Aktualizacja Modelowej Konwencji Podatkowej OECD z 2025 r. koncentruje się m.in. na dostosowaniu komentarza do art. 5 (zakład podatkowy) do realiów nowoczesnych form pracy. OECD wprost odnosi się do zjawiska transgranicznej pracy zdalnej wykonywanej z domu lub innego „istotnego miejsca” w innym państwie niż państwo siedziby pracodawcy.

‍

Nowy komentarz wprowadza rozbudowaną sekcję dotyczącą sytuacji, w których praca wykonywana z domu pracownika może prowadzić do powstania stałego zakładu przedsiębiorstwa w państwie, w którym ta praca jest faktycznie wykonywana

‍

Zmiany prawne wynikające z aktualizacji

‍

1. Dom pracownika jako potencjalne „miejsce prowadzenia działalności”

OECD doprecyzowuje, że dom (lub inne miejsce, np. mieszkanie wakacyjne) może zostać uznany za miejsce prowadzenia działalności przedsiębiorstwa, jeżeli:

• miejsce to jest wykorzystywane w sposób stały,
• działalność wykonywana z tego miejsca stanowi istotną część działalności przedsiębiorstwa,
• istnieje komercyjny powód wykonywania pracy właśnie z tego państwa,
• przedsiębiorstwo w praktyce akceptuje lub wymaga takiego modelu pracy

‍

2. Praca zdalna a „dyspozycyjność” miejsca

Komentarz wyraźnie rozróżnia sytuacje, w których:

• praca z domu wynika wyłącznie z osobistej decyzji pracownika – wówczas co do zasady dom nie jest uznawany za zakład,
• praca z domu jest funkcjonalnie powiązana z działalnością przedsiębiorstwa (np. obsługa klientów w określonych strefach czasowych) – wówczas dom może być uznany za zakład podatkowy

‍

3. Skutek: rozszerzenie prawa opodatkowania państwa „źródła pracy”

Jeżeli w wyniku powyższej analizy powstanie zakład podatkowy, państwo, w którym wykonywana jest praca zdalna, uzyskuje prawo do opodatkowania:

• zysków przypisanych do tego zakładu (na zasadach art. 7),
• pośrednio – do rozszerzenia swojej jurysdykcji podatkowej w stosunku do działalności prowadzonej zdalnie

‍

Skutki prawne

Aktualizacja nie tworzy nowego podatku ani nowego obowiązku, ale obniża próg interpretacyjny dla uznania, że transgraniczna praca zdalna może prowadzić do:

• powstania zakładu podatkowego,
• a w konsekwencji – do dodatkowego opodatkowania działalności przedsiębiorstwa w innym państwie.

‍

Kluczowe znaczenie ma przesunięcie akcentu z formalnych struktur na rzeczywisty sposób organizacji pracy.

‍

Co to oznacza dla biznesu?

• Praca zdalna wykonywana przez pracowników z innych państw może prowadzić do realnego ryzyka podatkowego po stronie pracodawcy, nawet bez formalnej obecności w danym kraju.
• Ocenie podlega nie sam fakt pracy zdalnej, lecz jej rola w modelu operacyjnym firmy oraz korzyść biznesowa dla przedsiębiorstwa.
• Aktualizacja Modelowej Konwencji wzmacnia pozycję państw, które chcą opodatkować działalność gospodarczą „tam, gdzie faktycznie jest wykonywana”, także w środowisku pracy zdalnej.
• Dla firm zarządzających zespołami międzynarodowymi oznacza to konieczność analizy, czy organizacja pracy zdalnej nie spełnia przesłanek zakładu podatkowego w innym państwie, zgodnie z doprecyzowanym komentarzem OECD.

‍

Krajowa Izba Odwoławcza rozpoznawała odwołania dotyczące postępowania o udzielenie zamówienia publicznego, w których zakwestionowano treść wyjaśnień złożonych przez wykonawcę w odpowiedzi na wezwanie zamawiającego. W toku postępowania ustalono, że wykonawca posłużył się narzędziami AI przy przygotowaniu tych wyjaśnień.

