Obsługa prawna dla firm IT i software houses

Prawo a realia pracy software house'u

Jednym z najpoważniejszych problemów prawnych firm IT jest kwestia własności intelektualnej do tworzonego oprogramowania. W Polsce autorskie prawa majątkowe powstają pierwotnie po stronie twórcy — czyli programisty. Jeśli programista pracuje na podstawie umowy B2B jako przedsiębiorca, kodeksowe regulacje dotyczące pracowniczego przeniesienia praw autorskich w ogóle nie mają zastosowania. Oznacza to, że bez wyraźnej klauzuli umownej o przeniesieniu majątkowych praw autorskich lub udzieleniu licencji, firma zlecająca stworzenie oprogramowania może nie mieć prawa do jego komercyjnego wykorzystania. Właściwie skonstruowana umowa B2B musi precyzyjnie wskazywać pola eksploatacji, moment przeniesienia praw oraz ewentualne wynagrodzenie z tytułu przeniesienia — odrębne od wynagrodzenia za wykonaną pracę.

Relacje z klientami to kolejna newralgiczna obszar dla software house'ów. Umowy wdrożeniowe i umowy o stworzenie oprogramowania muszą precyzyjnie definiować zakres prac (scope), procedurę zgłaszania i akceptacji zmian oraz sposób odbioru gotowego produktu. Brak formalnych protokołów odbioru lub zbyt ogólne opisy przedmiotu umowy prowadzą do sporów o to, czy oprogramowanie zostało wykonane zgodnie z zamówieniem. Równie ważne są klauzule ograniczające odpowiedzialność — polskie prawo dopuszcza znaczące ograniczenie odpowiedzialności w umowach B2B, co jest kluczowym narzędziem ochrony software house'u przed nieproporcjonalnymi roszczeniami odszkodowawczymi.

W zakresie ochrony danych osobowych firmy IT pełnią najczęściej rolę podmiotu przetwarzającego (procesora) dane swoich klientów. Obliguje to do zawarcia z każdym klientem umowy powierzenia przetwarzania danych (DPA), prowadzenia rejestru kategorii czynności przetwarzania, wdrożenia odpowiednich środków technicznych i organizacyjnych oraz — w uzasadnionych przypadkach — przeprowadzenia oceny skutków dla ochrony danych (DPIA). Niedopełnienie tych obowiązków grozi sankcjami administracyjnymi ze strony Prezesa UODO, a w przypadku naruszenia danych — obowiązkiem powiadomienia organu nadzorczego w ciągu 72 godzin.

Dyrektywa NIS2, implementowana do polskiego prawa ustawą o krajowym systemie cyberbezpieczeństwa, objęła szerokie grono podmiotów z sektora IT. Dostawcy usług zarządzanych (MSP), centra danych, firmy świadczące usługi chmurowe oraz szereg software house'ów może zostać zakwalifikowany jako podmiot ważny lub kluczowy w rozumieniu dyrektywy. Konsekwencje to obowiązek wdrożenia polityki zarządzania ryzykiem cyberbezpieczeństwa, zgłaszania incydentów do CERT Polska, przeprowadzania audytów bezpieczeństwa i ponoszenia odpowiedzialności kadry zarządczej za naruszenia. Analiza, czy konkretna firma IT podlega NIS2, jest pierwszym krokiem do uniknięcia wysokich kar administracyjnych.