Harmonogram stosowania AI Act – oś czasowa, której nie można ignorować

Wbrew wielu opiniom przedsiębiorców, którzy wolą nie martwić się na zapas, kwestia „odkładania na później” nie dotyczy tematu AI Act. Przepisy częściowo zaczęły wchodzić w życie 1 sierpnia 2024 r. i od tego czas unijne rozporządzenie obowiązuje również w Polsce. Nie jest prawdą, że AI Act dotyczy jedynie wielkich graczy, dlatego temat dostosowania się do przepisów unijnego rozporządzenia nie powinien być odkładany na później przez żadnego przedsiębiorcę, który stosuje choćby sporadycznie narzędzia oparte na modelu sztucznej inteligencji. Wszystko zależeć będzie tu od sposobu i celu użytkowania.

Kogo zatem, tak naprawdę, obowiązuje rozporządzenie o systemach sztucznej inteligencji i jakie są terminy wprowadzenia przepisów?     

Kogo i od kiedy obowiązuje AI Act?

Co do zasady AI Act obowiązuje wszystkie podmioty używające w jakiś sposób w celach zarobkowych systemów sztucznej inteligencji. Przede wszystkim sposób użycia systemów AI będzie decydował o tym, jakie przepisy rozporządzenia będą się z tym wiązać. Jak zatem przedstawia się harmonogram stosowania AI Act?

• 1 sierpnia 2024 r. – wejście w życie AI Act;
• 2 lutego 2025 r. – przepisy ogólne z rozdz. I-II, zakazy z art. 5, AI Literacy (art. 4);
• 2 sierpnia 2025 r. – przepisy dotyczące sztucznej inteligencji ogólnego przeznaczenia (modele GPAI), obowiązki spoczywające na dostawcach modeli AI ogólnego przeznaczenia, wyznaczenie organów nadzoru przez państwa członkowskie (Polska w tej kwestii ma opóźnienie);
• 2 sierpnia 2026 r. – wydaje się, że to data kluczowa dla przedsiębiorców, zaczynają obowiązywać przepisy dotyczące systemów AI wysokiego ryzyka zawarte w Załączniku III, przepisy dotyczące przejrzystości (art. 50), właściwie rozpoczyna się egzekwowanie AI Act na szczeblu krajowym i unijnym;
• 2 sierpnia 2027 r. – przepisy dotyczący systemów wysokiego ryzyka z załącznika I, czyli produktów regulowanych (np. maszyny i urządzenia, transport i motoryzacja, ochrona zdrowia i bezpieczeństwo, produkty konsumenckie). 

Data 2 sierpnia 2026 r. jest kluczowa dla obszarów związanych z działem HR, outsourcingiem, fintechem, ocena kredytów, świadczeń, rozpoznawaniem biometrycznym. Będą dotyczyć:

• dostawców AI, czyli providers;
• użytkowników AI, czyli deployers – będą to np. pracodawcy, firmy rekrutacyjne.

Czym jest Digital Omnibus?

W kontekście przepisów AI Act trudno jest nie wspomnieć o przygotowywanym przez Parlament Europejski Cyfrowym Omnibusie. Ten pakiet deregulacyjny ma uprościć i ujednolić przepisy dotyczące cyberbezpieczeństwa i prywatności. W kontekście AI Actu Digital Omnibus ma proponować, między innymi:

• rozszerzenie uproszczeń dla małych i średnich przedsiębiorstw;
• ułatwianie przestrzegania przepisów o ochronie danych poprzez umożliwienie dostawcom i podmiotom stosującym wszystkie systemy i modele AI przetwarzania szczególnych kategorii danych osobowych w celu zapewnienia wykrywania i korygowania stronniczości, przy zapewnieniu odpowiednich zabezpieczeń;
• powiązanie harmonogramu wdrażania przepisów dotyczących systemów AI wysokiego ryzyka z dostępnością norm lub innych narzędzi wsparcia.

Digital Omnibus wiąże się z propozycją PE o odroczeniu części obowiązków dla systemów wysokiego ryzyka – najwcześniej do 2 grudnia 2027 r. To założenie mogłoby faktycznie opóźnić wejście wymogów, które zgodnie z AI Act swój termin mają 2 sierpnia 2026 r. Jednakże Cyfrowy Omnibus nie stanowi jeszcze przyjętych przepisów, dlatego bezpieczniej dla każdego przedsiębiorcy będzie przygotowywanie swojej działalności tak, aby była zgodna z przepisami, które wejdą w życie 2 sierpnia 2026 r.    

Krajowa ustawa implementacyjna Ministerstwa cyfryzacji

Projekt ustawy o systemach sztucznej inteligencji, który został przyjęty przez Radę Ministrów 31 marca 2026 r., a następnie przekazane do Sejmu, powinien, przynajmniej w teorii, wejść w życie do 2 sierpnia 2026 r. Do tego czasu Polska ma obowiązek uruchomienia przynajmniej jednej piaskownicy regulacyjnej, w której uczestnictw dla MŚP oraz startupów ma być bezpłatne.

Jakie są najważniejsze założenia, na tę chwilę, wersji projektu ustawy?

• zostanie ustanowiony nowy organ nadzorczy – Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji – który ma być niezależny od rządu i ma kontrolować przestrzeganie AI Act i ustawy;
• do zadań Komisji należeć będzie między innymi współpraca z Komisją Europjeską i Europejską Radą ds. AI, tworzenie piaskownic regulacyjnych, wydawanie wyjaśnień ogólnych (niewiążących, edukacyjnych) czy nakładanie kar;
• jedną z istotniejszych funkcji Komisji będzie możliwość wydawania wiążących opinii indywidualnych dla przedsiębiorców, które umożliwią za opłatą, w terminie 30 dni lub 60 dla spraw bardziej skomplikowanych uzyskanie opinii na temat złożonego zapytania na temat przepisów – będzie to mechanizm wzorowany na interpretacjach podatkowych;
• sankcje i kary mają wynikać bezpośrednio z AI Act, co dokładniej umówię poniżej;
• ustawa ma dotyczyć każdego przedsiębiorcy wprowadzającego systemy AI do obrotu lub stosującego je w działalności, a także dostawców i operatorów w rozumieniu AI Act. 

Struktury ryzyka a obowiązki przejrzystości w Rozporządzeniu o Sztucznej Inteligencji

Zbytnim uproszczeniem byłoby mówić o istnieniu 4 poziomów ryzyka w AI Act, gdyż tak naprawdę unijne rozporządzenia nie tworzy spójnej drabinki od systemów o minimalnym ryzyku aż do systemów zakazanych. Ponadto każda z kategorii ma swoją podstawę prawną w zupełnie innym artykule AI Act. Jak zatem to wygląda w praktyce?

Systemy zakazane obejmuje bezwzględny zakaz ich używania i nie istnieją żadne wyjątki od tej zasady. Podstawa prawna mieści się w art. 5 AI Act, który dotyczy przede wszystkim bezwzględnego zakazu manipulacji, dyskryminacji czy naruszeń praw podstawowych przy określonym zastosowaniu AI. Jakie najważniejsze zakazane praktyki obejmuje:

• bezwzględny zakaz najbardziej ryzykownych zastosowań AI (dotyczy naruszenia prawa człowieka, bezpieczeństwa lub wolności podejmowania decyzji);
• zakaz manipulacji i wpływania na decyzje użytkowników;
• zakaz wykorzystywania słabości osób w celu wpłynięcia na ich zachowanie w sposób szkodliwy;
• zakaz scoringu społecznego i profilowania „ryzyka przestępczego”;
• zakaz niektórych zastosowań biometrii (np. analizowanie emocji pracowników);
• silne ograniczenia dla rozpoznawania twarzy w przestrzeni publicznej.

Systemy wysokiego ryzyka są w jakimś stopniu dopuszczalne, ale obarczone jednocześnie rygorystycznymi obowiązkami, co szczegółowo omawiam poniżej. Podstawą prawną będzie tu art. 6 oraz załączniki I i III AI Act.

Odrębną kategorią są obowiązki przejrzystości, które reguluje art. 50 AI Act – można powiedzieć, że jest to odrębny reżim obowiązków informacyjnych, który może nakładać się na systemy z każdej innej kategorii. Wejście w życie obowiązków przejrzystości ma nastąpić właśnie 2 sierpnia 2026 r.

 Czego dotyczą obowiązki przejrzystości – kogo obowiązuje art. 50 AI Act?

Obowiązki przejrzystości, które wynikają z art. 50 AI Act, dotyczą przede wszystkim podmiotów będących:

• dostawcami systemów AI – nie tylko wielkie firmy, ale również np. te polskie, które opierają się na narzędziach modelu GPAI;
• wdrażającymi systemy AI;
• operatorami systemów AI ogólnego przeznaczenia (GPAI).

Przepisy art. 50, które dotyczą biznesu, można podsumować w następujący sposób:

• obowiązek informowania użytkownika o interakcji z AI;
• oznaczanie treści generowanych przez AI;
• informowanie o rozpoznawaniu emocji i biometrii – osoby poddawane takiej analizie muszą być o tym uprzednio poinformowane, poza tym dodatkowo obowiązuje zgodność z przepisami o ochronie danych osobowych;
• obowiązek oznaczania deepfake’ów;
• liczy się moment i forma przekazania informacji – to znaczy muszą być przekazane najpóźniej przy pierwszej interakcji oraz w jasny, zrozumiały i dostępny dla użytkownika sposób;
• art. 50 AI Act działa równolegle z RODO oraz innymi obowiązkami transparentności w prawie UE oraz krajowym.

Czym są systemy wysokiego ryzyka (art. 6 AI Act)?

Systemy wysokiego ryzyka sztucznej inteligencji są dokładnie opisane w art. 6 AI Act oraz w załącznikach I oraz III. Co istotne, nie można zamknąć tej kwestii w sztywnej definicji, gdyż bardzo istotnym aspektem będzie tu mechanizm samooceny. Jak zatem kwalifikować systemy wysokiego ryzyka AI i na co zwrócić szczególną uwagę?

Dwie ścieżki kwalifikacji systemów high-risk

Art. 6 AI Act wprowadza dwie ścieżki kwalifikacji uznania systemu AI jako wysokiego ryzyka:

1. Pierwsza jest niezależna od katalogu zastosowań z załącznika III rozporządzenia i dotyczy systemów AI związanych z bezpieczeństwem produktów regulowanych w prawie UE. Aby system został uznany za high-risk musi spełnić jednocześnie dwa warunki:
2. jest wykorzystywany jako element związany z bezpieczeństwem produktu lub sam stanowi produkt objęty regulacjami UE (załącznik I AI Act) – np. AI w urządzeniu medycznym albo w systemach przemysłowych, AI pełni tutaj rolę tzw. safety component;
3. produkt lub sam system AI jako produkt podlega ocenie zgodności przez stronę trzecią – oznacza to, że tylko taki system AI będzie systemem wysokiego ryzyka, który podlega formalnej procedurze certyfikacyjnej.

Data wejścia w życia stosowania tego przepisu to 2 sierpnia 2027 r.

• Bardziej kluczowa dla większości firm usługowych (HR, marketing, fintech, SaaS) będzie kwalifikacja druga oparta na katalogu obszarów zastosowań. Są to systemy AI używane w określonych obszarach życia społecznego i gospodarczego, które opisano w załączniku III AI Act. Są to między innymi obszary związane z:
• identyfikacją i kategoryzacją biometryczną osób fizycznych;
• zarządzaniem infrastruktura krytyczna i jej eksploatacją;
• kształceniem i szkoleniem zawodowym;
• zatrudnianiem, zarządzaniem pracownikami i dostępem do samozatrudnienia;
• zarządzaniem migracją, azylem i kontrolą graniczną;
• dostępem do podstawowych usług prywatnych oraz usług i świadczeń publicznych, a także korzystanie z nich.

Data wejścia w życie stosowania tego przepisu to 2 sierpnia 2026 r.

Kluczowy wyjątek – mechanizm samooceny

Mechanizm samooceny stanowi istotne odstępstwo od ogólnej zasady, zgodnie z którą systemy AI wymienione w załączniku III uznaje się za systemy wysokiego ryzyka (art. 6 ust. 3–4 AI Act). Zgodnie z tym przepisem, system AI nie musi być kwalifikowany jako wysokiego ryzyka, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych, w szczególności z uwagi na brak istotnego wpływu na wynik procesu decyzyjnego. Reasumując kluczowa będzie tutaj praktyczna rola i wpływ na decyzje dotyczące użytkownika.

Na czym będzie polegać brak istotnego wpływu na decyzję? Należy ocenić czy system AI realnie wpływa na decyzję dotyczącą człowieka – to znaczy nie włączymy go do systemów wysokiego ryzyka, jeśli AI:

• jedynie wspiera podejmowanie decyzji przez użytkownika;
• nie zmienia wyniku podejmowanej decyzji;
• nie ogranicza autonomii decyzyjnej człowieka.

W jakich wypadkach można zastosować wyjątek mechanizmu samooceny?

• przy wąsko określonych zadaniach proceduralnych, gdzie AI wykonuje techniczne, pomocnicze czynności – jak np. wstępna klasyfikacja danych, sortowanie dokumentów;
• poprawie wyniku decyzji człowieka – działanie AI następuje po zakończeniu decyzji i nie wpływa na jej treść – jak np. korekta błędów, optymalizacja raportów;
• wykrywanie wzorców bez wpływu na decyzję – AI analizuje i wskazuje wzorce, ale nie zastępuje człowieka ani nie wpływa na decyzję bez jego weryfikacji;
• w zadaniach przygotowawczych – AI przygotowuje dane do decyzji, ale jej nie podejmuje – jak np. analiza CV przez oceną rekrutera.

UWAGA! – Nawet w wypadku spełnienia powyższych warunków, jeśli system AI dokonuje profilowania osób fizycznych, to zawsze będzie uznawany za high-risk!

 Dostawca, który uzna dany system za niebędący systemem wysokiego ryzyka, ma obowiązek udokumentować swoją ocenę i zrobić to przed wprowadzeniem systemu na rynek.

Główne obszary wysokiego ryzyka z Annex III – czy Twoja firma tu działa?

 Dochodzimy do momentu, gdzie zapewne jako przedsiębiorca zadajesz sobie pytanie czy faktycznie nowe przepisy, które wejdą 2 sierpnia 2026 r., będą miały realny wpływ na Twoją firmę? Czy Twoja firma działa w obszarach objętych wysokim ryzykiem, które wymienia załącznik III AI Act?

Działalność, która w szczególności powinna przeanalizować użycie systemów AI w kontekście high-risk to:

• HR i zatrudnienie, agencje pracy tymczasowej, outsourcing – dotyczy to zastosowania AI przy screeningu CV, rankingu kandydatów, oceny pracowników, decyzji o awansie czy zwolnieniu;
• scoring finansowy stosowany w fintech czy e-commerce – jak np. ocena zdolności kredytowej, scoring klientów, decyzje o dostępie do usług;
• edukacja i szkolenia
• infrastruktura krytyczna, jak zarządzanie energią czy transport;
• administracja i migracja – stosowanie AI przy decyzjach administracyjnych, kontroli granicznej;
• wreszcie wymiar sprawiedliwości, który już samych przedsiębiorców nie dotyczy.

Przykład praktyczny – agencja pracy i system ATS

PRZYKŁAD: agencja pracy korzysta z zewnętrznego systemu ATS (Applicant Tracking System) z funkcją automatycznego rankingowania i wstępnego odrzucania kandydatów na podstawie analizy CV.

ANALIZA KWALIFIKACJI HIGH-RISK:

• obszar zastosowania – rekrutacja i selekcja pracowników (jest to pkt 4 Załącznika III AI Act);
• funkcja systemu – automatyczny i realny wpływ na decyzję o zaproszeniu lub odrzuceniu kandydata;
• wniosek – brak podstaw di zastosowania wyjątku mechanizmu samooceny, a zatem system kwalifikuje się jako wysokiego ryzyka.

KONSEKWENCJE PODMIOTU STOSUJĄCEGO:

• agencja jako deployer ma obowiązek korzystania z z sytemu wyłącznie zgodnie z instrukcją dostawcy (art. 26 ust. 1 AI Act);
• obowiązek poinformowania kandydatów i przedstawicieli pracowników o korzystaniu z AI w procesie rekrutacji (art. 26 ust. 7 AI Act);
• obowiązek monitorowania działania systemu i zgłaszania poważnych incydentów;
• ewentualny obowiązek przeprowadzenia oceny skutków systemów AI wysokiego ryzyka dla praw podstawowych (art. 27 AI Act).

 Jakie są obowiązki dla systemów wysokiego ryzyka?

Wracając jeszcze na chwilę do powyższego przykładu dodam, że wspomniana agencja pracy może błędnie sądzić, że będąc „tylko” użytkownikiem gotowego narzędzia AI od zewnętrznego dostawcy jej obowiązki są minimalne. Nic mylnego. AI Act nakłada obowiązki nie tylko na dostawcę, ale również właśnie na deployera, czyli podmiot stosujący. Dzieje się to niezależnie od tego, kto wyprodukował system AI.

Obowiązki dostawcy – providera (art. 9-17 AI Act)

Jakie zatem obowiązki ciążą na dostawcach systemów AI, czyli w wypadku naszego przykładu – na firmie, która udostępniła system ATS agencji pracy?

• przede wszystkim to system zarządzania ryzykiem – identyfikacja, analiza, ciągłe monitorowanie prze cały cykl życia systemu;
• wysokiej jakości dane treningowe;
• dokumentacja techniczna – szczegółowy opis systemu, logika algorytmu, parametry;
• rejestrowanie i logowanie działania systemu (audit trail) – możliwość odtworzenia procesu decyzyjnego;
• ocena zgodności przed wdrożeniem (conformity assessment) – w wielu przypadkach wymagany jest udział jednostki notyfikowanej (czyli niezależna, zewnętrzna organizacja);
• rejestracja w unijnej bazie danych (Eu Database).

Obowiązki podmiotu stosującego – deployer (art. 26-27 AI Act)

Pamiętaj, że nawet jeśli korzystasz z gotowego narzędzia AI od zewnętrznego dostawcy, to jako podmiot stosujący nie jesteś zwolniony z odpowiedzialności i ciążą na Tobie osobne obowiązki wynikające wprost z AI Act. Jakie będę te wymogi stawiane przez unijne rozporządzenie?

• w pierwszej kolejności korzystanie zgodnie z instrukcją dostawcy;
• konieczność zapewnienia nadzoru człowieka w funkcjonowaniu systemu AI;
• monitorowanie działania systemu i zgłaszanie poważnych incydentów organowi nadzoru – zgodnie z projektem polskiej ustawy – Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji;
• poinformowanie pracowników i ich przedstawicieli o korzystaniu z systemów AI wysokiego ryzyka w miejscu pracy, co jest szczególnie istotne dla działów HR i agencji pracy (art. 26 ust. 7);
• dokonanie oceny wpływu na prawa podstawowe (FRIA – Fundamental Rights Impact Assessment), co jest obowiązkowe dla podmiotów publicznych, podmiotów świadczących usługi publiczne oraz instytucje finansowych.

Obowiązek AI Literacy – czym jest i od kiedy obowiązuje?

W początkowej fazie artykułu, przy przepisach obowiązujących od 2 lutego 2025 r., wspomniałem o AI Literacy. Obowiązek ten dotyczy praktycznie każdej firmy używającej jakiegokolwiek narzędzia AI i nie ma tu większego znaczenia, czy jest uznawany za high-risk. AI Literacy to zapewnienie odpowiedniego poziomu kompetencji w zakresie AI wśród pracowników zajmujących się obsługą i wykorzystywaniem systemów AI. Wynika on z art. 4 AI Act i dotyczy wszystkich dostawców oraz podmiotów stosujących systemy AI, niezależnie od klasyfikacji ryzyka. W skrócie sens tego wymogu polega na wcieleniu w życie umiejętności efektywnego, a zarazem bezpiecznego wykorzystania systemu AI w codziennej pracy.

Jakie są unijne sankcje za naruszenia AI Act i brak regulacji w systemach AI wysokiego ryzyka?

Obowiązujące progi kary za naruszenie AI Act i brak regulacji w systemach AI wysokiego ryzyka wyznacza sam tekst unijnego rozporządzenia. Także projekt polskiej ustawy skierowany obecnie do Sejmu powołuje się na wysokość sankcji sugerowanych przez AI Act. Omówione są one w Rozdziale XII (art. 99-101).

Jak zatem wyglądają progi kar grzywny w wypadku naruszenia AI Act?

• Najwyższa kara przewidziana jest za naruszenie dotyczące zakazanych praktyk AI (art. 5) i wynosi ona aż do 35 mln euro lub jeśli sprawcą jest przedsiębiorstwo – do 7% globalnego rocznego obrotu (w zależności od tego, która z tych kwot jest wyższa).
• Nieprzestrzeganie któregokolwiek z przepisów dotyczących operatorów lub jednostek notyfikowanych, innych niż przepisy ustanowione w art. 5, w tym za naruszenie obowiązków dla systemów wysokiego ryzyka przez podmioty stosujące (art. 26) czy naruszenie obowiązków przejrzystości (art. 50)obowiązuje kara w wysokości do 15 mln euro lub 3 % obrotu (w zależności od tego, która z tych kwot jest wyższa).
• Wreszcie za podanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji jednostkom notyfikowanym lub właściwym organom krajowym w odpowiedzi na ich wniosek kara wynosi do 7,5 mln euro lub 1 % obrotu (w zależności od tego, która z tych kwot jest wyższa).

W Polsce karę nakładać będzie nowy organ nadzorczy, czyli Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.

Jak przygotować firmę – pięć kroków, aby sprostać wymogom zgodności z AI Act

Jeśli Twoja firma stosuje narzędzia AI, powinieneś je poddać odpowiedniej audytowi/analizie, żeby mieć pewność, jakie obowiązki AI Act będą dotyczyć Twojej działalności. Najlepiej dokonać tego z wykwalikowaną ku temu kancelarią prawną. Przygotowanie takie można przedstawić w 5 poniższych krokach:

1. Inwentaryzacja systemów AI – identyfikacja wszystkich narzędzi AI w firmie, w tym „gotowych” rozwiązań SaaS i zewnętrznych dostawców;
2. Analiza funkcji i celu systemu – czy system wpływa realnie na decyzje dotyczące osób fizycznych’
3. Porównanie z Załącznikiem II AI Act – dopasowanie do katalogu obszarów wysokiego ryzyka;
4. Ocena art. 6 ust. 3 – analiza czy możliwe jest zastosowanie wyjątku, jeśli tak, należy wykonać udokumentowanie oceny, a jeśli nie, uruchomić procedury compliance;
5. Dokumentacja i procedury – przygotowanie dokumentacji technicznej, polityk nadzoru, procedur zgłaszania incydentów oraz spełnienia obowiązku AI Literacy.

Najczęstsze błędy firm w zakresie systemów wysokiego ryzyka modeli AI ogólnego przeznaczenia

Wśród najczęściej popełnianych błędów w zakresie systemów wysokiego ryzyka można wyliczyć:

• brak inwentaryzacji systemów AI – założenie, że „to tylko narzędzie od zewnętrznego dostawcy” i niebranie pod uwagę obowiązków podmiotu stosującego;
• automatyczne uznanie systemu za high-risk bez przeprowadzenia analizy art. 6 ust. 3 – wiąże się to z niepotrzebna nadregulacją lub odwrotnie – błędne wykluczenie systemu bez dokumentacji;
• ignorowanie art. 26 ust. 7 – brak informowania pracowników i ich przedstawicieli o stosowaniu systemów wysokiego ryzyka;
• ignorowanie obowiązku AI Literacy (art. 4) – który obowiązuje już od lutego 2025 r.;
• utożsamianie braku, póki co, przyjęcia polskiej ustawy o systemach sztucznej inteligencji z brakiem obowiązków (AI Act jest rozporządzeniem unijnym, co jest równoznaczne z obowiązywaniem we wszystkich krajach UE, nawet pomimo braku ustawy implementacyjnej).

Jak nasza Kancelaria może pomóc w przygotowaniu się przed 2 sierpnia 2026 r.?

2026 r. wydaje się być dość przełomowym w kontekście wprowadzania w Polsce zmian w przepisach dotyczących systemów AI. Zbliżająca się data 2 sierpnia 2026 niesie ze sobą wejście w życie kolejnych obowiązków AI Act powiązanych z systemami wysokiego ryzyka czy obowiązkami przejrzystości, które pełnią kluczową w wielu obszarach istotnych na polskim rynku: sektorze HR, outsourcingu, agencjach pracy, fintechu czy medtechu. Dodatkowo trwają równoległe prace nad polską ustawą o sztucznej inteligencji, których zakończenie powinno zbiec się z terminem sierpniowym przepisów AI Act. Dlatego tak istotne jest przygotowywanie swojej firmy do tych kluczowych zmian już teraz.

Nasza Kancelaria oferuje kompleksowe wsparcie w zakresie dostosowania działalności do wymogów AI Act, projektowanych regulacji krajowych oraz działających równolegle do rozporządzenia unijnego przepisów, jak RODO, które idą z nim niejednokrotnie „ramię w ramię”. Wesprzemy naszych Klientów w identyfikacji i klasyfikacji systemów AI, przygotowaniu dokumentacji samooceny czy wdrożeniu procedur zgodnych z AI Act. Pomagamy także w przeprowadzeniu analiz wpływu na prawa podstawowe (FRIA), opracowaniu polityk i procedur wewnętrznych oraz dostosowaniu komunikacji z pracownikami (co ma szczególne znaczenie dla agencji zatrudnienia i działów HR). Zapewniamy też doradztwo w zakresie zgodności z RODO, w czym specjalizujemy się od lat oraz wsparcie przy kontrolach czy w kontaktach z organem nadzorczym. Naszym celem jest zapewnienie Twojej firmie zgodności z przepisami, co wiąże się z ograniczeniem ryzyk prawnych związanych z wdrażaniem i wykorzystaniem systemów AI w działalności gospodarczej.

Artykuł Systemy wysokiego ryzyka AI Act – czy Twój biznes jest zagrożony? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Co należy wiedzieć przy podpisywaniu takiej umowy? Jak ona wygląda i co powinna zawierać? Na co zwrócić uwagę przy umowie SLA? Na te wszystkie pytania postaram się odpowiedź w poniższym tekście.

Czym jest umowa SLA (Service Level Agreement)? 

Umowa SLA, czyli Service Level Agreement, może być zawarta jako osobna umowa lub też aneks, może być też częścią umowy lub zamówienia na daną usługę czy narzędzie. Zgodnie ze swoją nazwą stanowi porozumienie, które dotyczy poziomu i jakości usług, jakie usługodawca zobowiązuje się dostarczać firmie zamawiającej. O jakie usługi chodzi? Są to usługi powdrożeniowe systemu IT, a więc wszystko to, co dotyczy funkcjonowania samego oprogramowania już w trakcie użytkowania. Zaliczyć tu można przede wszystkim wsparcie techniczne i usługi serwisowe w razie awarii, pojawiających się błędów lub konieczności wprowadzenia zmian. Umowa taka chroni firmę-klienta przed opóźnieniami i problemami. Umowa SLA uściśla czas reakcji, oferowane usługi w postaci backupów, aktualizacji, monitorowania stanu oprogramowania itd. Z drugiej strony usługodawca dzięki takiej umowie ma podstawę prawną chroniąca go przed bezpodstawnymi, nadmiarowymi oczekiwaniami klienta.

Można wyróżnić w sumie trzy rodzaje umowy SLA. Pierwsza to oparta na klientach (Customer-based SLA), czyli zawierana z konkretnym jednym klientem na wszystkie usługi IT, których potrzebuje. Druga to oparta na usługach (Service-based SLA), czyli konkretnej usługi, niezależnie od liczby klientów. Trzecia to oparta na poziomach (Multilevel SLA).

Jednak z mojego doświadczenia wynika, że w znacznej mierze umowa SLA wiąże się z przypadkami oprogramowania skierowanego pod konkretną firmę, a więc spersonalizowanego.

Co powinna zawierać umowa SLA?

Przede wszystkim klient powinien dokładnie wiedzieć, jaki zakres usług wchodzi w skład umowy SLA. Dobrze napisana umowa SLA to po pierwsza taka, która chroni obydwie strony, a po drugie napisana w sposób jasny i konkretny. Wszystko co nie zostanie objęte umową utrzymaniową może wymagać osobnej umowy czy odrębnego zlecenia, za co trzeba będzie dodatkowo zapłacić.

Co w szczególności powinna zawierać umowa SLA?

• wsparcie techniczne, tak zwany helpdesk – zawarcie informacji o dostępności konsultacji, szybkości reakcji na zgłaszane problemy;
• utrzymanie infrastruktury IT i systemu – sposób reagowania na awarie, zapewnienie ciągłości działania systemu;
• serwis błędów i usterek – określenie kategorii oraz czasu reakcji na ich naprawę;
• monitoring systemu – bieżące śledzenie wydajności, bezpieczeństwa, obciążeń, z automatycznymi alertami;
• backup danych – opis jak często będę kopiowane dane, przechowywane oraz w jakim stopniu można je odtworzyć;
• aktualizacje i poprawki systemu – harmonogram wdrażania oraz testów;
• dostępność konsultantów – podanie czasów dyżurów, czy działają w trybie 24h/7, szybkość reakcji.

Jakie są kluczowe elementy umowy utrzymaniowej?

Dobrze napisana umowa SLA to umowa precyzyjna, jednoznaczna, z jak największą ilością konkretów. Takie podejście z pewnością w dużej mierze ogranicza ryzyko sporów między stronami. Transparentność warunków umowy pozwoli na jasność wymagań ze strony klientów, bez niepotrzebnych niedomówień i nadmiernych oczekiwań, których słuszności szuka się potem na drodze sądowej.

Jakie zatem można wyróżnić najważniejsze elementy umowy SLA?

