoczynamy cykl artykułów! pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Prawa osób, które dane dotyczą określone są w art. 15-22 RODO i obejmują prawo do:

– Dostępu do danych,

– Sprostowania danych,

– Usunięcia danych,

– Ograniczenia przetwarzania danych,

– Przenoszenia danych,

– Sprzeciwu,

– Niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu.

Przejrzysty dostęp do informacji- podstawa procesu rekrutacyjnego

Zgodnie z art. 5 ust. 1 lit. a RODO dane osobowe powinny być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Z tą zasadą przejrzystości, rzetelności i legalności wiąże się obowiązek informacyjny, który powinien przez pracodawcę zostać wypełniony w każdym przypadku, w którym prowadzona jest rekrutacja. Zgodnie z art. 12 RODO obowiązek informacyjny musi być przekazany w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.

Podczas procesu rekrutacyjnego na pracodawcach spoczywa konieczność przedstawienia klauzuli informacyjnej w momencie zbierania danych osobowych. Każdy kandydat ma prawo wiedzieć, kto zbiera jego dane osobowe, znać cel przetwarzania, przybliżony okres przechowywania danych czy też informacje o możliwości dostępu do swoich danych[1]. Nie może dochodzić do sytuacji, w której osoba, której dane dotyczą, nie wie właściwie, komu przekazuje swoje dane. Dzieje się tak niejednokrotnie, kiedy pracodawcy starają się korzystać z rekrutacji w sposób anonimowy, ujawniając swoje dane dopiero w momencie odpowiedzi na wysłane CV –  taki zabieg byłby wykluczony na gruncie RODO. Dla osoby udostępniającej swoje dane osobowe komunikat musi być jasny i przejrzysty- musi ona wiedzieć, do kogo te dane trafią. Świadomy kandydat powinien o tym pamiętać i uważać, gdyż zdarza się, że nieuczciwe podmioty zbierają w ten sposób bazę danych osobowych w ogóle nawet nie prowadząc procesu rekrutacji. Żądanie usunięcia swoich danych czy też złożenie skargi do PUODO byłoby w takim wypadku niemożliwe, ponieważ kandydat nie posiadałby w ogóle danych kontaktowych do takiego administratora.

Sprawdzenie danych i żądanie do nich wglądu

Zgodnie z art. 15 RODO każda osoba, której dane dotyczą może żądać od administratora danych osobowych potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz uzyskania szeregu informacji w tym zakresie, m.in. w zakresie celów przetwarzania, kategorii przetwarzania, informacji o odbiorcach danych, planowanym okresie przetwarzania, prawie żądania sprostowania, usunięcia, ograniczenia przetwarzania, wniesienia sprzeciwu wobec przetwarzania, informacje o źródle danych, o zautomatyzowanym podejmowaniu decyzji.

Uprawnienie to nie jest jedynie teoretyczne i kandydaci faktycznie zwracają się do pracodawców celem otrzymania ww. informacji. Ciekawym przykładem jest stan faktyczny, który stał się podstawą do wydania decyzji przez belgijski organ nadzorczy (APD/GBA) z dnia 22.12.2022 r.[2]. W tym wypadku firma z branży HR skontaktowała się z kandydatem oferując swoje usługi w zakresie wsparcia w poszukiwaniu pracy. W związku z powyższym kandydat zwrócił się o podanie szeregu informacji dotyczących przetwarzania, w tym w zakresie źródła pozyskania danych. W korespondencji z kandydatem administrator unikał odpowiedzi na niektóre pytania i podał wymagane informacje z opóźnieniem, w związku z czym kandydat złożył skargę do belgijskiego organu nadzorczego. Organ nadzorczy ocenił, że poprzez swoją postawę administrator nie podał kandydatowi wystarczających informacji, w tym m.in. pełnych informacji o źródle pozyskania danych, co było jego obowiązkiem. Powyższy przykład pokazuje, że administrator danych osobowych powinien zadbać o to, aby pozyskiwać dane wyłącznie z legalnych źródeł, ponieważ kwestie te mogą podlegać kontroli.  

Feedback a nieudana rekrutacja

Co ciekawe, prawo dostępu do danych może także dotyczyć etapu po zakończonej rekrutacji, przy czym nie zawsze musi to być rekrutacja zakończona sukcesem. W mediach społecznościowych często można trafić na historie kandydatów rozczarowanych faktem, że po zakończeniu rekrutacji nie uzyskali oni właściwie żadnej informacji na temat tego, z jakiego powodu ich kandydatura została odrzucona. Poznanie tych przyczyn jest dla kandydatów szczególnie pomocne, ponieważ może okazać się kluczowe przy kolejnych rekrutacjach.

Dlatego tak ważny wydaje się wartościowy feedback. Niestety nie każda firma decyduje się na jego przekazanie. W tym zakresie może nam pomóc właśnie RODO, a w szczególności art. 15. Jak była mowa powyżej, przepis ten umożliwia uzyskanie potwierdzenia, czy dane są przetwarzane, a jeżeli ma to miejsce to dana osoba może uzyskać do takich danych dostęp.

 Na wniosek osoby, której dane dotyczą, administrator powinien dostarczyć kopię danych osobowych podlegających przetwarzaniu[3]. Oznacza to, że kandydat, który nie został zatrudniony może żądać kopii wszystkich danych osobowych, które przetwarza jego niedoszły pracodawca. Oznacza to, że kandydat może także i powinien w tym zakresie otrzymać notatki dotyczące jego osoby, które były tworzone w procesie rekrutacji. Prawa, które ma kandydat wymuszają tym samym większy profesjonalizm po stronie pracodawców. Pracodawcy powinni uważać na język, jakim się posługują, nie tworzyć czarnych list kandydatów, nie stosować kryteriów dyskryminacyjnych. Działanie zgodnie z prawem powinno być dla pracodawcy priorytetem, zwłaszcza mając na uwadze fakt, że niedoszły pracownik ma możliwość skontrolowania jego działań we wskazany wyżej sposób. Z punktu widzenia pracownika natomiast możliwość przekonania się, jakie błędy podczas rozmowy kwalifikacyjnej zostały popełnione może okazać się kluczowe na przyszłość.

Prawo do sprostowania danych

Kolejnym uprawnieniem określonym w art. 16 RODO jest prawo do sprostowania danych. Zgodnie z tym przepisem osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Z uwzględnieniem celów przetwarzania, osoba, której dane dotyczą, ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia. Należy podkreślić, że RODO nakazuje, aby przetwarzać dane aktualne. W związku z powyższym, po pewnym czasie, może przykładowo okazać się, że dane osobowe kandydata uległy zmianie (np. kandydat zmienił nazwisko, dane kontaktowe itp.). W takim wypadku kandydat może zwrócić się do pracodawcy o uaktualnienie jego danych osobowych.

Prawo do bycia zapomnianym- czy przysługuje niedoszłym kandydatom?

Prawo do usunięcia danych, tj. prawo do bycia zapomnianym na gruncie prowadzenia rekrutacji wzbudziło ostatnio wiele kontrowersji. Zgodnie z art. 17 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z przesłanek wskazanych w tym przepisie. Na czym polega usunięcie danych? Usunięcie jest rozumiane jako zniszczenie – bezpowrotne usunięcie danych, jak również fizyczne unicestwienie nośników danych – lub modyfikacja danych, która uniemożliwi identyfikację osoby, której dane dotyczą[4]. Zgodnie ze wspomnianym art. 17 administrator ma obowiązek usunięcia danych osobowych na żądanie osoby, której dane dotyczą, jeżeli zachodzi m.in. jedna z poniższych okoliczności:

1. dane te okażą się już zbędne do celów, w jakich zostały zebrane;
2. kandydat cofnął zgodę (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a) i nie ma innej podstawy prawnej przetwarzania;
3. osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 RODO wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 RODO (tj. w zakresie marketingu bezpośredniego) wobec przetwarzania;
4. okaże się, że dane były przetwarzane niezgodnie z prawem;
5. dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator.

Czy pracodawca może przetwarzać dane kandydatów po zakończeniu rekrutacji?

Dotychczas obowiązywało stanowisko UODO w tym zakresie, wyrażone w poradniku wydanym przez ten organ „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców” z 2018 r., zgodnie z którym pracodawca powinien usuwać dane kandydatów niezwłocznie po zakończeniu rekrutacji, chyba że kandydat zgodzi się na przetwarzanie danych na potrzeby kolejnych rekrutacji. Zgodnie z twierdzeniem PUODO „co do zasady pracodawca powinien trwale usunąć dane osobowe kandydata (np. poprzez zniszczenie bądź odesłanie), z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji, tj. podpisaniu umowy o pracę z nowozatrudnionym pracownikiem, chyba że ziściły się inne przesłanki uprawniające administratora do ich przetwarzania”.  Stanowisko UODO było krytykowane, ponieważ pracodawca powinien mieć także możliwość przetwarzania takich danych z uwagi na konieczność obrony swoich praw lub celem dochodzenia roszczeń, w tym w przypadku zarzutów związanych z dyskryminacją. Ostatecznie podobne stanowisko zajął Wojewódzki Sąd Administracyjny w Warszawie w Wyroku z dnia 4 sierpnia 2022 r., sygn. akt sygn. akt II SA/Wa 542/22. W sprawie tej Prezes UODO nałożył karę na przedsiębiorstwo, które nie usunęło danych osobowych kandydatki na stanowisko w tamtejszej firmie. Kobieta nie dostała pracy i kiedy dowiedziała się, że jej dane są nadal przetwarzane wniosła skargę do UODO, które zgodnie z treścią wydanego przez siebie poradnika zadecydowało, że przechowywanie danych na wypadek ewentualnych oskarżeń o dyskryminację jest niezgodne z RODO, ponieważ stanowi przetwarzanie danych osobowych „na zapas”. Sąd jednak podważył tę decyzję i opowiedział się po stronie spółki, odwołując się do przepisów Kodeksu Pracy, a mianowicie art.. 183b i 183d KP. Mowa w nich, że osoba, wobec której pracodawca naruszył zasadę równego traktowania w zatrudnieniu, ma prawo do odszkodowania w wysokości nie niższej niż minimalne wynagrodzenie za pracę, ustalane na podstawie odrębnych przepisów[5]. Natomiast przedawnienie takich roszczeń upływa po trzech latach, zgodnie z art. 291 KP, dlatego WSA uznał, że okres przechowywania danych osobowych po zakończeniu rekrutacji byłby dopuszczalny do takiego okresu czasu[6].

