Przedsiębiorcy chętnie korzystają z Tarczy – miliardy złotych pomocy
Ministerstwo Rozwoju przedstawiło dane dotyczące działania rządowych programów wsparcia dla przedsiębiorców dotkniętych kryzysem, wywołanym przez epidemię koronawirusa. Jak podkreśla resort w komunikacie, Tarcza koncentruje się na zachowaniu płynności i ciągłości funkcjonowania firm.
Najwięcej pieniędzy trafiło do przedsiębiorców za pośrednictwem Polskiego Funduszu Rozwoju – 45 326 086 325 zł. Na zabezpieczenie kredytów udzielanych przedsiębiorcom Bank Gospodarstwa Krajowego przeznaczył 8 200 000 000 zł. Przedsiębiorcy korzystają też ze zwolnienia z obowiązku opłacenia należności z tytułu składek za okres od marca do maja 2020 r. – 7 400 000 000 zł.
Duże środki są zaangażowane także w ochronę miejsc pracy: z Funduszu Gwarantowanych Świadczeń Pracowniczych przyznano na ten cel 4 855 381 805 zł, a na dofinansowania wynagrodzeń pracowników dla MMŚP z Europejskiego Funduszu Społecznego 2 094 114 782 zł. Przedsiębiorcy korzystają też m.in. z mikropożyczek, świadczeń postojowych dla samozatrudnionych i zleceniobiorców z ZUS.
Do ZUS i urzędów pracy wpłynęło 5 452 085 wniosków o skorzystanie z oferowanych przez tarczę rozwiązań. Najczęściej przedsiębiorcy wnioskują o: zwolnienie ze składek ZUS, mikropożyczki oraz przyznanie świadczenia postojowego dla osób prowadzących działalność gospodarczą.
ITPB2/4511-882/15-9/S.HD – Interpretacja indywidualna z dnia 09-06-2020
Opodatkowanie emerytury wypłacanej według przepisów systemu ubezpieczeń społecznych Holandii oraz emerytury wypłacanej spoza publicznego systemu emerytalnego
0113-KDIPT1-1.4012.338.2020.1.MW – Interpretacja indywidualna z dnia 09-06-2020
Brak prawa do odzyskania podatku VAT w związku z realizacją projektu
0112-KDIL1-2.4012.114.2020.2.NF – Interpretacja indywidualna z dnia 09-06-2020
Prawo do odliczenia w związku z realizacją projektu
Firma wzięła postojowe, urząd sprawdzi czy uczciwie
Postojowe to świadczenie dla tych, którzy stracili na epidemii koronawirusa. Dostało je już prawie półtora miliona osób. Nie wszyscy jednak na nie zasłużyli.
– Wśród beneficjentów są też firmy, które wcale w czasie epidemii nie ucierpiały. A 15-proc. spadek przychodów, czyli warunek uzyskania postojowego, to efekt zabiegów księgowych – mówi Grzegorz Gębka, doradca podatkowy w kancelarii GTA.
– Wykreowanie spadku przychodów jest dziecinnie proste i niektórzy przedsiębiorcy nie mieli oporów, żeby na epidemii dodatkowo zarobić – potwierdza Tomasz Piekielnik, doradca podatkowy, właściciel kancelarii PBC.
Sposoby są różne
Eksperci podkreślają, że sposoby zaniżania przychodów są bardzo różne.
– Najprostszy to przesunięcie momentu zakończenia usługi na następny miesiąc. Albo aneksowanie umowy i zmiana okresu rozliczenia na dwumiesięczny. Zdarza się też, że wykonawca umawia się z kontrahentem, że wystawi fakturę na niższą kwotę, a potem zrekompensuje to sobie podwyżką. Ewentualnie bierze wysoką zaliczkę, która nie jest przychodem, a ostateczne rozliczenie następuje dopiero za jakiś czas – tłumaczy Tomasz Piekielnik. Dodaje, że niektórzy nie przejmują się stwarzaniem pozorów i po prostu nie fakturują części transakcji.
Będą kontrole
Co na to urzędnicy? Zapytaliśmy Krajową Administrację Skarbową i Zakład Ubezpieczeń Społecznych.