• wprowadzenie kategorii błędów – klasyfikacja błędów (stopniowanie ich, np. krytyczny, poważny, drobny) pozwoli przypisanie do nich odpowiedniej procedury postępowania;
• czas reakcji i czas usunięcia usterki – w usprawnieniu współpracy pomoże wprowadzenie klasyfikacji błędów, gdzie zostanie ustalone, że np. na błąd krytyczny zostanie usunięty w ciągu maksymalnie 2 godzin od chwili zgłoszenia;
• dostępność usług – gwarancja dostępności systemu w skali miesiąca (np. 99,5%), uściślenie tego daje gwarancje bezpieczeństwa dla klienta, że w razie braku spełnienia tego warunku może spodziewać się rekompensaty;
• godziny wsparcia – muszą być podane konkretne godziny i dni z określeniem czy dotyczy to wszystkich dni czy tylko roboczych;
• procedura zgłoszenia błędu lub potrzeby wsparcia – podanie dostępnych form zgłoszenia, określenie jakie dane są wymagane przy zgłaszaniu, jak wygląda procedura przyjęcia zgłoszenia;
• określenie mechanizmów przy eskalacji problemu – opis procedury, kto i kiedy przejmuje sprawy, gdy nie zostanie ona rozwiązana w podanych w umowie czasie;
• raportowanie – częstotliwość, zakres i format raportów, które klient otrzymuje;
• kary umowne – np. rabat za niedostępność systemu lub za przekroczenie czasu naprawy.

Jakie są najczęstsze błędy przy zawieraniu umowy SLA?

Jakich błędów należy się wystrzegać, aby podpisana umowa SLA nie okazała się nieskuteczna? Najczęstsze z nich opierają się przede wszystkich na nieprecyzyjnych stwierdzeniach lub brakach jednoznacznego i konkretnego komunikatu. Można tu wymienić:

• brak konkretnych wskaźników – np. użycie w umowie sformułowań „szybkie usuwanie błędów” zamiast precyzyjnego określenia czasu;
• brak doprecyzowania kategorii usterek – nierozdzielenie usterek i błędów systemu na stopniowalne kategorie nie pozwoli ustalić stosownych procedur działania i przez to znacznie utrudni odpowiednią reakcję;
• brak ustalonych procedur w wypadku eskalacji problemu – w wypadku, gdy wsparcie techniczne nie odpowiada kilka dni na zgłoszony problem, klient nie wie, czego oczekiwać i na jaką reakcję i pomoc może następnie liczyć, a więc znów efekt braku uściślonej procedury;
• brak konkretnych godzin i dni, w których świadczone jest wsparcie;
• brak kar umownych;
• brak ograniczeń i wyłączenia od stosowania umowy – ten brak bardziej może odczuć usługodawca, gdy z działania usługi lub samego wsparcia nie wyłączy się sytuacji, w których SLA nie obowiązuje (np. awaria internetu w siedzibie klienta);
• brak wysyłania raportów działania SLA – trudno w takiej sytuacji faktycznie zweryfikować, na ile umowa funkcjonuje.

Jak negocjować umowę o gwarantowanym poziomie świadczenia usług i kiedy ją zawierać?

Umowa SLA stanowi odrębną umowę, którą można też traktować jako załącznik do umowy wdrożeniowej. Czasami też postanowienia SLA stanowią część umowy wdrożeniowej. Kluczowe jednak w kwestii zawierania umowy SLA jest to, kiedy ją negocjujemy i od kiedy powinna zacząć działać. Zatem przede wszystkim podpisanie umowy SLA absolutnie należy uzależnić od wyniku formalnego odbioru wdrożenia danego programu – mówiąc wprost za umowę utrzymaniową płaćmy dopiero, gdy usługa, której dotyczy, będzie już w pełni działać. Poza tym istotne wydaje się, aby negocjować umowę SLA jednocześnie z umową wdrożeniową. Tak jak już wspomniałem – można potraktować ją jako załącznik do umowy wdrożeniowej.

Do negocjacji umowy SLA powinien być zaangażowany doświadczony w branży IT prawnik, który dopilnuje formalnych zapisów i odpowiedniego uregulowania odpowiedzialności. Warto również, aby włączony był ktoś wiedzący, jakie parametry techniczne są istotne, osoba zorientowana w temacie i dbająca o rozwój systemów informatycznych, jak np. CTO, czyli Chief Technology Officer.

O jakich kluczowych elementach należy natomiast pamiętać podczas negocjacji?

• skrócenie czasów reakcji i naprawy dla systemów krytycznych;
• wydzielenie trybu „awaryjnego” – z szybszym dostępem do konsultantów i wyższym priorytetem zgłoszeń;
• rozszerzenie wsparcia poza godziny pracy, np. w nocy, weekendy, święta (w wypadku, gdy system działa 24/7);
• uzgodnienie zasad eskalacji, czyli kto i kiedy przejmuje sprawę, jeśli standardowy zespół nie rozwiąże problemu na czas.

Jaki jest przykład prostego zapisu wsparcia IT przy SLA – zakres usług i czas naprawy?

Przykładem prostego, przykładowego zapisu w umowie SLA będzie przede wszystkim podział na kategorię usterek, rozpisanie czasu interwencji i naprawy. Ponadto kluczowe jest zawarcie kar umownych.

Typy usterek:

• zgłoszenie kategoria A – błąd krytyczny

czas reakcji – do 1 godziny

czas naprawy – do 8 godzin (dni robocze)

• zgłoszenie kategoria B – błąd poważny

czas reakcji – do 4 godzin

czas naprawy – do 2 dni roboczych

• zgłoszenie kategoria C – drobny błąd lub skierowane zapytanie do helpdesku

czas reakcji – do 1 dnia roboczego

czas naprawy/odpowiedzi – do 5 dni roboczych

• kary za niedotrzymanie umowy SLA – obniżenie miesięcznego wynagrodzenia o 5% za każde przekroczenie SLA powyżej 20% przypadków danej kategorii w danym miesiącu.

Taki przykładowy zapis może być dobrym punktem wyjścia do prowadzenia dalszych negocjacji.

Pytania i odpowiedzi

Poniżej przedstawiamy kilka najczęstszych pytań oraz odpowiedzi na temat umowy SLA.

Co oznacza umowa SLA?

Umowa SLA, czyli po angielsku Service Level Agreement, oznacza umowę o Gwarantowanym Poziomie Usług.

Czym istnieje wzór uniwersalny umowy SLA?

Uniwersalny wzór umowy SLA można oczywiście skonstruować, ale stanowczo nie zaleca się żadnej firmie używanie ściągniętych z internetu wzorów, tylko ustanowienie własnej umowy SLA dopasowanej do twojej firmy.

Jakie są wskaźniki w SLA? 

Główne wskaźniki SLA to: dostępność usługi, czas reakcji, czas rozwiązania oraz wskaźniki wydajności.

Co to jest czas reakcji w ramach umowy SLA?

Czas reakcji w ramach SLA mieści się pomiędzy dokonaniem zgłoszenia w systemie zgłaszania awarii wykonawcy, a momentem rozpoczęcia przez wykonawcę prac naprawczych wraz z przekazaniem informacji o planie usunięcia usterki.

Prawne wsparcie i dlaczego zawarcie umowy SLA to fundament w branży IT? 

Umowa SLA, tak jak zresztą w wypadku każdej innej umowy czy regulaminu, musi brać pod uwagę specyfikę danej firmy, dlatego nie istnieje coś takiego jak umowa-klucz stanowiąca wzór do pobrania. Przy umowie utrzymaniowej konieczne jest, aby wziąć pod uwagę strukturę danej firmy, specyfikę używanego systemu czy też jego potrzeb. Doświadczony prawnik będzie potrafił przełożyć wymagany język techniczny na język prawny w sposób, który pozwoli zachować konieczne wymogi świadczące o skutecznej umowie. Skutecznej, to znaczy, która w praktyce będzie stanowić podstawę rozwiązywania wszelkich problemów, jakie mogą pojawić się podczas korzystania z danego systemu. Usługa musi być mierzalna, trzymająca się konkretów, określonych elementów oraz ściśle określonego czasu na interwencję i naprawę. Im bardziej umowa będzie wypełniona precyzyjnymi wskaźnikami, tym łatwiej będzie można użyć właśnie w praktyce. Im bardziej wskaźniki i elementy będą dopasowane do danej firmy, tym lepiej będą spełniać swoją rolę w sytuacjach kryzysowych.

Należy pamiętać, że umowa SLA to nie „czysta formalność”, ale dokument, który ma w rzeczywistości służyć ochronie i zapewniać bezpieczeństwo obydwu stronom – dostawcy jak i klientowi.    

Artykuł Czym jest umowa SLA (Service Level Agreement) i jak poprawnie ją sformułować? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

W wypadku, gdy chcemy zastrzec znak towarowy, musimy odpowiedź sobie na pytanie o zasięg terytorialny znaku, którego chcemy używać. To znaczy konieczne jest zdecydowanie się, na jakim rynku będziemy operować określonym towarem, a więc de facto, gdzie potrzebujemy na niego ochrony. Wnosząc o rejestrację w Urzędzie Patentowym RP, zatem korzystając z systemu krajowego, ochronę na znak towarowy zyskamy w obrębie granic Polski. Kiedy jednak firma nie ogranicza się do używania znaku towarowego do naszego kraju, opcją poszerzoną jest ochrona na teren całej Unii Europejskiej, za którą odpowiada Urząd Unii Europejskiej ds. Własności Intelektualnej (EUIPO) w Alicante. Globalną alternatywą będzie natomiast skorzystanie z tzw. „systemu madryckiego”, który umożliwia teoretycznie zdobycie jednoczesnej ochrony dla znaku towarowego na około 130 krajów. Teoretycznie – ponieważ operacja ta jest trochę bardziej skomplikowana niż np. rejestracja znaku w EUIPO. Jak zatem odbywa się proces rejestracji znaku towarowego na UE oraz na świat? Jakie są koszty i wymagania?

Czym jest znak towarowy i czy każda nazwa lub logo firmy się na niego nadaje?

Zgodnie z art. 120 ustawy Prawa własności przemysłowej znakiem towarowym może być każde oznaczenie, które musi spełnić w sumie dwa warunki:

• umożliwić odróżnienie towarów jednego przedsiębiorstwa od towarów innego przedsiębiorstwa;
• być możliwe do przedstawienia w rejestrze znaków towarowych w sposób pozwalający na ustalenie jednoznacznego i dokładnego przedmiotu udzielonej ochrony.

To oznaczenie, które służy odróżnienie konkretnych produktów lub usług danego przedsiębiorcy w handlu. Może być nim:

• wyraz – włącznie z nazwiskiem (np. logo naszej Kancelarii Pałucki & Szkutnik);
• rysunek (np. charakterystyczny kształt logo Toyoty);
• litera (np. literka „N” w logo Netflixa);
• cyfra (np. liczba 11 wpisana w logo Eleven Sports);
• kolor (np. pomarańczowy dla Allegro);
• forma przestrzenna – w tym kształt towaru lub opakowania (np. charakterystyczny zarys kształtu szklanej butelki Pepsi);
• dźwięk (np. ryk lwa wytwórni MGM)

Znak nie powinien stanowić pospolitego w danej branży hasła. Przykładowo wniosek o udzielenie prawa ochronnego na znaki towarowego „drukarki i komputery” dla sklepu branży elektronicznej zostanie z całą pewnością oddalony. Znak towarowy powinien posiadać jakiś charakterystyczny – „fantazyjny” element, gdyż ma on być gwarantem, że będzie stanowić jednoznaczne wyróżnienie danej usługi lub produktu w określonej branży.

Rejestracja znaku towarowego w Unii Europejskiej – jak zastrzec znak towarowy w EUIPO?

Firma, która prowadzi biznes, na terenie Unii Europejskiej, powinna pomyśleć o zastrzeżeniu unijnego znaku towarowego. Jest to najlepszy sposób na ochronę znaku w 28 krajach. Nie ma potrzeby, aby znak był najpierw zarejestrowany w procedurze krajowej, za pośrednictwem Urzędu Patentowego RP, można od razu ubiegać się o ochronę w EUIPO. Od 2004 r. Polska również objęta jest obszarem ochronnym dla znaków towarowych.

Rejestracji unijnego znaku towarowego dokonuje się w Urzędzie Unii Europejskiej ds. Własności Intelektualnej (EUIPO) w Alicante. Można to zrobić na kilka sposobów, ale z pewnością najwygodniejszym i najtańszym sposobem jest rejestracja elektroniczna poprzez stronę Urzędu. Pozostałe opcje to droga pocztowa, wysyłka faksem lub osobiste złożenie dokumentów w siedzibie Urzędu – Avenida de Europa 4, 03008 Alicante.

Drogą elektroniczną zastrzeżenia znaku można dokonać w trybie zwykłym oraz przyspieszonym (tzw. fast track). Ten drugi tryb jest prawie dwukrotnie szybszy, ale należy spełnić dwa warunki, aby w ogóle był rozpatrywany:

• znak towarowy musi dotyczyć towaru lub usługi, które są w bazie danych EUIPO;
• należy z góry opłacić za rejestrację – inaczej nie będzie w ogóle ona rozpatrywana.

Na stronie Urzędu znajdują się formularze, które należy użyć przy składaniu wniosku o zastrzeżenie unijnego znaku w trybie zwykłym. Zgłoszenie dokonuje się w jednym z urzędowych języków UE, czyli: angielskim, francuskim, hiszpańskim, niemieckim i włoskim. Poza tym „zgłaszający wskazuje drugi język, który jest językiem Urzędu i którego używanie akceptuje jako możliwy język postępowania w sprawie sprzeciwu, stwierdzenia wygaśnięcia lub unieważnienia” (art. 146 rozporządzenia 2017/1001).

Na stronie EUIPO możemy również sprawdzić czy nasza firma kwalifikuje się do funduszu dla małych i średnich przedsiębiorstw. Dzięki niemu można ubiegać się o dotacje i zwrot nawet 75% kosztów od EUIPO. Towary i usługi wyszukuje się za pomocą narzędzia TMclass. Po złożeniu wniosku nie będzie można zmieniać tej listy. Dodatkowo dzięki narzędziu TMview możemy wprowadzić nasz znak towarowy i przesłać nasze towary lub usługi i w ten sposób sprawdzić czy na terenie UE nie są wykorzystywane już podobne albo identyczne znaki towarowe. Warto zwrócić również uwagę, żeby przesyłany przez nas znak towarowy nie był wyłącznie opisowy, gdyż wtedy znacznie zwiększa się prawdopodobieństwo odrzucenia jego rejestracji.

Okres ochronny trwa 10 lat i można przedłużyć go nieskończoną ilość razy na 3 miesiące przed końcem danego okresu. Przedłużenie drogą elektroniczną kosztuje 850 euro, a papierową 1000 euro. Sam koszt rejestracji wynosi 850 euro (elektroniczna) lub 1000 euro (pozostałe zgłoszenia). Ponadto opłata za drugą klasę towarów i usług to 50 euro, a za każdą klasę powyżej dwóch – 150 euro. Takie same koszty są za przedłużenie.

Zgłoszenie znaku towarowego poza EU – ochrona znaku towarowego na resztę świata 

System międzynarodowej rejestracji znaków towarowych jest regulowany Porozumieniem madryckim dotyczącym międzynarodowej rejestracji znaków z 14.04.1891 r. oraz protokołem do Porozumienia madryckiego przyjętym 27.06.1989 r. Biuro Światowej Organizacji Własności Intelektualnej (WIPO), które znajduje się w Genewie, stanowi administracje Systemu Madryckiego. Ma on na celu ułatwienie zarejestrowania znaku towarowego dla państw członkowskich Systemu Madryckiego. Za pomocą jednej rejestracji albo jednego zgłoszenia znaku bazowego w kraju pochodzenia można uzyskać możliwość zastrzeżenia znaku na cały obszar, który obejmuje około 130 krajów. Oczywiście nie ma obowiązku zastrzegania znaku we wszystkich krajach, tylko w tych, gdzie faktycznie ten znak towarowy będzie wykorzystywany.

Jak zgłosić wniosek o zastrzeżenie do WIPO za pośrednictwem Urzędu patentowego?

W wypadku ubiegania się o ochronę międzynarodową znaku, warunkiem koniecznym do spełnienia jest wcześniejsze zarejestrowanie go w kraju pochodzenia. W przypadku Polski zgłoszenia należy dokonać w Urzędzie Patentowym RP. Zgodnie z wytycznymi podanymi na stronie Urzędu „o rejestrację międzynarodową znaku towarowego może ubiegać się każda osoba fizyczna lub prawna przynależna do Polski lub zrównana w prawach z przynależnymi do Polski”[1]. Wniosek o rejestrację znaku międzynarodowego w UP można złożyć osobiście lub poprzez pośrednika, którym może być:

• adwokat;
• radca prawny;
• rzecznik patentowy.

Więcej na temat rejestracji znaku towarowego w Urzędzie Patentowym przeczytasz w tekście „Rejestracja znaku towarowego w Polsce – dlaczego warto zastrzec znak towarowy i koszty rejestracji w Urzędzie Patentowym RP” (TU ADRES).

Zgłoszenie międzynarodowe składamy poprzez formularz MM2 w Urzędzie Patentowym drogą elektroniczną lub papierową. Zalecana jest droga online za pomocą eMadrid[2].

UWAGA – znak we wniosku międzynarodowym musi być identyczny z tym zgłoszonym wcześniej w Urzędzie Patentowym! We wniosku należy także zawrzeć wykaz towarów i usług, które mają zostają objęte ochroną, które są zgodne z klasyfikacją nicejską, czyli Międzynarodową klasyfikacją towarów i usług.

Co należy zawrzeć we wniosku o ochronę międzynarodową znaku towarowego i jakie są opłaty urzędowe?

Przy składaniu wniosku do WIPO należy:

• wyznaczyć przynajmniej jednego Członka Systemu Madryckiego[1], ale nie może być to Członek, za którego pośrednictwem jest składany wniosek, czyli w naszym przypadku – Polska;
• sprawdzić poprawność informacji we wniosku krajowym;
• sprawdzić i dopracować listę towarów i usług – może być ona węższa niż ta we wniosku krajowym – w skrócie, nie musimy zastrzegać wszystkich zgłoszonych w UP znaków, jeśli tego sobie nie życzymy;
• dostarczyć kopię wizerunku znaku towarowego, ale musi być ona wysokiej rozdzielczości i taka sama jak we wniosku krajowym;
• opłacić wszystkie opłaty WIPO.

  Opłata w Urzędzie Patentowym RP za rejestrację międzynarodową wynosi 600 zł. WIPO posiada dość rozbudowany cennik[2], który zawiera opłatę podstawową, opłatę dodatkową (za każdą klasę towaru) oraz opłatę uzupełniającą (za wyznaczanie krajów). Mogą się one od siebie różnić, w szczególności dwie ostatnie, ze względu na rodzaj zgłoszenia. Warto skorzystać z kalkulatora WIPO, ponieważ niektóre kraje mogą doliczać dodatkowe opłaty, których nie uwzględnia cennik WIPO. Opłaty w Biuro Światowej Organizacji Własności Intelektualnej są we frankach szwajcarskich.

Czy warto zgłaszać znak towarowy na cały świat lub do UE?

Pytanie „czy warto” jest pytaniem bardzo zindywidualizowanym, gdyż nie ma na nie jednej odpowiedzi. Przede wszystkim wszystko zależy, w jakim obszarze rynku działa dana firma. Przy lokalnym zasięgu nie będzie sensu inwestowania pieniędzy w ochronę znaku poza granicami Polski. Poza tym zgłaszanie znaku unijnego wiąże się z ryzykiem, ponieważ wniesiony sprzeciw w jednym z krajów może odrzucić cały wniosek.

Z pewnością jednak przedsiębiorstwo, które stara się działać globalnie czy działa aktywnie na rynku europejskim powinno absolutnie zarejestrować swój znak towarowy w celach ochrony przed zabiegami nieuczciwej konkurencji. Pomaga to we wzmocnieniu globalnej marki, a także jest skuteczną bronią w walce z podróbkami. Z pewnością zgłoszenie unijnego czy międzynarodowego znaku powiązane jest ze znacznie wyższymi kosztami niż rejestracja znaku krajowego, dlatego jak już zauważyłem kluczowe jest wyodrębnienie obszaru działania danej firmy. Dodajmy również, że zastrzeżenie znaku może działać pozytywnie w tworzeniu wizerunku w oczach inwestorów.      

Pytania i odpowiedzi

Poniżej przedstawiamy wybrane często zadawane pytania oraz odpowiedzi na temat rejestracji znaku towarowego w UE i na świecie.

Ile kosztuje rejestracja unijnego znaku towarowego w EUIPO?

Elektroniczna rejestracja znaku towarowego w EUIPO kosztuje 850 euro, natomiast droga tradycyjną 1000 euro. Opłata za drugą klasę towarów i usług to 50 euro, a za każdą powyżej dwóch – 15o euro.

Jak wyszukać znak towarowy w EUIPO?

Na stronie EUIPO znajduje się wyszukiwarka, która proponuje różne narzędzia, dzięki któremu istnieje możliwość sprawdzenia takich samych lub podobnych znaków towarowych. Są to np. TMview, TMclass, eSearch plus czy wyszukiwarka uwierzytelnionych kopii dokumentów.

Jak zarejestrować znak towarowy online w EUIPO?

EUIPO daje możliwość, aby uzyskać ochronę na swój znak towarowy drogą elektroniczną. W tym celu należy założyć konto na EUIPO, wypełnić formularz oraz uiścić opłatę. Kiedy EUIPO otrzyma wpłatę rozpocznie formalne rozpatrywanie wniosku.  

Czy można zarejestrować znak towarowy w EUIPO za pośrednictwem Urzędu Patentowego RP?

Nie. Od 23 marca 2016 r. nie jest możliwe zgłaszanie unijnych znaków towarowych za pośrednictwem Urzędu Patentowego RP.

[1] https://www.wipo.int/export/sites/www/treaties/en/docs/pdf/madrid_marks.pdf.

[2] https://www.wipo.int/en/web/madrid-system/fees/sched.

[1] https://uprp.gov.pl/pl/przedmioty-ochrony/znaki-towarowe/procedura-miedzynarodowa.

[2] https://www.wipo.int/web/emadrid/.

Artykuł Ochrona znaku towarowego w Unii Europejskiej i na świecie – rejestracja znaku towarowego w EUIPO i na resztę świata pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Jak zatem radzić sobie z monitorowaniem konkurencji i czy w ogóle warto to robić? A może lepiej nie inwestować w ten proces czasu ani pieniędzy i czekać aż zgłosi się do nas inny podmiot? Jakie działania powinien podjąć przedsiębiorca?     

Czym jest monitoring znaku towarowego?

Monitoring znaku towarowego jest regularnym procesem weryfikowania innych znaków towarowych, przy użyciu bazy znaków krajowych, która znajduje się na stronie Urzędu Patentowego RP, bazy znaków Unii Europejskiej, którą znajdziemy na stronie EUIPO (Urzędzie Unii Europejskiej ds. Własności Intelektualnej) oraz w bazie znaków międzynarodowych dostępnej na stronie WIPO (Światowej Organizacji Własności Intelektualnej).

Czynność monitorowania wiąże się, zgodnie z definicją słowa, ze stałym, planowym działaniem. Na taką ciągłą obserwację rynku i konkurencji decydują się raczej tylko potężne, największe firmy jak Coca-cola, Adidas czy Apple. Mają one osobne działy prawników, których zadaniem jest wyłapywanie podobieństw w nowo zarejestrowanych znakach towarowych, ale przeciętne przedsiębiorstwo nie inwestuje w tego typu działania profilaktyczne. Dla większości firm sprawdzanie logo konkurencji kojarzy się przede wszystkim z działaniem zalecanym przed złożeniem wniosku o rejestrację znaku. Taka analiza służy wyłapaniu ewentualnych znaków identycznych lub podobnych do tego, który firma zamierza zgłosić do Urzędu.

Więcej na temat rejestracji znaku towarowego w Polsce przeczytasz w tekście „Rejestracja znaku towarowego w Polsce – dlaczego warto zastrzec znak towarowy i koszty rejestracji w Urzędzie Patentowym RP” oraz o rejestracji w UE i na świecie w tekście „Ochrona znaku towarowego w Unii Europejskiej i na świecie – rejestracja znaku towarowego w EUIPO i na resztę świata”

Dokonanie weryfikacji istnienia znaków podobnych lub identycznych do tego, który dana firma chciałaby zarejestrować, leży właśnie po stronie tej firmy. Urząd nie zajmuje się tym nawet w trakcie procesu rejestracji – kładzie nacisk na sprawdzenie czy wnioskowany znak spełnia wymogi pozwalające na ustalenie jednoznacznego i dokładnegoprzedmiotu udzielonej ochrony. Dlatego tak ważne jest zadbanie o podstawową ochronę, czyli rejestrację swojego znaku towarowego, a także rozważenie opcji monitorowania konkurencji. Może to w przyszłości uchronić przed kłopotami, jak np. przypadki prób wymuszania opłat dla firm, które wręcz zajmują się rejestrowaniem istniejących już znaków towarowych, co pozwala nawet na sparaliżowanie działania „zaatakowanej” firmy.    

W jakim celu monitorować znaki towarowe konkurencji, podczas gdy swój znak towarowy mamy już zarejestrowany?

Tak jak już wspomniałem pierwszym – wysoce zalecanym – procesem monitorowania znaku towarowego w wymienionych bazach jest weryfikacja przed rozpoczęciem rejestracji znaku. Przedsiębiorca dokonuje wtedy swoistej analizy ryzyka, która polega na sprawdzeniu czy istnieją choćby podobne znaki do tego, jaki chce zarejestrować. Pozwoli to uniknąć z jednej strony odrzucenia wniosku rejestracji z powodu złożonego przez inny podmiot sprzeciwu, a z drugiej strony pozwoli zorientować się czy istnieje prawdopodobieństwo zgłoszenia naruszenia ochrony znaku już po formalnie przyjętej rejestracji.

Podkreślę raz jeszcze – sam fakt rejestracji znaku nie zapewni mu całkowitej ochrony przed naruszeniem. Ponieważ Urząd nie monitoruje w ogóle podobieństwa znaków, prędzej czy później dojdzie do sytuacji, kiedy natkniemy się sami na używany przez konkurencję taki sam lub podobny znak albo odbierzemy pismo od innego podmiotu dotyczące zaprzestania używania zarejestrowanego przez nas znaku. Zbieżność może być zupełnie przypadkowa, ale może także wynikać z celowego działania nieuczciwej konkurencji. Co więcej spór może być również efektem błędnego udzielenia prawa ochronnego na określenie, które zawiera zbyt potoczne dla danej branży słowa – z takim przypadkiem spotkaliśmy się w naszej kancelarii, gdy z pismem o naruszeniu prawa ochronnego do naszego klienta zgłosiła się firma, która posiadała dopuszczony formalnie zbyt potocznie brzmiący znak mający duże podobieństwo do powszechnego w branży klienta, używanego również przez naszego klienta.

Kiedy zgłaszać sprzeciw do Urzędu Patentowego RP – identyczny znak lub podobieństwo do naszego? 

Podczas zgłaszania znaku towarowego w Urzędzie Patentowym RP, po przebadaniu przesłanek bezwzględnych, dochodzi do publikacji informacji o dokonanym zgłoszeniu w Biuletynie Urzędu Patentowego. Od tego momentu rozpoczyna się 3 miesięczny okres na składanie ewentualnego sprzeciwu przez podmioty trzecie w razie istnienia identycznego lub podobnego znaku do tego, który jest rejestrowany. Jeśli takowy sprzeciw zostanie zgłoszony, rozpoczyna się postępowanie w sprawie sprzeciwu. Urząd informuje wtedy o tym, bez zwłoki, przedsiębiorcę, który dokonuje rejestracji i daje obydwu podmiotom 2 miesiące czasu na ugodowe rozstrzygnięcie. Ten okres może przeciągnąć się nawet do 6 miesięcy, zgodnie z art. 152¹⁹ ust. 2 prawa własności przemysłowej – podstawą jest tutaj zgodny wniosek obydwu stron. W trakcie tego czasu strony sporu mogą kontaktować się bezpośrednio ze sobą w celu ustalenia rozwiązania.

Kiedy ugody nie uda się osiągnąć, Urząd wzywa podmiot rejestrujący znak do złożenia odpowiedzi na sprzeciw. Wtedy może on podnieść zarzut nieużywania wcześniejszego znaku w sposób rzeczywisty w ciągu nieprzerwanego okresu 5 lat, poprzedzających datę dokonania zgłoszenia znaku towarowego. To oznacza, że podmiot zgłaszający sprzeciw musi udowodnić przed Urzędem, że wciągu ostatnich 5 lat używał w jakikolwiek sposób tego znaku (umieścił go gdzieś fizycznie lub w internecie). Przy braku dowodu na to Urząd oddali sprzeciw.   

Po rozpatrzeniu sprzeciwu Urząd wydaje decyzję, która może stanowić o:

• oddaleniu sprzeciwu;
• uznaniu sprzeciwu za zasadny w całości lub części;
• umorzeniu postępowania w sprawie sprzeciwu.

Przy sporze dotyczącym sprzeciwu można wyznaczyć pełnomocnika, którym może być np. adwokat lub radca prawny

Dodatkową możliwością podczas rozstrzygania sprzeciwu przez UP jest możliwość wniesienia mediacji do Centrum WIPO. Opłata administracyjna wynosi 50 euro od strony postępowania.

Kiedy naruszenie znaku towarowego przybiera drogę sądową?

Okres 3 miesięcy, który wyznacza Urząd na wniesienie sprzeciwu, jest nieprzekraczalny. Oznacza to, że po jego upływie nie ma możliwości wniesienia sprzeciwu do Urzędu. Od tej chwili (chyba że zgłoszenie znaku towarowego zostanie odrzucone podczas rejestracji przez Urząd) drogą podmiotów trzecich, które zauważą, że zarejestrowany znak jest identyczny lub podobny do ich własnego, jest wysyłanie pism o zaprzestanie użytkowania takiego logo. Kontakt odbywa się przeważnie za pośrednictwem prawników. Taki spór nie trafia do Urzędu Patentowego, ani do EUIPO czy WIPO, lecz przy braku porozumienia pomiędzy stronami kończy się na drodze sądowej, gdzie podmioty starają się udowodnić swoje pierwszeństwo do znaku.  

