Nowoczesne technologie w biznesie Radca Prawny Lublin

Domyślnie prawa autorskie do kodu przysługują twórcy — czyli programiście. Jeśli pracuje on na kontrakcie B2B (a nie na umowie o pracę), przeniesienie praw majątkowych na firmę musi być wyraźnie zapisane w umowie z określeniem pól eksploatacji (art. 41 i 65 ustawy o prawie autorskim). Bez klauzuli przeniesienia praw firma może korzystać z kodu jedynie na podstawie licencji, co stwarza ryzyko w razie zakończenia współpracy. W umowach z programistami zawsze należy precyzyjnie uregulować kwestię własności IP.

Każda firma przetwarzająca dane osobowe (klientów, pracowników, kontrahentów) musi: prowadzić rejestr czynności przetwarzania, stosować zasadę minimalizacji danych, wdrożyć odpowiednie środki techniczne i organizacyjne (politykę bezpieczeństwa, procedury), informować osoby o przetwarzaniu ich danych (klauzule informacyjne), zawierać umowy powierzenia przetwarzania z procesorami. Kary UODO mogą wynosić do 20 mln EUR lub 4% globalnego obrotu — warto zatem przeprowadzić audyt RODO, zwłaszcza jeśli firma przetwarza szczególne kategorie danych.

AI Act (rozporządzenie UE 2024/1689) obowiązuje od 2024–2026 r. etapami. Dotyczy firm które: tworzą systemy AI (dostawcy), wdrażają systemy AI w swojej działalności (podmioty stosujące) lub importują/dystrybuują systemy AI. Najsurowsze wymagania dotyczą systemów AI wysokiego ryzyka (m.in. w rekrutacji, kredytowaniu, ochronie zdrowia, infrastrukturze krytycznej) — wymagają one dokumentacji technicznej, rejestracji, monitorowania i audytów. Systemy zakazane (np. scoring społeczny, manipulacja podprogowa) są zakazane całkowicie.

Powołanie IOD jest obowiązkowe gdy firma: jest organem lub podmiotem publicznym, prowadzi na dużą skalę regularny i systematyczny monitoring osób (np. profilowanie klientów, śledzenie zachowań online), lub przetwarza na dużą skalę szczególne kategorie danych (dane zdrowotne, biometryczne, karne). Pozostałe firmy mogą wyznaczyć IOD dobrowolnie. "Duża skala" nie jest precyzyjnie zdefiniowana — pomocne są wytyczne EROD uwzględniające liczbę osób, zakres geograficzny i okres przetwarzania.

Umowa SaaS powinna regulować: zakres funkcjonalności i poziom dostępności (SLA z konkretnymi wartościami procentowymi i sankcjami za niedotrzymanie), zasady przetwarzania danych (DPA zgodne z RODO jeśli przetwarzane są dane osobowe), własność danych klienta i prawo do ich eksportu przy zakończeniu umowy, ograniczenie odpowiedzialności dostawcy, procedurę zmiany warunków (zwłaszcza cennika), czas trwania i warunki wypowiedzenia. Klauzule jednostronne dające dostawcy prawo do dowolnej zmiany warunków bez zgody klienta są szczególnie ryzykowne.

W razie naruszenia bezpieczeństwa danych osobowych firma musi w ciągu 72 godzin zgłosić incydent do UODO (jeśli naruszenie rodzi ryzyko dla praw i wolności osób). Jeśli ryzyko jest wysokie — należy też poinformować osoby, których dane dotyczą. UODO może nałożyć karę do 20 mln EUR lub 4% obrotu. Niezależnie od kar administracyjnych, osoby poszkodowane mogą dochodzić odszkodowania. Firmy objęte NIS2 mają dodatkowe obowiązki zgłoszeniowe i techniczne w zakresie cyberbezpieczeństwa.