– Przychody wykazywane przez firmy podlegają weryfikacji w trakcie prowadzonej kontroli lub czynności sprawdzających. Oznacza to, że KAS sprawdza prawidłowość i terminowość wystawiania przez podatnika faktur i ustala, czy dokumentują one faktyczny przebieg i zakres zdarzeń gospodarczych – czytamy w odpowiedzi Krajowej Administracji Skarbowej.
– Warunki postojowego są do sprawdzenia i gdy ustąpi stan epidemii, będziemy je weryfikować we współpracy z KAS – napisał Zakład Ubezpieczeń Społecznych. Dodał, że ma pięć lat na wydanie decyzji o nienależnie pobranym świadczeniu.
– To będą trudne kontrole. Fiskus może wprawdzie, dzięki Jednolitym Plikom Kontrolnym, na bieżąco weryfikować to, co się dzieje w firmie, mamy jednak specyficzny okres i obniżkę przychodów albo przesunięcie ich na następne miesiące da się w wielu sytuacjach racjonalnie wytłumaczyć – podkreśla Grzegorz Gębka.
Eksperci wyraźnie jednak podkreślają, że przedsiębiorcy nie mogą dowolnie żonglować przychodem.
– Ustawa o PIT określa, kiedy powstaje: w momencie wydania rzeczy lub wykonania usługi, nie później niż w dniu wystawienia faktury albo uregulowania należności. Tych zasad trzeba przestrzegać. W przeciwnym razie przedsiębiorców czeka nie tylko obowiązek zwrotu nienależnie pobranego postojowego wraz z odsetkami, ale także problemy z fiskusem. Będą musieli zapłacić zaległość podatkową, również z odsetkami, ewentualnie też karę grzywny z kodeksu karnego skarbowego – mówi Tomasz Piekielnik.
Wniosek do ZUS
Świadczenie postojowe wynosi miesięcznie 2080 zł. We wniosku (wzór jest na stronie ZUS) podajemy informacje o swojej firmie. W tym o sytuacji finansowej. ZUS wyjaśnia, że jeśli przedsiębiorca składa wniosek (po raz pierwszy) o świadczenie postojowe w czerwcu, to jego przychód z maja powinien być niższy o 15 proc. od kwietniowego.
Świadczenie można otrzymać maksymalnie trzy razy. Przedsiębiorcy, którzy rozliczają się za pomocą karty podatkowej i są zwolnieni z VAT, dostaną 1300 zł miesięcznie.
Jeśli nie zgadzamy się z odmową postojowego, możemy za pośrednictwem ZUS odwołać się do sądu. Mamy na to miesiąc.
Świadczenie przysługuje też osobom wykonującym umowy cywilnoprawne, np. zlecenia.
Ministerstwo Rozwoju podaje, że do 5 czerwca br. wypłacono prawie 3 mld zł postojowego.
Piotr Świniarski adwokat, właściciel kancelarii podatkowej
Problem kreatywnej księgowości jest znany od wielu lat, często razem z możliwością otrzymania wsparcia finansowego pojawia się wśród przedsiębiorców pokusa dopasowania swojej sytuacji ekonomicznej do warunków preferencji. Podobnie jest ze świadczeniem postojowym. Wykazanie spadku przychodów nie jest specjalnie trudnym zadaniem, fałszowanie rzeczywistości może mieć jednak poważne konsekwencje. Przede wszystkim finansowe – obowiązek oddania otrzymanego świadczenia wraz z odsetkami. Pamiętajmy też jednak, że dane we wniosku o postojowe, w tym informacje o swojej sytuacji ekonomicznej, składamy pod rygorem odpowiedzialności karnej. Za podanie nieprawdziwych można nawet iść do więzienia. Oczywiście nie sądzę, żeby w sprawach o 2080 zł postojowego urzędy zawiadamiały prokuraturę, teoretycznie jednak jest taka możliwość.
Zmiana przepisów wynagrodzeniowych dla pracowników zatrudnionych w niektórych państwowych jednostkach budżetowych
Zmiany obejmują:
– pracowników OHP,
– pracowników zatrudnionych w Głównej Bibliotece Pracy i Zabezpieczenia Społecznego,
– pracowników zatrudnionych w Centrum Projektów Europejskich.