Pytania i odpowiedzi

Poniżej przedstawiamy kilka najczęstszych pytań oraz odpowiedzi na temat monitorowania i ochrony znaków towarowych.

Czy samemu można monitorować znak towarowy?

Możliwe jest samodzielne monitorowanie znaku towarowego, jednak nie jest ono wskazane ze względu na towarzyszące temu ograniczenia: czasochłonne zajęcie, brak automatycznych powiadomień bez korzystania z płatnych narzędzi, trudności w sferze wychwytywania znaków podobnych, a nie tylko identycznych.

Co grozi za użycie zastrzeżonego znaku towarowego?

Za użycie zastrzeżonego znaku towarowego bez zgody jego właściciela może grozić roszczenie do zaniechania naruszania znaku oraz naprawienia wyrządzonej szkody, które przysługują właścicielowi znaku (art, 296 Prawo własności przemysłowej). Poza karami grzywny grozi również kara pozbawienia do 2 lat wolności (art. 305).

Czy znak towarowy może być licencją?

Można udzielić innej osobie upoważnienia do używania znaku towarowego, zawierając z nią umowę licencyjną (art. 163, ust. 1 Prawo własności przemysłowej).

Czym jest EUIPO?

EUIPO jest to Urząd Unii Europejskiej ds. Własności Intelektualnej. Zarządza znakami towarowymi i prawami do wzorów w UE oraz bazą utworów osieroconych. 

Dlaczego warto monitorować znaki towarowe i jaka jest rola kancelarii?

Monitorowanie znaku towarowego stanowi element działań profilaktycznych i analizy ryzyka, która jest przecież podstawą funkcjonowania każdego przedsiębiorstwa. Zainwestowanie w monitoring znaku towarowego już po jego rejestracji może niejednokrotnie zapobiec niepotrzebnym kosztom sporów sądowych (profesjonalny prawnik potrafi dobrze doradzić, kiedy warto wchodzić w spór) oraz przede wszystkim przeciwdziałać nieuczciwej konkurencji.

Wybranie odpowiedniej kancelarii prawnej na profesjonalnego pośrednika przed Urzędem, na pomoc w dobrze przeprowadzonym monitoringu znaku towarowego lub też na przedstawiciela przed sporem o prawo ochronne znaku towarowego stanowi ważną decyzję, która może skutecznie wesprzeć przedsiębiorcę.    

Artykuł Monitoring znaku towarowego – czy warto monitorować znak towarowy i gdzie zgłaszać sprzeciw? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Przedsiębiorstwa chętnie korzystają z takiego rozwiązania w obszarach zarządzania relacjami z klientami, kadrą i HR czy w księgowości. Pomimo wielu zalet usług w modelu SaaS, należy pamiętać, żeby w pełni zadbać o uregulowanie wszelkich niezbędnych aspektów umowy, aby w wypadku pojawienia się problemu, warunki odpowiedzialności za naruszenie umowy były jednoznacznie określone. Na co zatem zwrócić uwagę? Jakie kluczowe elementy powinny pojawić się w umowie w modelu SaaS?

Czym jest umowa SaaS – czy umowa Saas to umowa licencyjna i jak wybrać dostawcę?

Umowa SaaS zgodnie ze swoją nazwą – Software as s service – czyli oprogramowanie jako usługa podkreśla swoją najważniejszą cechę. W Saas kluczowe jest właśnie świadczenie usługi dostępu do funkcjonalności oprogramowania, a więc zapewnienie możliwości korzystania z niego z pełni funkcji w nim zawartych. Przedsiębiorca, który wykupuje dostęp za pośrednictwem umowy typu Saas, otrzymuje wraz z nim hosting i wsparcie techniczne ze strony dostawcy, co ma zapewnić prawidłowe działanie usługi. 

Cechą z pewnością wyróżniającą dostęp do oprogramowania w modelu Saas jest dostęp do niego za pośrednictwem chmury. Nie jest ono instalowane lokalnie u przedsiębiorcy, co z kolei występuje często w przypadku udzielania stricte licencji.

Umowa o świadczeniu usług Saas nie jest zawierana na wyłączność, to znaczy klient nie może oczekiwać, że dostęp będzie udzielony tylko i wyłącznie jego firmie – w przeciwieństwie do licencji wyłącznej. Zobowiązanie przez dostawcę do świadczenia ciągłej usługi (zapewnienie działania, wsparcia, dostępności) wykupuje się zasadniczo na zasadach abonamentu. Dokładne warunki są opisane w samej umowie. Firma ma zatem dostęp do oprogramowania, dopóki uiszcza opłaty za dany okres subkrybcyjny. Ponadto w umowie SaaS nie otrzymuje się dostępu do kodu źródłowego.

W wypadku umowy SaaS klient nie musi dbać o aktualizacje i potrzebne zmiany w oprogramowaniu, z którego korzysta, gdyż tym zajmuje się dostawca w ramach bieżącej obsługi. Inaczej wygląda sytuacja np. we wdrożeniu on-premise. Tutaj klient kupuje lub rozwija system u siebie, na własnej infrastrukturze, będąc samodzielnie zobowiązanym do dbania o aktualność programu. Niewątpliwą zaletą umowy SaaS jest tzw. skalowalność, czyli możliwość sprawnego dostosowywania usług do zapotrzebowania wielu firm jednocześnie.

Wydaje się zatem, że dość ważny jest wybór dostawcy oprogramowania SaaS – rozbudowane wsparcia, częstotliwość, skuteczność oraz odpowiedzialność, jaką na siebie bierze. Wszystko to zostaje uściślone w umowie SLA, która może zostać dołączona jako umowa utrzymaniowa, czyli dodatkowa gwarancja udzielanego wsparcia do otrzymywanej usługi.

Jakie są kluczowe elementy umowy modelu Saas – obowiązki dostawcy, prawa autorskie i zakres usługi? 

Umowa SaaS, tak jak każda umowa, wymaga dostosowania do użytkowanego systemu w firmie oraz precyzyjnego określenia wymagań i obowiązków. Należy dokładnie opisać funkcjonalności, do których użytkownik uzyskuje dostęp. Klient powinien otrzymać informację czy może korzystać, między innymi, z modelu fakturowania, integracji z innymi aplikacjami czy też API. Umowa powinna zawierać również listę funkcji czy ograniczeń (ilość użytkowników, którzy mają jednocześnie dostęp, limit przechowywania danych).

Umowa SaaS może być zawierana na czas określony, np. 12 miesięcy lub nieokreślony, w którym zawarty ma być okres wypowiedzenia – standardowo 30 dni, czyli powinno się opłacić bieżący miesiąc przed rezygnacją. W umowie utrzymaniowej, czyli SLA (Service Level Agreement), należy zawrzeć czas reakcji i czas usunięcia usterki, godziny wsparcia, procedurę zgłoszenia błędu lub potrzeby wsparcia czy też określenie mechanizmów przy eskalacji problemu. Klient musi wiedzieć, jaka będzie procedura postępowania w wypadku, gdy usterka nie zostanie usunięta przez dostępne mu wsparcie techniczne.

Umowa powinna obejmować również kary umowne oraz precyzyjne określenie odpowiedzialności, jaką ponosi dostawca za utratę danych, niedostępność systemu lub błędy w jego działaniu. Uściślenie tego, o jaki procent płaconego abonamentu nastąpiłoby pomniejszenie w dłuższej niedostępności systemu czy wyłączenie odpowiedzialności w wypadku awarii dostawców zewnętrznych (np. operatorów chmury), również powinno zostać zawarte w treści umowy. 

Własność danych wprowadzanych do systemu – ochrona danych osobowych i zgodność z RODO 

Usługa SaaS wiąże się dość wyraźnie z przetwarzaniem danych osobowych. Do systemu wprowadzane są liczne dane, jak np. dane osobowe klientów czy pracowników, dane finansowe, handlowe itd. Z umowy powinno wynikać, że:

• dostawca nie może wykorzystać tych danych do innych celów niż świadczenie usług w modelu SaaS, których dotyczy umowa – w tym nie może udostępniać ich podmiotom trzecim;
• klient pozostaje wyłącznym administratorem danych;
• istnieje możliwość dostępu do danych i ich pobrania przez klienta;
• sprecyzowano czas przechowywania danych po zakończeniu umowy.

Przede wszystkim przetwarzanie danych osobowych podlega pod przepisy RODO i treść umowy musi być z nim zgodna. W tym ujęciu klient pełni rolę administratora danych, a dostawca oprogramowania SaaS – podmiotu przetwarzającego. Zgodnie z RODO elementem umowy SaaS powinna absolutnie pojawić się umowa powierzenia danych osobowych (art. 28 RODO). Opisane muszą zostać: cel i zakres przetwarzania, kategorie danych, kategorie osób, których dane dotyczą, obowiązki stron umowy, zasady korzystania z podwykonawców, jak np. dostawcy chmury.

W umowie powinny pojawić się także zasady szyfrowania danych osobowych oraz opis stosowanych środków bezpieczeństwa. Powinna zostać także zawarta procedura postępowania w razie naruszenia ochrony danych osobowych. 

Jakie są sposoby rozliczania z usługodawcą za usługę oprogramowania Saas?

Jak już wspomniałem, w umowie modelu SaaS zazwyczaj najczęstszą płatnością jest model subskrypcyjny. Abonament na określony czas, czyli na miesiąc, ewentualnie rok, z opcją automatycznego przedłużenia, chyba że klient wypowie umowę. Za okres wypowiedzenia przyjmuje się przeważnie jeden okres rozliczeniowy. 

W umowie powinno się określić wysokość opłat, terminy płatności, częstotliwość fakturowania. Można również zawrzeć sposób rozliczenia np. ewentualnych nadpłat. W umowie powinno się również umieścić informacje dotyczące sytuacji braku płatności ze strony klienta, a więc procedurę postępowania w takim przypadku – naliczanie odsetek, termin ewentualnego zablokowania dostępu do usługi czy też warunki przywrócenia dostępu po uregulowaniu płatności.

Jakie są uprawnienia klienta – co zrobić, aby nie ponieść odpowiedzialności za naruszenie umowy Saas?

Tak już wspomniałem, podstawą umowy SaaS jest udzielenie za opłatą uprawnienia do korzystania z oprogramowania/aplikacji. Klient nie nabywa prawa dostępu do kodu źródłowego, nie otrzymuje fizycznej kopii oprogramowania. Otrzymuje dostęp za pośrednictwem internetu – poprzez przeglądarkę lub np. API – do oprogramowania i nie może go samodzielnie rozwijać, modyfikować i nie ma też możliwości samodzielnego instalowania systemu.

Klient ma zakaz:

• reverse engineeringu (rozszyfrowania sposobu działania aplikacji SaaS, odzyskania kodu źródłowego);
• kopiowania funkcji;
• przekazywania logowania osobom trzecim.

Wszystkie powyższe zakazy powinny znaleźć się w treści umowy/regulaminu.

Podkreślę, że otrzymane prawo do korzystanie z oprogramowania jest ograniczone do danej firmy-klienta, i jest niewyłączne (czyli może być udzielane każdemu przedsiębiorstwu, które wykupi dostęp), nieprzenoszalne i zazwyczaj bez prawa udostępniania osobom trzecim (chyba że postanowiono inaczej i umowa dokładnie to precyzuje).

Klient nie ma prawa do podzlecania dostępu zewnętrznej firmie, jeśli umowa o tym nie mówi. W wypadku zapotrzebowania współpracy z firmą outsourcingową należy zastrzec w umowie prawo do korzystania przez podwykonawcę (najlepiej z określeniem celu, zakresu i odpowiedzialności).

System modelu SaaS może być zintegrowany z innymi systemami klienta, ale tylko pod warunkiem, że określa to wyraźnie umowa oraz istnieją warunki techniczne, które dopuszczają taką możliwość. Techniczne możliwości zależą tu m.in. od: dostępności API, zakresu dokumentacji czy możliwości konfiguracji systemu. Przypomnę, że integracja nie oznacza ingerencji w kod źródłowy.

Pod kątem prawnym taka integracja byłaby dopuszczalna, o ile umowa zawierałaby taką klauzulę, w której określałaby warunki, w tym zakres, odpowiedzialność i bezpieczeństwo, oraz sama nie zawierała zakazu modyfikowania środowiska. Powinno się również brać pod uwagę już posiadane przez klienta licencje – czy może on tworzyć połączenia pomiędzy oprogramowaniem SaaS a swoimi systemami.

Warto zadbać o precyzję w wytyczaniu granic i określaniu możliwości korzystania z oprogramowania, niż ograniczać się jedynie do suchego komunikatu „nabycia prawa do korzystania z aplikacji”.

Jaki jest czas trwania umowy – rozwiązywanie sporów, wypowiedzenie umowy za jej naruszenie?

Oprócz zwykłego wypowiedzenia umowy, czyli z określonym terminem wypowiedzenia (np. miesięcznym), warto w umowie uwzględnić także wypowiedzenie umowy w szczególnych sytuacjach:

• stale powracający brak dostępności systemu, a więc naruszenie umowy (w umowie utrzymaniowej SLA powinno zawrzeć się dopuszczalny procent czasu braku dostępności);
• stałe zaległości w opłacaniu abonamentu;
• naruszenie przepisów w związku z przetwarzaniem danych osobowych;
• nieautoryzowane działanie użytkowników systemu (np. próby obejścia zabezpieczeń).

W celu zabezpieczenia ciągłości działania systemu, warto w umowie zawrzeć stosowne mechanizmy ochronne:

• klauzule kontynuacji usług w wypadku np. zmiany właściciela dostawcy usługi;
• procedurę łatwego i szybkiego przeniesienia danych do innego systemu, o ile zajdzie taka potrzeba;
• backup dla klienta, jeśli zajdzie taka potrzeba.

Pomimo że umowa w modelu SaaS polega „jedynie” na udzieleniu dostępu do korzystania oprogramowania, to należy w niej zapisać także procedury, które znajdą zastosowanie po zakończeniu umowy. Mowa tutaj choćby o:

• obowiązku usunięcia danych klienta przez dostawcę;
• możliwości migracji danych do innego dostawcy;
• procedurę i koszty eksportu danych.

Zawarcie tych informacji pozwoli zapewnić ciągłość działania Twojej firmie.

Czy umowa Saas to umowa prosta – jak nie wpaść w pułapkę i nie popełnić błędu?

Przy pisaniu umowy SaaS zdecydowanie warto skorzystać z pomocy kancelarii prawnej, gdyż istnieje co najmniej kilka aspektów, których nie można pominąć, ani o nich zapomnieć. Należy pamiętać m.in. o:

• braku rozróżnienia między licencją a usługą – chociaż w samej umowie SaaS zostało zaszyte pojęcie licencji, to jednak jej podstawową i wyróżniającą funkcją jest usługa dostępu do funkcjonalności oprogramowania, a nie udzielenie na niego licencji, nie można zatem posługiwać się terminami charakterystycznymi dla umowy licencyjnej, gdyż może spowodować to niejednoznaczność prawną co do charakteru umowy;
• braku umowy SLA lub posługiwanie się w niej zbyt ogólnymi pojęciami;
• braku umowy powierzenia danych osobowych;
• unikaniu precyzyjnych określeń w opisie funkcjonalności systemu – np. samo stwierdzenie „platforma CRM”;
• braku klauzuli umowy na temat eksportu danych i ich formacie – może spowodować to utratę dostępu do danych przez klienta po zakończeniu umowy;
• braku uregulowania kwestii odpowiedzialności za dane.

Jak napisać umowę Saas korzystną i zgodną z prawem – pomoc prawnika?

Trudno zaprzeczyć, że pomimo pozorów prostoty, umowa SaaS jest złożonym dokumentem. Podstawą dla niej jest Kodeks cywilny, ale niemniej kluczową rolę odgrywa w jej powstawaniu prawo autorskie i prawa pokrewne oraz RODO. Umowa, która dotyczy usługi korzystania z funkcjonalności oprogramowania komputerowego, z uwagi na jej złożony charakter wymaga, aby w jej powstawaniu brał udział prawnik dobrze zorientowany w prawie IT. Bardzo istotne jest, aby rozumieć jak dana usługa działa i jakie ewentualne ryzyka ze sobą niesie.

Doświadczony w tych kwestiach prawnik będzie potrafił przetłumaczyć wymagania biznesowe i techniczne na zapisy w umowie, doradzi i zadba, jak odpowiednio zabezpieczyć dane, przygotuje precyzyjną umowę utrzymaniową czy zbalansuje interesy obydwu stron (dobra umowa zabezpiecza obydwie strony). Źle napisana umowa może przynieść znacznie większe koszty niż te, które można przeznaczyć na skuteczną pomoc prawną.

Niech duże zalety modelu Saas nie przyćmią ryzyka – o czym pamiętać?

Model SaaS zmienił sposób korzystania z oprogramowania – uprościł dostęp, obniżył koszty wejścia i pozwolił firmom szybciej się rozwijać. Należy jednak pamiętać, aby nie lekceważyć procesu tworzenia umowy, gdyż za błędy w dostępności systemu, utratę danych czy naruszenia RODO nadal ktoś ponosi odpowiedzialność, a wcale nie będzie to zawsze dostawca.

Umowa to jedyne narzędzie, które reguluje prawa i obowiązki stron, a w razie potrzeby pozwala dochodzić roszczeń. Brak precyzji, gotowy szablon lub ogólnikowe postanowienia często działają na niekorzyść obydwu stron, dlatego im wcześniej i bardziej precyzyjnie uregulujemy zasady współpracy, tym większa szansa, że unikniemy niepotrzebnych nieporozumień i konfliktów oraz skutecznie zabezpieczymy własne interesy.

Artykuł Jak bezpiecznie uregulować dostęp do usługi SaaS? Umowa w modelu SaaS – podstawowe zasady i aspekty prawne pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Czym są spory o własność intelektualną? Spory między innymi o utwór, znak towarowy czy patent

Zgodnie z definicją przywoływaną przez Urząd Patentowy RP, w słowniku terminów dostępnym na stronie internetowej urzędu, własność intelektualna jest obszernym pojęciem obejmującym wszelkie wytwory ludzkiego umysłu. Zgodnie z art. 2 pkt viii) Konwencji o ustanowieniu Światowej Organizacji Własności Intelektualnej, własność intelektualna oznacza prawa odnoszące się do: dzieł literackich, artystycznych i naukowych, interpretacji artystów interpretatorów, wynalazków z każdej dziedziny techniki, odkryć naukowych, wzorów przemysłowych, znaków towarowych, nazw handlowych oraz oznaczeń handlowych, ochrony przed nieuczciwą konkurencją. Pojęcie to obejmuje m.in. prawo autorskie i prawa pokrewne, prawa własności przemysłowej, prawa do baz danych, dobra osobiste, czy inne prawa do know-how[1].

W wypadku prawa autorskiego jego przedmiotem będzie „każdy przejaw działalności twórczej o indywidualnym charakterze, ustalony w jakiejkolwiek postaci, niezależnie od wartości, przeznaczenia i sposobu wyrażenia” (art. 1 ust. 1 ustawy o prawie autorskim i prawach pokrewnych).  Omawiając to na przykładzie programu komputerowego, własnością intelektualną nie będzie sam w sobie niematerialny pomysł czy idea, która zawarta jest w programie. Program będzie przedmiotem prawa autorskiego dopiero, gdy zostanie zmaterializowany w napisanym kodzie i to właśnie ów kod będzie stanowić własność intelektualną, którą będzie dysponował twórca tego kodu, czyli programista.

Na marginesie należy wskazać, że ochrona prawna własności intelektualnej nie wiąże się jedynie ze sprawą cywilną lub karną prowadzoną w sądzie. Oczywiście do takiej może dojść przede wszystkim, kiedy strony, np. dwa przedsiębiorstwa lub firma oraz pracownik nie dojdą do porozumienia w drodze polubownej. W zakresie własności przemysłowej ochrona prawna IP realizowana jest jednak także poprzez zgłoszenia wnoszone do urzędów (np. Urzędu Patentowego  RP czy EUIPO).  Przede wszystkim, przedsiębiorca może uzyskać prawo ochronne na swój znak towarowy i zabezpieczyć się przed jego użytkowaniem przez inne firmy. Jeśli z kolei nie zgadzamy się z rejestracją znaku przez inny podmiot, zgłoszony może zostać przez nas sprzeciw wobec znaku towarowego, który przykładowo jest podobny do lub taki sam do znaku towarowego, stosowanego przez nas (a tym samym narusza on nasze prawo). Możliwe jest również wniesienie sprzeciwu od już zarejestrowanego znaku towarowego. .

Natomiast stricte sprawy sądowe z zakresu własności intelektualnej rozpatrywane są przez sądy do spraw własności intelektualnej. W I instancji sprawy rozpatrują wydziały Sądów Okręgowych w Warszawie, Gdańsku, Poznaniu, Lublinie i Katowicach, natomiast w II instancji – Sądy Apelacyjne w Poznaniu i w Warszawie. Rozpatrywane są sprawy z zakresu:

• praw własności przemysłowej
• praw autorskich
• nieuczciwej konkurencji
• ochrony dóbr osobistych w celu indywidualizacji, reklamy lub promocji przedsiębiorcy, towarów lub usług
• ochrony dóbr osobistych w związku z działalnością naukową lub wynalazczą.

Konieczne jest, aby strona była reprezentowana przez pełnomocnika – adwokata, radcę prawnego lub rzecznika patentowego.

[1] https://uprp.gov.pl/pl/slownik-terminow?nazwa=W%C5%82asno%C5%9B%C4%87-intelektualna.

Jak chronić i zapobiegać naruszeniu prawa własności intelektualnej?

Jak widać powyżej temat własności intelektualnej, a co za tym idzie sporów IP, jest dość rozległy i nie sposób jest, abym omówił w jednym artykule wszystkie przypadki. Przedsiębiorcy mogą podejmować różnorodne działania, których celem jest szeroko pojęta ochrona ich własności intelektualnej. Zazwyczaj odpowiednie działania należy przedsięwziąć na wczesnym etapie działalności, przykładowo zabezpieczając prawa autorskie w umowie, czy dokonując rejestracji znaku towarowego. Rozważając kwestie zastosowania odpowiednich środków, ogólnie rzecz ujmując, w pierwszej kolejności przedsiębiorca powinien wziąć pod uwagę poniższe kwestie, związane ze swoją działalnością:

• w jakich rejonach geograficznych chce operować;
• czy firma funkcjonuje na cudzych rozwiązaniach czy projektuje i wykorzystuje własne rozwiązania;
• jakie własne rozwiązania wykorzystywane w firmie chciałby zabezpieczyć i dalej rozwijać albo sprzedawać je dalej i w jaki sposób;
• czy firma posiada swój znak rozpoznawczy, który może podlegać rejestracji jako znak towarowy.

Wybór odpowiednich środków zabezpieczenia IP zależy oczywiście od tego, co chcemy osiągnąć i jakie prawo zabezpieczyć. Przedsiębiorcy muszą dostosować środki do danego rodzaju prawa własności intelektualnej- inne bowiem środki będziemy podejmować w przypadku znaków towarowych, a inne w przypadku zabezpieczenia utworu, który tworzymy w ramach firmy. Omówię krótko zabezpieczanie własności intelektualnej firmy na podstawie dwóch przykładów.

Rejestracja znaku towarowego w polskim i unijnym urzędzie i uzyskanie patentu w Urzędzie Patentowym

Jeśli naszym celem jest zapewnienie ochrony znaku towarowego na terenie Polski, powinniśmy zgłosić wybrane oznaczenie do Urzędu Patentowego RP. Zgłoszenia możemy dokonać osobiście lub za pośrednictwem pełnomocnika. Może nim być np. adwokat, radca prawny lub rzecznik patentowy. Zgłoszenia dokonuje się albo w siedzibie Urzędu (mieści się na al. Niepodległości 188/192, 00-950 Warszawa), pocztą albo elektronicznie za pośrednictwem Platformy Usług Elektronicznych Urzędu Patentowego RP. W tym ostatnim przypadku będzie konieczne założenie konta na platformie.

Natomiast rejestracji unijnego znaku towarowego dokonuje się w Urzędzie Unii Europejskiej ds. Własności Intelektualnej (EUIPO) w Alicante. Można to zrobić na kilka sposobów, ale z pewnością najwygodniejszym i najtańszym sposobem jest rejestracja elektroniczna poprzez stronę Urzędu. Pozostałe opcje to droga pocztowa, wysyłka faksem lub osobiste złożenie dokumentów w siedzibie Urzędu – Avenida de Europa 4, 03008 Alicante. Na stronie EUIPO możemy również sprawdzić czy nasza firma kwalifikuje się do funduszu dla małych i średnich przedsiębiorstw. Dzięki niemu można ubiegać się o dotacje i zwrot nawet 75% kosztów od EUIPO. Towary i usługi wyszukuje się za pomocą narzędzia TMclass.

System międzynarodowej rejestracji znaków towarowych jest regulowany Porozumieniem madryckim dotyczącym międzynarodowej rejestracji znaków z 14.04.1891 r. oraz protokołem do Porozumienia madryckiego przyjętym 27.06.1989 r. Biuro Światowej Organizacji Własności Intelektualnej (WIPO), które znajduje się w Genewie, stanowi administracje Systemu Madryckiego. Ma on na celu ułatwienie zarejestrowania znaku towarowego dla państw członkowskich Systemu Madryckiego. Za pomocą jednej rejestracji albo jednego zgłoszenia znaku bazowego w kraju pochodzenia można uzyskać możliwość zastrzeżenia znaku na cały obszar, który obejmuje około 130 krajów.

Pamiętajmy, że kluczowe jest w pierwszej kolejności ustalenie zasięgu działań naszej firmy. Nie ma obowiązku rejestrowania znaku w sposób nadmiarowy, czyli na większym obszarze geograficznym niż jest to nam potrzebne. Co więcej takie działania mogą przynieść więcej szkody, gdyż zwiększa się prawdopodobieństwo, że w którymś kraju zostanie wniesiony sprzeciw przez firmę, która używa już znaku, jaki chcielibyśmy zarejestrować.

Więcej na temat rejestrowania znaków na terenie Polski, a także zagranicą możesz przeczytać w tekstach na naszym blogu: „Rejestracja znaku towarowego w Polsce – dlaczego warto zastrzec znak towarowy i koszty rejestracji w Urzędzie Patentowym RP” (TUTAJ LINK) oraz „Ochrona znaku towarowego w Unii Europejskiej i na świecie – rejestracja znaku towarowego w EUIPO i na resztę świata” (TUTAJ LINK).

Na czym polegają umowy przenoszące prawo autorskie majątkowe i umowy licencyjne?

Posiadanie autorskich praw majątkowych daje możliwość swobodnego i zgodnego z prawem korzystania z utworu. Przykładowo, jeśli mamy do czynienia z firmą informatyczną, tworzy ona rozwiązania informatyczne dla swoich klientów- w takim wypadku częstym modelem działania jest przeniesienie praw autorskich do tych rozwiązań, co zapewnia klientowi swobodę korzystania z nich. W takim wypadku jest bardzo istotne, aby firma informatyczna posiadała prawa autorskie do takich programów- musi je zatem wcześniej skutecznie nabyć od swoich współpracowników, którzy pracują nad ich przygotowaniem.  W przypadku, gdy utwór (program komputerowy) jest tworzony przez pracownika zatrudnionego przez przedsiębiorcę na umowę o pracę w wyniku swoich obowiązków, to prawa autorskie do takiego utworu przysługują pracodawcy z mocy prawa, chyba że strony uregulują te kwestie inaczej w umowie (np. ustalając inny moment przejścia praw autorskich).

Zasadniczo możliwość korzystania z utworu przez daną firmę może zostać uzyskana w dwojaki sposób: poprzez zawarcie ww. umowy przenoszącej prawa autorskie majątkowe;

• poprzez zawarcie umowy licencyjnej.

Podstawową różnicą względem umowy przeniesienia autorskich praw majątkowych jest to, że w przypadku licencji twórca umożliwia nabywcy jedynie korzystanie z utworu, podczas gdy prawa autorskie majątkowego pozostają cały czas przy twórcy. Umowa licencyjna nie sprawia, że osoba nabywająca staje się właścicielem utworu, co więcej wcale nie musi być jedynym podmiotem, który w tym czasie posiada prawo do korzystania z utworu, choć zależy to od rodzaju licencji (wyłączna, niewyłączna).

Licencja wyłączna polega na udzieleniu wyłącznego prawa do korzystania z utworu tj.  twórca udziela licencji tylko jednemu podmiotowi, który będzie mieć pewność, że nikt poza nim nie ma prawa do korzystania z utworu w czasie obowiązywania licencji. Zazwyczaj licencja wyłączna dotyczy rozwiązań dedykowanych dla klienta. Natomiast licencja niewyłączna  polega udzielaniu licencji podmiotom trzecim bez prawa wyłączności – a zatem twórca może udzielać prawa do korzystania z utworu dowolnej ilości osób lub podmiotów. Takie licencje dotyczą często popularnego oprogramowania, z którego może korzystać wiele podmiotów lub osób.

W obydwu typach licencji jest możliwość zawarcia zapisu o udzieleniu sublicencji przez licencjobiorcę. Zatem, jeśli zależy ci, aby twoja firma mogła udzielać dalszych licencji na dane  rozwiązania, musisz pamiętać o zawarciu odpowiedniego zapisu w umowie licencyjnej.

