Stan faktyczny‍

Prezes UODO wydał nieprawomocną decyzję w sprawie firmy kurierskiej. UODO ustalił, że spółka korzystała z zewnętrznych przewoźników bez uprzedniego zawarcia z nimi umów powierzenia przetwarzania danych, mimo że byli oni podmiotami przetwarzającymi - bo uczestniczyli w załadunku i wyładunku przesyłek oraz wykonywali przewóz także własnymi środkami transportu, co dawało im dostęp do danych znajdujących się na etykietach. 

‍

UODO zakwestionował także wewnętrzny model nadawania upoważnień. Samo zaliczenie szkolenia i wygenerowanie przez system pliku z ogólną formułą nie zostało uznane za skuteczne upoważnienie do przetwarzania danych, ponieważ dokument nie zawierał istotnych elementów, w tym danych osoby upoważnionej i osoby udzielającej upoważnienia. 

‍

Prezes UODO nałożył dwie administracyjne kary pieniężne: 6 251 471 zł za brak umów powierzenia z przewoźnikami oraz 5 209 559 zł za brak właściwych środków organizacyjnych i prawidłowych upoważnień. Łącznie daje to ponad 11 mln zł. 

‍

Wnioski dla biznesu

• ‍Nie patrz na nazwę usługi, tylko na faktyczny dostęp do danych. Jeżeli zewnętrzna firma „tylko przewozi”, „tylko serwisuje”, „tylko skanuje”, „tylko archiwizuje” albo „tylko wspiera operacyjnie”, ale w praktyce ma dostęp do danych osobowych, to trzeba ocenić, czy nie działa jako podmiot przetwarzający. W tej sprawie UODO uznał, że sam udział w załadunku i rozładunku oraz faktyczne władztwo nad przesyłkami oznaczały przetwarzanie danych w imieniu administratora.‍
• Brak umowy powierzenia to nie jest drobny formalizm. UODO wprost powiązał brak takiej umowy nie tylko z naruszeniem art. 28 RODO, ale też z naruszeniem zasady zgodności z prawem i zasady rozliczalności. Innymi słowy: problemem nie jest tylko brak papieru, ale brak możliwości wykazania, że dane są przetwarzane legalnie i pod kontrolą firmy.‍
• Szkolenie pracownika nie zastępuje upoważnienia. W tej sprawie spółka opierała się na automatycznie generowanym pliku po zaliczeniu testu. UODO uznał, że taki plik nie jest upoważnieniem, skoro nie zawierał istotnych elementów, w tym danych pracownika i osoby udzielającej upoważnienia. Dla przedsiębiorcy wniosek jest prosty: trzeba umieć wykazać, kto konkretnie, komu konkretnie i w jakim zakresie dał dostęp do danych.‍
• Wewnętrzna polityka musi działać w praktyce. Sama polityka ochrony danych nie chroni firmy, jeśli nie została rzeczywiście wdrożona. UODO uznał za naruszenie także to, że spółka nie wyznaczyła osoby uprawnionej do udzielania upoważnień, mimo że przewidywała to jej własna polityka. 

Parlament zakończył prace nad nowelizacją ustawy o Państwowej Inspekcji Pracy, aktualnie akt czeka na podpis Prezydenta RP. Projekt ma wyposażyć Państwową Inspekcję Pracy oraz sądy pracy w skuteczniejsze narzędzia egzekwowania obowiązującego prawa pracy.

‍

Z istotniejszych kwestii: nowelizacja co do zasady nie przewiduje automatycznego rygoru natychmiastowej wykonalności decyzji inspektora pracy, uwzględnia możliwość prowadzenia kontroli zdalnych, szerszą wymianę informacji pomiędzy PIP, ZUS i KAS, a także wprowadzenie interpretacji indywidualnych wydawanych przez Głównego Inspektora Pracy na wniosek pracodawcy. 

‍

Istotny jest jednak wymiar finansowy. Reklasyfikacja może oznaczać konieczność zapłaty pełnych składek ZUS oraz podatku, natomiast w przypadku powództwa o ustalenie stosunku pracy może również prowadzić do obowiązku zapłaty zaległych składek i podatku za okres nawet kilku lat wstecz.