Ustalono nowe tabel w załączniku nr 3 „Tabele stanowisk, zaszeregowań i kwalifikacji zawodowych” . Zmianie uległa tabela II odnosząca się do pracowników OHP, IV obejmująca pracowników zatrudnionych w Głównej Bibliotece Pracy i Zabezpieczenia Społecznego oraz tabela Va (Pracownicy zatrudnieni w Centrum Projektów Europejskich).
Załącznik 1 do rozporzązdenia „płacowego” uzyskał nowe brzmienie w zakresie tabel miesięcznych stawek wynagrodzenia zasadniczego pracowników Głównej Biblioteki Pracy i Zabezpieczenia Społecznego oraz pracowników Centrum Projektów Europejskich.
W okresie od 1.1.2020 r. do 31.5.2020 r. stosuje się następujące miesięczne stawki wynagrodzenia zasadniczego dla pracowników Głównej Biblioteki Pracy i Zabezpieczenia Społecznego:
|
Kategoria zaszeregowania |
Kwota w złotych |
Dotychczas |
|
I |
2 000-2 600 |
2 000-2 350 |
|
II |
2 050-2 620 |
2 050-2 400 |
|
III |
2 100-2 660 |
2 100-2 450 |
|
IV |
2 150-2 700 |
2 150-2 500 |
|
V |
2 200-2 800 |
2 200-2 600 |
|
VI |
2 250-2 900 |
2 250-2 700 |
|
VII |
2 300-3 000 |
2 300-2 800 |
|
VIII |
2 400-3 200 |
2 400-2 900 |
|
IX |
2 500-3 400 |
2 500-3 000 |
|
X |
2 600-3 600 |
2 600-3 100 |
|
XI |
2 700-3 800 |
2 700-3 200 |
|
XII |
2 800-4 000 |
2 800-3 400 |
|
XIII |
2 900-4 200 |
2 900-3 600 |
|
XIV |
3 000-4 400 |
3 000-3 800 |
|
XV |
3 100-4 600 |
3 100-4 000 |
|
XVI |
3 200-4 800 |
3 200-4 200 |
|
XVII |
3 300-5 000 |
3 300-4 400 |
|
XVIII |
3 400-5 300 |
3 400-4 700 |
|
XIX |
3 500-5 700 |
3 500-5 000 |
|
XX |
3 600-6 000 |
3 600-5 400 |
|
XXI |
3 700-6 300 |
3 700-5 800 |
|
XXII |
3 800-6 700 |
3 800-6 200 |
W okresie od 1.1.2020 r. do 31.5.2020 r. stosuje się następujące miesięczne stawki wynagrodzenia zasadniczego dla pracowników Centrum Projektów Europejskich:
|
Kategoria zaszeregowania |
Kwota w złotych |
Dotychczas |
|
I |
2 500-3 900 |
2 500-3 900 |
|
II |
3 300-4 100 |
3 300-4 100 |
|
III |
3 500-4 300 |
3 500-4 300 |
|
IV |
3 700-4 500 |
3 700-4 500 |
|
V |
3 900-4 700 |
3 900-4 700 |
|
VI |
4 100-4 900 |
4 100-4 900 |
|
VII |
4 300-5 100 |
4 300-5 100 |
|
VIII |
4 500-5 300 |
4 500-5 300 |
|
IX |
4 700-5 500 |
4 700-5 500 |
|
X |
5 000-6 000 |
5 000-6 000 |
|
XI |
5 500-6 600 |
5 500-6 600 |
|
XII |
6 000-7 600 |
6 000-7 600 |
|
XIII |
6 500-8 600 |
6 500-8 600 |
|
XIV |
7 000-10 100 |
7 000-10 100 |
|
XV |
7 600-12 200 |
7 600-12 200 |
Jak widać kwoty są identyczne z dotychczasowymi, dodano jednak okres obowiązywania tych stawek.