Sytuacja jest inna wówczas, gdy mamy do czynienia z przeniesieniem praw autorskich. Zgodnie z ustawą o prawie autorskich i prawach pokrewnych „Umowa zobowiązująca do przeniesienia autorskich praw majątkowych przenosi na nabywcę, z chwilą przyjęcia utworu, prawo do wyłącznego korzystania z utworu na określonym w umowie polu eksploatacji, chyba że postanowiono w niej inaczej” (art. 64). Należy jednak pamiętać, że zgodnie z art. 46 ustawy twórca zachowuje wyłączne prawo zezwalania na wykonywanie zależnego prawa autorskiego. Oznacza to, że nabywający autorskie prawa majątkowe nie może dokonywać swobodnych zmian i modyfikacji na utworze. Aby tak się stało, musi dodatkowo uzyskać pozwolenie twórcy w tym zakresie- dlatego tak ważne jest zabezpieczenie tych kwestii w umowie. Należy także wskazać, że przeniesienie autorskich praw majątkowych nie oznacza, że przenoszone zostają prawa osobiste do utworu. Prawa osobiste autorskie zostają przy twórcy i są niezbywalne- można jednak zawrzeć zobowiązanie do ich niewykonywania lub nawet upoważnić podmiot nabywający prawa autorskie do ich wykonywania (np. w zakresie oznaczenia autorstwa).

Jakie są konsekwencje prawne naruszenia patentu lub prawa autorskiego?

Zarówno prawo własności przemysłowej oraz ustawa o prawie autorskim i prawach pokrewnych przewiduje nie tylko odpowiedzialność cywilną za naruszenie przepisów, ale także odpowiedzialność karną. W zakresie odpowiedzialności karnej odpowiednio traktują o tym art. 303-310 ustawy prawo własności przemysłowej oraz art. 115-123 ustawy o prawie autorskim i prawach pokrewnych. Przykładowo karane jest przywłaszczenie i wprowadzenie w błąd innej osoby co do autorstwa, rozpowszechnianie, bezprawne wprowadzenie do obrotu, a najwyższą karę, czyli pozbawienie wolności do 5 lat, przewidywane jest za uczynienie z popełnionego przestępstwa stałego źródła dochodu (art. 118 ust. 2 prawa autorskiego, art. 305, ust. 3 prawa własności przemysłowej). W zakresie odpowiedzialności cywilnej regulacje zawarte są w art. 283-302 ustawy prawo własności przemysłowej oraz 78-80 ustawy o prawie autorskim i prawach pokrewnych. 

Oczywiście, odpowiednie zabezpieczenie na wypadek naruszenia praw autorskich lub innych praw własności intelektualnej przez twórców, którzy tworzą utwory na zlecenie danego podmiotu, warto zawrzeć w odpowiedniej umowie. W takim przypadku należy w umowie z twórcą zawrzeć odpowiednie postanowienia, w których twórca oświadczy, że  stworzone przez niego utwory nie będą naruszały praw osób trzecich. Warto w tym zakresie zastrzec odpowiednią karę umowną wraz z prawem dochodzenia odszkodowania w przypadku przekroczenia wartości szkody, a także klauzulę indemnifikacyjną, czyli zwolnienie firmy z odpowiedzialności przez twórcę.

Jaka jest rola kancelarii prawnej lub rzecznika patentowego w sądowym sporze IP?

W kwestiach dotyczących ochrony praw własności intelektualnej ważne jest, a często nawet konieczne, skorzystanie z usług wykwalifikowanej kancelarii prawnej. Należy także mieć na uwadze, że w niektórych przypadkach zastępstwo przez profesjonalnego pełnomocnika jest obowiązkowe, tj. wymagane przez przepisy. Nawet jednak jeśli przepisy tego wprost nie wymagają to warto skorzystać z profesjonalnej pomocy, aby mieć pewność, że nasze prawa będą należycie zabezpieczone. Jedynie adwokat, radca prawny czy też rzecznik patentowy, który dobrze orientuje się w orzecznictwie prawa autorskiego i praw pokrewnych czy w zakresie prawa własności przemysłowej, będzie w stanie skutecznie działać w kontekście ochrony prawnej utworu, znaku towarowego lub wynalazku. Znajomość norm oraz orzeczeń wydawanych dotąd przez sądy, a także znajomość codziennej praktyki biznesowej, wydają się tutaj kluczowe.

W przypadku sporu, pełnomocnik będzie również bardzo przydatny w kontekście negocjacji, gdyż na tym etapie można rozwiązać przynajmniej niektóre ze sporów w zakresie własności intelektualnej. . Najgłośniejsza chyba sprawa związana ze sporem o własność intelektualną, a dokładniej z kwestią niewspółmiernie niskiego wynagrodzenia dla twórcy przy niespodziewanie wysokim zysku, zakończyła się właśnie ugodą. Mowa tutaj o sporze pomiędzy Andrzejem Sapkowskim a firmą CD Projekt, która stworzyła grę Wiedźmin opartą na jego twórczości. Gra przyniosła ogromne dochody, jakie okazały się niewspółmierne do uzgodnionego wynagrodzenia dla twórcy. Art. 43 ustawy mówi, że wynagrodzenie twórcy musi być godziwe i odpowiednie, a gdyby okazało się niewspółmiernie niskie, to twórca może żądać podwyższenia go za pośrednictwem sądu (art. 44).         

Ważną rolę pełnomocnik może odegrać również w procesie ochrony własności intelektualnej, podejmowania działań zapobiegawczych w postaci zabezpieczenia IP konkretnej firmy. Przy podpisywaniu umowy – nie ma tu znaczenia czy przenoszącej prawa majątkowe czy licencji – należy pamiętać o jak największym uściśleniu warunków korzystania z utworu, przykładowego tu oprogramowania komputerowego. Mowa tutaj przykładowo o polach eksploatacji, czyli określeniu, jak i gdzie ma być używany utwór, czy też zabezpieczeniu praw zależnych do utworu, czy autorskich prawa osobistych.

Własność intelektualna to obecnie nie tylko fundament twórczości i innowacji, ale również ważny element budowania przewagi konkurencyjnej. Złożoność przepisów, rozpiętość zagadnień – od praw autorskich, przez znaki towarowe, po ochronę wynalazków – sprawia, że już w sferze ochrony i zapobieganiu warto korzystać z profesjonalnego wsparcia prawnego. Pomoc stosownego pełnomocnika wydaje się niezbędna przy tworzeniu umów czy dochodzeniu roszczeń w razie ich naruszenia. Spory o własność intelektualną to dziś codzienność wielu firm, dlatego warto działać z wyprzedzeniem – świadomie, strategicznie i z odpowiednim zapleczem prawnym.

Artykuł Pomoc prawna w sporze o własność intelektualną – naruszenie prawa własności intelektualnej a prawo autorskie i przemysłowe pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Jak to się jednak mówi – qui pro quo, czyli nie ma nic za darmo. Nie mam tu na myśli jedynie prowizji, jaką muszą otrzymywać agenci. W umowie agencyjnej należy pamiętać o nie tylko sposobie rozliczania się czy wysokości wynagrodzenia. Istnieje wiele aspektów charakterystycznych dla umowy prowizyjnej, na które należy uważać i pamiętać o nich. Przepisy są dość jasno określone i przy zawieraniu takiej umowy trzeba zachować ostrożność, gdyż swoboda na modyfikacje na potrzeby obydwu stron jest tu dość ograniczona. O czym zatem należy pamiętać? Na co zwrócić uwagę przy zawieraniu umowy agencyjnej?

Czym jest umowa prowizyjna?

Przepisy umowy agencyjnej reguluje Kodeks cywilny, a dokładniej art. 758-764⁹. Zgodnie z treścią art. 758 §1 przez umowę agencyjną przyjmujący zlecenie (agent) zobowiązuje się, w zakresie działalności swego przedsiębiorstwa, do stałego pośredniczenia, za wynagrodzeniem, przy zawieraniu z klientami umów na rzecz dającego zlecenie przedsiębiorcy albo do zawierania ich w jego imieniu.

Co istotne, do zawierania umów w imieniu dającego zlecenie oraz do odbierania dla niego oświadczeń agent jest uprawniony tylko wtedy, gdy ma do tego umocowanie (art. 758 §2). Czyli przy umowie prowizyjnej, gdzie stronami są przedsiębiorca oraz agent, nie można domyślnie przyjmować, że ten drugi ma prawo przyjmować oświadczenia i zawierać umowy w imieniu klienta (przedsiębiorcy). Agent musi posiadać do tego stosowny dokument pełnomocnictwa.   

Co w umowie agencyjnej należy umieścić – postanowienia umowne?

Umowa agencyjna nie musi być zawierana w formie pisemnej. Jej forma może być dowolna, również ustna, ale każda ze stron może żądać od drugiej pisemnego potwierdzenia treści umowy oraz postanowień ją zmieniających lub uzupełniających, a zrzeczenie się tego uprawnienia jest nieważne (art. 758²).

Niezależnie od formy, w umowie agencyjnej warto zawrzeć następującego postanowienia:

• określenie, co jest przedmiotem umowy, czyli ogólnie do czego zobowiązuje się agent, wobec kogo i jaki kształt ma mieć wynagrodzenie;
• szczegółowy zakres obowiązków/uprawnień agenta wobec zleceniodawcy;
• zakres obowiązków zleceniodawcy- w tym w zakresie dotyczącym współpracy z agentem oraz udzielania mu niezbędnych informacji;
• opis jak wygląda proces pozyskiwania klientów przez agenta;
• sposób i termin, w jakim zleceniodawca informuje agenta o zawarciu umowy z pozyskanym przez agenta klientem (jeśli agent nie ma uprawnienia do zawierania umów w imieniu zleceniodawcy);
• agent powinien zabezpieczyć sobie przekazywanie informacji przez zleceniodawcę o wysokości umówionego z klientem wynagrodzenia – na wypadek nieprzekazania takiej informacji w terminie warto zastrzec sobie karę umowną;
• dokładne omówienie do czego jest umocowany agent – tutaj może być właśnie zawarte umocowanie-pełnomocnictwo do np. zawierania umów w imieniu zleceniodawcy;
• podanie danych kontaktowych obydwu stron umowy;
• informacja na temat poufności – zgodnie z art. 760 KC każda ze stron zobowiązuje się do zachowania lojalności wobec drugiej, częstym jest jednak także dodawanie dodatkowych postanowień w tym zakresie- definiowanie, czym jest poufność, a także zastrzeżenie kary umownej na wypadek naruszenia tych postanowień;
• omówienie wynagrodzenia agenta – termin wystawienia faktury VAT, termin wypłaty wynagrodzenia, zwrot ewentualnych kosztów, jeśli pozyskanie czy też polecanie klienta wiązało się z dodatkowymi kosztami, a także, czy wynagrodzenie jest w formie prowizji czy stałego wynagrodzenia w danym miesiącu (ryczałtu) albo ma formę mieszaną;
• określenie czasu trwania umowy agencyjnej – czy na czas oznaczony czy nieoznaczony oraz sposób rozwiązania umowy agencyjnej.

Jakie są obowiązki agenta przy zawieraniu z klientami umów na rzecz dającego zlecenie?

Agent w działalności zgodnie z zawartą umową prowizyjną jest przedstawicielem przedsiębiorcy, więc jest on, w pierwszej kolejności, obowiązany do zachowania tajemnicy przedsiębiorstwa oraz lojalności wobec zleceniodawcy. Zgodnie z art. 760¹ §1 agent ma obowiązek w szczególności przekazywać wszelkie informacje mające znaczenie dla dającego zlecenie oraz przestrzegać jego wskazówek uzasadnionych w danych okolicznościach, a także podejmować, w zakresie prowadzonych spraw, czynności potrzebne do ochrony praw dającego zlecenie. Powyższy obowiązek nie może zostać wyłączony z umowy.

Tak jak wspomniałam, w zależności od ustaleń, jakie są zawarte w umowie, agent posiada, lub też nie, umocowanie do wykonywania czynności w imieniu przedsiębiorcy (zleceniodawcy). Może być to np.:

• zawieranie umów lub podejmowanie innych czynności prawnych;
• przyjmowanie w imieniu zleceniodawcy oświadczeń woli lub innych oświadczeń, w tym reklamacji;
• przyjmowanie w imieniu zleceniodawcy wynagrodzenia lub innych korzyści finansowych lub materialnych;

Przy reprezentowaniu przedsiębiorcy, agent ma obowiązek posługiwać się oficjalnymi dokumentami uzyskanymi od zleceniodawcy. Ponadto zobowiązuje się zachować w poufności wszelkie informacje będące tajemnicą przedsiębiorstwa.

W ramach zobowiązań umownych agenta można również wymienić:

• przedstawienie oferty handlowej przedsiębiorcy;
• negocjowanie warunków umów i zawarcie umowy (w przypadku odpowiedniego umocowania);
• poświadczenie posiadania stosownych kwalifikacji do świadczenia usług, których dotyczy umowa;
• w wypadku braku umocnienia do zawierania umów w imieniu zleceniodawcy – określenie sposobu i terminu, w jakim agent poinformuje przedsiębiorcę o zainteresowanym podjęciem kontaktu klientem.

W celu uniknięcia wątpliwości interpretacyjnych warto, aby w umowie jasno wskazać, czy agent ma umocowanie do zawierania umów lub składania oświadczeń w imieniu zleceniodawcy i w jakim zakresie. Można przykładowo zezwolić agentowi na negocjowanie z klientem warunków umów, jednak zastrzec, że umowa musi zostać podpisana przez zleceniodawcę osobiście.

Jakie są obowiązki zleceniodawcy – uregulowanie zapłaty i obowiązek informacyjny?

Główne obowiązki zleceniodawcy określa art. 760² KC.  Zleceniodawca jest zobowiązany przekazywać agentowi dokumenty i informacje potrzebne do prawidłowego wykonania umowy oraz w rozsądnym czasie zawiadomić agenta o przyjęciu lub odrzuceniu propozycji zawarcia umowy oraz o niewykonaniu umowy, przy zawarciu jakiej agent pośredniczył lub którą zawarł w imieniu dającego zlecenie. Tutaj wszystko zależy od umocowania, jakie posiada agent. Ponadto zleceniodawca ma obowiązek zawiadomić agenta o tym, że liczba umów, których zawarcie przewiduje, lub wartość ich przedmiotu będzie znacznie niższa niż ta, której agent mógłby się normalnie spodziewać.  Co istotne – umowy agencyjne, które są sprzeczne z powyższymi postanowienia są nieważne. Przepisy nie wykluczają jednak możliwości doprecyzowania przepisów, w szczególności poprzez wskazanie terminów, w jakich zleceniodawca powinien powiadomić agenta o przyjęciu lub odrzuceniu możliwości zawarcia umowy.   

Zleceniodawca jest również zobowiązany do wypłacania agentowi wynagrodzenia na warunkach uzgodnionych w umowie. W wypadku, gdy agent nie ma umocowania do zawierania umów czy przyjmowania wynagrodzenia od klienta, zleceniodawca musi poinformować, w ustalonym w umowie terminie, o wystawieniu faktury VAT klientowi. Ma on także obowiązek zwrócić agentowi dodatkowe koszty (np. podróży służbowej), o ile tamten je wcześniej zgłosił.

Jak ustala się prowizję – od czego zależy wysokość wynagrodzenia za zlecenie i kiedy należy się ona agentowi?

Prowizja rozumiana jest jako wynagrodzenie, którego wysokość zależna jest od liczby i/lub wartości zawartych umów przez agenta. W wypadku, gdy nie została ona określona w umowie, należy się ona w wysokości zwyczajowo przyjętej w stosunkach danego rodzaju, w miejscu działalności prowadzonej przez agenta, a w razie niemożliwości określenia prowizji w ten sposób, należy mu się prowizja w odpowiedniej wysokości, która uwzględnia wszystkie okoliczności bezpośrednio związane z wykonaniem zleconych mu czynności przez przedsiębiorcę (art. 758¹).  Aby uniknąć konfliktów w zakresie ustalenia wysokości należnej prowizji zawsze należy określić zasady jej ustalania jak najbardziej szczegółowo. Zazwyczaj w umowach przyjmuje się odpowiedni procent z wartości zawartej umowy lub płatności uiszczanych przez klienta.

Kiedy agent może żądać prowizji?

• może jej żądać od umów zawartych w trakcie trwania umowy agencyjnej, o ile do ich zawarcia doszło w wyniku działań agenta lub jeśli zostały one zawarte z klientami pozyskanymi przez agenta poprzednio z umów tego samego rodzaju (art. 761 §1);
• gdy zostało mu przyznane prawo wyłączności w odniesieniu do oznaczonej grupy klientów lub obszaru geograficznego, a w czasie trwania umowy została bez udziału agenta zawarta umowa z klientem z tej grupy lub obszaru (art. 761 §2);
• już po rozwiązaniu umowy agencyjnej – jeśli spełnione są powyższe warunki, a propozycję zawarcia umowy dający zlecenie lub agent otrzymał od klienta przed rozwiązaniem umowy agencyjnej (art. 761¹ §1);
• już po rozwiązaniu umowy agencyjnej – o ile do zawarcia umowy z klientem doszło w przeważającej mierze w wyniku działalności agenta w okresie trwania umowy agencyjnej, a zarazem w rozsądnym czasie od jej rozwiązania (art. 761¹ §2).  

Jakie są natomiast terminy związane z nabywaniem prowizji?

• Kiedy nie ma odmiennego postanowienia w umowie agent nabywa prawo do prowizji z chwilą, w której dający zlecenie powinien był, zgodnie z umową z klientem, spełnić świadczenie albo faktycznie je spełnił, albo swoje świadczenie spełnił klient. Jednakże strony nie mogą umówić się, że agent nabywa prawo do prowizji później niż w chwili, w jakiej klient spełnił świadczenie albo powinien był je spełnić, gdyby dający zlecenie spełnił świadczenie (art. 761³ §1);
• termin wymagalności roszczenia o zapłatę prowizji stanowi upływający ostatni dzień miesiąca następującego po kwartale, w którym agent nabył prawo do prowizji (art. 761³ §2);
• dający zlecenie ma obowiązek złożyć agentowi oświadczenie zawierające dane o należnej mu prowizji nie później niż w ostatnim dniu miesiąca następującego po kwartale, w którym agent nabył prawo do prowizji (761⁵ §1).

Interesującym przypadkiem jest tzw. prowizja del credere, czyli otrzymana za odrębnym wynagrodzeniem. W umowie agencyjnej można zastrzec, że agent za odrębnym wynagrodzeniem, w uzgodnionym zakresie, odpowiada za wykonanie zobowiązania przez klienta. Jeżeli umowa nie stanowi inaczej, agent odpowiadałby za to, że klient spełni świadczenie. W wypadku niezachowania formy pisemnej poczytuje się umowę agencyjną za zawartą bez takiego zastrzeżenia. Co więcej odpowiedzialność agenta może dotyczyć tylko oznaczonej umowy lub umów z oznaczonym klientem, przy których zawarciu pośredniczył albo które zawarł w imieniu dającego zlecenie (art. 761⁷). Nie jest jednak dopuszczalne zawieranie umowy agencyjnej w taki sposób, że prowizja del credere byłaby jedynym wynagrodzeniem agenta. Jednocześnie, agent nie może żądać prowizji, gdy oczywiste jest, że umowa z klientem nie zostanie wykonana na skutek okoliczności, za które dający zlecenie nie ponosi odpowiedzialności, jeżeli zaś prowizja została już agentowi wypłacona, podlega ona zwrotowi. Ustawa zastrzega przy tym, że postanowienie umowy agencyjnej mniej korzystne dla agenta jest nieważne.

Wypowiedzenie umowy agencyjnej – warunki i świadczenie wyrównawcze

W wypadku zawarcia umowy agencyjnej na czas nieoznaczony termin jej wypowiedzenia to na miesiąc naprzód w pierwszym roku, na dwa miesiące naprzód w drugim roku oraz na trzy miesiące naprzód w trzecim roku i następnych latach trwania umowy. Co ważne – ustawowe terminy wypowiedzenia umowy nie mogą być skracane, ale mogą zostać umownie przedłużone. O tyle, że termin ustalony dla dającego zlecenie nie może być krótszy niż termin ustalony dla agenta. Jeśli umowa nie stanowi inaczej, to termin jej wypowiedzenia upływa z końcem miesiąca kalendarzowego. Przepisy te mają również zastosowanie do umowy na czas oznaczony, gdy przekształciła się ona w umowę na czas nieoznaczony (art. 764¹).

Terminy wypowiedzenia nie chronią jednak strony, które nie wypełniają warunków umowy. Nawet jeśli umowa zawarta jest na czas oznaczony, to gdyby jedna ze stron w całości lub w znacznej części nie wypełniała obowiązków umowy (także w przypadku zaistnienia nadzwyczajnych okoliczności), umowę taką można wypowiedzieć bez zachowania terminów wypowiedzenia (art. 764²).

W wypadku rozwiązywania umowy strony mogą, w formie pisemnej pod rygorem nieważności, ograniczyć działalność agenta mającą charakter konkurencyjny na okres po rozwiązaniu umowy agencyjnej. Nie być to na dłuższy okres niż 2 lata od rozwiązania umowy (art. 764⁶). Ograniczenie jest ważne, jeżeli dotyczy grupy klientów lub obszaru geograficznego, objętych działalnością agenta, oraz rodzaju towarów lub usług stanowiących przedmiot umowy.

W kontekście rozwiązania umowy agencyjnej warto wspomnieć również o świadczeniu wyrównawczym, którego może żądać agent od dającego zlecenia już po upływie terminu tejże umowy. Może on wysunąć takie żądanie, jeśli w czasie trwania umowy pozyskał nowych klientów lub doprowadził do istotnego wzrostu obrotów z dotychczasowymi klientami, a dający zlecenie nadal by czerpał znaczne korzyści z umów z tymi klientami. W treści KC przywołane zostają względy słuszności, które miałby decydować czy takie roszczenie faktycznie przysługuje agentowi. Oznacza to, że należy wziąć pod uwagę wszystkie okoliczności, a zwłaszcza utratę przez agenta prowizji od umów zawartych przez dającego zlecenie z tymi klientami (art. 764³ §1). Takie świadczenie nie może przekroczyć wysokości wynagrodzenia agenta za jeden rok, obliczonego na podstawie średniego rocznego wynagrodzenia uzyskanego w okresie ostatnich 5 lat.

Kiedy natomiast świadczenie wyrównawcze na pewno nie będzie przysługiwało agentowi (art., 764⁴)?

• Jeżeli dający zlecenie wypowiedział umowę na skutek okoliczności, za które odpowiedzialność ponosi agent, usprawiedliwiających wypowiedzenie umowy bez zachowania terminów wypowiedzenia;
• jeżeli agent wypowiedział umowę – z wyjątkiem sytuacji, gdy wypowiedzenie jest uzasadnione okolicznościami, za które odpowiada dający zlecenie, albo jest usprawiedliwione wiekiem, ułomnością lub chorobą agenta, a względy słuszności nie pozwalają domagać się od niego dalszego wykonywania czynności agenta;
• jeżeli za zgodą dającego zlecenie agent przeniósł na inną osobę swoje prawa i obowiązki wynikające z umowy.

Należy jednak podkreślić, że kwestie związane z wynagrodzeniem dla agenta po zakończeniu obowiązywania umowy często są wprost regulowane przez strony w umowie. W szczególności strony umowy określają jak długo oraz w jakiej wysokości należne jest wynagrodzenie po zakończeniu umowy- co dotyczy oczywiście klientów pozyskanych przez agenta jeszcze w trakcie trwania umowy.

O czym należy pamiętać w 2025 r.?

Zawierając umowę agencyjną, warto pamiętać, że mimo pozornie dużej swobody, jest to stosunek prawny ściśle regulowany przepisami Kodeksu cywilnego. Kluczowe znaczenie ma precyzyjne określenie obowiązków obu stron – zarówno agenta, jak i dającego zlecenie. Szczególną uwagę należy zwrócić na kwestie umocowania, wynagrodzenia, ustaleń co do formy prowizji oraz formy i terminu rozwiązania umowy agencyjnej. Nie można też zapominać o obowiązkach informacyjnych oraz o możliwości dochodzenia świadczenia wyrównawczego przez agenta po rozwiązaniu umowy. Wszystkie postanowienia warto zawrzeć w formie pisemnej lub dokumentowej, nawet jeśli nie jest ona obowiązkowa – dla celów dowodowych i uniknięcia nieporozumień. Co istotne, niektóre przepisy są bezwzględnie obowiązujące i nie mogą być modyfikowane przez strony. Najlepiej skonsultować treść umowy agencyjnej z wykwalifikowanym prawnikiem. 

Artykuł Umowa prowizyjna za pozyskanie klienta – co warto wiedzieć o umowie agencyjnej? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Jak zagwarantować sobie prawa do utworów w sposób najbezpieczniejszy dla firmy?  Czy lepiej zawrzeć umowę o przeniesienie autorskich praw majątkowych? Czy może postawić na licencję na korzystanie z utworu? Czy jako przedsiębiorca mogę przekształcać utwór, do jakiego nabyłem pełne autorskie prawa majątkowe? Jak powinna wyglądać prawidłowo zawarta umowa? Na te pytania postaram się odpowiedzieć w poniższym tekście.    

Czym są autorskie prawa osobiste oraz majątkowe do utworu?

Zanim przejdę do omówienia nabywania licencji czy praw majątkowych do utworów, czyli efektów twórczości intelektualnej, należy rozpocząć od podstaw, a mianowicie od udzielenia odpowiedzi na pytanie – czym w ogóle są autorskie prawa majątkowe?

Zgodnie z ustawą o prawie autorskim i prawach pokrewnych każdemu twórcy – niezależnie od tego jaki utwór stworzył, napisał artykuł, stworzył grafikę czy też napisał kod oprogramowania komputerowego, przysługują autorskie prawa osobiste oraz autorskie prawa majątkowe do swojego utworu.

Autorskie prawa osobiste przysługują każdemu twórcy utworu. Istotą tych praw jest to, że chronią nieograniczoną w czasie i niepodlegającą zrzeczeniu się lub zbyciu więź twórcy z utworem. Zgodnie z art. 16 ustawy o prawie autorskim i prawach pokrewnych, autorskie prawo osobiste stanowi w szczególności prawo do:

• autorstwa utworu;
• oznaczenia utworu swoim nazwiskiem lub pseudonimem albo do udostępnienia go anonimowo;
• nienaruszalności treści i formy utworu oraz jego rzetelnego wykorzystania;
• decydowania o pierwszym udostępnieniu utworu publiczności;
• nadzoru nad sposobem korzystania z utworu.

Co istotne, w przypadku programów komputerowych zakres autorskich praw osobistych jest nieco inny- nie mają do nich zastosowania trzy ostatnie punkty.  

Natomiast autorskie prawa majątkowe oznaczają prawo twórcy do wyłącznego korzystania z utworu i rozporządzania nim na wszystkich polach eksploatacji oraz do wynagrodzenia za korzystanie z utworu (art. 17 ustawy).

Przedsiębiorca, który chce zagwarantować sobie korzystanie z utworu musi mieć na uwadze obydwa powyższe przepisy i zastanowić się, jaki zakres korzystania z utworu jest dla niego niezbędny. Przedsiębiorca oraz twórca utworu muszą ocenić, czy w danym przypadku konieczne jest przeniesienie praw autorskich, czy wystarczająca będzie jedynie licencja, a także czy należy zabezpieczyć w jakiś sposób prawa autorskie osobiste, czy nie jest to konieczne.

Zgodnie z art. 41 ust. 1 ustawy, autorskie prawa majątkowe mogą przejść na inne osoby w drodze dziedziczenia lub na podstawie umowy – przeniesienia praw majątkowych lub licencyjnej. Ponadto wygasają one po 70 latach od śmierci twórcy – od tego momentu nie będzie konieczne zawarcie umowy, aby móc wykorzystywać dany utwór.

Utwór pracowniczy

Nieco inaczej ustawa rozwiązuje kwestie związane z nabywaniem praw autorskich w przypadku utworów stworzonych w ramach wykonywania obowiązków ze stosunku pracy. Zgodnie z art. 12 ustawy jeżeli ustawa lub umowa o pracę nie stanowią inaczej, pracodawca, którego pracownik stworzył utwór w wyniku wykonywania obowiązków ze stosunku pracy, nabywa z chwilą przyjęcia utworu autorskie prawa majątkowe w granicach wynikających z celu umowy o pracę i zgodnego zamiaru stron. Z tego względu, w przypadku umów o pracę, nie potrzeba dodatkowych postanowień umownych w umowie o pracę, aby doszło do przeniesienia praw autorskich na pracodawcę, dzieje się to z mocy ustawy. Jednocześnie, dopuszczalne jest inne określenie przez strony momentu przejścia praw autorskich niż w chwili przyjęcia utworu. Dodatkowo, wątpliwości interpretacyjnych dostarcza nam stworzenie utworu „w wyniku wykonywania obowiązków ze stosunku pracy”- podkreślenia wymaga, że nie chodzi tutaj o sam czas lub miejsce wykonywania usług (w trakcie pracy), ale także aby utwór został stworzony w ramach obowiązków pracowniczych, a nie „przy okazji” wykonywania pracy, nawet przy wykorzystaniu narzędzi pracodawcy. Jeśli chodzi o programy komputerowe to zgodnie z art. 74 ust. 3 ustawy prawa majątkowe do programu komputerowego stworzonego przez pracownika w wyniku wykonywania obowiązków ze stosunku pracy przysługują pracodawcy, o ile umowa nie stanowi inaczej. W przypadku programów komputerowych nie jest wymagane przyjęcie utworu, a do przejścia praw autorskich dochodzi choćby program nie został ukończony.

Czym jest umowa o przeniesie autorskich praw majątkowych?

Umowa o przeniesienie autorskich praw majątkowych jest to umowa przenosząca na danego nabywcę autorskie prawa majątkowe do stworzonego przez twórcę utworu. Zgodnie z ustawą „Umowa zobowiązująca do przeniesienia autorskich praw majątkowych przenosi na nabywcę, z chwilą przyjęcia utworu, prawo do wyłącznego korzystania z utworu na określonym w umowie polu eksploatacji, chyba że postanowiono w niej inaczej” (art. 64).