Wydaje się, że stanowisko wyrażone przez WSA jest prawidłowe, z tego względu prawo do bycia zapomnianym w przypadku kandydatów do pracy może być ograniczone.  Obawa przedsiębiorców przed wnoszeniem roszczeń przez niedoszłych pracowników (np. o dyskryminację podczas rekrutacji) jest uzasadniona. Usunięcie danych spowodowałoby pozbawienie się możliwości obrony przed tego typu oskarżeniami[7].

Prawo do ograniczenia przetwarzania

Kolejnym uprawnieniem, które przysługuje osobom, których dane dotyczą jest prawo do ograniczenia przetwarzania. Zgodnie z art. 4 pkt 3 RODO ,,ograniczenie przetwarzania” oznacza oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania. Ograniczenie przetwarzania polega na tym, że administrator danych osobowych przez pewien czas ogranicza przetwarzanie wyłącznie do przechowywania danych. Osoba, której dane dotyczą może żądać ograniczenia przetwarzania w następujących przypadkach:

a) osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający administratorowi sprawdzić prawidłowość tych danych;

b) przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;

c) administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;

d) osoba, której dane dotyczą, wniosła sprzeciw na mocy art. 21 ust. 1 RODO wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą.

Powyższe uprawnienie może dotyczyć także w pewnych wypadkach kandydatów do pracy. Kandydat może przykładowo zakwestionować prawidłowość swoich danych osobowych albo może żądać dalszego przetwarzania swoich danych osobowych przez niedoszłego pracodawcę dla celów dochodzenia roszczeń.

Prawo do sprzeciwu

Prawo sprzeciwu przysługuje na mocy art. 21 RODO kandydatowi z uwagi na przyczyny związane z jego szczególną sytuacją. Prawo do sprzeciwu kandydat może wnieść, jeżeli administrator opiera się m.in. na podstawie art. 6 ust. 1 lit. f RODO, tj. na podstawie uzasadnionego interesu. W takim wypadku administrator nie może przetwarzać tych danych, chyba że administrator wykaże istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Jeżeli jednak sprzeciw dotyczy marketingu bezpośredniego (art. 21 ust. 2 RODO) to danych osobowych nie można przetwarzać dalej w żadnym wypadku.

Przepisy powyższe mogą znalazły praktyczne zastosowanie w sprawie opisywanej w poprzednim akapicie, gdzie kandydatka faktycznie wniosła sprzeciw wobec przetwarzania jej danych przez niedoszłego pracodawcę. Łatwo także wyobrazić sobie takie sytuacje w przypadku marketingu bezpośredniego, kierowanego do niedoszłych pracowników.

Prawo do niepodlegania decyzji opartej na wyłącznie zautomatyzowanym przetwarzaniu danych

Zgodnie z art. 22 RODO osoba, której dane dotyczą, ma prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa. Dzisiejszych czasach nie tak rzadkim przypadkiem będzie sytuacja, gdy przedsiębiorca zdecyduje się przeprowadzić np. pierwszy etap rekrutacji za pomocą bota, który porozmawia z kandydatami i na podstawie zdobytych odpowiedzi dokonana profilowania najlepiej pasujących osób na dane stanowisko. Kandydat w takim wypadku musi przede wszystkim zostać poinformowany o takiej sytuacji, a poza tym ma prawo oczekiwać, aby decyzja była chociaż wsparta udziałem w rekrutacji osoby fizycznej, która zweryfikuje jej prawidłowość. Na marginesie wskażę, że decyzja może być oparta wyłącznie na automatycznym przetwarzaniu, gdy zachodzi jedna z przesłanek wskazanych w art. 22 ust. 2 RODO (jeśli decyzja jest niezbędna do zawarcia/wykonania umowy, jest dozwolona prawem, na podstawie zgody). Więcej o profilowaniu przeczytasz na stronie…… naszego dodatku.

Z powyższej analizy jasno wynika, że prawa osób, których dane dotyczą nie mają charakteru iluzorycznego, ale stanowią realne narzędzia dla kandydatów. Dzięki uregulowaniom zawartym w RODO kandydaci mogą dowiedzieć się kto, dlaczego i w jakim celu przetwarza ich dane osobowe. Kandydaci mają także realny wpływ na to, co dzieje się z ich danymi, a w razie uznania, że dane te są przetwarzane w sposób nieprawidłowy mogą także złożyć skargę do organu nadzorczego.

[1] Porównaj art. 13 RODO.

[2] Zob. streszczenie decyzji w języku angielskim: https://gdprhub.eu/index.php?title=APD/GBA_(Belgium)_-_189/2022 )

[3] Porównaj art. 15 RODO ust. 3.

[4] Porównaj P. Litwinski (red.) Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz, Legalis

[5] Porównaj art. 183b KP.

[6] Porównaj wyrok WSA w Warszawie – II SA/Wa 542/22 z dnia 4 sierpnia 2022 r.

[7] Tamże.

Artykuł Prawa osób, których dane dotyczą w procesie rekrutacyjnym pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Naruszenie danych osobowych- co to właściwie jest?

Zgodnie z art. 4 ust 12 RODO naruszenie danych osobowych oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Naruszenie stanowi zatem incydent bezpieczeństwa, jednak nie wszystkie incydenty bezpieczeństwa to naruszenie danych osobowych – kluczowe jest tutaj to ostatnie pojęcie. RODO obowiązuje właśnie tylko w wypadku, gdy naruszone są dane osobowe. Naruszeniem bezpieczeństwa, podanym w definicji, „będzie naruszenie zabezpieczeń mających służyć ochronie danych”[1]. Według Grupy Roboczej Art. 29[2] naruszenia można podzielić na poniższe kategorie:

• naruszenie dotyczące poufności danych – naruszenie, w rezultacie którego dochodzi do nieuprawnionego lub przypadkowego ujawnienia lub nieuprawnionego dostępu do danych osobowych;
• naruszenie dotyczące integralności danych – naruszenie, w rezultacie którego dochodzi do nieuprawnionego lub przypadkowego zmodyfikowania danych osobowych;
• naruszenie dotyczące dostępności danych – naruszenie, w rezultacie którego dochodzi do przypadkowego lub nieuprawnionego dostępu do danych osobowych lub zniszczenia danych osobowych[3].

W wypadku stwierdzenie naruszenia, to administrator danych osobowych jest odpowiedzialny za ocenę incydentu, ewentualne zgłoszenie, podjęcie środków zaradczych i zapobiegawczych. W poniższym artykule spróbujemy przyjrzeć się schematowi działania w przypadku naruszenia zabezpieczeń oraz możliwościom zapobiegania.

Wykrycie naruszenia danych osobowych

Administrator jest osobą odpowiedzialną za zbadanie i ewentualne zgłoszenie naruszenia danych osobowych. Według art. 33 RODO ma on w terminie nie późniejszym niż 72 godziny po stwierdzeniu naruszenia zgłosić je organowi nadzorczemu, o ile zachodzi taka potrzeba. Kluczowy zatem wydaje się moment „stwierdzenia”. Uznaje się, że jest to chwila, gdy uzyskał on pewność, iż doszło to wystąpienia incydentu bezpieczeństwa, jaki doprowadził do ujawnienia danych osobowych. Obrazuje to poniższy przykład:

Przykład 1: Pracownik przedsiębiorcy zauważa podejrzaną aktywność w systemie informatycznym Pracodawcy i zgłasza to do pracownika odpowiedzialnego za bezpieczeństwo w firmie. Pracownik sprawdza zgłoszenie i potwierdza, że doszło do włamania do bazy danych zawierającej dane osobowe. Pracownik niezwłocznie zgłasza to pracodawcy. Termin 72 godziny powinien być liczony od momentu potwierdzenia wystąpienia naruszenia, nie zaś od pierwszego zgłoszenia opisanego powyżej.

Administrator powinien ustanowić procedury, dzięki którym sprawdza i ocenia czy nie doszło do nieprawidłowości w trakcie przetwarzania danych.  On lub podmiot przetwarzający mogą korzystać z pewnych środków technicznych takich jak np. analizatory przepływu danych i analizatory dziennika umożliwiające zidentyfikowanie zdarzeń i ostrzeżeń poprzez ich zestawienie z dowolnymi danymi dziennika. Wszystkie środki zaradcze lub zapobiegawcze powinny być opisane przez administratora w sporządzonych planach reagowania na naruszenia danych osobowych. Ułatwi to działanie i wyjaśni, kto konkretnie jest odpowiedzialny za zarządzanie naruszeniem. W wypadku występowania współadministratorów wszelkie działania koniecznie należy rozpisać, aby odpowiedzialność nie rozmywała się. Administrator powinien również zawrzeć porozumienia z wszystkimi podmiotami przetwarzającymi, ponieważ w chwili naruszenia danych osobowych ważny jest czas podjętych działań i zdobyte informacje na temat wykrytych incydentów powinny być kierowane bezpośrednio do osoby odpowiedzialnej za reagowanie. 

 Podmiot przetwarzający powinien zgłaszać każdy przypadek podejrzenia naruszenia danych osobowych, gdyż to na administratorze ciąży odpowiedzialność decyzji, co do ewentualnego stwierdzenia incydentu bezpieczeństwa. RODO nie określa dokładnie czasu, w jakim takie zgłoszenie przez podmiot przetwarzający powinno być dokonane. Przepisy ograniczają się do nakazu – „bez zbędnej zwłoki” (art. 33 ust. 2 RODO). Często jednak w umowach powierzenia przetwarzania danych strony precyzyjnie wskazują ten czas- najczęściej jako 24 lub 48 godzin od momentu wykrycia naruszenia.

Kiedy zgłosić naruszenie organowi nadzorczemu?