Pracownik, który nie spełnia wymagań kwalifikacyjnych przewidzianych dla stanowiska zajmowanego przez niego w dniu wejścia w życie rozporządzenia nowelizującego, może być nadal zatrudniony na tym stanowisku. Nie ma przy tym narzuconego okresu, przez który takie zatrudnienie jest możliwe.
Pracownik zatrudniony w dniu wejścia w życie niniejszego rozporządzenia na stanowisku nieprzewidzianym w tym rozporządzeniu może być nadal zatrudniony, z tym że na stanowisku określonym poprzez przepisy rozporządzenia zmieniającego. Konieczna jest zatem w takich przypadkach zmian stanowiska.
Zmiana obejmuje pewne elementy płacowe, przy czym wynagrodzenie pracownika, ustalone w oparciu o znowelizowane przepisy rozporządzenia, nie może być niższe od wynagrodzenia ustalonego temu pracownikowi przed dniem wejścia w życie rozporządzenia z 20.5.2020 r.
Utworzenie obwodów wyborczych za granicą
W Dz.U. z 2020 r. pod poz. 1014 opublikowano rozporządzenie MSZ z 8.6.2020 r. w sprawie utworzenia obwodów głosowania w wyborach Prezydenta Rzeczypospolitej Polskiej w 2020 roku dla obywateli polskich przebywających za granicą.
Utworzono obwody głosowania w wyborach Prezydenta RP w 2020 r. dla obywateli polskich przebywających za granicą. Wykaz tych obwodów, w liczbie 169, z podaniem ich numerów oraz wskazaniem siedzib obwodowych komisji wyborczych, określa załączniku do rozporządzenia.
Utraciło tym samym moc rozporządzenie MSZ z 20.4.2020 r. w sprawie utworzenia obwodów głosowania w wyborach Prezydenta Rzeczypospolitej Polskiej w 2020 roku dla obywateli polskich przebywających za granicą (Dz.U. z 2020 r. poz. 706).
Opodatkowanie VAT wykonywania tynków na terenie Niemiec
Jeżeli usługa tynkowania ma być wykonana dla osoby prywatnej, wówczas należy zarejestrować się do VAT w Niemczech i wystawić fakturę zgodnie z niemieckimi przepisami. Jeżeli usługa tynkowania ma być wykonywana dla firmy niemieckiej, należy wystawić fakturę ze stawką „np” i dopiskiem „odwrotne obciążenie”.
Wykonywanie tynków to usługi na nieruchomościach. Zasady opodatkowania usług związanych z nieruchomościami określone są w art. 28e ustawy z 11.3.2004 r. o podatku od towarów i usług (t.j. Dz.U. z 2020 r. poz. 106 ze zm.; dalej: VATU), zgodnie z którym miejscem świadczenia tych usług jest miejsce położenia nieruchomości. Zatem, Świadczenie usług związanych z nieruchomościami położonymi poza terytorium Polski nie podlega opodatkowaniu VAT w Polsce i to bez względu na status VAT sprzedawcy. Sposób rozliczenia takiej transakcji uzależniony jest natomiast od statusu usługobiorcy, czyli czy jest nią inny przedsiębiorca, czy osoba prywatna nieprowadząca działalności gospodarczej.
Świadcząc usługi na nieruchomości w Niemczech na rzecz firm niemieckich rozliczenie podatku VAT uzależnione jest od przepisów obowiązujących w Niemczech. Jeżeli zgodnie z niemieckimi przepisami to usługobiorca zobowiązany jest do rozliczenia VAT z tego tytułu wówczas należy zastosować mechanizm odwrotnego obciążenia. Wówczas należy wystawić fakturę za wykonane usługi, zawierającą wyrazy: „odwrotne obciążenie”, a zamiast stawki VAT wpisujemy „np”.
Świadczenia usług na nieruchomościach e poza terytorium kraju, nie wlicza się do limitu zwolnienia podmiotowego z i nie ma z tego tytułu obowiązku rejestracji do VAT w Polsce. Usługi te nie podlegają opodatkowaniu zgodnie z art. 28b VATU, w związku z tym nie wykazuje się ich w informacjach podsumowujących VAT-UE i nie ma obowiązku rejestracji jako podatnik unijny.