W wyniku tej umowy twórca przekazując prawa autorskie, traci prawo do dysponowania autorskim prawem majątkowym, jednakże nie jest oczywiście tak, że w ogóle przestaje on czerpać zyski ze swojego utworu. Zgodnie z art. 45 twórcy przysługuje odrębne wynagrodzenie za korzystanie z utworu na każdym odrębnym polu eksploatacji, chyba że w umowie zawarto by wyraźną informację, że przekazanie nastąpiło nieodpłatnie. Wynagrodzenie musi być godziwe i odpowiednie (art. 43), a gdyby okazało się niewspółmiernie niskie, to twórca może żądać podwyższenia go za pośrednictwem sądu (art. 44). Ten ostatni przypadek znajduje praktyczne zastosowanie-  można przywołać tutaj przykład sprawy związanej z grą Wiedźmin. Twórca literackiego oryginału Andrzej Sapkowski domagał się weryfikacji wysokości wynagrodzenia od firmy CD Projekt, kiedy wyprodukowana przez nią gra przyniosła olbrzymie dochody – niewspółmiernie wysokie do pierwotnie uzgodnionego wynagrodzenia dla twórcy.  

O czym poza tym należy pamiętać przy zawieraniu umowy o przeniesienie praw autorskich majątkowych?

• wymaga ona zachowania formy pisemnej pod rygorem nieważności (art. 53) – to znaczy nie można jej zawrzeć w żadnej innej formie- dopuszczalne formy to forma pisemna albo podpis kwalifikowany (równoważny wobec formy pisemnej);
• konieczne jest wypisanie wszystkich pól eksploatacji utworu, czyli sposobów korzystania – przeniesione prawa majątkowe dotyczą tylko tych pól eksploatacji, które zostały konkretnie wymienione w umowie (art. 41 ust. 2).

Na temat pól eksploatacji mówi art. 50, w którym wymienione są ich przykładowe rodzaje: utrwalanie i zwielokrotnianie utworu, obrót oryginałem albo jego egzemplarzami oraz zakres rozpowszechniania utworu;

• nie można w sposób ogólny i niekonkretny podawać pól eksploatacji w umowie, również dlatego, że może ona dotyczyć tylko tych, które są znane w chwili jej zawarcia (art. 41 ust. 4);
• nieważna jest umowa w części dotyczącej wszystkich utworów lub wszystkich utworów określonego rodzaju tego samego twórcy mających powstać w przyszłości;
• wysokość wynagrodzenia dla twórcy powinna być jasno określona w treści umowy;
• ze strony twórcy warto zaznaczyć w treści umowy, że przeniesienie praw następuje dopiero w chwili zapłaty ze strony nabywcy tych praw – bez podania takiej informacji przyjmuje się, że przeniesienie praw następuje od razu w chwili „przejęcia” utworu (art. 64);
• co do zasady nabywca praw autorskich nie musi posiadać dodatkowej zgody od twórcy, aby udzielać licencji na ten utwór, do którego nabył prawa, dalszym podmiotom trzecim – nie ma konieczności takiego zapisu w umowie, aby to prawo posiadać.

Wreszcie co do zasady nabywca autorskich praw majątkowych do utworu nie może dokonywać na nim swobodnych zmian i modyfikacji, ponieważ zgodnie z art. 46, jeżeli umowa nie stanowi inaczej, twórca zachowuje wyłączne prawo zezwalania na wykonywanie zależnego prawa autorskiego, mimo że w umowie postanowiono o przeniesieniu całości autorskich praw majątkowych. Gdyby nabywca chciał takie prawo posiadać musi wystąpić o uzyskanie pozwolenia na posiadanie zależnego prawa autorskiego.

Czym są autorskie prawa zależne?

Jak przeczytamy w art. 2 prawa autorskiego, prawo do rozporządzania i korzystania z opracowania utworu przez nabywcę zależy od zezwolenia na to twórcy tego pierwotnego utworu. Jest to właśnie prawo zależne, które nie jest domyślnie wpisane w umowę przeniesienia autorskich praw majątkowych i potrzebne jest dodatkowe uregulowanie umowne, aby doszło tutaj do przeniesienia.

Takim opracowaniem będzie na przykładzie programu komputerowego wszelka zmiana, poprawienie, uzupełnienie programu lub kodu źródłowego. Co istotne koniecznie należy w takim zezwoleniu na użytkowanie praw zależnych wypisać pola eksploatacji, którymi zostanie objęta taka zgoda. Co do zasady za opracowanie nie uważa się utworu, który powstał w wyniku inspiracji cudzym utworem (art. 2 ust. 4).

Twórca może cofnąć taką zgodę, jeśli w ciągu 5 lat od uzyskania zezwolenia opracowanie nie zostanie rozpowszechnione przez nabywcę. Natomiast wynagrodzenie wypłacone twórcy nie podlega zwrotowi (art. 2 ust. 3).

Wyjątkami, kiedy zezwolenie od twórcy nie będzie koniecznie będzie przypadek, kiedy utwór przejdzie do domeny publicznej, czyli minie 70 lat od śmierci twórcy albo utwór będzie wykorzystany na potrzeby parodii, pastiszu lub karykatury, w zakresie uzasadnionym prawami tych gatunków twórczości (art. 29¹).

Autorskie prawa osobiste

Autorskich prawa osobistych nie można przenieść na kontrahenta- prawa te nie są zbywalne. Jednocześnie, takie prawa jak prawo do autorstwa utworu, czy oznaczenia utworu, są często ważnym elementem związanym z utworem, na którym bardzo zależy przedsiębiorcom. Przykładowo, jeśli przedsiębiorstwo zleca stworzenie programu komputerowego to często następuje to w celu jego dalszego wprowadzenia do obrotu pod marką określonej firmy. W takim wypadku przedsiębiorca musi zagwarantować sobie, że osoby wykonujące na jego rzecz utwór nie będą przykładowo podpisywać go swoim imieniem i nazwiskiem. W tym celu w umowach prawnoautorskich zawierane jest postanowienie, zgodnie z którym twórca zobowiązuje się do niewykonywania praw autorskich osobistych w stosunku do utworu, a także upoważnia do ich wykonywania kontrahenta. Dzięki temu, pomimo tego, że prawa nie są przenoszone, przedsiębiorca ma prawo z tych praw korzystać.

Czym jest umowa licencyjna na korzystanie z utworu – jaki jest czas trwania licencji?

Podstawową różnicą względem umowy przeniesienia autorskich praw majątkowych jest to, że w przypadku licencji twórca umożliwia nabywcy jedynie korzystanie z utworu, podczas gdy prawa autorskie majątkowego pozostają cały czas przy twórcy. Umowa licencyjna nie sprawia, że osoba nabywająca staje się właścicielem utworu, co więcej wcale nie musi być jedynym podmiotem, który w tym czasie posiada prawo do korzystania z utworu, choć zależy to od rodzaju licencji (wyłączna, niewyłączna).

Brzmi skomplikowanie? Aby nieco uporządkować te rozważania, poniżej przedstawiam najważniejsze elementy umowy licencyjnej:

• podobnie jak w wypadku umowy przeniesienia, licencja również działa jedynie na zasadach wyszczególnionych w umowie – obejmuje tylko te pola eksploatacji, które zostają w niej wymienione (art. 41 ust. 2); powinna również zawierać informację co do terytorium, na którym obowiązuje;
• licencja jest ograniczona czasowo – uprawnia do korzystania z utworu w okresie pięciu lat na terytorium państwa, w którym licencjobiorca ma swoją siedzibę albo miejsce zamieszkania, chyba że w umowie postanowiono inaczej (art. 66)- natomiast jeśli licencja zawarta jest na okres dłuższy, uznaje się wtedy, że zawarto ją na czas nieoznaczony;
• możliwość wypowiedzenia licencji przez twórcę – licencję zawartą na czas nieoznaczony można wypowiedzieć z zachowaniem terminów umownych, a w ich braku na rok naprzód, na koniec roku kalendarzowego (art. 68);
• w wypadku, kiedy licencja zawarta zostaje na czas określony, to wygasa ona po upływie tego okresu (maksymalnie to 5 lat);
• ustawa nie zezwala nabywcy licencji na swobodne udzielanie sublicencji w braku odpowiedniego postanowienia umownego- nabywca nie ma prawa upoważnienia innej osoby do korzystania z utworu, chyba że istnieje taki zapis w umowie (art. 67 ust. 3);
• w wypadku braku wyraźnego postanowienia o przeniesieniu prawa, uważa się, że twórca udzielił licencji- licencja jest zatem „domyślną” formą, którą przewiduje ustawa.

Czym różni się licencja wyłączna od licencji niewyłącznej?

Każdy twórca ma możliwość udzielenia licencji wyłącznej lub niewyłącznej. Udzielenie wyłącznego prawa do korzystania z utworu wiąże się z faktem, że twórca udziela licencji tylko jednemu podmiotowi, który będzie mieć pewność, że nikt poza nim nie ma prawa do korzystania z utworu w czasie obowiązywania licencji. Licencja wyłączna musi zostać zawarta w formie pisemnej pod rygorem nieważności (art. 67 ust. 5). Udzielenie licencji wyłącznej może być rozgraniczone terytorialnie – przykładowo twórca oprogramowania komputerowego udziela licencji wyłącznej na całą Polskę określonej firmie, ale już poza granicami kraju może oferować licencje na program w sposób dowolny podmiotom trzecim. Licencja wyłączna umożliwia licencjobiorcy dochodzenie roszczeń z tytułu naruszenia autorskich praw majątkowych, w zakresie objętym umową licencyjną (art. 67 ust. 4).

Licencja niewyłączna polega udzielaniu licencji podmiotom trzecim bez owej wyłączności dla nich na korzystanie z utworu. Twórca może wtedy udzielać prawa do korzystania z utworu dowolnej ilości osób lub podmiotów. Podobnie jak każda inna umowa związana z autorskimi prawami majątkowymi, licencja niewyłączna powinna określać pola eksploatacji utworu, ewentualne wynagrodzenie dla twórcy czy też czas jej trwania (np. na 3 lata). W wypadku tej umowy licencjobiorcy prawo autorskie nie przypisuje możliwości dochodzenia swoich praw w wypadku naruszenia autorskich praw majątkowych.

W wypadku umowy licencyjnej prawo daje sporo możliwości modyfikacji, tak aby warunki pasowały obydwu stronom transakcji. Z pewnością taka elastyczność jest korzystna, ponieważ zapotrzebowania każdego twórcy i licencjobiorcy są odmienne i zależą od sytuacji. W treści umowy można wpisać także warunki, które będą odpowiadać prawom zależnym – jak np. możliwość tłumaczenia utworu.       

O czym warto pamiętać – pola eksploatacji, forma umowy, dookreślenie utworu i prawa po naruszeniu praw majątkowych

O tym, z którego typu umowy warto skorzystać decydują już czynniki indywidualne, a raczej czego oczekuje twórca, a czego ewentualny nabywca. Konieczne jest jednak, aby pamiętać o kilku najważniejszych aspektach, które powinniśmy zawrzeć w podpisywanej umowie – bez znaczenia czy jest to przeniesienie autorskich praw majątkowych czy czasowa licencja na korzystanie z utworu. Należy:

• dokładnie wypisać wszystkie pola eksploatacji, na których mają być przeniesione prawa albo udzielona licencja na korzystanie;
• zawarcie informacji o wynagrodzeniu dla twórcy;
• dookreślenie utworu, którego prawa są przenoszone lub na który jest udzielana licencja;
• pamiętać o konieczności zawarcia umowy pisemnej;
• ustaleniu przeniesienia praw zależnych, jeśli zamierza się dokonywać zmian na utworze, w wypadku licencji wypisanie odpowiedniej zgody twórcy na opracowanie utworu;
• zastanowieniu się nad planami związanymi z utworem, a w związku z tym, jaką umowę chcemy podpisać – trzeba pamiętać, że możliwość dochodzenia swoich praw w wypadku naruszenia autorskich praw majątkowych ma, poza autorem oczywiście, tylko nabywca autorskich praw majątkowych oraz licencjobiorca licencji wyłącznej;
• rozważeniu, czy konieczne jest na zabezpieczenie autorskich praw osobistych do utworu.

Kary umowne w umowach prawnoautorskich

Kary umowne w umowach to dość popularne narzędzie, które może zabezpieczać obydwie strony transakcji. W przypadku umów prawnoautorskich również są częstym zapisem i zazwyczaj ich funkcją jest zabezpieczenie przedsiębiorcy, który zleca stworzenie odpowiedniego utworu i chce się zabezpieczyć przed naruszeniem przez twórcę praw osób trzecich, w tym w szczególności praw autorskich. Takie naruszenie wiąże się często nie tylko z samą karą umowną, ale także zwolnieniem przedsiębiorcy przez takiego twórcę z odpowiedzialności, a nawet możliwością wypowiedzenia umowy. Jeśli bowiem utwór wykonywany jest na zlecenie przedsiębiorcy to wszelkie ewentualne roszczenia odnośnie naruszenia praw autorskich będą prawdopodobnie kierowane właśnie przeciwko niemu. Taka kara umowna stanowi zabezpieczenie, dzięki któremu twórca będzie tworzył utwory samodzielnie, nie korzystając z rozwiązań innych twórców.

Biblioteki zewnętrzne, narzędzia AI, licencje

W przypadku branży IT bardzo częstym zjawiskiem jest jednak korzystanie z bibliotek zewnętrznych, czy gotowych fragmentów kodu, które nie będą objęte prawem autorskim twórcy. Z tego względu warto w umowach IT zawrzeć dodatkowe postanowienia, które umożliwią zabezpieczenie praw do tego typu rozwiązań, w tym w szczególności udzielenie do nich licencji lub sublicencji. Dodatkowo, z uwagi na rosnącą popularność technologii AI, w umowach lub odpowiednich politykach firmowych warto także określić dopuszczalne narzędzia AI, sposób korzystania z takich narzędzi, w tym środki bezpieczeństwa i zasady dotyczące ich stosowania, w szczególności gwarantujące poufność wszelkich danych do nich wprowadzanych.

Odpowiednie zaprojektowanie umów w zakresie prawa autorskiego jest kwestią bardzo istotną dla firm. Nieprawidłowości w tym zakresie mogą mieć poważne konsekwencje, włącznie z brakiem skuteczności przeniesienia tych praw, co może wiązać z nieskutecznym dalszym przeniesieniem praw, a w konsekwencji utratą wiarygodności i stratą finansową. Z tego względu istotne jest, aby umowy były sporządzane przez wykwalifikowaną kancelarię prawną, która zadba o odpowiednie skonstruowanie umów i zabezpieczenie praw przedsiębiorcy i twórcy.  

Artykuł Licencja i umowa o przeniesienie autorskiego prawa majątkowego – jakie są skuteczne sposoby przenoszące prawo autorskie? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

W Polsce rejestracja znaku towarowego odbywa się za pośrednictwem Urzędu Patentowego RP. W tekście omówię proces uzyskania wyłącznego prawa do korzystania ze znaku towarowego oraz płynące z tego korzyści, a także na co warto zwrócić uwagę przy składaniu wniosku.

Czym jest znak towarowy i czy każda nazwa lub logo firmy się na niego nadaje?

Zgodnie z art. 120 ustawy Prawa własności przemysłowej znakiem towarowym może być każde oznaczenie, które spełnia w łącznie dwa warunki:

• umożliwia odróżnienie towarów lub usług jednego przedsiębiorstwa od towarów lub usług innego przedsiębiorstwa;
• być możliwe do przedstawienia w rejestrze znaków towarowych w sposób pozwalający na ustalenie jednoznacznego i dokładnego przedmiotu udzielonej ochrony.

Znak towarowy to oznaczenie, które służy odróżnieniu konkretnych produktów lub usług danego przedsiębiorcy w handlu. Może być nim:

• wyraz – włącznie z nazwiskiem (np. logo naszej Kancelarii Pałucki & Szkutnik);
• rysunek (np. charakterystyczny kształt logo Toyoty);
• litera (np. literka „N” w logo Netflixa);
• cyfra (np. liczba 11 wpisana w logo Eleven Sports);
• kolor (np. odcień pomarańczowego dla Allegro);
• forma przestrzenna – w tym kształt towaru lub opakowania (np. charakterystyczny zarys kształtu szklanej butelki Pepsi);
• dźwięk (np. ryk lwa wytwórni MGM)

Znak nie powinien stanowić pospolitego w danej branży hasła. Przykładowo, próba rejestracji znaku towarowego „drukarki i komputery” dla sklepu branży elektronicznej zakończy się z całą pewnością odmową rejestracji. Znak towarowy powinien posiadać jakiś charakterystyczny – „fantazyjny” element, gdyż ma on być gwarantem, że będzie stanowić jednoznaczne wyróżnienie danej usługi lub produktu w określonej branży.

Złożenie wniosku i koszt rejestracji znaku towarowego w Polsce

Jeśli naszym celem jest zapewnienie ochrony znaku towarowego na terenie Polski, powinniśmy zgłosić wybrane oznaczenie do Urzędu Patentowego RP. Zgłoszenia możemy dokonać osobiście lub za pośrednictwem pełnomocnika. Może nim być np. adwokat, radca prawny lub rzecznik patentowy. Zgłoszenia dokonuje się albo w siedzibie Urzędu (mieści się na al. Niepodległości 188/192, 00-950 Warszawa), pocztą albo elektronicznie za pośrednictwem Platformy Usług Elektronicznych Urzędu Patentowego RP. W tym ostatnim przypadku będzie konieczne założenie konta na platformie.

W składanym wniosku należy określić znak towarowy i wskazać towary, dla których znak ten jest przeznaczony (art. 138), a także przedstawić znak towarowy w odpowiedni sposób:

• gdy jest literą, cyfrą, napisem, rysunkiem lub kompozycją kolorystyczną, należy go w tej postaci zamieścić w podaniu;
• gdy ma formę przestrzenną, należy go wyrazić w postaci rysunku lub fotografii;
• gdy jest hologramem, należy go wyrazić w postaci jednego lub kilku wizerunków ukazujących cały jego efekt hologramowy;
• gdy jest znakiem dźwiękowym, powinno się wyrazić go tak, aby możliwe było jego odtworzenie (np. nuty);
• gdy składa się z kilku odrębnych części przeznaczonych do łącznego używania, trzeba przedstawić je obok siebie;
• gdy składa się z pojedynczego wizerunku ukazującego jego położenie na towarze – trzeba przedstawić w sposób, który odpowiada rzeczywistemu rozmieszczeniu.

Ponadto w składanym wniosku należy zawrzeć:

• dowody opłaty np. za pełnomocnictwo;
• dowód pierwszeństwa, jeśli ubiega się o przyznanie uprzedniego pierwszeństwa;
• regulamin znaku, kiedy ubiega się o zgłoszenie wspólnego znaku towarowego – osoby uprawnione do używania znaku, właściwości, które mają być certyfikowane znakiem, sposób nadzorowania, zasady używania znaku (art. 138 ust. 7);
• egzemplarze informatycznego nośnika danych, kiedy znak jest dźwiękowy;
• fotografię, kiedy we wniosku zamieszczony znak jest choćby w części w postaci rysunku lub rysunków albo kompozycji.

UWAGA! Jedno zgłoszenie może dotyczyć jedynie jednego znaku!  

Co do zasady zgłoszenie zostaje uznane za dokonane w dniu zgłoszenia. Konieczne opłaty za zgłoszenie znaku towarowego wiążą się z kosztami 400 lub 450 zł – w zależności czy wybierze się zgłoszenie drogą elektroniczną czy papierową. Opłata za każdą kolejną klasę towarową wynosi 120 zł (określeniu klasy towarowej służy Klasyfikacja nicejska), za oświadczenie o korzystaniu z pierwszeństwa – 100 zł, a za pełnomocnictwo – 17 zł.  Natomiast opłata za pierwszy okres ochronny wynosi 400 zł. 

Proces rozpatrywania wniosku przez Urząd Patentowy i jak długo trwa ochrona znaku towarowego?

Zgłaszający może dokonywać zmian we wniosku tylko do momentu wydania decyzji. Wiąże się to z ewentualnymi uzupełnieniami lub poprawkami. Do tego czasu można również złożyć wniosek o usunięcie oznaczeń, które zostały wymienione powyżej – szczególnie takich, które stanowią bezwzględną przeszkodę w rejestracji znaku. Jeśli poprawki zostaną wniesione po wszczęciu postępowania przez Urząd Patentowy, odmawia on wtedy ich przyjęcia (art. 144¹). Jednocześnie UP może wezwać do usunięcia usterek lub braków. Przy braku ich uzupełnienia/usunięcia Urząd umorzy postępowanie. Podobnie sytuacja wygląda, jeśli do 14 dni nie zostaną uzupełnione stosowne opłaty.

W wypadku, gdy Urząd uzna, że we wniosku występują bezwzględne przesłanki odmowy udzielenia prawa ochronnego, odmówi on udzielenia prawa ochronnego. W innym wypadku UP uznaje możliwość rejestracji znaku towarowego i informuje o tym fakcie w Biuletynie Urzędu Patentowego. Od tej chwili pozostałe podmioty mają możliwość wniesienia sprzeciwu w ciągu 3 miesięcy. W sytuacji, kiedy Urząd Patentowe dowie się o okolicznościach uniemożliwiających rejestrację znaku, wydaje wniosek odmowny, a kiedy nic takiego się nie stanie udziela prawa ochronnego.

UWAGA!  Jeśli po wydaniu prawomocnej decyzji, kiedy znak towarowy zostanie wpisany do rejestru znaków towarowych, wpłynie zgłoszenie sprzeciwu, to UP może odmówić udzielenia prawa ochronnego w zakresie, w którym sprzeciw jest zasadny.

Pierwszy okres ochronny wynosi 10 lat, a opłata za każdą klasę towarową wynosi 400 zł. Termin, w jakim Urząd udziela prawa ochronnego to zazwyczaj około 6 miesięcy.  

Jakie są bezwzględne przeszkody rejestracji znaku towarowego w Urzędzie Patentowym RP?

Przedstawione w ustawie przeszkody stanowią kategorie, które dotyczą relacji między oznaczeniem a towarami lub usługami objętymi zgłoszeniem, a wiążą się z prawami osób trzecich. Co ważne składane wnioski o rejestracje znaków towarów są pod tym kątem badane przez Urząd Patentowy przed przyjęciem takiego wniosku. Reasumując – przyjęty już wniosek nie może zostać odrzucony na podstawie przeszkód bezwzględnych. 

Wszystkie przeszkody bezwzględne wymienia art. 129¹ ustawy Prawa własności przemysłowej. Wymienię tylko kilka przykładowych. Kiedy zatem oznaczeniu nie zostanie udzielone prawo ochronne?

• temu, które nie może być znakiem towarowym, czyli nie posiada cech wymienionych art. 120 ustawy;
• nie nadaje się do odróżniania w obrocie towarów, dla których zostało zgłoszone;
• składa się wyłącznie z elementów języka potocznego lub zwyczajowo używanych i utrwalonych w praktykach handlowych;
• zostało zgłoszone w złej wierze (np. tylko po to, aby uniemożliwić konkurencji używania tego znaku);
• jest sprzeczne z porządkiem publicznym i dobrymi obyczajami;
• ze swojej istoty może wprowadzać odbiorców w błąd (np. co do charakteru albo pochodzenia geograficznego).

Jakie są przeszkody względne w udzieleniu ochrony znaku towarowemu?

W terminie do 3 miesięcy od daty zgłoszenia znaku towarowego może zostać wniesiony sprzeciw przez (art. 152¹⁷ ustawy):

• uprawnionego do wcześniejszego znaku towarowego,
• uprawnionego z wcześniejszego prawa osobistego lub majątkowego,
• osoby uprawnionej do wykonywania praw wynikających z chronionej nazwy pochodzenia lub chronionego oznaczenia geograficznego.

Sprzeciw może zostać wniesiony na podstawie jednej z przeszkód wymienionych w art. 132¹ ustawy Prawo własności przemysłowej. Znak towarowy nie zostaje zastrzeżony wtedy, między innymi, dlatego że:

• jego używanie narusza prawa osobiste lub majątkowe osób trzecich;
• jest identyczny ze znakiem towarowym, na który udzielono prawa ochronnego z wcześniejszym pierwszeństwem na rzecz innej osoby dla identycznych towarów;
• jest identyczny lub podobny do znaku, na który udzielono prawa ochronnego z wcześniejszym pierwszeństwem na rzecz innej osoby dla identycznych lub podobnych towarów lub jeśli w wypadków podobnych zachodzi prawdopodobieństwo wprowadzenia odbiorców w błąd (dwa podobne do siebie znaki);
• jest identyczny lub podobny do znaku towarowego, który przed datą według której oznacza się pierwszeństwo do uzyskania prawa ochronnego był w Polsce powszechnie znany i używany, jako znak towarowy przeznaczony do oznaczania towarów identycznych lub podobnych pochodzących od innej osoby.

Dlaczego warto zastrzec znak towarowy i czy warto ubiegać się o uprzednie pierwszeństwo?

Zarejestrowanie znaku towarowego stanowi kluczowy krok w ochronie marki. Jest chyba najprostszym orężem do walki z nieuczciwą konkurencją. Udzielenie prawa ochronnego na znak towarowy jest gwarancją uzyskania wyłącznego prawa do używania logo czy nazwy swojej firmy. Ponadto ułatwia to niewątpliwie dochodzenie roszczeń w wypadku ewentualnych naruszeń. Takie prawne zabezpieczenie to stosunkowo niewielka inwestycja, o której z pewnością warto pomyśleć.

Z pewnością warto również wziąć pod uwagę ubieganie się o uprzednie pierwszeństwo, w szczególności, jeśli zamierza się ubiegać o ochronę poza granicami Polski. Takie pierwszeństwo przysługuje „na zasadach określonych w umowach międzynarodowych według daty pierwszego prawidłowego zgłoszenia znaku towarowego, jeżeli zgłoszenie w Urzędzie Patentowym zostanie dokonane w okresie 6 miesięcy od tej daty” (art. 124). Natomiast pierwszeństwo z wystawy zostaje przyznawane „według daty wystawienia towaru oznaczonego tym znakiem w Polsce lub za granicą, na wystawie międzynarodowej oficjalnej lub oficjalnie uznanej, jeżeli zgłoszenie w Urzędzie Patentowym tego znaku towarowego nastąpi w okresie 6 miesięcy od tej daty” (art. 125).

Artykuł Rejestracja znaku towarowego w Polsce – dlaczego warto zastrzec znak towarowy i koszty rejestracji w Urzędzie Patentowym RP pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Prawo własności intelektualnej – prawo autorskie, prawo własności przemysłowej i ustawa o zwalczaniu nieuczciwej konkurencji

Własność intelektualna musi być przede wszystkim efektem działania człowieka, dodajmy twórczego działania. W niniejszym tekście przyjrzę się temu na przykładzie programu komputerowego. Własnością intelektualną nie będzie sam w sobie niematerialny pomysł czy idea, która zawarta jest w programie. Będzie ona nią dopiero, gdy zostanie zmaterializowana w napisanym kodzie i to właśnie ów kod będzie stanowić własność intelektualną, którą będzie dysponował twórca tego kodu, czyli programista. W wypadku prawa autorskiego jego przedmiotem będzie „każdy przejaw działalności twórczej o indywidualnym charakterze, ustalony w jakiejkolwiek postaci, niezależnie od wartości, przeznaczenia i sposobu wyrażenia” (art. 1 ust. 1 ustawy o prawie autorskim i prawach pokrewnych). 

Własność intelektualna jest tak naprawdę właściwie wszechobecna wokół nas – ukryta w logo spożywanego produktu, książce, którą czytamy, aplikacji w telefonie, którą wykorzystujemy w kontaktach z innymi czy też w ubraniach, jakie kupujemy. Prawo własności intelektualnej dzielimy na kategorie:

• prawo autorskie i prawo pokrewne, czyli np. utwory muzyczne, literackie, ale również informatyczne,
• własność przemysłowa, czyli np. znaki towarowe,
• a także tzw. know-how, czyli poufne informacje np. techniczne czy technologiczne.

W przypadku prawa autorskiego podstawą prawną jest ustawa o prawie autorskim i prawach pokrewnych, w wypadku znaków towarowych jest to prawo własności przemysłowej, natomiast ochrony know-how dotyczy ustawa o zwalczania nieuczciwej konkurencji. O ochronie znaków towarowych przeczytasz więcej w tekście „Czy zgłoszenie znaku towarowego w urzędzie patentowym stanowi nabycie praw ochronnych?” . Tutaj skupię się przede wszystkim na prawie autorskim, a dokładniej omówię je w kontekście programów komputerowych oraz aplikacji. 

Program komputerowy jako utwór

Program komputerowy w ustawie jest wymieniony wprost jako utwór wyrażony słowem, symbolami matematycznymi i znakami graficznymi (art. 1 ust. 2 pkt. 1).  Jest więc objęty prawem autorskim, które przysługuje twórcy, czyli osobie, „której nazwisko w tym charakterze uwidoczniono na egzemplarzach utworu lub której autorstwo podano do publicznej wiadomości w jakikolwiek inny sposób w związku z rozpowszechnianiem utworu” (art. 8 ust. 2). Ochronie podlega tylko sposób wyrażenia, wszystkie jego formy, ale nie są nią objęte odkrycia, idee czy zasady działania (jak np. idea przeglądarki internetowej czy edytora tekstu). Czym będą sposoby wyrażania w wypadku programu? Będzie to z pewnością stworzony kod czy też również firmware. Należy poza tym pamiętać, że warunkiem uznania programu komputerowego za utwór jest jego indywidualny charakter, a więc jego programista musi dysponować swobodą pracy twórczej.  

Zgodnie z ustawą utwór podlega ochronie w momencie ustalenia – nawet jeśli ma postać nieukończoną (art. 1 ust. 3). Według orzeczenia Sądu Najwyższego z 1973 r. (I CR 91/73) moment ustalenia należy rozumieć za chwilę, gdy przybierze on „jakąkolwiek postać, choćby nietrwałą, jednak o tyle stałą, żeby treść i cechy utworu wywierały efekt artystyczny”. 