W chwili potwierdzenia wystąpienia naruszenia danych osobowych administrator musi podjąć kilka działań. Po pierwsze należy ocenić ryzyko dla osób fizycznych (prawdopodobieństwo braku ryzyka, istnienie ryzyka lub wysoki poziom ryzyka), czy naruszenie może powodować ryzyko naruszenia praw i wolności, a zatem ostatecznie czy zgłosić sprawę do organu nadzorczego. W Polsce będzie nim Prezes Urzędu Ochrony Danych Osobowych, chyba że naruszenie będzie dotyczyć obywateli także innego kraju członkowskiego, wtedy organ wiodący powinien być ustalony w oparciu o art. 56 RODO. Administrator musi również ocenić czy owo naruszenie może spowodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. W wypadku odpowiedzi twierdzącej należy zawiadomić wszystkie osoby, których dane dotyczą. Wreszcie administrator musi podjąć działania naprawcze, które ograniczą skalę naruszenia, oraz takie, które umożliwią przywrócenie stanu sprzed wystąpienia incydentu[4].  

Przykład 1: Pracownik wynosi ze Spółki dokumenty kadrowe, aby dokończyć pracę w domu. Dokumenty chowa w torbie, a torbę pozostawia w samochodzie i udaje się na zakupy. Po powrocie do auta okazuje się, że ktoś włamał się do pojazdu i zabrał torbę z poufnymi dokumentami. W wyniku tego incydentu doszło do naruszenia danych osobowych zawartych w dokumentach kadrowych, w tym numerów PESEL, adresów, danych kontaktowych, danych finansowych. Naruszenie dotyczyło 50 pracowników. Zdarzenie powinno zostać zgłoszone do PUODO, a także z uwagi na wysokie ryzyko naruszenia praw osób fizycznych osoby dotknięte naruszeniem powinny zostać o nim poinformowane.

W celu zapobiegania sytuacjom naruszenia danych osobowych administrator może stosować różne środki zapobiegawcze, jak np. szyfrowanie, stosowanie haseł, przechowywanie zaszyfrowanych kopii zapasowych danych, które mogą pomóc zidentyfikować osoby, których dane zostały naruszone. Ważne jest także wdrożenie odpowiednich procedur, które określą w jaki sposób należy postępować z danymi. Wykradzione dane mogą być narzędziem w dokonaniu oszustwa, jakiego ofiarą padną osoby, których dane są przedmiotem naruszenia (wykorzystane danych do podjęcia pożyczek, włamania na konto bankowe czy sprzedaż tożsamości). Wreszcie ważne, aby działania były sumiennie dokumentowane, ponieważ organ nadzorczy może w każdej chwili zażądać weryfikacji przestrzegania art. 33.

Przykład 2: Pracownik firmy informatycznej wybrał się od razu po pracy do klubu. Nie miał czasu pojechać do domu, dlatego zabrał ze sobą służbowy komputer, który cały czas starał się „mieć na oku”. Niestety, w czasie gdy pracownik był w toalecie komputer skradziono. Komputer zawierał m.in. wrażliwe dane dotyczące zdrowia, ponieważ pracownik opracowywał oprogramowanie dla podmiotu medycznego. W wyniku kradzieży doszło do utraty tych danych oraz do ich udostępnienia osobie, która zabrała komputer. Administrator zgłosił naruszenie zarówno do PUODO, jak i poinformował osoby dotknięte naruszeniem.

 Elementy zgłoszenia do organu

Zgłoszenie administratora do organu nadzorczego musi zawierać kilka istotnych informacji, jak np. opis charakteru naruszenia danych osobowych, w miarę możliwości wskazywać kategorię, przybliżoną liczbę osób, których dane dotyczą oraz przybliżoną liczbę wpisów danych osobowych (ważne jest tutaj słowo „przybliżone”, gdyż brak dokładnych danych nie powinno wstrzymywać administratora przed zgłoszeniem). Poza tym ważne, aby zgłoszenie zawierało imię, nazwisko i dane kontaktowe inspektora danych osobowych (lub innego punktu kontaktowego), opis możliwych konsekwencji naruszenia, a także środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszenia ochrony danych osobowych, w tym zminimalizowaniu jego negatywnych skutków.

Jakie mogą być skutki naruszenia?

Przy braku odpowiedniej i szybkiej reakcji naruszenie ochrony danych osobowych może skutkować powstaniem uszczerbku fizycznego, szkód majątkowych lub niemajątkowych u osób fizycznych, takich jak utrata kontroli nad własnymi danymi osobowymi lub ograniczenie praw, dyskryminacja, kradzież lub sfałszowanie tożsamości, strata finansowa, nieuprawnione odwrócenie pseudonimizacji, naruszenie dobrego imienia, naruszenie poufności danych osobowych chronionych tajemnicą zawodową lub wszelkie inne znaczne szkody gospodarcze lub społeczne[5]. Dlatego tak ważna jest szybka reakcja oraz upewnienie się, że wdrożono wszelkie odpowiednie techniczne środki ochrony danych oraz środki organizacyjne (np. odpowiednie procedury zabraniające wynoszenia dokumentów lub nośników z biura), by od razu stwierdzić naruszenie i poinformować organ nadzorczy. Dokonuje się tego po badaniu prawdopodobieństwa – czy sytuacja naruszenia danych osobowych będzie skutkować ryzykiem naruszenia praw lub wolności osób fizycznych. W wypadku, gdy poziom takiego ryzyka ocenia się jako niski, nie ma obowiązku zawiadomienia organu nadzorczego.

Przykład: Pracownik zakładu fryzjerskiego postanawia odejść z pracy. Przed odejściem kopiuje dane klientów, których obsługiwał. Po założeniu własnej działalności przesyła do nich wiadomości z zaproszeniem do nowego salonu. Były pracodawca odnotował incydent jako naruszenie danych osobowych w swoich rejestrach, jednak nie dokonał zgłoszenia uznając, że nie ma ryzyka naruszenia praw lub wolności osób fizycznych z uwagi na rodzaj, a także niewielką skalę skopiowanych danych. 

Zawiadomienie osoby, której dane dotyczą

W wypadku decyzji zgłoszenia naruszenia do organu nadzorczego sprawa wydaje się znacznie prostsza, gdyż ocenia się sytuacje, które już się wydarzyły. Obowiązek powiadomienia z art. 34 RODO dotyczy natomiast sytuacji hipotetycznych, a zatem potencjalnego naruszenia praw i wolności podmiotu danych i jego poziomu. Nie wymaga się więc, aby wysokie ryzyko się zmaterializowało i by rzeczywiście doszło do naruszenia praw lub wolności. Osoby, których dane dotyczą, powinny zostać zawiadomione bez zbędnej zwłoki, ale RODO nie podaje dokładnego terminu.

Treść zawiadomienia powinna zawierać podobne informacje, co przy zgłoszeniu do organu nadzorczego, czyli: opis charakteru naruszenia, imię, nazwisko i dane inspektora ochrony danych, opis możliwych konsekwencji oraz środków zastosowanych lub proponowanych przez administratora. Co do formy komunikatu głównym wymogiem jest celowość, czyli obowiązek, aby treść była zrozumiała dla osób, których dane dotyczą. Można przyjąć z dużą dozą prawdopodobieństwa, że nie będą one zaznajomione z fachową terminologią, więc język powinien być jasny i prosty.

Przykładowy komunikat może brzmieć następująco:

Szanowni Państwo,

W dniu 20 maja 2023 r. doszło do naruszenia danych osobowych w naszej firmie, polegającego na utracie poufności niektórych dokumentów kadrowych. Dokumenty zawierały następujące dane: imię, nazwisko, adres, numer telefonu, PESEL. Dostęp został przez nas zablokowany, wdrożyliśmy także dodatkowe zabezpieczenia. Możliwe konsekwencje zdarzenia obejmują dalsze wykorzystanie Pani/Pana danych w sposób nieuprawniony, w tym w celu uzyskania kredytów, pożyczek, ubezpieczeń. Więcej informacji może Pan/Pani uzyskać od naszego Inspektora Ochrony Danych Osobowych pod numerem telefonu…………., e-mail…………..

Grupa Robocza Art. 29 w powołanych wyżej wytycznych wskazuje, że administrator powinien brać pod uwagę, przy ocenie prawdopodobieństwa naruszenia praw i wolności osób fizycznych, następujące kryteria: rodzaj naruszenia, charakter, wrażliwość i ilość danych osobowych (to wydaje się kluczowym czynnikiem podczas oceniania ryzyka), łatwość identyfikacji osób fizycznych, waga konsekwencji dla osób fizycznych, cechy szczególne danej osoby fizycznej, cechy szczególne administratora danych oraz liczba osób fizycznych, na które naruszenie wywiera wpływ.

Zasada rozliczalności

Zgodnie z treścią art. 33 ust. 5, który wynika z art. 5 RODO, czyli z tzw. zasadą rozliczalności, administrator ma obowiązek dokumentowania wszystkich przypadków naruszeń danych osobowych, nawet tych, które nie były zgłoszone. Dokumentacja może zostać wykorzystana jako element dla stwierdzenia przestrzegania przez administratora ciążących na nim obowiązków przez organ nadzorczy (por. art. 24 RODO). Administrator powinien przechowywać wszelkie dane dot. naruszenia danych osobowych, okoliczności ich naruszenia (przyczyny, przebieg zdarzeń), skutki oraz podjęte działania zaradcze.

RODO nie wskazuje w tym wypadku, jak długo powinna być przechowywana taka dokumentacja. Na pewno ma to następować przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (art. 5 RODO), ale musi się mieścić w zakresie, w jakim administrator mógłby zostać wezwany do przedstawienia organowi nadzorczemu dowodów na przestrzeganie przepisów art. 33. Oczywiście jeśli przechowywana dokumentacja nie zawiera danych osobowych, to powyższe przepisy RODO nie obowiązują.

Grupa Robocza Art. 29 zwraca również uwagę, że w dokumentacji powinno się znaleźć uzasadnienie podjętych decyzji, a w szczególności, kiedy została podjęta decyzja o niezgłaszaniu przypadku do organu nadzorczego. Administrator winien zapisać argumenty, które spowodowały, że naruszenie danych osobowych nie zostało zgłoszone. Również warto stosownie uzasadnić lub po prostu zapisać dowody, jeśli administrator uznał, że został spełniony któryś z warunków dopuszczający brak wymogu powiadamiania organu nadzorczego (wspomniany wyżej art. 33 ust. 3)[6].     

