Kopia bazy danych zrobiona przez pracownika

Czy zleceniobiorca może skopiować bazę klientów firmy?

Jeżeli dana osoba pracowała na podstawie umowy-zlecenia albo innej umowy o świadczenie usług, nie była pracownikiem w rozumieniu art. 2 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy. Nie oznacza to jednak, że mogła swobodnie skopiować bazę klientów i zachować ją na przyszłość. Przy umowie-zleceniu stosuje się przede wszystkim przepisy ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny, w szczególności art. 734 Kodeksu cywilnego, a przy umowach o świadczenie usług, które nie są uregulowane innymi przepisami, także art. 750 Kodeksu cywilnego.

Zleceniobiorca powinien wykonywać zobowiązanie zgodnie z jego treścią, celem społeczno-gospodarczym, zasadami współżycia społecznego oraz ustalonymi zwyczajami, co wynika z art. 354 § 1 Kodeksu cywilnego. Powinien też działać z należytą starannością, o której mowa w art. 355 § 1 i § 2 Kodeksu cywilnego. Jeżeli przez skopiowanie bazy naruszył obowiązki umowne lub obowiązki wynikające z ustawy, zleceniodawca może dochodzić odpowiedzialności odszkodowawczej na podstawie art. 471 Kodeksu cywilnego.

Inaczej oceniałoby się osobę zatrudnioną na umowę o pracę. Pracownik ma ustawowy obowiązek dbać o dobro zakładu pracy, chronić jego mienie i zachować w tajemnicy informacje, których ujawnienie mogłoby narazić pracodawcę na szkodę. Wynika to z art. 100 § 2 pkt 4 Kodeksu pracy. Przy umowie-zleceniu podobny skutek może jednak wynikać z umowy, zasad lojalnego wykonywania zobowiązania oraz z ustawy o zwalczaniu nieuczciwej konkurencji.

W praktyce brak podpisanej umowy o zakazie konkurencji nie rozstrzyga sprawy. Zakaz konkurencji dotyczy podejmowania działalności konkurencyjnej, natomiast skopiowanie bazy klientów dotyczy przede wszystkim nieuprawnionego pozyskania i ewentualnego wykorzystania cudzych informacji. Założenie działalności po zakończeniu współpracy może być legalne, ale wykorzystanie cudzej bazy klientów już nie. Podobny problem omawia sprawa: konkurencyjna firma.

Kiedy baza klientów jest tajemnicą przedsiębiorstwa?

Kluczowe znaczenie ma art. 11 ust. 2 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji. Zgodnie z tym przepisem tajemnicą przedsiębiorstwa są informacje techniczne, technologiczne, organizacyjne przedsiębiorstwa lub inne informacje posiadające wartość gospodarczą, które jako całość lub w szczególnym zestawieniu i zbiorze ich elementów nie są powszechnie znane osobom zwykle zajmującym się tym rodzajem informacji albo nie są łatwo dostępne dla takich osób, o ile uprawniony do korzystania z informacji lub rozporządzania nimi podjął, przy zachowaniu należytej staranności, działania w celu utrzymania ich w poufności.

Baza klientów może być tajemnicą przedsiębiorstwa, jeżeli nie jest zwykłym zbiorem publicznie dostępnych danych. Szczególnie chronione mogą być: historia współpracy, osoby decyzyjne po stronie klienta, ceny, rabaty, warunki handlowe, potencjał zakupowy, reklamacje, terminy odnowień umów, preferencje klientów, wewnętrzne notatki handlowe oraz informacje o planowanych ofertach. Więcej o praktycznym znaczeniu tej ochrony opisuje materiał: tajemnica przedsiębiorstwa.

Art. 11 ust. 3 ustawy o zwalczaniu nieuczciwej konkurencji wskazuje wprost, że pozyskanie informacji stanowiących tajemnicę przedsiębiorstwa jest czynem nieuczciwej konkurencji w szczególności wtedy, gdy następuje bez zgody uprawnionego i wynika z nieuprawnionego dostępu, przywłaszczenia albo kopiowania dokumentów, materiałów lub plików elektronicznych obejmujących te informacje albo umożliwiających wnioskowanie o ich treści. Skopiowanie bazy klientów na prywatny komputer, dysk, pendrive, konto pocztowe lub chmurę może więc spełniać tę przesłankę.