Prawo autorskie w kontekście programów komputerowych i aplikacji – prawa majątkowe a prawa osobiste

Autorskie prawo osobiste jest ochroną nieograniczoną w czasie i nie podlega ono zrzeczeniu się ani zbyciu. Zgodnie z art. 16 w związku z art. 77 ustawy autorskie prawo osobiste do programu komputerowego stanowi prawo do:

• autorstwa utworu;
• oznaczenia utworu swoim nazwiskiem lub pseudonimem albo do udostępnienia go anonimowo;

W przypadku programów komputerowych zastosowania nie ma art. 16 pkt 3-5, co oznacza, że w tym przypadku nie będą stanowiły autorskich praw osobistych: prawo do nienaruszalności treści i formy utworu oraz jego rzetelnego wykorzystania, decydowania o pierwszym udostępnieniu utworu publiczności, a także nadzoru nad sposobem korzystania z utworu..

Autorskich praw osobistych nie można przenieść na osobę trzecią, przysługują one wyłącznie twórcy utworu, czyli w tym przypadku programu komputerowego. Programista może udzielić przedsiębiorcy zezwolenia do wykonywania autorskich praw osobistych w swoim imieniu. Odpowiednie postanowienia w tym zakresie powinny znaleźć się w umowie zawartej z programistą. Nie ma przeszkód, aby zapewnić tutaj także uprawnienie do udzielania dalszych zezwoleń, co ma znaczenie w przypadku dalszego zezwolenia do wykonywania autorskich praw osobistych na rzecz klienta końcowego.

Co do autorskich praw majątkowych, jeżeli ustawa nie stanowi inaczej, to przysługują one twórcy w ramach wyłącznego korzystania z utworu i rozporządzania nim na wszystkich polach eksploatacji oraz do wynagrodzenia za korzystanie z utworu (art. 17 ustawy). W przypadku, gdy utwór (program komputerowy) jest tworzony przez pracownika zatrudnionego przez przedsiębiorcę na umowę o pracę w wyniku swoich obowiązków, to prawa autorskie do takiego utworu przysługują pracodawcy.

Według art. 74 ust. 4 autorskie prawa majątkowe w przypadku programów komputerowych stanowią prawo do (z zastrzeżeniem art. 75 ust. 2 i 3):

• trwałego lub czasowego zwielokrotnienia programu komputerowego w całości lub w części jakimikolwiek środkami i w jakiejkolwiek formie; w zakresie, w którym dla wprowadzania, wyświetlania, stosowania, przekazywania i przechowywania programu komputerowego niezbędne jest jego zwielokrotnienie, czynności te wymagają zgody uprawnionego;
• tłumaczenia, przystosowania, zmiany układu lub jakichkolwiek innych zmian w programie komputerowym, z zachowaniem praw osoby, która tych zmian dokonała;

rozpowszechniania, w tym użyczenia lub najmu, programu komputerowego lub jego kopii.  

Jeżeli umowa nie stanowi inaczej, czynności wymienione  w pkt 1 i 2 powyżej nie wymagają zgody uprawnionego, jeżeli są niezbędne do korzystania z programu komputerowego zgodnie z jego przeznaczeniem, w tym do poprawiania błędów przez osobę, która legalnie weszła w jego posiadanie. Oznacza to, że w przypadku posiadania legalnej kopii oprogramowania jesteśmy uprawnieni przykładowo do czasowego zwielokrotnienia programu w celu naprawy jego błędów. Ustawa wskazuje ponadto, iż w przypadku programu komputerowego następujące czynności nie wymagają zgody uprawnionego:

1) sporządzenie kopii zapasowej, jeżeli jest to niezbędne do korzystania z programu komputerowego. Jeżeli umowa nie stanowi inaczej, kopia ta nie może być używana równocześnie z programem komputerowym;

2) obserwowanie, badanie i testowanie funkcjonowania programu komputerowego w celu poznania jego idei i zasad przez osobę posiadającą prawo korzystania z egzemplarza programu komputerowego, jeżeli, będąc do tych czynności upoważniona, dokonuje ona tego w trakcie wprowadzania, wyświetlania, stosowania, przekazywania lub przechowywania programu komputerowego;

3) zwielokrotnianie kodu lub tłumaczenie jego formy w rozumieniu art. 74 ust. 4 pkt 1 i 2 ustawy, jeżeli jest to niezbędne do uzyskania informacji koniecznych do osiągnięcia współdziałania niezależnie stworzonego programu komputerowego z innymi programami komputerowymi, o ile zostaną spełnione następujące warunki:

a) czynności te dokonywane są przez licencjobiorcę lub inną osobę uprawnioną do korzystania z egzemplarza programu komputerowego bądź przez inną osobę działającą na ich rzecz,

b) informacje niezbędne do osiągnięcia współdziałania nie były uprzednio łatwo dostępne dla osób, o których mowa pod lit. a,

c) czynności te odnoszą się do tych części oryginalnego programu komputerowego, które są niezbędne do osiągnięcia współdziałania.

Informacje konieczne do osiągnięcia współdziałania programu z innym programem komputerowym nie mogą być:

1) wykorzystane do innych celów niż osiągnięcie współdziałania niezależnie stworzonego programu komputerowego;

2) przekazane innym osobom, chyba że jest to niezbędne do osiągnięcia współdziałania niezależnie stworzonego programu komputerowego;

3) wykorzystane do rozwijania, wytwarzania lub wprowadzania do obrotu programu komputerowego o istotnie podobnej formie wyrażenia lub do innych czynności naruszających prawa autorskie.

Jak nabyć autorskie prawa majątkowe programu komputerowego od podwykonawcy – pola eksploatacji utworu

Jak już była mowa, w przypadku, gdy program stworzył pracownik zatrudniony na umowę o pracę to wówczas prawa autorskie do programu komputerowego nabywa pracodawca. Natomiast w przypadku branży IT umowy z programistami bardzo często mają inną formę, w szczególności są to umowy cywilnoprawne, w tym umowy B2B. W takim wypadku dla skuteczności przejścia autorskich praw majątkowych należy zadbać o prawidłowe i zgodne z prawem zapisy, a także o odpowiednią formę umowy. Kształt umowy jest tu oczywiście zależny od obydwu stron, jednak należy tutaj zwrócić uwagę przede wszystkim na dwa aspekty:

• jeżeli przedsiębiorca zleca komuś napisanie programu komputerowego czy też aplikacji, to musi pamiętać, że musi być zachowana forma pisemna (umowa podpisana podpisem papierowym lub podpisem kwalifikowanym – elektronicznym), aby skutecznie przenieść autorskie prawa majątkowe (art. 53 ustawy);
• w umowie należy zawrzeć pola eksploatacji, na jakich nastąpi przeniesienie praw autorskich (art. 41 ust. 2 umowy).

Czym są pola eksploatacji? To nic innego, jak, mówiąc wprost, sposoby wykorzystania utworu. Ich przykładowe rodzaje wymienia art. 50 ustawy i można tu wymienić:

• te dotyczące utrwalania i zwielokrotniania utworu – kopiowanie dowolną techniką egzemplarzy utworu;
• związane z obrotem oryginałem albo jego egzemplarzami – wprowadzenie do obrotu, użyczenie lub najem oryginału albo egzemplarzy;
• w zakresie rozpowszechniania utworu w innym zakresie niż w powyższym punkcie – np. publiczne wykonanie, wystawienie, wyświetlenie, odtworzenie itd.

W kwestii pół eksploatacji związanych z programami komputerowymi można odwołać się do wspominanego już art. 74 ustawy o prawach autorskich i prawach pokrewnych, który mówi o prawie do trwałego lub czasowego zwielokrotniania, tłumaczenia, przystosowania, zmiany układu oraz rozpowszechniania programu komputerowego. W praktyce będzie to np. wprowadzanie do systemu informatycznego, pamięci komputerów, sieci komputerowych czy utrwalanie i zwielokrotnianie dowolną techniką, w tym techniką zapisu magnetycznego lub techniką cyfrową.

Brak wskazania w umowie pól eksploatacji jest błędem, który powoduje nieważność umowy. Za nieskuteczne należy także uznać postanowienie, zgodnie z którym przeniesienie następują na „wszystkich” polach eksploatacji – ustawa wyraźnie wymaga od nas ich dokładnego wskazania. Zgodnie z ustawą (art. 41 ust. 2 ) umowa obejmuje tylko te pola eksploatacji, które są w niej wymienione. Dodatkowo, umowa może dotyczyć tylko pól eksploatacji, które są znane w chwili jej zawarcia (art. 41 ust. 4). 

W umowach warto zawrzeć także postanowienia odnośnie osobistych praw majątkowych, o czym była już mowa wyżej. Dodatkowym zabezpieczeniem dla tej strony umowy, która tworzy dla kogoś program czy aplikację może być postanowienie, zgodnie z którym przekazanie praw majątkowych nastąpi dopiero po uiszczeniu opłaty przez drugą stronę umowy. 

Należy także pamiętać, aby w umowie udzielić zezwolenia na wykonywanie praw zależnych, a także zawrzeć prawo do zezwalania na wykonywanie zależnego prawa autorskiego. W braku takiego zastrzeżenia prawo to pozostanie bowiem przy twórcy.

Wykorzystanie AI i zewnętrznych bibliotek a ochrona własności intelektualnej w internecie

Obecnie wszechobecną technologią jest technologia sztucznej inteligencji, z której programiści korzystają często w tworzeniu kodu programów komputerowych. Niestety, korzystanie z AI oznacza, że nie mamy do czynienia z twórczym wytworem działalności człowieka, a to oznacza, że w tym zakresie nie możemy mieć do czynienia z ochroną prawnoautorską. Podobnie jest w przypadku korzystania przez programistów z zewnętrznych bibliotek kodu, w tym kodu nieobjętego prawami autorskimi albo objętego licencjami otwartymi. Aby dopuścić stosowanie tego typu rozwiązań konieczne jest uregulowanie tego w umowie z programistą i wskazanie, że w zakresie w jakim nie będziemy mieć do czynienia z wytworem programisty dojdzie do udzielenia odpowiednich licencji do tego typu rozwiązań.

Praktyka rynku pokazuje jednak, że firmy nie zawsze chcą zgadzać się na korzystanie z tego typu narzędzi, a zwłaszcza narzędzi AI. Firmy wprowadzają często tutaj odpowiednie polityki korzystania z tego typu narzędzi, zastrzegając chociażby konieczność wykorzystania wyłącznie narzędzi na odpłatnych licencjach, udostępnionych przez firmę. Celem wprowadzenia takich polityk jest przede wszystkim zachowanie poufności, albowiem w przypadku licencji płatnych system AI nie będzie uczył się na wprowadzonych danych, co gwarantuje jej zachowanie. W każdym wypadku jednak w przypadku korzystania z narzędzi AI zalecana jest ostrożność i weryfikacja tak wygenerowanych rozwiązań, mając na uwadze błędy lub niedokładności, jakie pojawiają się w takich przypadkach.

Jak uniknąć naruszenia praw autorskich i jak sobie poradzić, gdy do niego dojdzie – dochodzenie odszkodowania w sądzie i zgłoszenie przestępstwa

Naruszenie praw autorskich może mieć swoje konsekwencje w odpowiedzialności cywilnej oraz odpowiedzialności karnej. Odpowiedzialność cywilna uregulowana jest w art. 78-80 ustawy. Osoba poszkodowana może dochodzić odszkodowania, żądać zaniechania naruszeń, usunięcia jego skutków czy naprawienia wyrządzonej szkody. Należy pamiętać, że inną możliwością jest zgłoszenie sprawy na policję lub do prokuratury, gdyż naruszenie autorskich praw osobistych i majątkowych może być także przestępstwem i grozi karą pozbawienia wolności. 

Naruszenia praw autorskich i pokrewnych mogą przybrać różną formę, a o tym, kiedy do nich dochodzi mówią art. 115-123 ustawy, które traktują o odpowiedzialności karnej. Co ważne z przepisów wyraźnie wynika, że działanie w celu uzyskania korzyści majątkowych z łamania prawa autorskiego nie jest konieczne do poniesienia odpowiedzialności karnej. 

Jakie zatem wyróżniamy przypadki naruszeń:

• przywłaszczenie autorstwa cudzego utworu lub wprowadzenie w błąd co do autorstwa;
• rozpowszechnianie cudzego utworu bez podania nazwiska lub pseudonimu twórcy, rozpowszechnianie bez uprawnień lub wbrew jego warunkom;
• utrwalanie lub zwielokrotnianie w celu rozpowszechniania bez stosownych uprawnień;
• wytwarzanie urządzeń do obchodzenia lub usuwania zabezpieczeń;
• uniemożliwianie lub utrudnianie wykonywania prawa do kontroli korzystania z utworu.

Powyższe pokazuje, że jest istotne, aby odpowiednio uregulować przejście praw autorskich w umowie, w tym zabezpieczyć zezwolenie na wykonywanie autorskich praw osobistych w imieniu twórcy. Błędy w tym zakresie mogłyby bowiem spowodować odpowiedzialność cywilną lub karną.

Obsługa prawna przedsiębiorcy – w czym pomoże prawnik IT?

W kontekście umów przeniesienia praw autorskich do   programów komputerowych, dochodzenia odszkodowania czy wnoszenia sprawy do sądu przedsiębiorca powinien skorzystać z wykwalifikowanej obsługi prawnej kancelarii. Warto szukać porady prawnej przy tworzeniu umów, które odpowiednio zabezpieczą przejście praw autorskich na przedsiębiorcę, a także pozwolą na ich dalsze przeniesienie na klienta końcowego albo udzielenie mu odpowiedniej licencji. Wsparcie wykwalifikowanej kancelarii prawnej oznacza takie skonstruowanie umowy, które minimalizuje ryzyka w tym zakresie i zapewnia wypełnienie przepisów prawa. W przypadku umów prawnoautorskich niestety bardzo często zdarzają się błędy, które na późniejszym etapie trudno jest naprawić. Pamiętajmy bowiem, że nieskuteczne przeniesienie praw autorskich z programisty na firmę będzie wiązało się z nieskutecznym przeniesieniem praw autorskich z firmy na klienta końcowego, a to może wiązać się z koniecznością zapłaty kar umownych lub odszkodowania.

Dodatkowo, skorzystanie z pomocy doświadczonej kancelarii prawnej może być korzystane pod kątem podatkowym. W zależności od zakresu świadczonych usług albo umowy będącej podstawą współpracy firmy i programisty, doświadczony prawnik IT może zaproponować tutaj konkretne rozwiązania podatkowe, np. skorzystanie z ulgi IP Box, zastosowanie ryczałtu od przychodów ewidencjonowanych w odpowiedniej wysokości albo zastosowanie podwyższonych kosztów uzyskania przychodu – KUP 50%. Programy i aplikacje komputerowe to zazwyczaj bardzo złożone wytwory ludzkiej pracy. Zazwyczaj przedsiębiorcom zależy na tym, aby stanowiły one utwory i tym samym były objęte ochroną prawnoautorską. Jednocześnie, przedsiębiorcy muszą mieć na uwadze dynamiczny rozwój nowych technologii, a zwłaszcza AI, z których programiści chcą korzystać w celu usprawnienia swojej pracy, ale także zapewnieniu jak najbardziej efektywnych rozwiązań. Dodatkowo, przepisy ustawy prawo autorskie zawierają szereg dodatkowych uregulowań, które omówiliśmy już powyżej, np. w zakresie autorskich praw osobistych, czy zależnych. Wszystkie te aspekty należy uwzględnić, zabezpieczając stworzenie lub nabycie utworu poprzez odpowiednie umowy tak, aby zagwarantować należyte zabezpieczenie interesów firmy oraz jej prawne bezpieczeństwo.

Artykuł Naruszenie praw własności intelektualnej – ochrona programów i aplikacji komputerowych i obsługa prawna przedsiębiorcy pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

IP Box została wprowadzona w rządowym programie Polski Ład i jest ulgą podatkową, z której można korzystać od 2019 r. Umożliwia ona zastosowanie niższej stawki VAT (5%) podatku dochodowego. Warunkiem jest jednak posiadanie dochodów z kwalifikowanego prawa własności, czyli takich, które zostały osiągnięte z kwalifikowanego IP, gdyż to dla nich można skorzystać z powyższej ulgi. 

            Ulga IP Box dotyczy wszystkich podatników PIT i CIT w każdej branży, którzy osiągają dochody ze wspomnianego kwalifikowanego IP. Niewątpliwie najczęściej korzystającymi z ulgi IP Box są jednak programiści. W przypadku właśnie podatników świadczących usługi informatyczne Ministerstwo Finansów zaleca złożenie wniosku o indywidualną interpretację do Dyrektora Krajowej Informacji Skarbowej (KIS). 

2. Działalność badawczo-rozwojowa – czego dotyczy ulga podatkowa IP Box i co to jest kwalifikowane IP?

Z ulgi IP Box mogą skorzystać przedsiębiorcy w zeznaniu rocznym, a dotyczy ona wyłącznie dochodów osiągniętych z kwalifikowanego IP. Czym ono jest? To prawo własności intelektualnej, które musi spełniać łącznie trzy warunki:  

• wytworzyłeś/rozwinąłeś/ulepszyłeś je w ramach prowadzonej działalności b+r (badawczo-rozwojowej);
• należy do jednej kategorii wymienionych w katalogu ustawy o PIT i CIT;
• podlega ochronie prawnej.

We wspomnianym katalogu praw własności intelektualnej znajduje się m.in. autorskie prawo do programu komputerowego. Podstawą ochrony prawnej dla programu komputerowego jest fakt, że stanowi on przejaw działalności twórczej o indywidualnym charakterze. W szczególności będą chronione kombinacje komend w formie kodu źródłowego i kodu wynikowego.

Mówiąc wprost, warunkiem jest stworzenie czegoś, co jest objęte prawem autorskim i przeniesienie tego ze swojego komputera do klienta, co skutkuje otrzymaniem za to wynagrodzenia.

Należy pamiętać, że jeśli w ramach działalności wykonujesz także inne czynności, które nie dotyczą kwalifikowanego IP, to przychody osiągnięte z tego tytułu będziesz musiał opodatkować według podstawowych stawek podatku dochodowego. 

Ulgą będzie objęte tworzenie oprogramowania, w tym algorytmów, lecz nie obejmie ona już szkolenia, suportu, wdrożenia, tworzenia grafiki lub projektowania rozwiązań UX.

3. Kto może skorzystać z ulgi IP Box za dochód z praw własności intelektualnej?

Skorzystać mogą z niej osoby, które prowadzą własną działalność gospodarczą. Możesz prowadzić jednoosobową działalność, jak i możesz być wspólnikiem spółki. Osoba prowadząca działalność gospodarczą, która działa u swojego zleceniodawcy w ramach większego zespołu i wykonuje zlecone mu czynności w siedzibie zleceniodawca, może bez problemu również skorzystać z ulgi podatkowej IP Box. 

            Nie ma znaczenia czy prace twórcze będą polegać wyłącznie na pracy rozwojowej związanej z opracowywaniem kodu i przenoszeniem do niego praw autorskich czy też na innych pracach, choć w takim przypadku niekoniecznie cały dochód będzie objęty ulgą.

4. Czym jest dochód kwalifikowany?

Dotyczy on ulgi podatkowej IP Box i jest to dochód:

• ze sprzedaży kwalifikowanego IP (przeniesienie pełni autorskich praw majątkowych);
• osiągnięty z opłat lub należności wynikających z umowy licencyjnej dotyczącej kwalifikowanego IP;
• z odszkodowań za naruszenie praw wynikających z kwalifikowanego IP – jeżeli zostało uzyskane w postępowaniu sądowym lub w wyniku arbitrażu.

5. Podatki – jak zabrać się do rozliczania ulgi IP Box?

Prowadzenie ewidencji wszystkich zdarzeń gospodarczych jest jednym z wymogów, który musi spełnić przedsiębiorca, jeśli chce skorzystać z ulgi IP Box. W ewidencji podatnika powinny znajdować się informacje na temat: 

• osiągniętych przychodów;
• poniesionych kosztów;
• strat;
• dochodów

które podpadają pod ulgę podatkową IP Box oraz:

• pozostałych dochodów niepodlegających pod ulgę 5%. 

W przypadku mniejszych firm, które prowadzą księgowość w formie KPiR, wymóg może być spełniony przez stworzenie i prowadzenie na bieżąco arkuszy kalkulacyjnych zawierających wszystkie informacje wymienione powyżej.

W przypadku przedsiębiorców tworzących oprogramowanie Ministerstwo Finansów zaleca wystąpienie o indywidualną interpretację. Pozytywnie rozpatrzony taki wniosek zwiększy bezpieczeństwo, stanowiąc realne zabezpieczenie w razie ewentualnej kontroli. Im bardziej szczegółowy będzie wniosek, tym dokładniejsza będzie odpowiedź ze strony organu podatkowego.

6. Obliczenia dochodu z kwalifikowanego IP – czym jest wskaźnik nexus?

Jest to wskaźnik, który pozwala na ustalenie, do jakiej części kwalifikowanego dochodu można zastosować ulgę. Jest obliczany z konkretnym wzorem, którego poszczególne litery oznaczają koszty kwalifikowane.

   (a+b)x 1,3/a+b+c+d

            Przypomnijmy, że koszty kwalifikowane to koszty, które można bezpośrednio powiązać z tworzeniem kwalifikowanego IP i które musisz  zakwalifikować do poszczególnych składników wskaźnika nexus:

• LITERA A – są to koszty własne, czyli w praktyce przede wszystkim koszty nabycia sprzętu (np. komputera), koszty pracownicze, opłaty za usługi telekomunikacyjne, koszty Chmury lub serwerów, hostingu domeny/adresu e-mail (jeśli są niezbędne do kontaktów z klientem);
• LITERA B – to koszty nabycia wyników prac badawczo-rozwojowych od podmiotów niepowiązanych (koszty usług podwykonawców B2B, którzy nie są bliską rodziną, ani z którymi nie jesteś powiązany kapitałowo);
• LITERA C – to koszty nabycia wyników prac badawczo-rozwojowych od podmiotów powiązanych (koszty usług podwykonawców B2B, którzy są bliską rodziną albo z którymi jesteś powiązany kapitałowo – np. spółki, w których masz udziały);
• LITERA D – to koszty nabycia kwalifikowanego IP, czyli w praktyce koszty nabycia licencji na narzędzia programistyczne lub koszty nabycia gotowych modułów czy komponentów.

UWAGA! Wskaźnik nexus może wynieść maksymalnie 1.

Jeśli wyniesie więcej, to uznaje się, że jest równy 1.

Chcąc ustalić, jaki procent dochodu z kwalifikowanego IP będzie podlegać opodatkowaniu 5% stawką, musisz ustalić iloczyn dochodu z kwalifikowanego IP osiągniętego w danym roku podatkowym oraz wskaźnika nexus.

N (nexus) x D (dochód z kwalifikowanego IP)

Jeśli wskaźnik nexus wynosi 1, to możesz objąć całość dochodu kwalifikowanego ulga 5%. W wypadku, gdy wskaźnik nexus wynosi np. 0,7, to 70% dochodu.

7. Przykładowe wyroki sądów w sprawie IP Box

• Wyrok NSA II FSK 1027/22 – podatnik zaskarżył decyzję Fiskusa, który odmówił prawa do ulgi IP Box za rok 2021, z powodu braku prowadzenia odrębnej ewidencji. NSA podtrzymał decyzję WSA, która mówi, że wcale nie wynika z przepisów obowiązek prowadzenia spornej ewidencji na bieżąco, od początku roku.
• Wyrok WSA I SA/Gd 461/23 – orzeczenie sądu jest bardzo korzystne dla programistów, sąd uznał w nim, że skarżący-programista prowadzi działalność badawczo-rozwojową. „Skarżący wytwarza programy komputerowe – utwory w rozumieniu art. 1 ustawy o prawie autorskim i prawach pokrewnych, wobec czego cechują się one wystarczającą oryginalnością i indywidualnością. Skarżący nie jest więc podmiotem, który pełni wyłączne proste funkcje produkcyjne”, a co za tym idzie ma prawo do ulgi IP Box.

Artykuł Ulga IP Box – czym jest i co powinien wiedzieć programista, żeby skorzystać z ulgi za dochody z praw własności intelektualnej? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Projektowane zmiany dotyczą implementowania dwóch dyrektyw do porządku prawnego w Polsce – tzw. Dyrektywy SATCAB II oraz Dyrektywy Digital Single Market.

Trenowanie generatywnej sztucznej inteligencji

Najważniejsza zmiana w projekcie ustawy, zanim wpłynął on do Sejmu to zmiana kontrowersyjnych propozycji dotyczących #AI – generatywnej sztucznej inteligencji. Zniknął zakaz trenowania generatywnej sztucznej inteligencji na utworach, które udostępnili polscy wydawcy w internecie.

Przykładowe inne proponowane zmiany

Mają zostać wprowadzone uregulowania w zakresie nowych licencji rozszerzonych; prawa pokrewnego dla wydawców prasy oraz przepisów szczególnych dotyczących dostawców usług udostępniania treści online. Ponadto mowa jest w projekcie o zapewnieniu godziwego wynagrodzenia twórcom i wykonawcom oraz wprowadzeniu prawa twórcy do otrzymywania informacji o przychodach z utworu. Mowa jest również o wprowadzeniu nowych postaci dozwolonego użytku w prawie autorskim (eksploracja tekstów i danych) oraz modyfikacji niektórych już istniejących.

Kiedy przepisy wejdą w życie?

Nowa ustawa ma wejść w życie po 30 dniach od ogłoszenia w Dzienniku Ustaw. Wyjątkiem mają być rozwiązania dotyczące prawa do wynagrodzenia z tytułu udostępniania online utrwalenia artystycznego wykonania. Mają one zacząć obowiązywać po 6 miesiącach od ogłoszenia.

Artykuł Projekt ustawy o zmianie ustawy o prawie autorskim został skierowany do pierwszego czytania! pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

W 1989 r. Gene Spafford, specjalista ds. bezpieczeństwa, powiedział: „Jedynym prawdziwie bezpiecznym systemem będzie ten, który pozbawimy zasilania, zatopimy w betonowym bloku i zamkniemy w ołowianym bunkrze pilnowanym przez uzbrojonych ochroniarzy. Jednak nawet w tym przypadku miałbym pewne wątpliwości…”.

Teza ta, pozostając aktualną, mimo upływu ponad 30 lat od jej postawienia, może powodować u przedsiębiorców swoisty dysonans poznawczy – czy przedsiębiorca może podjąć skuteczne działania prewencyjne dające gwarancję przestrzegania przepisów o ochronie danych osobowych, w sytuacji, gdy specjaliści od bezpieczeństwa niezmiennie na pytanie o ziszczenie się zagrożenia cyberbezpieczeństwa odpowiadają nie „czy” to nastąpi, ale „kiedy” to nastąpi.

Analiza ryzyka ma niezmiennie kluczowe znaczenie

Wskazane zagadnienie jest tym bardziej istotne, że konstrukcja przepisów o ochronie danych osobowych kreuje swoiste domniemanie winy przedsiębiorcy. Administrator jest bowiem odpowiedzialny za przestrzeganie przepisów i powinien być w stanie wykazać ich przestrzeganie. Dotyczy to również konieczności uzasadnienia stosowania odpowiednich środków technicznych i organizacyjnych.

Kilkuletnia praktyka stosowania przepisów z zakresu ochrony danych osobowych, potwierdzona orzecznictwem wojewódzkiego sądu administracyjnego w Warszawie oraz Naczelnego Sądu Administracyjnego[1], wskazuje, że odpowiedzialność administratora nie ma charakteru absolutnego. Nawet bowiem przy podjęciu adekwatnych środków bezpieczeństwa może dojść do naruszenia ochrony danych osobowych, a przedsiębiorca nie powinien być za to karany.

Należy bowiem pamiętać, że dobór odpowiednich środków technicznych i organizacyjnych powinien uwzględniać aktualny stan wiedzy technicznej, koszt wdrożenia danego rozwiązania oraz charakter, zakres, kontekst i cele przetwarzania. Wreszcie, dobór właściwych środków winien uwzględniać ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze. Kluczowe jest zatem przeprowadzenie analizy ryzyka, która pomoże przedsiębiorcy w podjęciu decyzji co do zastosowania danych środków. Oczywistym jest bowiem, że inne środki podejmie bank, szpital, sklep e-commerce, a inne samozatrudniony stale współpracujący z software housem.

W wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 września 2020 r., sygn.  II SA/Wa 2559/19, wskazano, że „(…) koniecznością staje się możliwość udowodnienia przed organem nadzorczym, że wprowadzone rozwiązania, mające na celu zapewnienie bezpieczeństwa danych osobowych, są adekwatne do poziomu ryzyka, jak również uwzględniają charakter danej organizacji oraz wykorzystywanych mechanizmów przetwarzania danych osobowych. Administrator samodzielnie ma przeprowadzić szczegółową analizę prowadzonych procesów przetwarzania danych i dokonać oceny ryzyka, a następnie zastosować takie środki i procedury, które będą adekwatne do oszacowanego ryzyka.

Konsekwencją takiej orientacji jest rezygnacja z list wymagań, w zakresie bezpieczeństwa narzuconych przez prawodawcę, na rzecz samodzielnego doboru zabezpieczeń w oparciu o analizę zagrożeń. Administratorom nie wskazuje się konkretnych środków i procedur w zakresie bezpieczeństwa. Administrator samodzielnie ma przeprowadzić szczegółową analizę prowadzonych procesów przetwarzania danych i dokonać oceny ryzyka, a następnie zastosować takie środki  i procedury, które będą adekwatne do oszacowanego ryzyka.”

Nie ma zatem wątpliwości co do tego, że analiza ryzyka jest w procesie doboru odpowiednich środków kluczowa.

Niemniej jednak dotychczasowa praktyka orzecznicza Prezesa Urzędu Ochrony Danych Osobowych stanowi bogate źródło wiedzy o środkach bezpieczeństwa, które w dużej mierze mają lub mogą mieć charakter uniwersalny. Oznacza to, że ich wdrożenie powinno być dla organizacji, w danym kontekście przetwarzania danych, w zasadzie obowiązkowe. Warto wiedzieć, jakie środki bezpieczeństwa uchodzą za swoisty standard.