‍

Zachęcamy firmy do przeprowadzenia audytu form współpracy, zweryfikowania faktycznego sposobu wykonywania usług w relacjach B2B i przy umowach zlecenia, a także uporządkowania dokumentacji na wypadek kontroli PIP.

‍

Zapoznaj się z checklistę najważniejszych ryzyk prawnych, którą opracowaliśmy w kancelarii LAWMORE na podstawie doświadczeń z 2025 roku.

‍

To nie jest lista teoretyczna. Zebraliśmy w niej obszary, które w wielu firmach pozostawały poza uwagą albo były adresowane jedynie częściowo. W praktyce prowadziło to później do problemów prawnych związanych m.in. z compliance, RODO, wykorzystaniem AI oraz zatrudnieniem.

‍

W checkliście poruszamy m.in. takie kwestie jak:

• czy spółka uwzględniła w umowach z klientami wykorzystanie AI przez swoich pracowników i podwykonawców,
• czy spółka jest objęta wymogami dostępności WCAG wynikającymi z ustawy o zapewnianiu spełniania wymagań dostępności niektórych produktów i usług przez podmioty gospodarcze,
• czy spółka posiada procedurę określającą zasady korzystania ze służbowego konta poczty elektronicznej oraz czy pracownicy zostali z nią zapoznani,
• czy regulamin usług lub sklepu kierowany do konsumentów uwzględnia najnowsze decyzje UOKiK,
• czy premie wypłacane członkom zarządu mogą rodzić ryzyka podatkowe.

‍

Jeżeli chcesz poznać więcej ryzyk prawnych, pobierz pełną checklistę tutaj.

Przypominam, że 2 lutego 2026 r. ruszył nabór do edycji 2026 programu SME Fund.

‍

SME Fund to inicjatywa Komisji Europejskiej realizowana przez EUIPO (Urząd UE ds. Własności Intelektualnej), a wsparcie jest adresowane do MŚP mających siedzibę w Unii Europejskiej. Program obejmuje wsparcie dla działań związanych z ochroną i zarządzaniem IP, w tym: znaki towarowe, wzory przemysłowe, patenty, nowe odmiany roślin oraz usługę IP Scan.

‍

Bony

W edycji 2026 opisano 4 bony, między innymi:

• Bon 1 – IP Scan: zwrot 90% ceny usługi, maks. 1080 EUR.
• Bon 2 – znaki towarowe i wzory przemysłowe (nowe zgłoszenia): limit do 700 EUR. Zwroty: 75% opłat w procedurze krajowej w państwach UE; 75% opłat za zgłoszenia na obszarze UE (EUIPO) i na poziomie regionalnym (np. Beneluks); 50% opłat za zgłoszenia do WIPO.
• Bon 3 – zgłoszenia wynalazków: limit do 3500 EUR. Zwroty: 75% opłat zgłoszeniowych w procedurach krajowych w państwach UE (w niektórych państwach także za usługę wcześniejszego wyszukiwania); 75% opłat w procedurze patentu europejskiego w EPO; oraz 50% kosztów prawnych sporządzenia i wypełnienia wniosku patentowego do EPO.

‍

Co jest potrzebne?

Tylko (1) zaświadczenie VAT lub zaświadczenie o posiadaniu krajowego numeru rejestracji wydane przez właściwy organ krajowy (może być aktualny wydruk z KRS/CEIDG) oraz (2) wydruk z banku firmy zawierający następujące dane: nazwę firmy jako posiadacza rachunku, pełny numer IBAN z kodem kraju, kod BIC/SWIFT

‍

Jakie są wymogi?

Tylko poprawne uzupełnienie wniosku - wnioski nie są badane merytorycznie, a bon jest przyznawany automatycznie do wyczerpania puli finansowania.

‍

Vouchery przyznawane są mniej więcej w ciągu 15 dni roboczych od dnia złożenia wniosku.