‍

Izba potwierdziła, że w wyjaśnieniach znalazły się informacje nieprawdziwe, w szczególności wskazujące na istnienie dokumentów urzędowych, które w rzeczywistości nie istniały i miały uzasadniać prawidłowość przyjętej w ofercie stawki VAT.

‍‍

Ocena prawna

Izba podkreśliła, że przepisy Prawa zamówień publicznych nie zakazują korzystania z narzędzi AI przy przygotowaniu oferty ani wyjaśnień. Jednocześnie wskazała, że brak takiego zakazu nie zwalnia wykonawcy z obowiązku zachowania należytej staranności.

‍

W uzasadnieniu zwrócono uwagę, że narzędzia AI, pozbawione odpowiedniego nadzoru, nie rozróżniają podstawowych pojęć prawnych ani nie uwzględniają aktualnego stanu prawnego. Skutkiem może być generowanie informacji nieprawdziwych, co w realiach postępowania o zamówienie publiczne ma istotne konsekwencje.

‍

Izba wskazała, że zamawiający może wykluczyć wykonawcę, który wskutek lekkomyślności lub niedbalstwa przedstawił informacje wprowadzające w błąd, mające istotny wpływ na decyzje podejmowane w postępowaniu. Nie ma przy tym znaczenia, czy wykonawca miał świadomość, że dana informacja została wygenerowana przez AI.

‍

Skutki prawne

W analizowanej sprawie nieprawdziwe informacje dotyczyły przesłanek wpływających na prawidłowość obliczenia ceny oferty, w tym zastosowanej stawki VAT. Izba uznała, że miały one istotne znaczenie, ponieważ mogły prowadzić do obowiązku odrzucenia oferty jako zawierającej błąd w obliczeniu ceny.

‍

Co to oznacza dla firm?

• Korzystanie z AI przy przygotowaniu ofert i wyjaśnień jest dopuszczalne, ale pełna odpowiedzialność za treść dokumentów spoczywa na wykonawcy.
• Informacje wygenerowane przez AI muszą być każdorazowo zweryfikowane pod kątem zgodności z faktami i aktualnym stanem prawnym.
• Przedstawienie w ofercie lub wyjaśnieniach informacji nieprawdziwych, nawet nieumyślnie, może prowadzić do wykluczenia z postępowania lub odrzucenia oferty.
• Skala błędu nie ma znaczenia; decydujący jest wpływ informacji na ocenę oferty przez zamawiającego.
  
  

‍

Wniosek z orzeczenia jest jednoznaczny: AI może wspierać proces przygotowania oferty, ale nie zastępuje kontroli merytorycznej i prawnej, której brak może skutkować dotkliwymi konsekwencjami w postępowaniu o zamówienie publiczne.

‍

Projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa ma na celu wdrożenie dyrektywy NIS 2 oraz postanowień tzw. 5G Toolbox, a także dostosowanie krajowych regulacji do rosnącej liczby i skali cyberzagrożeń. Ustawodawca wskazuje, że dotychczasowe przepisy nie zapewniają wystarczających podstaw prawnych m.in. do identyfikacji dostawców sprzętu i oprogramowania stwarzających zagrożenie dla bezpieczeństwa państwa oraz do skutecznego funkcjonowania sektorowych struktur reagowania na incydenty.

‍

Nowelizacja istotnie przebudowuje strukturę krajowego systemu cyberbezpieczeństwa, rozszerza katalog podmiotów nim objętych oraz wzmacnia kompetencje organów publicznych.

‍

Utworzenie CSIRT-ów sektorowych

Projekt przewiduje wprowadzenie CSIRT-ów sektorowych jako stałego elementu krajowego systemu cyberbezpieczeństwa. Organy właściwe do spraw cyberbezpieczeństwa będą zobowiązane do ich utworzenia w terminie 18 miesięcy od wejścia w życie ustawy. Osiągnięcie przez CSIRT sektorowy zdolności operacyjnej będzie ogłaszane w drodze komunikatu. Do tego momentu podmioty nadal będą realizować swoje obowiązki wobec dotychczasowych CSIRT-ów poziomu krajowego (CSIRT NASK, CSIRT GOV, CSIRT MON).