Aktualizacja oprogramowania nie jest truizmem

W trakcie audytów bezpieczeństwa nie bez przyczyny jak mantra pada pytanie, czy administrator korzysta wyłącznie z bieżąco aktualizowanego oprogramowania. Odkładanie w czasie aktualizacji oprogramowania lub korzystanie z oprogramowania, które nie jest już wspierane przez producenta, może prowadzić do poważnych konsekwencji. Takie nieakceptowalne sytuacje wciąż niejednokrotnie się zdarzają, o czym świadczą wydane przez PUODO decyzje administracyjne.

W decyzji administracyjnej z dnia 23 czerwca 2022 r., sygn. DKN.5131.11.2022, wskazano, że:

„Administrator nie przewidział jednak zastępowania systemów operacyjnych ani innych systemów wykorzystywanych do przetwarzania danych osobowych, które utraciły już wsparcia ich producenta, systemami, które takie wsparcie posiadają z dokonanych ustaleń wynika, że to właśnie poprzez nieposiadający wsparcia producenta system operacyjny urządzenia służącego do wydawania kluczy (e-dozorca), tj.[…], nastąpiło przełamanie zabezpieczeń przez złośliwe oprogramowanie”.

Z dalszej treści decyzji wynika, że administrator danych osobowych zaniedbał aktualizacji nie tylko jednego oprogramowania: „W raporcie wskazano też na błędy, które przyczyniły się do wystąpienia naruszenia, tj.: na „podpięciu e-dozorcy do głównego vlanu sieci LAN Urzędu Miasta O. (…)” oraz „przy zakupie rozwiązania e-dozorcy nie sprawdzono specyfikacji produktu (można było wymusić na producencie aktualizację systemu operacyjnego oraz instalację systemu antywirusowego)”. Wskazać należy, że ww. system utracił podstawowe wsparcie producenta w dniu […] stycznia 2011 r., natomiast świadczenie usługi wsparcia rozszerzonego dobiegło końca w dniu […] stycznia 2016 r. W toku postępowania ustalono jednak, że system […] nie był jedynym systemem informatycznym używanym przez Administratora, który nie posiadał wsparcia jego producenta. Kolejnym oprogramowaniem stosowanym w Urzędzie Miasta O. bez takiego wsparcia był system operacyjny […]. Wskazać należy, że ww. system stracił wsparcie producenta w dniu […] stycznia 2020 r. ([…]). Oznacza to, że od dnia […] stycznia 2016 r. (w przypadku systemu […]) i od dnia […] stycznia 2020 r. (w przypadku systemu […]), zgodnie z informacjami podanymi przez producenta oprogramowania, dla tych systemów nie były wydawane aktualizacje oprogramowania oraz aktualizacje zabezpieczeń i poprawek.”

Z kolei w decyzji administracyjnej z dnia 11 stycznia 2021 r., sygn. DKN.5130.2815.2020, wskazano, że: „(…) stwierdzono, że do pracy wykorzystywano system operacyjny E, dla którego zgodnie z informacją podaną na stronie producenta termin wsparcia technicznego zakończył się […] stycznia 2020 r. (https:// […]) oraz system baz danych B, dla którego wsparcie techniczne zakończono […] lipca 2019 r. (https:// […]). Oznacza to, że od tego momentu zgodnie z informacjami podanymi przez producenta oprogramowania dla ww. systemów nie były wydawane aktualizacje oprogramowania oraz aktualizacje zabezpieczeń i poprawek. Wobec braku zastosowania przez administratora danych innych środków technicznych i organizacyjnych mających na celu zminimalizowanie ryzyka naruszenia bezpieczeństwa danych w związku z zakończeniem wsparcia przez producenta oprogramowania używanego przez Spółkę do przetwarzania danych osobowych, stwierdzić należy, że Spółka nie zapewniła odpowiedniego zabezpieczenia danych przetwarzanych przy ich użyciu”.

Powyższe przykłady potwierdzają, że podstawą bezpieczeństwa niezmiennie pozostaje używanie aktualnego oprogramowania dla wszystkich elementów infrastruktury teleinformatycznej.

Korzystanie z systemów operacyjnych, w tym z tych najpopularniejszych, które były przedmiotem decyzji, oraz systemów informatycznych służących do przetwarzania danych osobowych po zakończeniu wsparcia technicznego przez ich producenta w sposób istotny obniża ich poziom bezpieczeństwa, zwiększając podatność na cyberataki. Brak wbudowanych oraz aktualizowanych zabezpieczeń zwiększa w szczególności ryzyko infekcji za pomocą złośliwego oprogramowania oraz ataków poprzez powstawanie nowych luk w zabezpieczeniach.

Wieloskładnikowe uwierzytelnienie jako standard przy dostępie do baz danych

Co prawda decyzja z dnia 10 września 2019 r., sygn. ZSPR.421.2.2019, dotycząca spółki Morele, została uchylona przez NSA w bieżącym roku, to bez wątpienia zawarte w niej tezy odnoszące się do adekwatnego standardu bezpieczeństwa pozostają aktualne. Była to bowiem pierwsze decyzja, w której PUODO wprost wskazał, jaki punkt odniesienia należy przyjąć w kontekście doboru adekwatnych środków bezpieczeństwa, ale również jak należy ograniczyć dostęp do baz danych, w których przetwarzane są dane osobowe. Przedstawiając środki bezpieczeństwa oczami PUODO, nie można pominąć tej decyzji, która jawi się jako kanon.

W rzeczonej decyzji PUODO wskazał m.in., że: „kontrola dostępu i uwierzytelnianie to podstawowe środki bezpieczeństwa mające na celu ochronę przed nieautoryzowanym dostępem do systemu informatycznego wykorzystywanego do przetwarzania danych osobowych. Zapewnienie dostępu uprawnionym użytkownikom i zapobieganie nieuprawnionemu dostępowi do systemów i usług to jeden z wzorcowych elementów bezpieczeństwa, na którą wskazuje m.in. norma PN-EN ISO/IEC 27001:2017-06.

Wskazówek konkretyzujących w tym przedmiocie dostarczają obowiązujące standardy i normy, w szczególności normy ISO, które ulegają również ciągłym przeglądom i zmianom warunkowanym postępem technologicznym.

Europejska Agencja ds. Bezpieczeństwa Sieci i Informacji (ENISA) w swoich wytycznych dotyczących bezpieczeństwa przetwarzania danych osobowych wydanych w 2016 r.[1] z uwzględnieniem ww. normy (w wersji z 2013 r.) oraz przepisów rozporządzenia 2016/679, w ramach kontroli dostępu i uwierzytelniania rekomenduje stosowanie mechanizmu uwierzytelnia dwuetapowego dla systemów obejmujących dostęp do danych osobowych.”

W dalszej części rozstrzygnięcia organ nadzorczy uwypuklił znaczenie wieloskładnikowego uwierzytelnienia oraz potwierdził znaczenie takich standardów bezpieczeństwa jak OWASP czy NIST: „Fundacja OWASP, międzynarodowa organizacja non-profit, której celem jest opracowywanie i szerzenie dobrych praktyk kierowanych do twórców oprogramowania, w swoim dokumencie „OWASP Top 10 – 2017”[2], przedstawia listę największych zagrożeń dla aplikacji internetowych wraz z metodami zapobiegania im. Jednym z nich jest przełamanie środka uwierzytelniającego (najczęściej jednoetapowego). Jako środek zapobiegawczy rekomendowane jest stosowanie wieloetapowego uwierzytelniania jako sposób na znaczne zminimalizowanie ryzyka przełamania zabezpieczeń. (…) Również ten dokument, jak i przytoczona wyżej norma odwołują się do opracowania amerykańskiej agencji federalnej – Narodowego Instytutu Standaryzacji i Technologii (ang. National Institute of Standards and Technology, NIST) dokumentu – „NIST 800-63B: Wytyczne dotyczące tożsamości cyfrowej: uwierzytelnianie i zarządzanie cyklem życia aplikacji” (ang. Digital Identity Guidelines: Authentication and Lifecycle Management)”.

Choć decyzja odnosiła się do uwierzytelnienia przy dostępie do baz danych, to z pewnością administratorzy danych osobowych powinni stosować lub co najmniej rozważyć stosowanie dwuskładnikowego uwierzytelniania również w innych przypadkach takich jak: logowanie do poczty służbowej, logowanie do wewnętrznych komunikatorów, umożliwienie swoim użytkownikom dwuskładnikowego uwierzytelnienia do kont w podmiotach e-commerce.

Hasło (nie) należy zmieniać

Dotychczas wydane decyzje administracyjne zawierają także wskazówki co do tego, jakich algorytmów nie należy stosować w kontekście dodatkowego zabezpieczania haseł. W decyzji z 9 grudnia 2021 r., sygn. DKN.5130.2559.2020, Prezes Urzędu Ochrony Danych osobowych stwierdził, że: „Zastosowanie funkcji skrótu opartej na algorytmie MD5 (bez dodatkowych technik zabezpieczających) oraz ograniczenie złożoności zabezpieczanego w ten sposób hasła (…) stanowi niewystarczający środek techniczny, co stanowi o naruszeniu art. 32 ust. 1 rozporządzenia 2016/679. Słabość algorytmu MD5 jest powszechnie znana, a jego stosowanie w obecnych systemach teleinformatycznych niezalecane. Dodatkowo, mimo stosowania złożoności hasła w ww. zakresie, zastosowany algorytm wpływa na obniżenie czasochłonności uzyskania pierwotnej treści hasła.”

Podobnie orzekł francuski organ nadzorczy, uznając, że przechowywanie haseł do kont w bazie produkcyjnej w formie zaszyfrowanej za pomocą funkcji MD5 nie jest akceptowalne.

Korzystanie z tego typu funkcji jest zatem obarczone dużym ryzykiem.

PUODO w swoich materiałach edukacyjnych wskazuje również, że zmiana haseł w świetle aktualnych standardów bezpieczeństwa, nie jest wskazana[2]. Takie podejście zgodne jest ze stanem aktualnej wiedzy potwierdzanym przez różnego rodzaju instytucje i organizacje zajmujące się bezpieczeństwem. W tym kontekście warto przywołać rekomendacje CERT Polska dotyczące zasad uwierzytelniania użytkownika, które obejmują m.in. zasady tworzenia i (braku) zmiany haseł[3].

Zawierają one m.in. rekomendacje stosowania bezpiecznego algorytmu hashującego do przechowywania haseł (np. Argon2, Bcrypt), brak wymuszania okresowej zmiany haseł użytkowników (chyba że zachodzi podejrzenie, że aktualne hasło zostało przejęte lub upublicznione), minimalną długość hasła na co najmniej 12 znaków, zalecenie wsparcia dla uwierzytelnienia dwuskładnikowego oraz wyświetlenie użytkownikowi wskaźnika szacującego siłę nowo tworzonego hasła.

Stosowanie opisanych rekomendacji w odniesieniu do mechanizmów uwierzytelnienia z pewnością powinno być coraz bardziej powszechne.

Logi i ich monitorowanie

Praktycznym problemem, z jakim zmagają się przedsiębiorcy, nie tylko z branży IT, jest to, jakie zasady należy stosować przy zbieraniu logów, a przede wszystkim czas ich przechowywania. Jest to istotne zagadnienie, ponieważ logi umożliwiają ustalenie tego, jakie działania nastąpiły w systemie informatycznym, a przede wszystkim to, który użytkownik wykonał daną akcję. Ustalenie tego nie tylko może być przydatne w przypadku wystąpienia naruszenia ochrony danych, ale wręcz jest wymagane jako element rozliczalności.

Przedsiębiorcy nie są skłonni do nadmiernego przechowywania logów, bo zajmują one bardzo wiele przestrzeni dyskowej, a jej utrzymywanie jest kosztogenne.

W tym kontekście pewną wskazówką może być decyzja z dnia 9 grudnia 2021 r., sygn. DKN.5130.2559.2020, gdzie wskazano, że:  „W niektórych przypadkach ustalenie, czy doszło do ujawnienia danych osobowych, może wymagać czasu. Biorąc pod uwagę okoliczności, w jakich Administrator dowiedział się o naruszeniu (informacja od podmiotu trzeciego) oraz zebrany materiał dowodowy i ustalony na jego podstawie stan faktyczny, nie można stwierdzić, iż administrator wdrożył odpowiednie środki techniczne i organizacyjne pozwalające na szybkie wykrycie i zbadanie incydentu w celu ustalenia, czy faktycznie i w jaki sposób doszło do naruszenia ochrony danych osobowych, a jeżeli tak – podjąć działania zaradcze  i, w razie konieczności, zgłosić naruszenie i zawiadomić osoby, których dane dotyczą, o naruszeniu ochrony danych osobowych. Uprawniona nawet wydaje się konstatacja, że administrator nie dokonałby stwierdzenia naruszenia bez sygnału od podmiotu trzeciego, a niektóre ustalenia dokonane we Wstępnej analizie powłamaniowej byłyby niemożliwe, chociażby przez nieprzeanalizowanie zasadności 4-tygodniowego przechowywania logów (dzienników zdarzeń) maszyny wirtualnej. Dopiero po naruszeniu, w wyniku rekomendacji zawartej w ww. analizie, administrator zmienił dotychczasową praktykę i wydłużył okres przechowywania logów do […] tygodni.”

W okolicznościach niniejszej sprawy istotnym było to, że przedsiębiorca nie tylko nie monitorował logów, ale także przechowywał je przez zbyt krótki czas. Wyprowadzanie uniwersalnych, daleko idących wniosków, na kanwie opisanej sprawy byłoby zbyt dalekim uproszczeniem, niemniej jednak odnotować należy, że z decyzji wynika konieczność przeprowadzenia wnikliwej analizy zasadności przechowywania logów przez okres dłuższy niż 4 tygodnie.

Przepisy ogólnego rozporządzenia dotyczącego ochrony danych osobowych nie zawierają kanonu środków bezpieczeństwa. Nie wynika z nich również wprost i bezpośrednio obowiązek szkolenia własnych pracowników. Taki obowiązek jednak istnieje, a wyprowadzić go można z ogólnych obowiązków administratorów, co potwierdza praktyka orzecznicza.

Potwierdzenie powyższego znaleźć można w decyzji PUODO z 1 czerwca 2022 r., sygn. DKN.5131.2.2022, gdzie wskazano, iż „Przeprowadzanie szkoleń z zakresu ochrony danych osobowych, aby mogło zostać uznane za adekwatny środek bezpieczeństwa, musi bowiem być realizowane w sposób cykliczny, co zapewni stałe przypominanie, a w konsekwencji utrwalenie, zasad przetwarzania danych osobowych objętych szkoleniem”. Organ nadzorczy nie tylko potwierdził, że szkolenie jest istotnym środkiem zwiększającym bezpieczeństwo przetwarzanych danych, ale także podkreślił konieczność podejmowania w tym zakresie cyklicznych działań.

Interesujący wniosek płynie również z decyzji PUODO z dnia 9 grudnia 2021 r., sygn. DKN.5130.2559.2020, w której stwierdzono, że: „Nie można bowiem uzasadniać wskazywanych zabezpieczeń jako adekwatnych do ryzyka, wskazując na scenariusz działania sprawcy wykraczający poza schemat przyjęty w ocenie ryzyka, nie przedstawiając ku temu żadnych dowodów (analiza ryzyka). Trudno mówić o przyjmowaniu pewnych założeń dotyczących zagrożeń, nie przeprowadzając pełnego formalnego audytu systemu, w tym testów penetracyjnych, nie mając tym samym świadomości, jakie możliwości ma osoba uzyskująca nieuprawniony dostęp do systemu informatycznego. Należy wyraźnie podkreślić, że analizując ryzyko, w przyjmowanych scenariuszach (wektorach potencjalnego ataku), należy mieć świadomość, jakie realne możliwości ma atakujący, uwzględniając m.in. metody socjotechniczne, stan wiedzy technicznej, fizyczne aspekty bezpieczeństwa, w tym bezpieczeństwa teleinformatycznego, przy czym wspomnianego atakującego należy rozpatrywać zarówno z punktu widzenia osoby nieznającej organizacji administratora oraz jej infrastruktury informatycznej, jak również osoby, która wiedzę tę posiada”.

Organ zasugerował bowiem, że w pewnych przypadkach przeprowadzenie testów penetracyjnych nie powinno być traktowane w kategoriach zbędnego kosztu, a wręcz powinno mieć charakter obowiązkowy.

Dotychczas wydane decyzje administracyjne zawierają kompendium wiedzy co do akceptowalnego w danym kontekście przetwarzania danych osobowych zakresu możliwych do zastosowania środków technicznych i organizacyjnych. I choć nie można zapominać, że w okolicznościach danej sprawy zawsze istotne jest przeprowadzenie analizy ryzyka, to szereg wniosków płynących z przywołanych w artykule decyzji można traktować w kategoriach istotnego punktu odniesienia.

[1] Wyrok NSA z dnia 9 lutego 2023 r., sygn. akt III OSK 3945/21 w sprawie Morele czy wyrok WSA w Warszawie w sprawie Virgin Mobile (II SA/Wa 272/21 – Wyrok WSA w Warszawie).

[2] https://techinfo.uodo.gov.pl/hasla-praktyczne-wskazowki-czy-naprawde-trzeba-zmienic-haslo-co-30-dni/

[3] https://cert.pl/posts/2022/01/rekomendacje-techniczne-systemow-uwierzytelniania/

Artykuł Środki techniczne i organizacyjne według polskiego organu nadzorczego pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Privacy be design a privacy by default

Ochrona danych w fazie projektowania, czyli privacy by design, polega na tym, że administrator – zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania – wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi RODO oraz chronić prawa osób, których dane dotyczą (zob. art. 25 ust. 1 RODO). Innymi słowy, administrator planując i wdrażając określony proces dba o odpowiedni poziom zabezpieczenia danych osobowych już od samego początku każdego procesu oraz w czasie, gdy został on już wdrożony.

Natomiast privacy by default oznacza, że administrator ma zapewnić, aby istniał domyślny standard ochrony danych osobowych. Domyślnie przetwarzane miałyby być wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. W szczególności środki te zapewniają, żeby domyślnie dane osobowe nie były udostępniane bez interwencji danej osoby nieokreślonej liczbie osób fizycznych[2]. Domyślna ochrona danych ma działać w trakcie przetwarzania i skutecznie chronić dane osobowe, pomagając przestrzegać administratorowi obowiązki określone w art. 25. RODO.   

Ochrona danych w fazie projektowania – o co tak naprawdę chodzi?

Aby ochrona była skuteczna wszelkie środki i zabezpieczenia należy skonstruować i przygotować jeszcze przed podjęciem procesu przetwarzania. Co to oznacza? Jeżeli planujesz wdrożyć nowe rozwiązanie informatyczne albo masz pomysł na całkiem nowy program informatyczny lub zmiany w już istniejącym to zanim przystąpisz do jego realizacji najpierw zastanów się czy i jak będzie się on wiązał z przetwarzaniem danych osobowych. Następnie tak zaplanuj i zorganizuj swoje działania, aby we właściwy sposób zabezpieczyć to przetwarzanie. Organizacja działań powinna dać możliwość utworzenia solidnych zabezpieczeń, a także analizę potencjalnych zagrożeń oraz zmian, które umożliwiłyby wdrożenie dodatkowych środków w celu zminimalizowania ryzyka.

Co należy wziąć pod uwagę przy planowaniu odpowiednich zabezpieczeń?

W art. 25 ust. 1 RODO zostały wymienione elementy, które administrator musi uwzględnić przy określaniu środków dotyczących konkretnej operacji przetwarzania. Wszystkie te elementy pomagają ustalić czy wybrany środek będzie odpowiedni dla  skutecznego wdrożenia zasad. Z tego względu każdy z tych elementów nie stanowi celu samego w sobie, ale jest jednym z czynników, które należy uwzględnić łącznie, aby osiągnąć cel[3]. Spróbujemy zatem przyjrzeć się im bliżej. Będą to:

– stan wiedzy technicznej;

– koszt wdrażania;

– charakter, zakres, kontekst i cele przetwarzania;

– ryzyko naruszenia praw i wolności osób fizycznych.

Typowo, powyższe czynniki, będą przedmiotem analizy ryzyka, która pozwoli ustalić, które środki techniczne i organizacyjne faktycznie powinny zostać wdrożone.

Stan wiedzy technicznej, czyli musisz trzymać rękę na pulsie

Przepis art. 25 RODO nakłada obowiązek na administratorów, aby śledzili oni postęp w zakresie technologii, jakie znajdują się na rynku. Powinni śledzić zmiany i dostosowywać zaprojektowaną już ochronę, aktualizować zabezpieczenia i dokonywać ponownej analizy ryzyka. Jak zauważa EROD, pojęcie „stanu wiedzy technicznej” jest pojęciem dynamicznym, więc przygotowanie zabezpieczeń przez administratora nie może mieć charakteru jednorazowego w określonym czasie, ale poprzez śledzenie zmian powinien on stale dostosowywać zastosowane środki technologiczne. Mówiąc wprost – brak śledzenia zmian może skutkować brakiem zgodności z art. 25 RODO. Ponadto warto zauważyć, że termin ten nie wiąże się jedynie ze środkami technologicznymi, ale również może znaleźć zastosowanie w środkach organizacyjnych, jak np. organizacji szkoleń w zakresie technologii, bezpieczeństwa i ochrony dla pracowników zaangażowanych w ochronę danych osobowych.

Przykład:

Software House zaprojektowało aplikację, w której wykorzystywana jest technologia oparta o szyfrowanie. Po pewnym czasie okazało się, że zastosowane szyfrowanie stało się przestarzałe i jest łatwe do obejścia. W tej sytuacji SH ponownie przeprowadza analizę ryzyka i wdraża nowy rodzaj szyfrowania, oparty o najnowszy stan wiedzy technicznej.

Koszty wdrożenia proponowanych rozwiązań

Wymieniona w art. 25 przesłanka kosztów wdrażania nie zmusza administratora do wydatkowania nieproporcjonalnie dużych zasobów, o ile tylko istnieją jakiekolwiek inne, bardziej ekonomiczne, które zapewnią równie skuteczne środki. Jednak wybrane środki muszą zapewniać, aby czynność przetwarzania danych przewidziana przez administratora nie odbyła się z naruszeniem zasad, niezależnie od kosztów[4]. Powinien on zarządzać kosztami w taki sposób, żeby skutecznie dobrać środki zapobiegające utraty ochrony danych osobowych.

Charakter, zakres, kontekst i cele przetwarzania

     Podczas projektowania ochrony danych administrator powinien brać pod uwagę charakter, zakres, kontekst i cele przetwarzania danych. Wiążą się one nie tylko z art. 25 RODO, ale również art. 24 – obowiązkami administratora, art. 32 – bezpieczeństwem przetwarzania oraz art. 35 – przeprowadzeniem kwalifikowanej analizy ryzyka, czyli oceny skutków dla ochrony danych. Ww. czynniki to cechy, które wiążą się z danym przetwarzaniem danych osobowych. Charakter przetwarzania oznacza jego cechy, takie jak np. ciągłość, powtarzalność, albo przeciwnie – incydentalność. Zakres oznacza wielkość i zasięg przetwarzania danych, natomiast kontekst to dodatkowe okoliczności, które mogą mieć wpływ na ocenę danej operacji przetwarzania. Cele przetwarzania danych również powinny mieć wpływa na to, w jaki sposób będziemy projektować ochronę tych danych.

Przykład

Inaczej będziemy projektować zasady ochrony danych osobowych w przypadku aplikacji służącej do przetwarzania badań diagnostycznych pacjentów, gdzie pacjent będzie mógł mieć dostęp do wszystkich swoich aktualnych i archiwalnych wyników badań, a inaczej w przypadku tworzenia aplikacji zwykłego sklepu internetowego, gdzie sprzedawana jest przykładowo odzież. W pierwszym przypadku mamy do czynienia z przetwarzaniem w sposób ciągły (charakter przetwarzania) danych osobowych wrażliwych – dotyczących zdrowia (kontekst przetwarzania), w szerokim zakresie (potencjalnie wszystkie badania diagnostyczne pacjenta) w celu zapewnienia pacjentowi dostępu do wyników (cel przetwarzania). Natomiast w przypadku przetwarzania danych w sklepie internetowym celem przetwarzania będzie umożliwienie zakupów, dane będą przetwarzane w zakresie wąskim i będą miały zwykły charakter. W związku z powyższym nie ulega wątpliwości, że administrator, który projektuje i wdraża aplikację zawierającą wyniki badań będzie zobowiązany do zaplanowania i wdrożenia wyższego poziomu zabezpieczeń niż administrator, który zakłada sklep internetowy.

Analiza ryzyka to podstawa

Pomimo że administratorzy korzystają z powyższych narzędzi, to muszą oni za każdym razem przeprowadzać indywidualną analizę ryzyka w zakresie ochrony danych w odniesieniu do każdorazowej operacji przetwarzania, a ocena ta powinna podlegać okresowym aktualizacjom. Powinno się również zwracać szczególną uwagę na zagrożenie związane z brakiem dobrowolnej zgody związanej z przetwarzaniem danych osobowych dzieci i młodzieży poniżej 18. roku życia. Bardzo istotne jest, aby wdrażać odpowiednie środki w celu ograniczenia i skutecznego zminimalizowania określonych zagrożeń związanych z grupą osób, których dane dotyczą.

Przy ochronie danych osobowych kluczowe są działania zapobiegawcze oraz aspekt czasu, w którym dochodzi do reakcji administratora. Zdaniem EROD w interesie administratora leży jak najszybsze wdrożenie zasad privacy by design oraz privacy by default, albowiem późniejsze ich wdrożenie, w ramach gotowego już procesu, może być znacznie droższe.

Domyślna ochrona danych

Termin „domyślnej” ochrony danych będzie tu odnosić się do podejmowanych decyzji dotyczących wartości konfigurujących lub opcji przetwarzania, które są zapisane w systemie przetwarzania (np. aplikacja, usługa, urządzenie) mających wpływ na ilość zgromadzonych danych, zakres, w jakim są przetwarzane, okres ich przechowywania oraz ich dostępność. Kluczowa w wyborze przez administratora odpowiednich środków będzie ocena konieczności (niezbędności), która powiązana jest z art. 6 ust.1 RODO, gdzie opisane są prawne podstawy przetwarzania. Wiąże się to, mówiąc krótko, z tym, że administrator nie będzie gromadził większej ilości danych, niż jest to niezbędne, ani też przechowywał ich dłużej niż jest to niezbędne.

Wymiary obowiązku privacy by default

Warto opisać tu wymiary obowiązku wdrożenia privacy by default opisane w art. 25 ust. 2 RODO. Administrator powinien określić i porównać ryzyko; większe ryzyko wiąże się z sytuacją, gdy gromadzone są duże ilości szczegółowych danych, podczas gdy ryzyko będzie mniejsze podczas gromadzenia mniejszych ilości danych lub mniej szczegółowych danych. Jeżeli tylko w wystarczającym stopniu dla celu przetwarzania mniej szczegółowe dane osobowe są wystarczające, to należy dokonać minimalizacji ilości zbieranych danych. To samo będzie dotyczyć zakresu ich przetwarzania – powinno uważać się, aby nie przetwarzać danych w celach innych niż pierwotnie zakładane (art. 6 ust. 4 RODO) i nie wykroczyć poza zakres przetwarzania, który jest zgodny z uzasadnionymi oczekiwaniami osób, których dane dotyczą.

Taka zasada będzie dotyczyć także okresu przechowywania danych. Każdorazowe przetwarzanie danych przez dłuższy okres powinno zostać obiektywnie uzasadnione przez administratora zgodnie z zasadą rozliczalności. W wypadku, gdy uzna się, że dane osobowe nie są już  potrzebne w procesie przetwarzania należy je usunąć lub poddać procesowi anonimizowania. Długość czasu, w jakim dane są przetwarzane, zgodnie z zasadą ograniczenia przetwarzania (art. 5 ust. 1 lit. e), będzie zależeć od celu przetwarzania. Proces usuwania niepotrzebnych już danych osobowych powinien zostać, w ramach domyślnej ochrony, zautomatyzowany.

Przykład

Administrator danych osobowych stosuje program, gdzie archiwizuje wszystkie umowy, które wiążą go z kontrahentami. W ramach programu administrator posiada część archiwalną, gdzie ustawia okresy, po jakich dane klienta są automatycznie usuwane z systemu.

Minimalizacji podlega wreszcie udostępnianie danych – ich treść oraz liczba osób, którym są udostępniane dane osobowe. Administrator domyślnie ogranicza dostępność danych, a także zapewnia osobie, której dane dotyczą, możliwość interwencji przed ich opublikowaniem lub udostępnieniem. Wydaje się to bardzo istotne w kontekście internetu, gdzie łatwo mogłoby to skutkować o wiele szerszemu udostępnianiu danych niż pierwotnie było to zamierzone. Wreszcie konieczne jest podkreślenie, że nawet jeśli dane osobowe będą udostępniane za zgodą i wiedzą osoby, której dane dotyczą, nie będzie to oznaczać, iż każdy inny administrator posiadający dostęp do tych danych mógłby je swobodnie przetwarzać do własnych celów. Musiałby wtedy dysponować odrębną podstawą prawną[5].

Wdrażanie zasad ochrony w praktyce firmy IT

W całym procesie ochrony danych osobowych bardzo istotnym elementem, który umożliwia realizację tej ochrony w fazie projektowania oraz domyślnej ochrony danych, będzie wdrożenie zasad, jakie zostały wymienione w art. 5 oraz motywie 39 RODO. Będą to: przejrzystość, zgodność z prawem, rzetelność, ograniczenie celu, minimalizacja danych, prawidłowość, ograniczenie przechowywania, integralność i poufność oraz rozliczalność. Choć wydaje się, że te rozważania są teoretyczne to zasady te będą miały bardzo duże znaczenie praktyczne w przypadku wdrażania zmian w istniejących systemach informatycznych albo projektowaniu nowych systemów, aplikacji lub programów.