Z uwagi na opodatkowanie usług tynkowania w miejscu położenia nieruchomości (Niemcy), w przypadku świadczenia tych usług na rzecz osoby prywatnej Czytelnik musi zarejestrować do VAT w Niemczech, aby podatek VAT mógł być tam rozliczony. Rejestracja do VAT w Niemczech nie oznacza od razu obowiązku wystawiania faktur z naliczonym podatkiem od wartości dodanej. Podobnie jak w Polsce obowiązuje tam limit obrotów uprawniających do zwolnienia podmiotowego – w Niemczech obecnie wynosi 17 500 euro (roczna wartość sprzedaży liczona proporcjonalnie od dnia rejestracji do VAT).
Podsumowując, świadcząc usługi dla osób prywatnych Czytelnik powinien zarejestrować się do VAT w Niemczech i zgodnie z obowiązującymi tam przepisami wystawić fakturę nabywcy usługi. Wykonując usługi dla firm, jeżeli niemieckie przepisy przewidują opodatkowanie tych usług przez usługobiorcę należy wystawić zgodne z polskimi przepisami fakturę ze stawką „np” i dopiskiem „odwrotne obciążenie”.
Ewidencja w deklaracjach: W deklaracji VAT-7 (20) świadczenie usług na rzecz przedsiębiorców należy wykazać w poz. 11 – świadczenie usług poza terytorium kraju, natomiast na rzecz konsumentów – nie wykazuje się w deklaracji VAT.
(RA)
Aktywność UODO podczas epidemii czego możemy się nauczyć na podstawie ostatnich naruszeń?
Wszystkie cztery naruszenia w pigułce
Naruszenia opisane przez UODO dotyczyły kolejno:
- Ataku z wykorzystaniem oprogramowania typu ransomware, przy czym do zdarzenia doszło w wyniku uzyskania przez atakującego loginu i hasła administratora – atakujący uzyskał w ten sposób dostęp do danych osobowych studentów, słuchaczy studiów podyplomowych i (współ)pracowników SWPS Uniwersytetu Humanistycznospołecznego. Urząd zaznaczył, że SWPS współpracuje z inną uczelnią (Collegium Da Vinci), z którą współdzieli nie tylko należący do niej budynek, lecz także administrowaną przez nią sieć komputerową znajdującą się w tym budynku;
- Nieuprawnionego dostępu do danych pracowników i studentów poprzez złamanie zabezpieczeń jednej z platform edukacyjnych – Politechnika Warszawska – administrator danych – ostrzegła, że w związku ze zdarzeniem może nastąpić nielegalne wykorzystanie danych jej pracowników i studentów. Jednocześnie UODO zaznaczył, że administrator zgłosił naruszenie zarówno osobom, których dane dotyczą, jak i odpowiednim służbom, w tym policji i Zespołowi Reagowania na Incydenty Bezpieczeństwa Komputerowego: CSIRT GOV, CSIRT MON oraz CSIRT NASK;
- Omyłkowego udostępnienia danych przez pracownika firmy informatycznej podczas uruchamiania nowej strony internetowej – naruszenie dotyczy PANEK S.A. – znanej sieci wypożyczalni samochodów. Jak wskazuje UODO, „podczas procesu uruchamiania nowej witryny WWW zostały skopiowane pliki starej witryny do nowego folderu, który powinien być ukryty, a został udostępniony. (…) Pracownik firmy informatycznej popełnił błąd i nie ukrył plików”;
- Naruszenia poufności danych klientów – ostatnie, najbardziej enigmatyczne naruszenie, dotyczy Fortum Marketing and Sales Polska S.A. – sprzedawcy prądu, gazu i ciepła dla domu. Do zdarzenia miało dojść podczas wprowadzania zmian związanych z wydajnością w środowisku teleinformatycznym. Aktualizacja: skutkiem tego naruszenia było wszczęcie przez Prezesa UODO postępowania administracyjnego przeciwko spółce.
Co wszystkie naruszenia mają ze sobą wspólnego?