Sankcje za naruszenie ochrony danych osobowych

Naruszenie przepisów z art. 33 oraz 34 RODO może skutkować karami finansowymi w wysokości do 10 mln euro, a w przypadku przedsiębiorstwa – w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Ważne jest, że dotyczy to nie tylko braku powiadomienia osoby fizycznej, której dane dotyczą, lub zgłoszenia naruszenia organowi nadzorczemu. Kara może podlegać także nieprawidłowe zgłoszenie, brak odpowiedniej dokumentacji, błędne sformułowanie zawiadomienia, czyli generalnie brak wypełnienia obowiązków administratora wynikających z opisywanych przepisów. Poniższe przykłady pokazują, że odpowiedzialność w tym zakresie nie ma charakteru iluzorycznego.

11 lutego 2021 r. PUODO ukarał Krajową Szkołę Sądownictwa i Prokuratury, karą w wysokości 100 tys. zł, za wyciek kilkudziesięciu tysięcy danych osobowych (m.in. sędziów, asesorów prokuratury i referendarzy sądowych). Wynikało to z niezastosowania odpowiednich środków technicznych i organizacyjnych przy migracji danych osobowych z również nieprawidłowo zastosowanej umowy z podmiotem zewnętrznym[7].    

Innym głośnym przypadkiem jest wyrok dotyczący spółki morele.net jeszcze z 2019 r., powiązany z wyciekiem ponad 2 mln danych osobowych klientów. Wiązało się to, między innymi, z próbami wyłudzeń, jaki zgłaszały poszkodowane osoby. W dniu 9 lutego 2023 r. Naczelny Sąd Administracyjny wydał wyrok, sygn. akt III OSK 3945/21, który  uchylił zaskarżony wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 września 2020 r., sygn. akt II SA/Wa 2559/19 oraz decyzję Prezesa UODO z dnia 10 września 2019 r. w przedmiocie nałożenia kary pieniężnej w związku z wyciekiem danych osobowych. W decyzji tej PUODO nałożył na morele.net karę w wysokości 3 mln złotych. Na tym etapie wiemy już, że morele nie zapłaci tej kary. Zwróćmy jednak uwagę, że Wyrok NSA nie kończy sprawy, ponieważ będzie ona teraz ponownie rozpatrywana przez PUODO.

RAMKA:

Przykładowe naruszenia danych osobowych[8]:

Przykład 1: Serwer przedsiębiorstwa zajmującego się transportem publicznym został narażony na atak za pomocą oprogramowania szantażującego, a jego dane zostały zaszyfrowane przez sprawcę ataku. Zgodnie z ustaleniami z wewnętrznego dochodzenia sprawca nie tylko zaszyfrował dane, ale także dokonał ich eksfiltracji. Naruszone zostały dane osobowe klientów i pracowników, a także kilku tysięcy osób korzystających z usług przedsiębiorstwa (np. kupujących bilety online). Poza podstawowymi danymi dotyczącymi tożsamości naruszenie dotyczyło numerów dowodów tożsamości i danych finansowych, takich jak dane kart kredytowych. Istniała zapasowa baza danych, ale ona również została zaszyfrowana przez sprawcę ataku.

Przykład 2: Agencja pośrednictwa pracy padła ofiarą cyberataku, w wyniku którego na jej stronie internetowej został umieszczony złośliwy kod. Ten złośliwy kod sprawił, że dane osobowe przesłane za pośrednictwem internetowych formularzy podań o pracę i przechowywane na serwerze internetowym stały się dostępne dla nieupoważnionej osoby (osób). Możliwe, że naruszenie dotyczyło 213 takich formularzy; po przeanalizowaniu danych, które zostały naruszone, stwierdzono, że naruszenie nie dotyczyło żadnych szczególnych kategorii danych. Zainstalowane złośliwe oprogramowanie posiadało funkcje, które pozwoliły sprawcy ataku na usunięcie wszelkich historii eksfiltracji, a także umożliwiły monitorowanie przetwarzania danych na serwerze i przechwytywanie danych osobowych. Oprogramowanie wykryto dopiero miesiąc po jego zainstalowaniu.

Przykład 3: Podczas włamania do świetlicy środowiskowej skradziono dwa tablety. Na tabletach znajdowała się aplikacja, która zawierała dane osobowe dzieci uczęszczających do świetlicy. Dotyczyło to imion i nazwisk, dat urodzenia, danych osobowych związanych z edukacją dzieci. Zarówno zaszyfrowane tablety, które w momencie włamania były wyłączone, jak i aplikacja były chronione silnym hasłem. Dane zapasowe były skutecznie i łatwo dostępne dla administratora. Po uzyskaniu informacji o włamaniu opiekun świetlicy wydał zdalne polecenie wyczyszczenia tabletów wkrótce po odkryciu włamania.

Przykład 4: Dział zatrudnienia urzędu administracji publicznej wysłał wiadomość e-mail – o zbliżających się szkoleniach – do osób zarejestrowanych w jego systemie jako poszukujące pracy. Przez pomyłkę do wiadomości e-mail dołączono dokument zawierający dane osobowe wszystkich osób poszukujących pracy (imię i nazwisko, adres e-mail, adres pocztowy, numer ubezpieczenia społecznego). Liczba osób, których to dotyczy, wynosi ponad 60 000. Następnie urząd skontaktował się ze wszystkimi odbiorcami i poprosił ich o usunięcie poprzedniej wiadomości oraz o niewykorzystywanie zawartych w niej informacji.

Przykład 5: Z ośrodka odwykowego skradziono papierowy rejestr. Rejestr zawierał podstawowe dane identyfikacyjne i zdrowotne pacjentów przyjętych do ośrodka odwykowego. Dane były przechowywane tylko w wersji papierowej, a lekarze leczący pacjentów nie mieli dostępu do kopii zapasowych. Rejestru nie przechowywano w zamkniętej szufladzie ani zamkniętym pomieszczeniu, administrator danych nie stosował systemu kontroli dostępu ani żadnych innych środków zabezpieczających dokumentację papierową.

[1] Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz, red. dr Paweł Litwiński, Legalis.pl; Guidelines 9/2022 on personal data breach notification under GDPR, dostęp: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_en

[2] Zob. Wytyczne dotyczące zgłaszania naruszeń ochrony danych osobowych zgodnie z rozporządzeniem 2016/679, WP250 rev.01.

[3] Porównaj: Wytyczne dotyczące zgłaszania naruszeń ochrony danych osobowych zgodnie z rozporządzeniem 2016/679 (https://archiwum.uodo.gov.pl/pl/file/2611).

[4] Porównaj: tamże.

[5] Porównaj motyw 85 preambuły RODO.

[6] Porównaj: https://archiwum.uodo.gov.pl/pl/file/2611.

[7] Porównaj: https://uodo.gov.pl/pl/322/1913.

[8] Wszystkie przykłady pochodzą z Wytycznych EROD 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych przyjęte 14 grudnia 2021, dostęp: https://edpb.europa.eu/system/files/2022-09/edpb_guidelines_012021_pdbnotification_adopted_pl.pdf

Artykuł Jak reagować i zabezpieczyć firmę na wypadek naruszenia ochrony danych osobowych? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Fachowiec na swoim miejscu

Według treści 97 motywu RODO, inspektor danych osobowych to osoba, która dysponuje fachową wiedzą na temat prawa i praktyk w dziedzinie ochrony danych. Zostaje on powołany przez administratora lub podmiot przetwarzający w celu pomocy wewnątrz firmy w przestrzeganiu przepisów RODO. Przepisy te (art. 37 RODO) wyznaczają określone przypadki, gdy wyznaczenie IOD jest konieczne. Dzieje się tak w wypadku, kiedy: przetwarzania dokonuje organ albo podmiot publiczny (z wyjątkiem sądów), główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę lub też główna działalność tych dwóch podmiotów polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 (szczególnie wrażliwe dane osobowe), lub danych osobowych z art. 10 (dotyczących wyroków skazujących i czynów zabronionych)[1].

Inspektor ochrony danych osobowych nie jest podmiotem decyzyjnym, nie zastępuje on w procesie przetwarzania danych administratora, ale pełni w nim rolę obserwatora-fachowca, którego ocena i analiza powinna zostać wzięta pod uwagę w sposób uważny. Co ważne jest podkreślenia, administrator (jak również podmiot przetwarzający) nie ma obowiązku postąpienia według opinii wyrażonej przez IOD, lecz jego opinia powinna zostać wysłuchana i w razie braku porozumienia należałoby udokumentować powód niezastosowania porad inspektora w celu wypełnienia zasady rozliczalności[2]. Dlatego też administrator powinien zapewnić odpowiednie warunki inspektorowi, które umożliwiłyby czasowo odpowiednie zapoznanie się z tematem oraz zapewnić mu niezbędny dostęp do działań, rozmów oraz dokumentów powiązanych z procesem przetwarzania danych. 

Podsumowując nie ma zatem konieczności zawsze wyznaczania IOD w swojej firmie, jednak zawsze warto, aby administrator trzymał rękę na pulsie i dokumentował przebieg analizy wewnętrznej w celu ustalenia, czy w danym przypadku nie okaże się, że pojawi się potrzeba powołania Inspektora[3], a powinno to nastąpić przed rozpoczęciem  procesu przetwarzania.   

Kto musi wyznaczać IOD?