Brak umowy o poufności a odpowiedzialność

Umowa o poufności ułatwia przedsiębiorcy dochodzenie roszczeń, ale nie zawsze jest warunkiem ochrony. Jeżeli spełnione są przesłanki z art. 11 ust. 2 ustawy o zwalczaniu nieuczciwej konkurencji, informacja może korzystać z ochrony jako tajemnica przedsiębiorstwa również bez osobnej umowy NDA. Ważne jest natomiast, czy przedsiębiorca rzeczywiście podjął działania w celu utrzymania poufności.

Jeżeli baza była dostępna dla wszystkich osób w firmie, bez haseł, bez ograniczeń, bez oznaczenia poufności i bez jakichkolwiek procedur, pozycja przedsiębiorcy w sporze może być słabsza. Nie przesądza to jednak automatycznie, że baza nie była chroniona. Sąd bada całokształt okoliczności: rodzaj danych, sposób organizacji pracy, zakres dostępu, wcześniejsze instrukcje, treść umowy oraz realną wartość gospodarczą informacji.

Warto odróżnić samą możliwość zapamiętania ogólnych doświadczeń zawodowych od skopiowania gotowego narzędzia biznesowego. Wiedza, umiejętności i doświadczenie zdobyte przy wykonywaniu zlecenia co do zasady pozostają przy danej osobie. Natomiast przejęcie elektronicznej bazy klientów, cenników, historii zamówień lub kontaktów handlowych może być potraktowane jako pozyskanie cudzych informacji w rozumieniu art. 11 ust. 1 i ust. 3 ustawy o zwalczaniu nieuczciwej konkurencji.

Ochrona danych osobowych w bazie klientów

Baza klientów bardzo często zawiera dane osobowe, np. imiona, nazwiska, adresy e-mail, numery telefonów, stanowiska, historię kontaktów lub dane osób reprezentujących kontrahentów. Zgodnie z art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO, danymi osobowymi są informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Zgodnie z art. 4 pkt 2 RODO kopiowanie, utrwalanie, przechowywanie, przeglądanie i wykorzystywanie takich danych jest przetwarzaniem.

Osoba, która skopiowała dane klientów na własny użytek, powinna mieć podstawę prawną przetwarzania z art. 6 ust. 1 RODO. W typowej sytuacji były pracownik lub zleceniobiorca takiej podstawy nie ma, bo upoważnienie do pracy na danych działało w ramach zadań wykonywanych dla administratora, a nie dla prywatnych celów tej osoby. Sam zamiar założenia własnej firmy nie tworzy podstawy prawnej do przejęcia cudzej bazy danych.

Po stronie przedsiębiorcy może powstać obowiązek oceny, czy doszło do naruszenia ochrony danych osobowych. Art. 33 ust. 1 RODO przewiduje obowiązek zgłoszenia naruszenia organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli naruszenie może powodować wysokie ryzyko dla osób, art. 34 ust. 1 RODO może wymagać zawiadomienia tych osób.

Po stronie osoby, która nieuprawnienie przetwarza dane osobowe, znaczenie może mieć art. 107 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Przepis ten przewiduje odpowiedzialność karną za przetwarzanie danych osobowych, choć ich przetwarzanie jest niedopuszczalne albo osoba nie jest uprawniona do ich przetwarzania. Sankcją jest grzywna, kara ograniczenia wolności albo kara pozbawienia wolności do lat 2. Jeżeli chodzi o szczególne kategorie danych, art. 107 ust. 2 tej ustawy przewiduje surowszą odpowiedzialność.

Jakich roszczeń może dochodzić firma?

Jeżeli skopiowanie bazy zostanie uznane za czyn nieuczciwej konkurencji, przedsiębiorca może skorzystać z art. 18 ust. 1 ustawy o zwalczaniu nieuczciwej konkurencji. Przepis ten pozwala żądać od sprawcy: zaniechania niedozwolonych działań, usunięcia skutków naruszenia, złożenia jednokrotnego lub wielokrotnego oświadczenia odpowiedniej treści i w odpowiedniej formie, naprawienia wyrządzonej szkody na zasadach ogólnych, wydania bezpodstawnie uzyskanych korzyści oraz zasądzenia odpowiedniej sumy pieniężnej na określony cel społeczny, jeżeli czyn był zawiniony.