Przejrzystość oraz zgodność z prawem

Administrator, który projektuje politykę prywatności na swojej stronie internetowej w celu spełnienia wymogów przejrzystości, musi zawrzeć w niej informacje sformułowane w jasnym i zwięzłym języku, aby osoby, których dane dotyczą nie miały problemu ze zrozumieniem (przede wszystkim, kiedy są to dzieci lub członkowie innych grup szczególnie uprzywilejowanych). Muszą być one łatwo dostępne i nie nazbyt dużej ilości, żeby najważniejsze punkty były łatwe do znalezienia. W związku z tym administrator dostarcza informacji w sposób wielowarstwowy – szczegółowe, podstawowe dane są łatwo dostępne, a rozwijane menu, linki do innych stron służą dalszemu wyjaśnieniu. Muszą być przekazywane w odpowiednim kontekście (odpowiednim czasie oraz formie) i w stosowny sposób (mają zastosowanie do osób, których dane dotyczą).

Przykład

Dostawca oprogramowania udostępnia na swojej stronie politykę prywatności i cookies. Polityki są łatwo dostępne, napisane są przejrzystym językiem.

Niezbędne jest, aby została określona podstawa prawna przetwarzania danych osobowych. Kluczowe elementy w fazie projektowania i domyślnej ochrony danych mogą obejmować:

–  stosowność (podstawy prawne mają stosowne zastosowanie);

– zróżnicowanie podstaw prawnych co do każdej czynności przetwarzania;

– konkretny cel (właściwa podstawa musi być powiązana z konkretnym celem);

– konieczność, to znaczy przetwarzanie musi być niezbędne i bezwarunkowe, żeby jego cel był zgodny z prawem.

Innymi ważnymi elementami są: autonomia przyznana osobie, której dane dotyczą w odniesieniu do kontroli nad tymi danymi, uzyskanie zgody, a także możliwość wycofania zgody, która powinna być równie prosta, jak jej udzielenie. Bardzo ważne jest przeprowadzenie przez administratora testu równowagi interesów, kiedy podstawą prawną są prawnie uzasadnione interesy. Niezbędne jest, aby istniały środki i zabezpieczenia, jakie mają na celu złagodzenie negatywnego wpływu na osoby, których dane dotyczą. Ponadto podstawa prawna musi być ustalona przed rozpoczęciem jakiegokolwiek przetwarzania danych, a w wypadku, gdy przestaną one mieć zastosowanie, należy odpowiednio przerwać przetwarzanie. Jeśli występuje współadministrowanie, to strony muszą wyraźnie rozdzielić swoje obowiązki w stosunku do osoby, której dane dotyczą[6].

Rzetelność

Rzetelność stanowi nadrzędną zasadę, która wymaga, aby dane osobowe nie zostały przetwarzane w sposób, który byłby bezzasadnie szkodliwy, nieoczekiwany, dyskryminujący lub też wprowadzający w błąd względem osoby, której dane dotyczą. Środki i zabezpieczenia, jakie są podstawą realizowania zasady rzetelności, wspierają także prawa i wolności osób, których dane dotyczą, a w szczególności prawo do informacji (przejrzystości), do interwencji (dostępu, usuwania, przenoszenia, prostowania danych), oraz prawo do ograniczenia przetwarzania. Osobom tym przyznaje się najwyższy zakres autonomii, żeby mogły swobodnie decydować o sposobie wykorzystania ich danych. Przykład:

Administrator nie może stosować algorytmów, które mogłyby prowadzić do dyskryminacji użytkowników danego systemu lub oprogramowania.

Ograniczenie celu oraz minimalizacja danych

Obydwie zasady są ściśle powiązane z wykorzystaniem jedynie niezbędnych danych, które zapewnią osiągnięcie celu. Są jednak dwoma przeciwnymi końcami tego samego procesu – środkami prowadzącymi do celu oraz samym celem. Administrator jest zatem zobowiązany do zebrania danych w konkretnych, wyraźnych i prawnie uzasadnionych celach. W wypadku dalszego przetwarzania należy upewnić się czy cele tego przetwarzania będą zgodne z celami pierwotnymi – administrator powinien zastosować środki techniczne (haszowanie i szyfrowanie) w celu ograniczenia ponownego wykorzystania danych osobowych. Pomocne będą również środki organizacyjne, jak np. strategie i zobowiązania umowne.  

W wypadku zasady minimalizacji danych kluczowe będzie na początek ustalenie przez administratora czy w ogóle dane osobowe muszą być przetwarzane do osiągnięcia odpowiednich celów. Ewentualnie powinien sprawdzić, na ile może przetwarzać mniej danych osobowych lub posiadać mniej szczegółowe lub zagregowane dane. Musi on z góry określić, które cechy parametrów systemów przetwarzania oraz ich funkcje będą dopuszczalne. Powinny być przetwarzane jedynie adekwatne, stosowne, a także ograniczone do tego, co niezbędne do osiągnięcia celu dane osobowe.

Kwestia minimalizacji wiąże się również ze stopniem identyfikacji osoby, której dane dotyczą. W wypadku, gdy cel nie wymaga, żeby ostateczny zbiór danych odnosił się do zidentyfikowanej osoby fizycznej, administrator powinien usunąć lub poddać anonimizacji dane osobowe, gdy identyfikacja nie będzie już konieczna. Natomiast, gdy dalsza identyfikacja będzie konieczna w odniesieniu do innych czynności przetwarzania, dane należy spseudonimizować. W ten sposób zminimalizuje się ryzyko naruszenia praw osób. Podobnie minimalizacji będzie podlegać liczba kopii, czyli nie wytwarzania ich, o ile nie wymaga tego skuteczność przepływu danych. W osiągnięciu tych obowiązku ma pomagać administratorowi aktualny stan wiedzy technicznej, której rozwój powinien on aktywnie śledzić.

Przykład:

Fiński organ nadzorczy wydał decyzję, zgodnie z którą pracodawca, zbierający na potrzeby rekrutacji m.in. takie dane jak dane dot. wyznania kandydata, stanu zdrowia, możliwej ciąży oraz dane dot. członków rodziny, stanowiło naruszenie zasady minimalizacji danych osobowych i nie było niezbędne z punktu widzenia celu przetwarzania danych osobowych[7].

Prawidłowość oraz ograniczenie przechowywania

Przetwarzane dane osobowe powinny pochodzić z wiarygodnych źródeł, a administrator musi usuwać lub też sprostować wszystkie błędne dane bez zbędnej zwłoki. Powinien on dokonać weryfikacji danych przed rozpoczęciem procesu przetwarzania, jak również na różnych jego etapach. W wypadku zautomatyzowanych decyzji opartych na sztucznej inteligencji, administrator musi ograniczyć w miarę możliwości skutki powielanych błędów oraz zmniejszyć liczby fałszywych wyników dodatnich/ujemnych. Natomiast osoby, których dane dotyczą powinny otrzymywać informacje na temat danych osobowych i otrzymać skuteczny dostęp do nich, by mieć możliwość kontroli poprawności czy też sprostowania (zgodnie z art. 12-15 RODO). W tym kontekście administrator powinien także zadbać o odpowiednie okresy retencji.

Integralność i poufność

Zasada integralności i poufności wydaje się kluczowa w ochronie danych osobowych, a w szczególności w przypadku wdrażania zmian w systemach informatycznych. Dotyczy ochrony przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem, przed przypadkową utratą, zniszczeniem albo uszkodzeniem. Służą temu odpowiednie środki techniczne i organizacyjne, które administrator powinien wykorzystywać w tworzeniu doskonalszych zabezpieczeń[8]. W gestii administratora leży przeprowadzanie regularnych przeglądów i zarządzania reagowaniem na incydenty naruszające bezpieczeństwo. Powinien on tez dysponować odpowiednimi procesami, które umożliwiałyby reagowanie na naruszenia i incydenty, aby system przetwarzania był bardziej niezawodny, a zatem w obowiązku administratora jest doskonalenie go. Ochrona powinna być zależna od stopnia obarczenia ryzykiem – im dane bardziej podatne na ryzyko, tym powinny być lepiej chronione, oddzielone od reszty danych osobowych.

Administrator powinien również stosownie zarządzać kontrolą dostępu. Do zadań powiązanych z przetwarzaniem muszą być wyznaczeni jedynie upoważnieni pracownicy, a żaden z nich nie posiadał pełnego dostępu do danych na temat osoby, której dane dotyczą. Należy też, w miarę możliwości zminimalizować liczbę osób zaangażowanych w ochronę. Wreszcie dane osobowe oraz kopie mają być pseudonomizowane w ramach środków bezpieczeństwa.

Przykład:

W 2020 r. doszło do sytuacji, w której pewna spółka działając w branży energetycznej zgłosiła swojemu dostawcy oprogramowania, że działa ono zbyt wolno.  W związku z tym dostawca ten dokonał zmiany systemu w celu poprawy jego wydajności i szybkości działania. Zmiana polegała na stworzeniu i instalacji nowej bazy klientów administratora. Niestety, baza ta została skopiowana przez nieuprawnione podmioty. W bazie nie było danych „wrażliwych”, ale były tam takie dane jak PESEL, rodzaj, seria i numer dokumentu tożsamości, adres e-mail, numer telefonu, numer i adres punktu poboru oraz dane dotyczące umowy zawartej z administratorem.

Podmiot przetwarzający (dostawca oprogramowania) wskazał, iż na etapie, w którym doszło do wycieku danych osobowych, nie zostały jeszcze wdrożone zabezpieczenia systemu. Etap wdrożenia produkcyjnego i zakończenie wdrażania zabezpieczeń był planowany właśnie w kwietniu 2020 r. W czasie, w którym doszło do wycieku, trwał proces testów, a także zasilanie bazy danymi.

W opisywanej sprawie PUODO wydał decyzję[9], w której wskazał szereg błędów, jakie zostały popełnione przez dostawcę oprogramowania w opisywanym przypadku. Przede wszystkim podmiot przetwarzający już na etapie testowania bazy wprowadził prawdziwe dane osobowe, nie zapewniając w tym zakresie poufności. Skoro jednak takie dane zostały wprowadzone to należało zastosować taki poziom zabezpieczeń jak w systemach produkcyjnych. PUODO wskazał także, że dostawca oprogramowania powinien wdrożyć realnie działające polityki i procedury, które opisywałyby w jaki sposób prawidłowo wdrażać zmiany w systemie informatycznym, określające:

 – sposób dokonywania zmian w systemach informatycznych służących do przetwarzania danych osobowych;

–  konieczność utworzenia środowiska testowego;

– odpowiedniego zabezpieczenia rzeczywistych danych klientów administratora, w przypadku ich wykorzystania do testowania wprowadzanych zmian;

–  zasad kontroli poprawności realizacji poszczególnych etapów projektu;

– zdefiniowanie wymaganych zabezpieczeń.

Rozliczalność

To administrator jest odpowiedzialny za przestrzeganie wszystkich tych zasad i powinien umieć wykazać ich przestrzeganie, o czym stanowi zasada rozliczalności. Ewentualne sankcje pieniężne określają organy nadzorcze, a ochrona danych w fazie projektowania, a także domyślna ochrona danych są również czynnikiem, który określa wysokość kar za naruszenie przepisów RODO[10].

Podsumowanie

Zastosowanie zasad privacy by design i privacy by default  ma charakter wielowątkowy, jednak nie jest skomplikowane. Każdy podmiot, który przetwarza dane osobowe powinien w każdym momencie prowadzonych przez siebie działań mieć na uwadze ochronę danych osobowych oraz wdrożyć takie rozwiązania, które zapewnią, że ta ochrona będzie faktycznie stosowana. Zasady te mają bardzo duże znaczenie w przypadku tworzenia nowych środowisk informatycznych, a także wprowadzania zmian w już istniejących. Dostawca usług informatycznych powinien w związku z tym wdrożyć odpowiednie procedury i polityki, określające sposób postępowania zarówno w nowych projektach, jak i w przypadku wprowadzania zmian w już istniejących systemach. Ważnym elementem będzie tutaj także analiza ryzyka, w wyniku której możliwe będzie określenie, jakie zabezpieczenia powinny być wdrożone. Pamiętajmy, że brak stosowania ww. zasad w praktyce może prowadzić do poważnych konsekwencji, takich jak wyciek danych osobowych, co może się wiązać z konsekwencjami dla przedsiębiorcy. 

[1] Wytyczne nr 4/2019 dotyczące artykułu 25 Uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych, dostęp online: https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_pl.pdf

[2] Porównaj art. 25 RODO.

[3] Wytyczne EROD, https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_pl.pdf.

[4] Wytyczne EROD, 2.1.3.2 „koszt wdrażania”, tamże.

[5] Wytyczne EROD, 2.2.2 Wymiary obowiązku minimalizacji danych, tamże.

[6] Porównaj: Wytyczne EROD 3.1-3.2, tamże.

[7] Decyzja Tietosuojavaltuutetun toimisto – 137/161/20, skrócona wersja dostępna tutaj: https://gdprhub.eu/index.php?title=Tietosuojavaltuutetun_toimisto_-_137/161/20

[8] Porównaj: Motyw 78 RODO.

[9] Decyzja z dnia 19 stycznia 2022 r., DKN.5130.2215.2020, dostęp online: https://uodo.gov.pl/decyzje/DKN.5130.2215.2020

[10] Porównaj art. 83 ust.4 RODO.

Artykuł Jak prawidłowo wdrażać zmiany w systemach informatycznych, czyli privacy by design and privacy by default pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.

Czym jest sourcing kandydatów?

Nie ma jasnej i jednoznacznej definicji sourcingu, jednak z licznych źródeł internetowych dowiadujemy się, że sourcing polega na aktywnej postawie pracodawcy, który wyszukuje kandydatów, a następnie inicjuje z nimi kontakt, jeżeli uzna, że mogą stanowić realną wartość dla firmy i mogą objąć określone stanowisko. Cały proces składa się z kilku, niekoniecznie takich samych etapów, gdzie rekruter poznaje kandydata, bada jego doświadczenie, czy kwalifikacje, a w końcu nawiązuje kontakt by uzyskać więcej informacji. Nieraz w czasie „luźnej” rozmowy buduje z danym kandydatem relację, a dopiero po pewnym czasie proponuje mu przykładowo wzięcie udziału w procesie rekrutacyjnym.

Korzyści z sourcingu

Zgodnie z najnowszym badaniem Serwisu OLX Praca „EWOLUCJA HR. KNOW HOW 2023” obecnie 3 na 10 osób poszukuje pracy[i]. Są to osoby, które poszukują pracy aktywnie, przeglądają ogłoszenia i podejmują inne działania, aby nową pracę znaleźć. Jest jednak grupa takich osób, które pozostają pasywne, często funkcjonując w danym środowisku i na określonej posadzie od wielu lat nie myślą o zmianie, choć taka zmiana byłaby dla nich być może korzystna. To właśnie do takich kandydatów chcą dotrzeć specjaliści ds. sourcingu i pozyskać ich do nowych projektów. Jest to oczywiście częste w branży IT, gdzie zapotrzebowanie na pracowników jest ogromne.

Gdzie szukać kandydatów?

Pracodawca poszukujący kandydatów ma do wyboru kilka opcji, z których niestety nie każda będzie dobrym wyborem. Jeżeli chodzi o sourcing to zdecydowanie najczęstszą sytuacją będzie sytuacja, w której kandydat będzie poszukiwany w sieci, za pośrednictwem różnych portali, w tym takich, które niekoniecznie będą miały coś wspólnego z rekrutacją. Pracodawca ma obecnie wiele narzędzi, które mogą mu pomóc znaleźć i pozyskać odpowiedniego kandydata. Stosując te narzędzie musimy jednak pamiętać o tym, że nie każde z tych narzędzi będzie bezpieczne i będzie w należyty sposób zapewniało ochronę danych osobowych. Najbezpieczniej oczywiście korzystać z takich danych, które kandydat sam udostępnia o sobie.

Wybór nr 1 – portale społecznościowe

Portale społecznościowe mogą być świetnym źródłem, które pozwoli na pozyskanie cennego kandydata do pracy lub współpracy. Z naszych doświadczeń wynika, że wielu klientów interesuje się bezpośrednim poszukiwaniem kandydatów za pośrednictwem mediów społecznościowych albo zleca takie poszukiwania agencjom rekrutacyjnym. Przy korzystaniu z mediów społecznościowych należy jednak zachować ostrożność, zwłaszcza mając na uwadze charakter danego medium oraz profil kandydata. Nie każdy będzie sobie życzył kontaktu ze strony rekrutera przy korzystaniu z profili w mediach społecznościowych. Czym zatem powinien kierować się pracodawca, który chce w sposób legalny pozyskiwać kandydatów za pośrednictwem tych mediów i jak taki proces powinien przebiegać?

W „Poradniku dotyczącym zatrudnienia” wydanym przez Urząd Ochrony Danych Osobowych w 2018 r. czytamy, że gromadzenie danych osobowych udostępnionych przez kandydatów w mediach społecznościowych jest „niedopuszczalne”. Wydaje się jednak, ze to stanowisko jest jednak nieco zbyt daleko idące, mając na uwadze, że mamy obecnie różnego rodzaju portale społecznościowe, w tym takie, które są nakierowane stricte na znalezienie pracy. Jeżeli pracownik korzysta z takiego portalu, to należy uznać, że jego celem jest znalezienie pracy.

LinkedIn – portal biznesowy

Najpopularniejszym tego typu portalem jest oczywiście LinkedIn, który jest portalem o charakterze biznesowym. Polityka prywatności LinkedIn wprost przewiduje, że portal może proponować użytkownikom oferty pracy, a informacje udostępnione przez użytkownika mogą być wykorzystane przez rekruterów. LinkedIn umożliwia także zasygnalizowanie przez użytkowników dodatkowo chęci otrzymania ofert pracy poprzez ustawienie odpowiedniej „nakładki” na zdjęcie („open to work”). Brak ustawienia takiego statusu nie wyklucza jednak, że taką ofertę się otrzyma. W przypadku portalu LinkedIn zasady te są akceptowane przez użytkownika na etapie zakładania konta. W związku z powyższym wykorzystanie LinkedIn do sourcingu nie budzi wątpliwości, z tym zastrzeżeniem, że jeżeli ktoś wyraźnie napisze, że nie jest zainteresowany daną ofertą to niedoszły pracodawca nie będzie miał podstaw, aby dane takiej  osoby w jakimkolwiek zakresie przetwarzać.

GitHub

Podobnie należy ocenić poszukiwanie kandydatów na portalu GitHub, który skupia programistów. Nadrzędnym celem portalu nie jest poszukiwanie pracy, jednak jest to portal o charakterze biznesowym, a w internecie dostępne są poradniki, w jaki sposób dobrze zaprezentować się na portalu GitHub i jak stworzyć dobre portfolio. Wydaje się zatem, że korzystanie z portalu GitHub w celach rekrutacyjnych jest powszechnie akceptowalne i pożądane – zarówno przez potencjalnych pracowników, jak i pracodawców.

Facebook, Instagram, Twitter

Facebook, Instagram czy Twitter mają już nieco inny charakter niż LinkedIn. Facebook i Instagram to portale typowo rozrywkowe, gdzie ciężko będzie prowadzić działania o charakterze sourcingu, podobnie jak na Twitterze. Musimy tutaj zachować daleko idącą ostrożność, ponieważ portale te, co do zasady, nie mają charakteru biznesowego i dla zwykłych użytkowników stanowią jedynie rozrywkę, sposób na spędzenie czasu, ale już niekoniecznie na poszukiwanie pracy. Oczywiście nie ma problemu, aby za pośrednictwem tych portali umieszczać ogłoszenia o pracę, jednak nie to jest przedmiotem tego artykułu. Czy zatem można skutecznie sourcować kandydatów na tych portalach? Odpowiedź może być tylko jedna: to zależy. Nie wyobrażam sobie sytuacji, w której potencjalny pracodawca bez żadnego uzasadnienia przesyła propozycję pracy do kandydata za pośrednictwem portalu społecznościowego, gdzie większość z nas nie życzyłoby sobie takiego kontaktu. Sourcing na tych portalach mógłby jednak polegać na czymś innym, choć byłaby to bardziej promocja i marketing pracodawcy – na tworzeniu ciekawych treści, pokazywaniu pracy w firmie oraz angażowaniu się w dyskusje dotyczące danej branży. Wówczas pracodawca może liczyć na to, że zostanie zauważony przez kandydata i to potencjalny kandydat nawiąże z nim kontakt albo w wyniku innej interakcji z potencjalnym kandydatem będzie mógł nawiązać kontakt w sprawie zaproponowania oferty pracy.

Bazy pozyskujące dane kandydatów z internetu

Ostatnimi czasy bardzo popularne stały się portale, które pozwalają na wyszukiwanie danych osobowych w internecie, takie jak Apollo, Rocketreach, czy Lusha. Portale te przeszukują internet w poszukiwaniu danych osób i gromadzą je w jednym miejscu. Źródła pochodzenia danych są różne, jednak według regulaminów i polityk tych serwisów mają to być źródła powszechnie dostępne w sieci internet. Będą to przykładowo strony internetowe firm, portale społecznościowe, publicznie dostępne rejestry. Oczywiście portale te wykorzystywane są nie tylko w celach sourcingu, ale także w celach marketingowych, czy poszukiwania klientów. Za pośrednictwem tych portali możemy znaleźć dane biznesowe, będą to zatem (raczej) dane potencjalnych współpracowników, którzy mogliby podjąć współpracę w ramach umów B2B. Korzystanie z takich portali niesie ze sobą jednak wiele ryzyk z punktu widzenia RODO.

Ryzyka związane z korzystaniem z baz danych

– Ryzyko związane z udostępnianiem danych

Niektóre z takich portali nie tylko zapewniają dostęp do danych osobowych, ale także wymuszają na użytkowniku udostępnienie im danych osobowych. Takie dane są następnie udostępniane innym użytkownikom. Brak podania danych może oznaczać, że dany podmiot nie będzie w stanie szukać danych samodzielnie. Właściwie dochodzi do sytuacji, w której kontrola nad danymi osobowymi jest utracona, ponieważ nie mamy wpływu na to, komu takie dane będą następnie udostępnione. Niektóre z portali przewidują w tym zakresie nieodwołalną licencję na wykorzystanie takich danych. Na takie udostępnienie danych trzeba najpierw uzyskać zgodę osób, których dane dotyczą, ale w tej sytuacji ciężko sobie wyobrazić, aby ktoś takiej zgody udzielił.

– Ryzyko związane z nieprawidłowością danych

Zazwyczaj w przypadku portali, które tworzą bazy danych nie mamy informacji, skąd dane pochodzą. W politykach niektórych portali czytamy wręcz, że dane osobowe mogą być wnioskowane na podstawie innych danych osobowych – np. dane firmowego maila danej osoby mogą zostać wygenerowane przez portal na podstawie innych adresów. Dodatkowo, jeżeli dane się zmieniają to nie mamy informacji na temat tej zmiany i przetwarzamy dane nieprawidłowe, choć należy zaznaczyć, że niektóre z portali informują o zmianach danych. Przetwarzanie danych osobowych nieprawidłowych stanowi naruszenie art. 5 ust. 1 lit d RODO, zgodnie z którym dane osobowe muszą być prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane. W opisywanej sytuacji może być tak, że administrator nie będzie nawet wiedział, że przetwarzane dane się zmieniły i nie będzie mógł ich uaktualnić.

– Ryzyko związane z transferem międzynarodowym danych osobowych

Niektóre (o ile nie wszystkie) z portali działających jako bazy danych potencjalnych kontaktów biznesowych zlokalizowane są poza terytorium Europejskiego Obszaru Gospodarczego. Oznacza to, że korzystanie z nich może wiązać się z transferem danych osobowych do krajów trzecich – najczęściej do Stanów Zjednoczonych. Weryfikując takie portale należy sprawdzić, czy istnieje możliwość zawarcia tzw. standardowych klauzul umownych, które zabezpieczą taki transfer. Obecnie stosowanie standardowych klauzul umownych wydaje się powszechne, jednak w przypadku jednego z portali podstawą przekazania danych osobowych była zgoda, a nie klauzule – pomimo tego, że portal wymagał nie tylko przekazania danych osobowych osoby, która zakładała konto, ale także udostępnienia danych, które mogłyby zostać później dalej wykorzystane.

– Brak informacji o źródle pozyskania danych

Zgodnie z art. 14 RODO, jeżeli administrator pozyskuje dane osoby z innego źródła niż bezpośrednio od osoby, której dane dotyczą, to powinien takiej osobie przekazać informację m.in. o źródle pozyskania jej danych osobowych. Jak już wyżej wspomniano, w przypadku korzystania z takich portali, nie zawsze będziemy wiedzieć skąd dane pochodzą. Mało tego, w przypadku, gdy dany podmiot udostępnia dane na rzecz innych użytkowników, to jeden z tego typu portali zapewnia, że źródło danych nie będzie pozostałym użytkownikom udostępniane. Tymczasem, najlepiej byłoby, abyśmy mogli samodzielnie zweryfikować dane źródło podania danych – np. klikając w odpowiedni link.

Z powyższego jasno wynika, że korzystanie z portali, które zbierają dane z internetu i tworzą z nich bazy danych, może być ryzykowne z powyższych powodów. Dodatkowo, samo nawiązanie kontaktu przy pomocy tak pozyskanych danych osobowych może być problematyczne – jak bowiem taki kontakt uzasadnić i jak określić podstawę prawną naszego działania?

Sourcing – co z podstawą przetwarzania danych osobowych?

Zgodnie z RODO, aby przetwarzać dane osobowe musimy legitymować się jedną z podstaw, określoną w art. 6 RODO. W praktyce, w przypadku prowadzenia rekrutacji w formie sourcingu, możemy oprzeć się na następujących podstawach prawnych:

1. Art. 6 ust. 1 lit f – uzasadniony interes administratora, polegający na poszukiwaniu kandydatów na stanowiska w ramach swojej firmy;
2. Art. 6 ust. 1 lit b – przetwarzanie jest niezbędne do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy;
3. Art. 6 ust. 1 lit. a – zgoda osoby, której dane dotyczą na przetwarzanie;
4. Art. 6 ust. 1 lit. c – przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.

W przypadku sourcingu podstawa przetwarzania danych będzie płynna. Początkowo administrator, działając w ramach uzasadnionego interesu będzie przeglądał dostępne źródła, aby „wyłowić” potencjalnych kandydatów, którzy mogą być zainteresowani pracą albo współpracą. Następnie pracodawca (albo rekruter, działający w jego imieniu) nawiąże kontakt z potencjalnym pracownikiem. Przykładowo, prześle wiadomość na portalu GitHub albo LinkedIn. Następnie, w toku rozmowy, okaże się czy kandydat jest zainteresowany udziałem w rekrutacji, czy nie. Wówczas, w zależności od tego, w jakim kierunku pójdzie rozmowa, podstawa przetwarzanie ulegnie zmianie i obejmie jedną z podstaw wskazanych w lit. b-d, w zależności od rodzaju procesu rekrutacyjnego, tego kto go prowadzi oraz planowanej formy współpracy kandydata.

Należy przy tym pamiętać, że zgoda w rozumieniu art. 6 RODO nie oznacza wyłącznie zgody wyraźnej, ale może być wyrażona poprzez zachowanie kandydata. Jeżeli przykładowo rekrutację prowadzi agencja rekrutacyjna i kandydat po otrzymaniu pierwszej wiadomości kontynuuje rozmowę, przesyła CV, przedstawia swoje doświadczenie i kwalifikacje, to należy uznać, że wyraża zgodę na taki kontakt poprzez swoje zachowanie.

Obowiązek informacyjny

Zgodnie z art. 13 oraz 14 RODO mamy w stosunku do kandydatów obowiązek informacyjny, tj. powinniśmy przekazać im dokładną informację, m.in. kto przetwarza ich dane, w jakich celach, na jakiej podstawie itd. Taki obowiązek informacyjny może zostać wypełniony w ten sposób, że prześlemy kandydatowi link do jego treści albo jako załącznik w formacie pdf. Często także kandydat otrzymuje link do formularza aplikacyjnego, gdzie może złożyć aplikację na dane stanowisko – wówczas w takim właśnie formularzu znajdzie się obowiązek informacyjny.

Obowiązek informacyjny może być natomiast trudny lub wręcz niemożliwy do spełnienia w przypadku pozyskania danych z portali, które tworzą bazy danych, ale nie ujawniają źródła pochodzenia danych. W takim wypadku może okazać się, że nie będziemy mogli wypełnić tego obowiązku.

Co gdy kandydat nie życzy sobie rozmowy?

Jeżeli wyszukany przez nas kandydat w sposób jasny zamanifestuje, że nie jest zainteresowany rozmową to nie możemy dalej przetwarzać jego danych osobowych.  Swoim zachowaniem pokazuje bowiem, że nie wyraża zgody na taki kontakt, nie jest zainteresowany ofertą pracy, a my nie mamy już dalej uzasadnionego interesu, aby dane osobowe kandydata przetwarzać.

Zdaniem Autora:

Korzystanie z sourcingu jest obecnie jednym z powszechnie stosowanych i akceptowanych sposobów na poszukiwanie kandydatów do pracy lub współpracy. Sourcing pozwala na dotarcie do kandydatów pasywnych, jest więc szczególnie cenny dla pracodawców, którzy nie byliby w stanie dotrzeć do takich osób w inny sposób. Przy stosowaniu sourcingu należy jednak zachować ostrożność, zwłaszcza korzystając z portali, które nie mają charakteru biznesowego. W każdym przypadku należy zadbać o to, aby mieć ważną podstawę przetwarzania danych osobowych, a także aby przekazać kandydatom odpowiednie informacje dotyczące przetwarzania ich danych osobowych. Jeżeli chodzi o portale, które agregują dane osobowe z różnych źródeł, to przed podjęciem decyzji o skorzystaniu z takich portali należy dokładnie przeanalizować regulaminy i polityki danego portalu i ocenić, czy wykorzystanie go w procesie sourcingu nie uniemożliwi wypełnienia obowiązków, które nakłada na administratora RODO.

[i] https://zawodowo.olx.pl/raporty/raport-know-how-23.pdf

Artykuł Zjawisko Sourcingu a ochrona danych osobowych – czy aktywne poszukiwanie kandydatów jest zgodne z prawem? pochodzi z serwisu Pałucki & Szkutnik Kancelaria Adwokacka Kraków.