We wspomnianym powyżej ust. 1 art. 37 RODO podane zostały trzy przypadki, w których pojawia się obowiązek wyznaczenia inspektora. Na potrzeby tego artykułu nas będzie interesował sektor prywatny – jak odbywa się to w firmach i przedsiębiorstwach, a nie w organach publicznych. Zgodnie z art. 37 ust. 4 dopuszczalne jest także dobrowolne wyznaczenie Inspektora Ochrony Danych Osobowych, nawet w przypadku niespełnienia przesłanek do jego obowiązkowego wyznaczenia. Nadto, można także współpracować z osobami, które będą odpowiedzialne za kwestie ochrony danych osobowych, ale nie będą miały statusu IOD: „Nic nie stoi na przeszkodzie, aby organizacja, która zgodnie z obowiązującymi przepisami nie jest zobowiązana do wyznaczenia DPO (IOD) i która nie chce wyznaczyć DPO (IOD) na zasadzie dobrowolności, zatrudniła pracowników lub konsultantów zewnętrznych i powierzyła im zadania w obszarze ochrony danych osobowych. W takim wypadku należy zadbać o to, by nazwa stanowiska piastowanego przez daną osobę, jej pozycja i zakres powierzonych jej obowiązków nie wzbudzały żadnych wątpliwości”[4]. Ujmując sprawę wprost, w takim wypadku powinno się wyraźnie wskazać, że dany pracownik lub konsultant nie pełni funkcji inspektora danych osobowych.

Główna działalność administratora

Jednym z przypadków, kiedy IOD musi zostać wyznaczony, jest sytuacja, gdy przetwarzanie danych osobowych stanowi główną działalność administratora, a przetwarzanie to ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę. Przetwarzanie stanowi główną działalność administratora, kiedy oznacza jego zasadnicze, a nie poboczne czynności. Taka „główna działalność oznacza kluczowe operacje, które administrator lub podmiot przetwarzający muszą podjąć, aby osiągnąć swoje cele”[5]. Na stronie Komisji Europejskiej czytamy, że wyznaczenie IOD będzie obowiązkowe w wypadku, gdy prowadzona jest mała firma rekrutacyjna, w której sporządza się profile osób fizycznych lub też agencja ochrony odpowiedzialna za monitoring centrów handlowych i miejsc publicznych. Natomiast nie ma takiej konieczności w przypadku lokalnego lekarza przetwarzającego dane osobowe swoich pacjentów albo małej firmy prawniczej[6].

Przetwarzanie na dużą skalę

Według art. 37 ust. 1 lit. b) oraz c) obowiązek wyznaczenia IOD występuje, kiedy dane osobowe przetwarzane są na dużą skalę. Grupa Robocza Art. 29 zaleca wzięcie pod uwagę kilku aspektów, żeby ustalić czy taka sytuacja zachodzi w danej firmie. Istotnymi aspektami będzie liczba osób, których dane dotyczą, ilość danych lub zakres poszczególnych przetwarzanych pozycji danych, czas trwania czynności przetwarzania oraz jej zakres geograficzny. Będą to np. szpitale, restauracje z międzynarodowych sieci typu McDonald, dostawcy usług telefonicznych bądź internetowych.

Regularne i systematyczne monitorowanie

Zgodnie z art. 37 ust. 1 lit. b IOD powinien zostać wyznaczony, gdy główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę. Przyjrzyjmy się teraz, co oznacza regularne i systematyczne monitorowanie.  Zgodnie z powołanymi wyżej wytycznymi regularności zostanie spełniony, jeśli pojawi się któraś z następujących cech w działaniu:

1. musi być aktualnie w toku lub być podejmowane w regularnych odstępach czasu w danym okresie;
2. musi być prowadzone cyklicznie lub powtarzać się w określonych momentach;
3. musi być prowadzone stale lub okresowo.

Przykładami takich działań mogą być: świadczenie usług telekomunikacyjnych, przekierowywanie wiadomości e-mail, działalność marketingowa oparta na danych, profilowanie i przyznawanie punktów na potrzeby oceny ryzyka czy też programy lojalnościowe.

Przykład: Średniej wielkości zakład produkcyjny, w tym wypadku będzie to administrator,  zleca podwykonawstwo w zakresie opieki zdrowotnej w miejscu pracy zewnętrznemu podmiotowi przetwarzającemu, który ma wielu takich klientów. Ten podmiot będzie zobowiązany do wyznaczenia IOD (art. 37 ust. 1 lit. c), jeśli przetwarza dane na dużą skalę. Jednak zakład produkcyjny (administrator) nie będzie mieć już takiego obowiązku[7].

Podstawy wybierania IOD i jego rola w organizacji

Według art. 37 ust. 5 inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa w art. 39. Poziom wiedzy fachowej nie ma konkretnego sprecyzowania w RODO. Musi być zależny od stopnia złożoności działalności danej firmy. Z pewnością duża korporacja będzie prowadziła mniej zaawansowane procesy przetwarzania danych osobowych niż średniej wielkości firma. IOD powinien posiadać fachową wiedzę w zakresie krajowych oraz europejskich przepisów i praktyk w dziedzinie ochrony danych wraz ze znajomością RODO. Ważne, aby posiadał znajomość sektora, w którym prowadzona jest działalność gospodarcza danej firmy. Według motywu 97 RODO poziom wiedzy fachowej najlepiej byłoby ustalić na podstawie prowadzonych operacji przetwarzania danych oraz ochrony, jakiej będą wymagać dane osobowe. IOD musi również posiadać wysoki poziom etyki zawodowej oraz mieć rzetelne podejście do wykonywanych działań, gdyż jego priorytetem będzie przestrzeganie RODO[8].

IOD to jednostka stojąca, w pewnym sensie, na straży postępowania w firmie zgodnie z RODO. W art. 39 RODO znajdują się zadania, które należą do inspektora danych osobowych. Powinien on informować administratora, podmiot przetwarzający i pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy niniejszego rozporządzenia oraz innych przepisów Unii lub państwa członkowskich o ochronie danych i doradzać im w tej sprawie. IOD musi również monitorować przestrzeganie tych przepisów, a także polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych, w tym podział obowiązków, prowadzić działania zwiększające świadomość, prowadzić szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty. Do jego obowiązków zalicza się również udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych, współpraca z organem nadzorczym oraz kontakt z nim (zob. art. 39 RODO).

Ważne zadania IOD  

Pomimo tego, że ocenę skutków dla ochrony danych przeprowadza administrator to IOD pełni w tym zakresie również istotną rolę. Administrator ma obowiązek konsultowania się z inspektorem przy dokonywaniu oceny (art. 35 ust. 2). Według Grupy Roboczej Art. 29 administrator powinien również zasięgnąć opinii IOD między innymi w:

– konieczności przeprowadzenia oceny skutków dla ochrony danych;

– metody, jaką należy zastosować przy przeprowadzaniu tej oceny;

– ustalenia, czy ocena skutków dla ochrony danych powinna zostać przeprowadzona wewnątrz przedsiębiorstwa czy też zlecona podmiotowi zewnętrznemu;

– ustalenia, jakie gwarancje należy zastosować w celu ograniczenia wszelkiego rodzaju zagrożeń dla praw i interesów osób, których dane dotyczą;

–  ustalenie, czy ocena skutków dla ochrony danych została przeprowadzona w prawidłowy sposób.

W wypadku,  kiedy administrator nie zgadza się z zaleceniami IOD w zakresie oceny skutków dla ochrony danych, powinien on zawrzeć pisemne uzasadnienie swojej decyzji. Opinia IOD musi być jednak należycie uwzględniona, dlatego administrator musi odpowiednio wcześnie udostępnić mu niezbędne informacje dotyczące operacji przetworzenia danych, aby IOD miał czas się z nimi zapoznać.

Poza tym administrator powinien zapewnić IOD pełne wsparcie kadry kierowniczej (ze strony zarządu), odpowiednie wsparcie finansowe i infrastrukturalne, oficjalne zakomunikowanie pracownikom o fakcie wyznaczenia IOD, możliwość ciągłego szkolenia (aktualizacji wiedzy inspektora), umożliwienie dostępu do innych działów (HR, prawnego itd.) oraz powołanie zespołu IOD, o ile zajdzie taka potrzeba.

Inspektor danych osobowych pełni rolę osoby kontaktowej zarówno z organem nadzorczym, ale także wobec pracowników oraz osób z zewnątrz. Zagwarantowanie łatwości bezpośredniego kontaktu, bez konieczności pośredniczenia poprzez inne podmioty, uzyskuje się dzięki administratorowi, który ma zapewnić opublikowanie danych kontaktowych do IOD. Muszą one zawierać adres korespondencyjny, dedykowany numer telefonu lub dedykowany adres e-mail. Nie jest konieczne, aby podawać imię i nazwisko IOD (art. 37 ust. 7). Natomiast muszą zostać one przekazane do organu  nadzorczego (art. 39 ust. 1 lit. e) [9].

Kary dla administratorów

Administrator powinien zapewnić odpowiednią niezależność IOD w wykonywaniu jego zadań, co jednak nie oznacza, że inspektor posiada uprawnienia decyzyjne, które wykroczyłyby poza art. 39 RODO. W 2020 r. belgijski organ nadzorczy nałożył karę w wysokości 50 tys. euro na operatora telekomunikacyjnego Proximus SA za uniemożliwienie IOD pełnienia funkcji w sposób niezależny – pracownik wyznaczony na IOD pełnił jednocześnie trzy inne funkcje w spółce. Było to złamanie art. 38 ust. 6 RODO i stanowiło konflikt interesów[10]. 

Innym przypadkiem wartym wspomnienia jest kara nałożona przez hiszpański organ nadzorczy na spółkę Glovoapp23 S.L. (właściciela popularnej również w Polsce aplikacji Glovo, oferującej m.in. dostarczanie zakupów oraz zamawiania jedzenia z dostawą). Kara wyniosła 25 tys. euro i była efektem braku wyznaczenia IOD przez firmę Glovo, gdy w świetle przepisów RODO miała taki obowiązek. Spółka przetwarzała dane osobowe użytkowników na dużą skalę, ponadto proces ten wiązał się z koniecznością monitorowania użytkowników (geolokalizacja). Zatem według hiszpańskiego organu nadzorczego naruszony został art. 37 ust. 1 lit. b) i c) RODO[11].  