Naprawienie szkody na zasadach ogólnych oznacza przede wszystkim stosowanie art. 361 § 1 i § 2 Kodeksu cywilnego, art. 415 Kodeksu cywilnego lub art. 471 Kodeksu cywilnego, zależnie od podstawy odpowiedzialności. W praktyce firma może próbować wykazywać utratę klientów, spadek przychodów, koszty działań naprawczych, koszty obsługi incydentu, utratę przewagi konkurencyjnej albo korzyści uzyskane przez osobę, która użyła bazy.

Jeżeli baza danych powstała w wyniku istotnego nakładu inwestycyjnego, może wchodzić w grę również ustawa z dnia 27 lipca 2001 r. o ochronie baz danych. Art. 6 ust. 1 tej ustawy przyznaje producentowi bazy danych wyłączne i zbywalne prawo pobierania danych i wtórnego ich wykorzystania w całości lub w istotnej części, co do jakości lub ilości. Ta podstawa ma znaczenie zwłaszcza przy przejęciu dużej części uporządkowanej bazy, której stworzenie lub utrzymanie wymagało nakładów finansowych, organizacyjnych albo czasowych.

Odpowiedzialność karna za wykorzystanie tajemnicy przedsiębiorstwa

Odpowiedzialność karna może wynikać z art. 23 ust. 1 ustawy o zwalczaniu nieuczciwej konkurencji. Przepis ten dotyczy osoby, która wbrew ciążącemu na niej obowiązkowi w stosunku do przedsiębiorcy ujawnia innej osobie albo wykorzystuje we własnej działalności gospodarczej informację stanowiącą tajemnicę przedsiębiorstwa, jeżeli wyrządza to poważną szkodę przedsiębiorcy. Grozi za to grzywna, kara ograniczenia wolności albo kara pozbawienia wolności do lat 2.

W sprawach informatycznych trzeba też rozważyć, w jaki sposób doszło do pozyskania danych. Jeżeli dostęp do systemu był nieuprawniony albo sprawca przełamał zabezpieczenia, może pojawić się ryzyko odpowiedzialności z art. 267 § 1 lub § 2 ustawy z dnia 6 czerwca 1997 r. Kodeks karny. Jeżeli natomiast dana osoba miała legalny dostęp do systemu w ramach pracy lub zlecenia, ale skopiowała dane na własny użytek, podstawową ocenę zwykle prowadzi się przez pryzmat ustawy o zwalczaniu nieuczciwej konkurencji, RODO, umowy i ewentualnie przepisów o bazach danych.

Co zrobić po skopiowaniu bazy danych?

Jeżeli baza została skopiowana, najgorszym rozwiązaniem jest jej dalsze używanie, wysyłanie ofert do klientów albo usuwanie śladów w sposób, który może zostać oceniony jako utrudnianie wyjaśnienia sprawy. W pierwszej kolejności należy ustalić, jakie pliki skopiowano, gdzie się znajdują, czy były udostępniane innym osobom, czy zostały użyte w działalności gospodarczej i czy zawierają dane osobowe.

W praktyce często rozważa się pisemne potwierdzenie usunięcia kopii, zwrot nośników, złożenie oświadczenia o niewykorzystywaniu danych, zawarcie ugody albo odpowiedź na wezwanie przedsądowe. Treść takiej odpowiedzi powinna być ostrożna, bo nieprzemyślane przyznanie okoliczności może zostać wykorzystane w procesie cywilnym lub w postępowaniu karnym.

Jeżeli sprawa dotyczy byłego zleceniobiorcy, znaczenie będzie miała także treść umowy. Warto sprawdzić, czy zawierała postanowienia o poufności, zwrocie dokumentów, zakazie kopiowania, prawach do materiałów, odpowiedzialności umownej lub karach umownych. Kara umowna, jeżeli została skutecznie zastrzeżona, może być dochodzona na podstawie art. 483 § 1 Kodeksu cywilnego.

FAQ

Źródła

• Art. 11, art. 18 i art. 23 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji.
• Art. 354, art. 355, art. 361, art. 415, art. 471, art. 483, art. 734 i art. 750 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny.
• Art. 100 § 2 pkt 4 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy.
• Art. 4 pkt 1 i 2, art. 6 ust. 1, art. 33 i art. 34 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, RODO.
• Art. 107 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
• Art. 6 ust. 1 ustawy z dnia 27 lipca 2001 r. o ochronie baz danych.
• Art. 267 § 1 i § 2 ustawy z dnia 6 czerwca 1997 r. Kodeks karny.