‍

Celem wprowadzenia CSIRT-ów sektorowych jest zapewnienie bardziej wyspecjalizowanego wsparcia dla podmiotów kluczowych i ważnych, z uwzględnieniem specyfiki poszczególnych sektorów gospodarki.

‍

Identyfikacja dostawców wysokiego ryzyka

Jedną z najdalej idących zmian jest wprowadzenie procedury uznania dostawcy sprzętu, usług lub procesów ICT za dostawcę wysokiego ryzyka. Decyzję w tym zakresie będzie wydawał minister właściwy do spraw informatyzacji, w drodze decyzji administracyjnej, która podlega natychmiastowemu wykonaniu.

‍

Decyzja może obejmować określone typy produktów ICT, rodzaje usług ICT lub konkretne procesy ICT i skutkuje m.in.:

• zakazem wprowadzania ich do użytkowania,
• obowiązkiem wycofania ich z użytkowania w terminie 7 lat, a w przypadku ICT wykorzystywanych do funkcji krytycznych – 4 lat,
• zakazem nabywania takich rozwiązań w ramach zamówień publicznych.
  1955

‍

Przy ocenie dostawcy uwzględniane mają być zarówno czynniki techniczne, jak i nietechniczne, w tym powiązania właścicielskie oraz wpływ państw trzecich.

‍

Rozszerzenie katalogu podmiotów objętych KSC

Nowelizacja przewiduje znaczne rozszerzenie katalogu podmiotów zaliczanych do krajowego systemu cyberbezpieczeństwa. Do systemu zostaną włączone nowe sektory gospodarki, w tym m.in.:

• ścieki,
• zarządzanie usługami ICT,
• przestrzeń kosmiczna,
• poczta,
• produkcja oraz produkcja i dystrybucja chemikaliów,
• produkcja i dystrybucja żywności.

‍

Podmioty zakwalifikowane jako podmioty kluczowe lub ważne będą zobowiązane do samorejestracji, wdrożenia systemów zarządzania bezpieczeństwem informacji oraz – w przypadku podmiotów kluczowych – do przeprowadzania okresowych audytów bezpieczeństwa.

‍

Najważniejsze zagadnienia wprowadzane nowelizacją

1. Nowa struktura reagowania na incydenty – oparcie systemu o CSIRT-y sektorowe, przy jednoczesnym zachowaniu roli CSIRT-ów krajowych.
2. Mechanizm eliminacji ryzyk w łańcuchu dostaw ICT – możliwość administracyjnego wykluczania określonych dostawców i technologii.
3. Znaczne poszerzenie zakresu regulacji – objęcie KSC nowych sektorów i większej liczby przedsiębiorców.
4. Wzmocnienie odpowiedzialności organizacyjnej – obowiązki zarządcze i nadzorcze po stronie kierownictwa podmiotów kluczowych i ważnych.
   1955

‍

Co z tego wynika dla firm?

• więcej przedsiębiorstw zostanie objętych reżimem KSC, nawet jeśli dotychczas nie były uznawane za podmioty infrastruktury krytycznej,
• konieczne może być dostosowanie łańcucha dostaw ICT i przygotowanie się na ryzyko administracyjnego wycofania używanego sprzętu lub oprogramowania,
• firmy działające w sektorach objętych nowelizacją będą musiały współpracować z właściwymi CSIRT-ami sektorowymi i realizować nowe obowiązki raportowe,
• zarządy podmiotów kluczowych i ważnych poniosą bezpośrednią odpowiedzialność za wdrożenie i utrzymanie systemów zarządzania cyberbezpieczeństwem.

‍

Nowelizacja KSC wprowadza systemowe i długofalowe zmiany, które istotnie wpływają na sposób zarządzania ryzykiem cyberbezpieczeństwa w przedsiębiorstwach działających w Polsce.

Prezes UOKiK nałożył łącznie ponad 24 mln zł kar pieniężnych na spółki iGenius oraz International Markets Live za prowadzenie zakazanych systemów promocyjnych typu piramida. Obie spółki miały siedziby w Stanach Zjednoczonych i działały również wobec konsumentów w Polsce.