Również w 2020 r. UODO nałożył karę na Szkołę Główną Gospodarstwa Wiejskiego w Warszawie w wysokości 50 tys. zł i jako podstawę prawną podał art. 37 ust. 5 oraz art. 39 RODO. Organ nadzorczy podkreślił, że to administrator (SGGW) jest odpowiedzialny za niewykonywanie zadań przez inspektora, gdyż to administrator jest w pełni odpowiedzialny za przestrzeganie bezpieczeństwa danych osobowych. Zatem zatrudnienie IOD, który nie spełnia odpowiednich kwalifikacji zawodowych jest winą administratora. W tym wypadku inspektor nie był również każdorazowo włączany do procesów przetwarzania danych, co mogło mu utrudniać wykonywania zadań[12].

Czy zatem IOD ponosi jakąkolwiek odpowiedzialność? W wypadku zatrudnienia np. na umowę o pracę inspektor może ponosić odpowiedzialność pracowniczą, a w przypadku innej umowy – kontraktową. Wyznaczenie IOD nie zwalnia natomiast administratora danych osobowych ani podmiotu przetwarzającego z odpowiedzialności za przestrzeganie przepisów RODO. IOD nie ponosi osobistej odpowiedzialności w tym zakresie. Jego zadaniem jest wsparcie administratora lub podmiotu przetwarzającego w tym zakresie, ale nie przejmuje on odpowiedzialności.

Wyznaczenie inspektora danych osobowych w przedsiębiorstwie jest kwestią, którą trzeba dokładnie rozważyć, aby nie narazić się na odpowiedzialność w sytuacji, gdy jego wyznaczenie jest obowiązkowe. Wyznaczenie inspektora danych osobowych może być także przydatne dla administratora lub podmiotu przetwarzającego wówczas, gdy zgodnie z przepisami nie ma takiej konieczności. IOD może uporządkować pewne procesy w firmie, doradzić jak prawidłowo je prowadzić i pozytywnie wpłynąć na świadomość pracowników administratora lub podmiotu przetwarzającego w zakresie stosowania RODO. Z tego względu wyznaczenie takiej osoby jest zawsze warte rozważenia.

Artykuł ukazał się w publikacji „Poradnik prenumeratora. 5 lat z RODO – przewodnik” wydanej przez „Rzeczpospolitą” w dniu 21.06.2023 r.

Interesujesz się zagadnieniami związanymi z RODO? Przeczytaj koniecznie o sztucznej inteligencji jako narzędziu marketingowym tutaj, o prowadzeniu działań marketingowych z perspektywy przepisów ochrony danych osobowych tutaj, o profilowaniu zgodnym z RODO tutaj, jak prawidłowo stosować cookies tutaj oraz o kontroli trzeźwości w kontekście ochrony danych tutaj.

[1] Porównaj art. 37 ust. 1 RODO.

[2] Porównaj art. 37 RODO oraz Wytyczne Grupy Roboczej Art. 29 ds. Ochrony Danych, Wytyczne dotyczące inspektorów ochrony danych, https://uodo.gov.pl/data/filemanager_pl/15.pdf.

[3] Tamże.

[4] Tamże.

[5] Tamże oraz motyw 97 RODO.

[6] Porównaj: https://commission.europa.eu/law/law-topic/data-protection/reform/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_pl.

[7] Wytyczne Grupy Roboczej Art. 29 ds. Ochrony Danych, Wytyczne dotyczące inspektorów ochrony danych, https://uodo.gov.pl/data/filemanager_pl/15.pdf.

[8] Tamże.

[9] Tamże.

[10]„Kara za brak niezależności IOD”, dostęp: https://gdpr.pl/kara-za-brak-niezaleznosci-iod.

[11] „Kara za brak powołania Inspektora Ochrony Danych”, dostęp: https://gdpr.pl/kara-za-brak-powolania-iod.

[12] https://uodo.gov.pl/decyzje/ZSO%C5%9AS.421.25.2019.

Artykuł Kiedy należy wyznaczyć inspektora ochrony danych i jaka jest jego rola w firmie? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

„Działalność w zakresie walut wirtualnych”

Ustawodawca wprowadził do ustawyprzepisy regulujące działalność w zakresie walut wirtualnych. Pojęcie to oznacza działalność polegającą na świadczeniu usług w zakresie:

• wymiany pomiędzy walutami wirtualnymi i środkami płatniczymi,
• wymiany pomiędzy walutami wirtualnymi,
• pośrednictwa w wymianie, o której mowa wyżej,
• prowadzenia w formie elektronicznej zbiorów (rachunków) danych identyfikacyjnych zapewniających osobom uprawnionym możliwość korzystania z jednostek walut wirtualnych, w tym przeprowadzania transakcji ich wymiany.

Działalność w zakresie walut wirtualnych jest działalnością regulowaną w rozumieniu przepisów ustawy – Prawo przedsiębiorców i może być wykonywana po uzyskaniu wpisu do rejestru działalności w zakresie walut wirtualnych.

Ustawa zobowiązuje osoby prowadzące działalność w zakresie walut wirtualnych do stosowania środków bezpieczeństwa finansowego, także w przypadku przeprowadzania transakcji okazjonalnej z wykorzystaniem waluty wirtualnej o równowartości 1000 euro lub większej.

„Działalność na rzecz spółek lub trustów”

Taka działalność obejmuje działalność gospodarczą w postaci świadczenia przez przedsiębiorców* usług polegających na:

• tworzeniu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej,
• pełnieniu funkcji członka zarządu lub umożliwianiu innej osobie pełnienia tej funkcji lub podobnej funkcji w osobie prawnej lub jednostce organizacyjnej nieposiadającej osobowości prawnej,
• zapewnianiu siedziby, adresu prowadzenia działalności lub adresu korespondencyjnego oraz innych pokrewnych usług osobie prawnej lub jednostce organizacyjnej nieposiadającej osobowości prawnej,
• działaniu lub umożliwieniu innej osobie działania jako powiernik trustu, który powstał w drodze czynności prawnej,
• działaniu lub umożliwieniu innej osobie działania jako osoba wykonująca prawa z akcji lub udziałów na rzecz podmiotu innego niż spółka notowana na rynku regulowanym podlegającym wymogom dotyczącym ujawniania informacji zgodnie z prawem Unii Europejskiej lub podlegająca równoważnym standardom międzynarodowym;

*niebędących innymi instytucjami obowiązanymi, czyli takimi jak banki, SKOKi, instytucje płatnicze, firmy oraz fundusze inwestycyjne czy ubezpieczeniowe, doradcy podatkowi [art. 2 ust. 1 AML].

Wymóg niekaralności i udokumentowanej wiedzy

Ustawodawca przewidział także dodatkowe wymogi, które muszą spełnić przedsiębiorcy wykonujący działalność w zakresie walut wirtualnych bądź na rzecz spółek lub trustów:

I. Wymóg niekaralności

1. Osoby fizyczne nie mogą być prawomocnie skazane za umyślne przestępstwo przeciwko działalności instytucji państwowych oraz samorządu terytorialnego, przeciwko wymiarowi sprawiedliwości, przeciwko wiarygodności dokumentów, przeciwko mieniu, przeciwko obrotowi gospodarczemu i interesom majątkowym w obrocie cywilnoprawnym, przeciwko obrotowi pieniędzmi i papierami wartościowymi, przestępstwo, o którym mowa w art. 165a Kodeksu karnego, przestępstwo popełnione w celu osiągnięcia korzyści majątkowej lub osobistej lub umyślne przestępstwo skarbowe.
2. Wspólnicy, którym powierzono prowadzenie spraw spółki lub uprawnieni do reprezentacji spółki, lub członkowie organów zarządzających (dot. osób prawnych i jednostek organizacyjnych nieposiadających osobowości prawnej) nie mogą być prawomocnie skazani za przestępstwa opisane wyżej lub inne umyślne przestępstwo skarbowe.

II. Wymóg udokumentowanej wiedzy

Osoby fizyczne chcące prowadzić działalność na rzecz spółek lub trustów muszą mieć ukończone szkolenie lub kurs obejmujący prawne lub praktyczne zagadnienia związane z działalnością na rzecz spółek lub trustów, albo wykonywać przez minimum rok czynności związanych z działalnością na rzecz spółek lub trustów.

Warunek ten dotyczy prawdopodobnie także osób fizycznych zasiadających w organach osób prawnych. Nie wynika to z ustawy bezpośrednio, lecz taka interpretacja jest możliwa biorąc pod uwagę powód wprowadzenia powyższych rozwiązań, jakim jest potrzeba zapewnienia odpowiednich kompetencji osób prowadzących działalność na rzecz spółek i trustów, celem zagwarantowania ochrony przed ewentualnymi oszustwami podatkowymi.

– zaznacza mec. Jakub Szkutnik

Termin i procedura uzyskania wpisu do rejestru

Podmioty, które aktualnie prowadzą działalność na rzecz spółek lub trustów oraz działalność w zakresie walut wirtualnych mają czas do 30 kwietnia 2022 r. na uzyskanie wpisu do odpowiedniego rejestru – działalności na rzecz spółek lub trustów / działalności w zakresie walut wirtualnych. Podmioty, które rozpoczną działalność od 31 października 2021 r. lub później powinny uzyskać wpis zanim rozpoczną prowadzenie tego typu działalności.

Sam proces złożenia wniosku nie będzie zbytnio skomplikowany dzięki jedynej możliwości jaką jest wersja elektroniczna składana za pośrednictwem platformy ePUAP. Organ właściwy dokona wpisu do rejestru w terminie 14 dni od dnia wpłynięcia kompletnego wniosku o wpis z dołączonym wymaganym oświadczeniem.

Prowadzenie opisanych typów działalności bez posiadania wpisu do rejestru będzie podlegało karze finansowej, która może wynieść maksymalnie 100 tys. złotych.

– dodaje mec. Jakub Szkutnik

Artykuł Rejestr działalności na rzecz spółek lub trustów oraz działalności w zakresie walut wirtualnych pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Ulga sponsoringowa to propozycja rządu w ramach nowelizacji podatkowych wynikających z tzw. Polskiego Ładu. Jej głównym celem jest zapewnienie instytucjom kultury, sportu oraz uczelniom dodatkowego finansowania ze strony prywatnych firm. Dla przedsiębiorców będzie to natomiast zachęta, która pozwoli im szerzej realizować cele marketingowe i CSR-owe.