Przyczyny zdarzeń zgłoszonych Prezesowi UODO miały charakter zarówno zewnętrzny (działanie osoby spoza organizacji) – umyślny (atak hakerski), jak i wewnętrzny (działanie współpracownika administratora) – nieumyślny (błąd ludzki) . Wszystkie naruszenia łączy fakt, że dotyczą sfery zabezpieczeń technicznych (i w pewnym zakresie być może również organizacyjnych), czyli szeroko pojętych kwestii bezpieczeństwa informacji. Mimo że z pozoru są podobne, każde z nich zwraca uwagę na trochę inny problem. Z kolei sposób, w jaki do naruszeń odniósł się UODO, pozwala wyciągnąć z nich przydatne dla administratorów wnioski.
Nie pokusilibyśmy się o stwierdzenie, że każdego z tych czterech naruszeń dało się uniknąć, bo żadna organizacja nie jest w stanie zabezpieczyć swoich danych w stu procentach, lecz podjęcie odpowiednich działań w odpowiednim czasie z pewnością pozwoliłoby zmniejszyć skutki zdarzenia i ograniczyć ryzyko związane z nałożeniem kary przez Prezesa UODO.
Jakie błędy mogli popełnić administratorzy?
Najmniej przewidywalną grupą przyczyn naruszeń są ataki hakerskie. Ten, do którego doszło na Uniwersytecie SWPS, był atakiem ransomware, czyli złośliwego oprogramowania, które blokuje dostęp do komputera, dopóki odpowiednia suma okupu nie zostanie uiszczona na konto przestępcy. Szantażującym co do zasady przyświeca cel w postaci wyłudzenia płatności, w zamian za którą obiecują usunięcie infekcji (co jednak niekoniecznie musi nastąpić).
Jakich działań najczęściej nie podejmują organizacje, które padają ofiarami tego typu ataków?
Przede wszystkim:
- nie tworzą regularnie kopii zapasowych i nie przechowują plików w bezpiecznym miejscu (takim jak np. urządzenie pamięci masowej offline);
Uwaga: podczas ewentualnej kontroli pracownicy UODO mogą poprosić o wgląd do polityki tworzenia kopii zapasowych (backupów) na dowód tego, że w organizacji faktycznie funkcjonują procedury, dzięki którym mimo ataku nie zostanie naruszona dostępność danych. - w ogóle nie instalują na sprzęcie komputerowym odpowiedniego programu antywirusowego albo na bieżąco go nie aktualizują;
UODO może dopytywać administratora o takie kwestie, jak konfiguracja systemu antywirusowego (np. czy pracownik-użytkownik ma możliwość jego wyłączenia lub innego wpływu na konfigurację), systematyczna aktualizacja systemu i wykorzystywanych przez niego sygnatur wirusów czy zainstalowanie go na każdym komputerze wykorzystywanym w organizacji. - nie przykładają odpowiedniej wagi do edukacji personelu.
Najczęściej ransomware rozprzestrzenia się, podszywając się pod fakturę, dokument zamówienia, CV czy inny niepozornie wyglądający załącznik do e-maila. Niestety system antywirusowy nie jest lekiem na całe zło – nawet przy znaczącym budżecie przeznaczanym na zabezpieczenia techniczne jeden nieuważny, słabo przeszkolony pracownik jest w stanie zniweczyć wysiłki całej organizacji.
Ataki hakerskie to nie wyłącznie szkodliwe oprogramowanie, które ma zmusić zaatakowaną organizację do określonego zachowania, lecz również działanie ukierunkowane na celowe pozyskanie danych i wykorzystanie ich np. do kradzieży tożsamości. Hakerzy dążą do pozyskania jak największej ilości informacji umożliwiających identyfikację osób – im więcej danych, tym większe spektrum możliwości ich wykorzystania. Większość cennych informacji, takich jak PESEL, numer i seria dokumentu tożsamości, dane kont bankowych i numery kart płatniczych, jest przechowywana na kontach internetowych chronionych hasłem, przez co hakerzy często skupiają się na odgadnięciu lub kradzieży danych logowania.