‍

Zgodnie z ustaleniami UOKiK, systemy te były prezentowane jako nowoczesne projekty edukacyjne, oferujące szkolenia z zakresu rynków finansowych, kryptowalut, e-commerce czy rozwoju osobistego. W rzeczywistości kluczowym elementem ich funkcjonowania były programy partnerskie, w ramach których uczestnicy uzyskiwali wynagrodzenie głównie za wprowadzanie kolejnych osób do systemu.

‍

Jak działają współczesne piramidy? Mechanizm opisany przez UOKiK

Z komunikatu oraz decyzji wynika jednolity schemat działania.

‍

Wejście do systemu wiązało się z opłatą początkową oraz cyklicznymi opłatami abonamentowymi. Formalnie oferowanym „produktem” były treści edukacyjne lub dostęp do platform. Rzeczywiste korzyści finansowe jednak osiągali uczestnicy, którzy budowali struktury rekrutacyjne. Środki na wypłatę prowizji pochodziły z opłat wnoszonych przez nowych uczestników. System wymagał stałego dopływu nowych osób, co w dłuższej perspektywie okazywało się niemożliwe.

‍

UOKiK podkreślił, że są to cechy odróżniające piramidę od legalnego marketingu wielopoziomowego, w którym podstawą wynagrodzenia jest sprzedaż produktu, a nie rekrutacja.

‍

iGenius

Spółka iGenius oferowała szkolenia online z inwestowania, dostępne po wniesieniu opłaty jednorazowej oraz opłat miesięcznych. Równolegle promowała program partnerski, w którym uczestnicy mogli otrzymywać wynagrodzenie za rekrutowanie kolejnych członków.

‍

Postępowanie wykazało, że:

• narracja marketingowa koncentrowała się na obietnicach szybkiego sukcesu finansowego,
• nacisk położony był na rozbudowę struktury partnerskiej,
• korzyści finansowe były w praktyce uzależnione od liczby zrekrutowanych osób.

‍

Prezes UOKiK nakazał zaniechanie praktyki i nałożył na spółkę karę w wysokości 14 668 589 zł. Decyzja nie jest prawomocna.

‍

International Markets Live

International Markets Live prowadziła platformę im.academy (później iyovia.com), oferującą pakiety edukacyjne sprzedawane w modelu subskrypcyjnym. Dostęp do programu partnerskiego wymagał zawarcia umowy Niezależnego Przedsiębiorcy, wniesienia opłaty oraz comiesięcznych wpłat.

‍

Z decyzji wynika, że:

• wynagrodzenia i prowizje były uzależnione przede wszystkim od pozyskiwania nowych członków,
• działalność edukacyjna pełniła funkcję pomocniczą wobec mechanizmu rekrutacyjnego.

‍

Prezes UOKiK uznał praktykę za naruszającą zbiorowe interesy konsumentów, stwierdził jej zaniechanie z dniem 23 maja 2025 r. i nałożył karę 9 483 604 zł, która jest prawomocna.

‍

Co z tego wynika dla firm?

1. Model biznesowy oparty na rekrutacji jest kluczowym ryzykiem prawnym.

Jeżeli główne korzyści finansowe uczestników zależą od pozyskiwania kolejnych osób, a nie od realnej sprzedaży produktu, model może zostać uznany za zakazany system promocyjny typu piramida.

‍

2. Deklarowana „działalność edukacyjna” nie chroni przed sankcjami.

UOKiK bada faktyczne mechanizmy wynagradzania i przepływu środków, a nie wyłącznie formalne opisy oferty.

‍

3. Odpowiedzialność dotyczy także promowania systemu.

Z materiałów wynika, że zakazane jest nie tylko organizowanie, ale również propagowanie piramid, co zwiększa ryzyko po stronie partnerów, liderów struktur i influencerów.

‍

4. Skala sankcji finansowych jest istotna.

Kary sięgające kilkunastu milionów złotych pokazują, że ryzyko regulacyjne w tym obszarze ma wymiar realny i może istotnie wpłynąć na działalność przedsiębiorstwa.

‍