Obecnie przedsiębiorcy mogą poniesione wydatki w całości zaliczyć do kosztów uzyskania przychodu. Po zmianie dojdzie dodatkowa ulga odliczająca od podstawy opodatkowania 50 proc. poniesionych kosztów. Co ważne, ulga ma dotyczyć każdej formy prowadzenia działalności gospodarczej, także jednoosobowych działalności. 

Przykład

Przedsiębiorca sfinansował stypendia sportowe, oferując klubowi sportowemu 50 tys. złotych. Do kosztów uzyskania przychodu wliczy zatem 50 tys. złotych, a 25 tys. złotych odliczy dzięki uldze sponsoringowej od podstawy opodatkowania.

Zdaniem przedstawiciela Ministerstwa Finansów, w przyszłym roku firmy zaoszczędzą dzięki uldze ok. 100 mln złotych. Nowym rozwiązaniem mają zostać objęte wydatki poniesione od 1 stycznia 2022 roku.  

Artykuł Nowa ulga sponsoringowa pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Prosta spółka akcyjna pojawi się w katalogu spółek kapitałowych obok bardzo popularnych obecnie spółek – z ograniczoną odpowiedzialnością oraz akcyjnych (art. 4 §1 pkt. 2 ustawy z 15 września 2000 r. Kodeks spółek handlowych). Utworzyć ją będzie mogła jedna bądź kilka osób, bez względu na cel (oczywiście pozostający zgodny z prawem). Wydaje się, że ze względu na niskie koszty zawiązania spółki i prostotę całego procesu, m.in. dzięki dopuszczalnej rejestracji online, PSA może stać się jedną z najpopularniejszych spółek zawiązywanych przez przedsiębiorców. Ułatwiony proces rejestracji za pośrednictwem systemu elektronicznego nie będzie jednak dotyczył wszystkich. Niestandardowe rozwiązania wymagają bowiem tradycyjnej wizyty u notariusza.

Co należy wiedzieć o prostej spółce akcyjnej (PSA)?

1. W miejsce kapitału zakładowego wprowadzony zostanie kapitał akcyjny w minimalnej wysokości: 1zł.
2. Akcje nie będą miały przypisanej wartości nominalnej oraz nie będą stanowiły części kapitału zakładowego. Ilość posiadanych akcji będzie wyznacznikiem praw akcjonariusza w PSA.
3. Obejmowanie akcji przez akcjonariuszy będzie możliwe w zamian za świadczenie pracy lub usług.
4. Rejestr akcjonariuszy będzie prowadzony cyfrowo.
5. Obrót akcjami będzie uproszczony – wystarczy zachowanie formy dokumentowej.
6. Celem zabezpieczenia wierzycieli spółka będzie zobowiązania przeznaczać rokrocznie 8% wypracowanego zysku na kapitał akcyjny, utrzymując go na poziomie 5% sumy zobowiązań spółki wynikającej z zatwierdzonego sprawozdania finansowego za ostatni rok obrotowy.
7. Elastyczne podejście do organów spółki – tzw. rada dyrektorów (jako alternatywa dla zarządu spółki) połączy w sobie cechy zarządu i rady nadzorczej
8. Dopuszczalne będzie zdalne podejmowanie uchwał, szereg czynności wewnętrznych będzie mógł być przeprowadzany w formie dokumentowej.
9. Powstanie nowe narzędzie ochrony wierzycieli – test płynności finansowej, który zastąpi dotychczasowe mechanizmy służące zabezpieczeniu interesów wierzycieli.
10. Likwidacja spółki będzie prostsza, możliwa do przeprowadzenia w krótszym czasie.

Proces rejestracji prostej spółki akcyjnej

Przed zawarciem umowy i rejestracją PSA warto skorzystać z doradztwa prawnika, który zaproponuje kompleksowe rozwiązania, najlepsze dla danego celu zawiązania spółki. Dzięki temu łatwiej będzie wybrać metodę sporządzenia umowy – pomiędzy elektronicznym systemem S24 a tradycyjną wizytą u notariusza.

• Elektroniczny system S24 jest dużym ułatwieniem dla przedsiębiorców. Wzorzec umowy będzie dostępny online, a wszyscy założyciele złożą finalnie podpis kwalifikowany lub zatwierdzą umowę Profilem Zaufanym.
• Tradycyjne sporządzenie umowy u notariusza pozwoli umieścić w dokumencie niestandardowe zapisy, związane z konkretnymi potrzebami. Ta metoda jest też obowiązkowa dla osób, które chcą wnieść do przyszłej PSA wkłady niepieniężne.

Podobnie wygląda rejestracja PSA w Krajowym Rejestrze Sądowym. Jeżeli umowa została sporządzona w sposób online, rejestracja też odbywa się elektronicznie. Wówczas koszt to łącznie 350 zł. W przypadku sporządzenia umowy spółki w formie aktu notarialnego, wniosek o rejestrację spółki należy złożyć w sądzie, właściwym miejscowo wedle siedziby spółki. Wniosek, umowa i załączniki wymagają podpisów wszystkich członków zarządu (lub rady dyrektorów). Wówczas koszt rejestracji jest wyższy – wynosi łącznie 600 zł.

Początkowo zakładano, że zmiany w KSH wejdą w życie z dniem 1 marca 2021 r. Jednak art. 7 ustawy z 21.1.2021 r. o zmianie ustawy Kodeks postępowania administracyjnego oraz niektórych innych ustaw (Dz.U. z 2021 r. poz. 187) jako nowy termin wyznaczył dzień 1 lipca 2021 r.

Obok zalet prostych spółek akcyjnych pojawiają się także pewne wątpliwości. Z punktu widzenia obrotu gospodarczego, prowadzenie działalności gospodarczej w formie PSA może być niepewne, a podstawowa wątpliwość jaka się nasuwa to jak w praktyce sprawdzi się „test wypłacalności” jako mechanizm ochronny stosowany zamiast dotychczasowych rozwiązań.  Czas pokaże czy takie rozwiązanie przekona przedsiębiorców i inwestorów. Na pewno proponowane rozwiązania prawne są bardziej elastyczne od dotychczasowych, co dobrze wróży na przyszłość

– mec. Piotr Pałucki

Artykuł Prosta spółka akcyjna (PSA) dla niewielkich działalności gospodarczych pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Unijna dyrektywa o sygnalistach dotyczy także przedsiębiorców

Implementacja unijnej dyrektywy 2019/1937 do polskiego porządku prawnego niesie za sobą szereg nowych obowiązków dla dużej grupy przedsiębiorców. Dyrektywa ta wyznacza minimalne standardy dotyczące kanałów i procedur informowania o naruszeniach prawa Unii oraz przyznaje ochronę osobom, które mają bezpośredni dostęp do informacji o nieprawidłowościach dotyczących m.in. sfery zdrowia publicznego, ochrony danych osobowych, ochrony konsumentów, zamówień publicznych czy ochrony środowiska. Państwa członkowskie mają czas na jej wdrożenie do 17 grudnia 2021 r. Nowe regulacje obejmą w pierwszej kolejności duże firmy i instytucje z ponad 249 pracownikami. Natomiast dla przedsiębiorców zatrudniających od 50 do 249 osób ostatecznym terminem będzie 17 grudnia 2023 r.

Kluczową rolę odegra edukacja pracowników. Każdy członek organizacji musi mieć świadomość tego, w jaki sposób działają mechanizmy zgłaszania nieprawidłowości i dlaczego jest to tak istotne z punktu widzenia interesu publicznego.

Na barkach przedsiębiorców spoczywa także konieczność wypracowania zmiany podejścia do samego statusu sygnalisty, który niesłusznie mógłby być postrzegany jako „donosiciel” czy „oszczerca”

– mec. Piotr Pałucki

Ochrona sygnalisty i dokonywanie zgłoszeń

Zgodnie z dyrektywą, specjalną ochroną powinny zostać objęte osoby posiadające bezpośrednie informacje o naruszeniach, za ujawnienie których mogłyby doświadczyć działań odwetowych. Mogą to być zarówno pracownicy, niezależnie od podstawy zatrudnienia, jak i osoby fizyczne mające bezpośredni kontakt z organizacją w związku z wykonywanymi czynnościami zawodowymi, np. dostawcy, podwykonawcy czy wspólnicy. Ochrona obejmie również byłych pracowników, osoby ubiegające się o pracę oraz wolontariuszy czy stażystów.

Za działania odwetowe, przed którymi mają chronić zapisy unijnej dyrektywy uznaje się nie tylko zwolnienie z pracy, ale również zawieszenie, negatywną ocenę pracownika, zmianę godzin wykonywania obowiązków, degradację, bezpłatny urlop, obniżkę płac czy zastosowania tzw. „dyscyplinarki”. Co więcej, ochrona zapewnia sygnalistom brak konsekwencji w przypadku naruszenia zasady poufności, praw autorskich oraz przepisów o ochronie danych osobowych, jeśli takie naruszenie było konieczne do dokonania zawiadomienia.

Głównym celem wdrażanej dyrektywy unijnej, poza ochroną sygnalistów, jest ustandaryzowanie procedur w zakresie dokonywania zgłoszeń. W pierwszej kolejności powinny zostać ustanowione mechanizmy w ramach kanałów wewnętrznych. Oznacza to, że każdy zainteresowany podmiot musi ustalić czy zgłoszenia sygnalistów – z zastrzeżeniem poufności tożsamości – będą przekazywane drogą pocztową, pisemnie, za pośrednictwem specjalnych skrzynek, online czy na platformie intranetowej. Dopuszcza się również możliwość dokonywania zgłoszeń ustnie, za pośrednictwem systemów głosowych, a nawet podczas spotkań bezpośrednich. Za obsługę konkretnych kanałów informowania odpowiedzialne mogą być zarówno osoby z wewnątrz organizacji, jak i z zewnątrz, tacy jak audytorzy, przedstawiciele związków zawodowych czy dostawcy specjalnych platform.

Sygnaliści z wiadomych przyczyn chcą pozostawać anonimowi. Ta dyrektywa dopuszcza anonimowe zgłoszenia, jednak ostateczna decyzja wdrożenia tego typu rozwiązania do systemu prawnego leży już w gestii poszczególnych państw członkowskich.