Aby zapobiec potencjalnym atakom, a w sytuacjach gdy i tak do nich doszło – być w stanie wykazać organowi nadzorczemu, że jako organizacja dołożyliśmy wszelkich starań w celu zapewnienia bezpieczeństwa przetwarzanym przez nas danym, warto rozważyć:
- przeprowadzenie testów penetracyjnych , czyli atak hakerski w warunkach kontrolowanych. Podczas przełamywania zabezpieczeń określonych aplikacji webowych, mobilnych czy innych zasobów infrastrukturalnych jesteśmy w stanie zidentyfikować potencjalne luki w systemach, a następnie podjąć adekwatne działania naprawcze;
- szyfrowanie danych – zapewnienie pełnego bezpieczeństwa danych jest wręcz niemożliwe, dlatego każda organizacja powinna myśleć o sobie jako o potencjalnej ofierze hakerów. Skuteczną metodą ograniczenia skutków takiego ataku do minimum jest zapisywanie danych w zaszyfrowanej postaci i przechowywanie klucza oddzielnie od danych. Nawet jeśli atakujący uzyska dostęp do systemu, znajdzie tylko niemożliwe do odczytania informacje;
- audyt, tj. sprawdzenie (przykładowo) strony WWW lub aplikacji webowej pod kątem potencjalnych luk bezpieczeństwa i tym samym znalezienie wad/błędów w kodzie witryny oraz oprogramowaniu serwera, które umożliwiają przeprowadzenie ataku.
Na co z pewnością zwróci uwagę UODO podczas analizy zgłoszonych naruszeń?
Analiza informacji o naruszeniach opublikowanych przez UODO pozwala na wysnucie przypuszczenia, że w przytoczonych stanach faktycznych dla organu nadzorczego szczególnie istotne mogą być następujące kwestie:
- reakcja na stwierdzone u administratora naruszenie ochrony danych osobowych – w informacji o naruszeniu wykrytym na Uniwersytecie SWPS Urząd podkreślił, że w momencie zgłaszania naruszenia administrator nie poinformował osób, których dane dotyczą, o zaistniałej sytuacji. Natomiast do Fortum Marketing and Sales Polska S.A Prezes UODO skierował wystąpienie o podjęcie działań mających na celu niezwłoczne zawiadomienie osób, których dane dotyczą, o naruszeniu ich danych osobowych. Należy pamiętać, że administrator ma obowiązek dokonać analizy, czy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (np. przy użyciu kalkulatora wagi naruszeń) – jeśli tak, bez zbędnej zwłoki należy zawiadomić o nim osoby, których dane dotyczą (art. 34 RODO);
- niedokładne przedstawienie stanu faktycznego związanego z naruszeniem – wraz z decyzją o wszczęciu postępowania administracyjnego przeciw spółce Fortum, Prezes UODO wezwał również spółkę do przedstawienia dalszych, szczegółowych informacji związanych z naruszeniem, m.in. w zakresie okoliczności naruszenia oraz kategorii danych osób, których dotyczy naruszenie. Pytanie, na jakim stopniu ogólności te informacje zostały poruszone w formularzu zgłoszenia naruszenia.
- odpowiednie uregulowanie powierzenia przetwarzania danych osobowych – przy opisie naruszenia danych na Uniwersytecie SWPS znajduje się również informacja o tym, że administratorem sieci komputerowej współdzielonej przez niego z inną uczelnią była właśnie ta inna uczelnia. Z kolei w PANEK S.A. bezpośrednim sprawcą naruszenia był pracownik zewnętrznej firmy informatycznej. W obu sytuacjach nie ulega wątpliwości, że UODO dokładniej przyjrzy się temu, czy z podmiotami zewnętrznymi mającymi dostęp do danych została zawarta zgodna z RODO umowa powierzenia (sprawdź przygotowany przez nas wzór umowy powierzenia przetwarzania danych osobowych);
- świadomość pracowników – jest raczej mało prawdopodobne, że podczas kontroli pracownicy UODO zadowolą się deklaracją administratora, że w organizacji są przeprowadzane szkolenia z ochrony danych osobowych. Administrator powinien być w stanie wykazać, po pierwsze kiedy i czy w ogóle takie szkolenia przeszedł cały personel pracujący na danych (w czym mogą pomóc zaświadczenia/certyfikaty o ukończeniu szkolenia i funkcjonująca w organizacji procedura, zgodnie z którą nowo zatrudnione osoby muszą być przeszkolone przed dopuszczeniem ich do pracy na danych), po drugie że szkolenie nie było tylko formalnością – np. podnoszenie świadomości pracowników ma charakter ciągły (choćby w postaci cyklicznych wiadomości przypominających pracownikom o zasadach przetwarzania danych, postępowania z powierzonym sprzętem oraz o zagrożeniach).
