Obowiązki informacyjne i współadministrowanie danymi osobowymi w kontekście RODO

Obowiązek informacyjny wynikający z RODO (art. 13 i 14) wskazuje, że osoby, których dane są przetwarzane, powinny być informowane o tym, kto jest administratorem danych i w jaki sposób dane są przetwarzane. Jeśli Lider i Partner działają jako współadministratorzy, to wówczas owszem, klient powinien zostać poinformowany o zasadach współadministrowania. Oznacza to, że powinna być dostępna jedna wspólna klauzula informacyjna lub dwa oddzielne dokumenty, które wskazują, jakie są role poszczególnych podmiotów, kto jest odpowiedzialny za realizację praw osób, których dane dotyczą itd.

Jeśli jednak to Lider jest administratorem, a Partner tylko podmiotem przetwarzającym, to tylko Lider (jako administrator) odpowiada za pełnienie obowiązku informacyjnego. W klauzuli Lidera powinna być wskazana informacja, że dane mogą być przekazywane Partnerowi jako podmiotowi przetwarzającemu.

Czy więc zachodzi tutaj współadministrowanie? To zależy od faktycznego podziału ról i odpowiedzialności w zakresie przetwarzania danych oraz tego, czy zarówno Lider, jak i Partner wspólnie ustalili cele i środki przetwarzania danych. Przykładem może być sytuacja, gdy oba podmioty podejmują decyzje o tym, jak dane są wykorzystywane. Nie mam informacji, aby do takich ustaleń doszło, więc z pytania wynika, że bardziej prawdopodobny jest model administrator (Lider) – podmiot przetwarzający (Partner).

 

Wewnątrzwspólnotowa sprzedaż towarów na odległość a obowiązek posiadania kasy fiskalnej

W stanie faktycznym zaprezentowanym w pytaniu mamy do czynienia z tzw. transakcjami wewnątrzwspólnotowej sprzedaży towarów na odległość (WSTO), zdefiniowanymi w art. 2 pkt 22a ustawy o podatku od towarów i usług (dalej: VATU). Jest to dostawa towarów wysyłanych lub transportowanych przez dostawcę z terytorium jednego państwa członkowskiego, na terytorium innego państwa członkowskiego będącego państwem zakończenia wysyłki lub transportu towarów do nabywcy, który jest podmiotem niezobowiązanym do rozliczenia WNT, np. konsumentem.

Jeżeli całkowita wartość dostaw towarów dokonywanych w ramach WSTO, jak i usług telekomunikacyjnych, nadawczych i elektronicznych (usług TBE) świadczonych na rzecz podatników z innych państw członkowskich nie przekroczyła w trakcie roku podatkowego ani w poprzednim roku podatkowym kwoty 42 000 zł, WSTO podlega opodatkowaniu w Polsce (a nie w kraju zakończenia transportu, wysyłki).

W takiej sytuacji rozliczenie realizowanych przez podatników dostaw towarów do zagranicznych konsumentów odbywa się według unormowań polskich. Stosujemy zatem krajowe regulacje dotyczące kas fiskalnych dla sprzedaży detalicznej. Co do zasady transakcje WSTO podlegają ewidencji fiskalnej, przy czym można dla tych czynności stosować generalnie zwolnienia przedmiotowe i zwolnienie podmiotowe z kasy. Co bardzo istotne, dokonując sprzedaży wysyłkowej WSTO, polski podatnik – nawet jeśli ujmuje daną sprzedaż w kasie rejestrującej – ma obowiązek dodatkowo potwierdzić jej wykonanie w postaci faktury. Tak wynika z art. 106b ust. 1 pkt 2 VATU.

Pytacie Państwo o możliwość korzystania ze zwolnienia z kasy dla sprzedaży wysyłkowej do zagranicznego konsumenta, jeśli zapłata za transakcję zostanie uregulowana w formie bezgotówkowej, przelewem na rachunek bankowy. Tego rodzaju zwolnienie zostało określone w poz. 36 załącznika do rozporządzenia Ministra Finansów w sprawie zwolnień z obowiązku prowadzenia ewidencji sprzedaży przy zastosowaniu kas rejestrujących (dalej: KasRejR). Z niniejszego zwolnienia z kasy mogą korzystać podatnicy dokonujący dostawy towarów zagranicznym kontrahentom, jeśli:

1) dostawa odbywa się w systemie wysyłkowym (pocztą lub przesyłkami kurierskimi),

2) dostawca towaru otrzyma w całości zapłatę za wykonaną czynność za pośrednictwem poczty, banku lub spółdzielczej kasy oszczędnościowo–kredytowej na rachunek bankowy lub na rachunek w spółdzielczej kasie oszczędnościowo–kredytowej, której jest członkiem,

3) z ewidencji i dowodów dokumentujących zapłatę posiadanych przez podatnika będzie jednoznacznie wynikać, jakiej konkretnie czynności dotyczyła dostawa i na czyją rzecz została dokonana (dane nabywcy, w tym jego adres),

4) przedmiotem dostawy nie są towary wymienione w § 4 KasRejR.

Powyższe oznacza, że aby skorzystać ze zwolnienia dla sprzedaży wysyłkowej, oprócz przyjęcia zapłaty na konto, konieczne jest także zaprowadzenie ewidencji wiążącej wpłatę z czynnością sprzedaży. W tej ewidencji należy umieścić dane nabywcy towaru oraz jego adres. Ustawodawca nie żąda jednak, aby był to adres zamieszkania nabywcy. Wystarczy zatem podać jakikolwiek adres kupującego, aby wypełnić niniejszy warunek. Istotne jest również to, że zwolnienie z poz. 36 załącznika do rozporządzenia Ministra Finansów w sprawie zwolnień z obowiązku prowadzenia ewidencji sprzedaży przy zastosowaniu kas rejestrujących może być stosowane, o ile przedmiotem sprzedaży podatnika nie są tzw. towary wrażliwe, wymienione w § 4 KasRejR (np. perfumy, sprzęt fotograficzny).