Warto zaznaczyć, że jakiekolwiek informacje pozwalające zidentyfikować sygnalistę powinny być znane wyłącznie osobom obsługującym system sygnalizacji, chyba, że zgłaszający sam podejmie świadomą zgodę na ujawnienie tożsamości.

– mec. Piotr Pałucki

Zespół do spraw przygotowania regulacji powołany przez Ministra Rozwoju, Pracy i Technologii w dalszym ciągu pracuje nad szczegółami projektu polskiej ustawy, stanowiącego implementację przepisów wynikających z dyrektywy. Niemniej jednak przedsiębiorcy, szczególni ci zatrudniający powyżej 249 pracowników już teraz powinni podejmować działania zmierzające do wdrażania procedur, mając na uwadze gwarancję minimalnego standardu ochrony, który wynika z postanowień dyrektywy.

Artykuł Status sygnalisty w organizacji. Jakie zmiany czekają pracodawców? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Ustawa ma wejść w życie z początkiem 2022 roku. Oznacza to, że bieżący rok jest czasem na zapoznanie się z przepisami i przygotowanie planów sukcesyjnych. Praca nad ostatecznym kształtem fundacji rodzinnej, w tym nad kwestiami majątkowymi to długotrwały proces, który powinien zostać przeprowadzony w formie konsultacji zarówno z prawnikami, jak i pozostałymi współwłaścicielami, kluczowymi partnerami i członkami rodziny, którzy mieli dotychczas wkład własny w działalność przedsiębiorstwa.

Cel powołania fundacji rodzinnej

Powołanie fundacji rodzinnej pozwoli przede wszystkim konsolidować rodzinny majątek i zapobiec jego rozproszeniu, do którego mogłoby doprowadzić, np. dziedziczenie ustawowe. To również zabezpieczenie środków przed roztrwonieniem ich przez członków rodziny, o czym informują autorzy projektu w jego uzasadnieniu:

 „Aby unikać znanego w świecie scenariusza, w którym dzieci dzielą się majątkiem rodziców, a następnie ich potomkowie dzielą dalej majątek na coraz mniejsze części i realizują jedynie własne plany co do przeznaczenia otrzymanego majątku, w tym także te niezwiązane z biznesem albo podyktowane sytuacjami losowymi, jest potrzeby mechanizm integracji majątku (akumulacji kapitału) i zarządzania nim w sposób pozwalający na zachowanie aktywności w sferze gospodarczej i dostarczanie środków utrzymania przyszłym pokoleniom”

W przypadku śmierci fundatora, fundacja rodzinna zabezpieczy też przedsiębiorstwo przed wstrząsem wywołanym nagłą i nieoczekiwaną zmianą właściciela. To w rezultacie zatrzyma kapitał w kraju na kolejne pokolenia i przyczyni się do zwiększenia potencjału krajowych inwestycji. Osoby rozważające powołanie fundacji rodzinnej powinni mieć na względzie zaletę wynikającą z dużej elastyczności przy kształtowaniu procesu sukcesji, czyli m.in.:

• kształt fundacji zależny od woli fundatora,
• dowolność przy wskazaniu zgromadzenia beneficjentów,
• określenie majątku fundacji w gestii fundatora.

Znajomość celów powołania fundacji rodzinnej pozwoli łatwiej określić cele jej działalności. Na wstępnym etapie formowania tej instytucji, rodzina powinna przypomnieć sobie wizję i misję przedsiębiorstwa oraz przyświecającą założycielom ideę, która powinna być kontynuowana przez kolejne pokolenia. Konieczne jest także podjęcie decyzji o roli rodziny w dalszym funkcjonowaniu przedsiębiorstwa – czy członkowie rodziny chcą pełnić funkcje operacyjne, czy powierzyć zarządzanie specjalistom przy jednoczesnym pełnieniu funkcji nadzorczych? Tak wiele wariantów przy planowaniu przyszłości firmy powoduje, że jest to najtrudniejszy etap w formowaniu ostatecznego kształtu fundacji rodzinnej.

Kim będą beneficjenci fundacji rodzinnej?

Beneficjentami fundacji rodzinnej określa się osoby uprawnione do otrzymywania świadczeń z fundacji, wskazane przez fundatora w dokumencie niezbędnym dla funkcjonowania tej instytucji – statucie sporządzonym w formie aktu notarialnego. Do kręgu beneficjentów będą mogły należeć nie tylko osoby fizyczne. Fundator będzie miał prawo wskazać wśród nich, np. organizacje pożytku publicznego, by przez to wesprzeć realizację wybranych celów społecznych lub gospodarczych. Istotny jest również fakt, że beneficjenci nie będą musieli być w żaden sposób spokrewnieni z fundatorem. W związku z tym, osoby bliskie, niekoniecznie będące rodziną fundatora zostaną zabezpieczone w przypadku jego śmierci – na przykład ceniony współpracownik czy przyjaciel. W zależności od zapisów statutowych, osoby te będą mogły korzystać ze świadczeń fundacji, np. na leczenie czy kształcenie.

Opodatkowanie fundacji rodzinnych

Działalność operacyjna będzie opodatkowana podatkiem CIT według ogólnych zasad. Natomiast gromadzony majątek nie będzie przychodem w rozumieniu ustawy o podatku dochodowym od osób prawnych (CIT). Zatem wkład finansowy fundatora wniesiony do fundacji rodzinnej nie zostanie opodatkowany. To bardzo ważne z punktu widzenia obowiązku fundatora do wpłacenia minimum 100.000 zł na realizację celów fundacji. Co więcej, beneficjenci z „grupy zerowej” (małżonkowie, dzieci, wnuki, prawnuki, rodzice, dziadkowie, pradziadkowie, rodzeństwo, ojczym, pasierb, macocha), którzy otrzymają świadczenia z fundacji, nie będą musieli odprowadzać od nich podatku dochodowego (PIT). Dla pozostałych beneficjentów fundacji określono stawkę podatkową na poziomie 19%, czyli taką samą jak obecna stawka podatku liniowego dla przedsiębiorców czy podatku od zysków kapitałowych.

Istotnym ograniczeniem dla funkcjonowania fundacji rodzinnej, jakie nakłada wstępny projekt ustawy będzie zakaz wykonywania przez fundację działalności gospodarczej w rozumieniu art. 3 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców.

Autorzy projektu zapowiadają, że parlament zajmie się pracami nad ustawą w drugiej połowie 2021 roku. Można się zatem spodziewać, że zapisy ustawy o fundacjach rodzinnych wejdą w życie z początkiem 2022 roku.

Artykuł Sukcesja międzypokoleniowa w biznesie. Rozwiązania w ustawie o fundacjach rodzinnych pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Zgodnie ze stanowiskiem SN:
„Oświadczenie członka zarządu spółki kapitałowej o rezygnacji z tej funkcji jest składane- z wyjątkiem przewidzianym w art. 210 § 2 i art. 379 § 2 ksh -spółce reprezentowanej w tym zakresie zgodnie z art. 205 § 2 lub 373 § 2 ksh.”
Zatem, co do zasady członek zarządu spółki powinien składane przez siebie oświadczenie o rezygnacji złożyć innemu członkowi zarządu lub prokurentowi. Wyjątek stanowi okoliczność, gdy członek zarządu jest równocześnie jedynym wspólnikiem. W takiej sytuacji właściwą formą złożenie oświadczenia o rezygnacji jest forma aktu notarialnego zgodnie z regulacją art. 210 § 2 i art. 379 § 2 ksh, gdy rezygnuje członek zarządu będący jedynym akcjonariuszem spółki akcyjnej.

Artykuł Oświadczenie członka zarządu spółki kapitałowej o rezygnacji z funkcji pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Artykuł Przesłanki zaskarżania uchwał pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Szereg podjętych działań, w szczególności:
a. obrona praw wspólnika mniejszościowego podczas zgromadzeń wspólników,
b. skuteczne reprezentowanie wspólnika w procesach mających na celu zaskarżanie uchwał podejmowanych na niekorzyść wspólnika (art. 249 par. 1 ksh i n.),
c. skuteczne reprezentowanie wspólnika w procesie o udostępnienie wspólnikowi mniejszościowemu przez spółkę (w trybie art. 212 par. 4 ksh) żądanych przez niego informacji i dokumentów

zaowocowało zawarciem ugody z pozostałymi wspólnikami i spółką, co w konsekwencji pozwoliło na umorzenie udziałów reprezentowanego przez spółkę wspólnika.

Artykuł Pomyślne zakończenie procedury opuszczenia spółki przez mniejszościowego udziałowca pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Tytułem do podlegania ubezpieczeniom społecznym przez członka zarządu spółki kapitałowej jest zawarta z tą spółką umowa o świadczenie usług menedżerskich, a nie płacenie składek ZUS z tytułu prowadzonej działalności gospodarczej.

Sąd Najwyższy podkreślił, że sprawowanie funkcji członka zarządu spółki w ramach zawartego kontraktu menedżerskiego nie jest wykonywaniem działalności gospodarczej.
Skutki dla obrotu gospodarczego:
1. Uchwała dotyczy spółki akcyjnej, jednak z uwagi na analogiczność regulacji ten sam problem dotyczy spółki z ograniczoną odpowiedzialnością,
2. Powstaje niebezpieczeństwo, że ZUS zwróci się do spółek o nieuregulowane składki wraz z odsetkami nawet za pięć ostatnich lat,
3. Dla optymalizacji kosztów należy wprowadzić zmiany w sposobie wynagradzania, np. poprzez zmianę wynagrodzenia z kontraktu menadżerskiego na wynagrodzenia z tytułu powołania do zarządu spółki. Takie świadczenie jest obecnie traktowane jako świadczenie niepodlegające oskładkowaniu ZUS. Dla bezpieczeństwa zalecamy jednakże występowanie o indywidualne interpretacje.

Źródło:
Wyrok Sądu Najwyższego z dn. 17.06.2015 r. (sygnatura akt III UZP 2/15)
http://sn.pl/orzecznictwo/SitePages/Najnowsze_orzeczenia.aspx?Izba=Pracy

Artykuł Kontrakty menedżerskie oskładkowane pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.