Świadomość pracowników jest szczególnie istotna teraz, w dobie koronawirusa i pracy zdalnej. Odpowiadając na tę potrzebę, przygotowaliśmy bezpłatne szkolenie „Zasady bezpiecznej pracy zdalnej„, które dostarczy wiedzy osobom mającym pracować zdalnie, rozwinie ich umiejętności, a także nauczy pożądanych zachowań.
Wnioski
Tak intensywne działania UODO mimo ogłoszonego stanu epidemii prowadzą do jednego wniosku – wyjątkowa sytuacja w kraju nie będzie dawała przyzwolenia na pobłażliwe traktowanie kwestii związanych z ochroną danych osobowych i bezpieczeństwem informacji. Urząd kieruje do administratorów jasny sygnał, że dane osobowe nie powinny ucierpieć podczas kryzysu epidemicznego. Dzięki obserwacji aktualnej działalności UODO i analizie podejmowanych przez niego działań można się domyślać, że obecnie obszarem jego szczególnych zainteresowań są właśnie naruszenia ochrony danych osobowych. W następnym artykule postaramy się przybliżyć najczęstsze błędy przy zgłaszaniu i obsłudze naruszeń ochrony danych osobowych.
Nowe wzory tytułów wykonawczych stosowanych w egzekucji administracyjnej
Nowe formularze zostały określone w rozporządzeniu Ministra Finansów z 25.5.2020 r. w sprawie wzorów tytułów wykonawczych stosowanych w egzekucji administracyjnej (Dz.U. z 2020 r., poz. 968). Są to wzory:
1) tytułu wykonawczego stosowanego w egzekucji należności pieniężnych;
2) tytułu wykonawczego stosowanego w egzekucji obowiązków o charakterze niepieniężnym;
3) kolejnego tytułu wykonawczego.
Nowe rozporządzenie wydano ze względu na zmianę przepisu art. 26 § 2 ustawy z 17.6.1966 r. o postępowaniu egzekucyjnym w administracji. Przepis ten stanowi podstawę do określenia, w drodze rozporządzenia wzoru tytułu wykonawczego, jak również wzoru kolejnego tytułu wykonawczego. Wzory ww. tytułów wykonawczych stanowią załączniki nr 1-3 do nowego rozporządzenia. Wzory uwzględniają inne zmiany w zakresie elementów tytułów wykonawczych i kolejnego tytułu wykonawczego, uwzględniają też możliwość opatrywania tytułu wykonawczego zaawansowaną lub kwalifikowaną pieczęcią elektroniczną. Ponadto wzory uwzględniają zmiany wynikające z ustawy z 5.7.2018 r. o zarządzie sukcesyjnym przedsiębiorstwem osoby fizycznej i innych ułatwieniach związanych z sukcesją przedsiębiorstw – w zakresie oznaczenia zobowiązanego, który zmarł przed wszczęciem postępowania egzekucyjnego.
Wzory tytułów wykonawczych stanowiące załączniki do rozporządzenia Ministra Finansów z 8.8.2016 r. w sprawie wzorów tytułów wykonawczych stosowanych w egzekucji administracyjnej (Dz.U. z 2018 r. poz. 850) mogą być stosowane nie dłużej niż przez 9 miesięcy od dnia wejścia w życie nowego rozporządzenia (tj. do 30.4.2021 r.), pod warunkiem prawidłowego pouczenia zobowiązanego zgodnie z art. 27 § 1 pkt 8–9a ustawy o postępowaniu egzekucyjnym w administracji.