Końcowo warto zaznaczyć, że przekroczenie limitu sprzedaży wysyłkowej WSTO w kwocie 42 000 zł w roku podatkowym powoduje automatycznie przeniesienie miejsca opodatkowania transakcji do państwa, w którym kończy się wysyła lub transport sprzedanego towaru. Z tej przyczyny polskie regulacje dotyczące kas fiskalnych przestają mieć zastosowanie. Nie jest zatem możliwe zastosowanie krajowych zwolnień z kasy fiskalnej dla tej sprzedaży.

Zwrot kosztu dojazdu na szkolenie dla pracownika

Zarówno w odniesieniu do pytanie nr 1, jak i nr 2, należy stwierdzić, że zwrot wydatków poniesionych przez pracowników nie będzie stanowić u nich przychodu podlegającego opodatkowaniem PIT.

Zgodnie z art. 12 ust. 1 ustawy o podatku dochodowym od osób fizycznych za przychody ze stosunku służbowego, stosunku pracy, pracy nakładczej oraz spółdzielczego stosunku pracy uważa się wszelkiego rodzaju wypłaty pieniężne oraz wartość pieniężną świadczeń w naturze bądź ich ekwiwalenty, bez względu na źródło finansowania tych wypłat i świadczeń, a w szczególności: wynagrodzenia zasadnicze, wynagrodzenia za godziny nadliczbowe, różnego rodzaju dodatki, nagrody, ekwiwalenty za niewykorzystany urlop i wszelkie inne kwoty niezależnie od tego, czy ich wysokość została z góry ustalona, a ponadto świadczenia pieniężne ponoszone za pracownika, jak również równowartość innych nieodpłatnych świadczeń lub świadczeń częściowo odpłatnych.

W tym przypadku konieczne jest jednak zwrócenie uwagi na wyrok TK z 8.7.2014 r. (K 7/13, Legalis), w którym zostały wymienione przesłanki uznania świadczenia za przychód pracownika. Z wyroku tego wynika, że za przychody pracownika mogą zostać uznane takie świadczenia, które:

1) zostały spełnione za zgodą pracownika (skorzystał z nich w pełni dobrowolnie),

2) zostały spełnione w jego interesie (a nie w interesie pracodawcy) i przyniosły mu korzyść w postaci powiększenia aktywów lub uniknięcia wydatku, który musiałby ponieść,

3) mają wymierną wartość przypisaną indywidualnemu pracownikowi (oznacza to, że świadczenie nie jest dostępne w sposób ogólny dla wszystkich podatników).

Biorąc pod uwagę powyższe przesłanki, ciężko uznać zwroty wydatków poniesione przez pracowników w celu dojazdu na szkolenia/ wydarzenia, na które pracownik jest delegowany przez pracodawcę, za świadczenie spełnione w interesie pracownika. Orzecznictwo już dłuższy czas stoi na stanowisku, że w sytuacjach, gdy pracownik wykorzystuje samochód prywatny do przejazdów służbowych, to taki zwrot wydatków nie stanowi u niego przychodu podatkowego.

W przypadku, gdy pracodawca zwraca pracownikowi wydatki związane z przejazdem taksówkami na szkolenia lub wydarzenia, na które to pracodawca go wysyła (deleguje), wówczas również trudno jest mówić o przysporzeniu majątkowym po stronie pracownika, ponieważ uzyskuje on jedynie zwrot kwoty, której nie wydałby, gdyby nie polecenie służbowej.

W związku z powyższym dokonywanie zwrotów takich wydatków przez pracodawcę pracownikom nie będzie stanowiło u tych drugich przychodów podlegających opodatkowaniu PIT.

Ciąża w trakcie wypowiedzenia biegnącego na skutek nieprzyjęcia wypowiedzenia zmieniającego

Wypowiedzenie zmieniające jest jednostronną czynnością pracodawcy. Polega na zmianie wynikających z umowy warunków pracy i płacy po upływie dokonanego przez pracodawcę wypowiedzenia (art. 42 Kodeksu pracy). Jest ono niezbędne wówczas, gdy dochodzi do zmian ustaleń zawartych w umowie o pracę, a pracownik nie wyraża zgody na zawarcie porozumienia zmieniającego.

Przepisy o wypowiedzeniu umowy o pracę stosuje się odpowiednio do wypowiedzenia wynikających z umowy warunków pracy i płacy (art. 42 § 1 Kodeksu pracy). Nie ma tutaj żadnych ograniczeń – „odpowiednie stosowanie” oznacza konieczność stosowania przepisów o wypowiedzeniu z ewentualnymi zmianami związanymi jedynie z charakterem wypowiedzenie zmieniającego. Oznacza to m.in. obowiązek uzasadnienia wypowiedzenia zmieniającego przy umowie na czas nieokreślony oraz znaczące ograniczenie możliwości jego zastosowana wobec osób chronionych przed rozwiązaniem umowy za wypowiedzeniem.

Pracownik może przyjąć proponowane warunki składając stosowne oświadczenie, ale również nie podejmując żadnych działań. Kodeks pracy przyjmuje tutaj konstrukcje zgody milczącej – przy braku jakiegokolwiek działania ze strony pracownika uważa się, że przyjmuje zaproponowane przez pracodawcę warunki.

Zatrudniony może się jednak na zmiany nie zgodzić. Wówczas umowa o pracę rozwiązuje się z upływem okresu dokonanego wypowiedzenia.

W okresie ciąży pracodawca nie może:

1) prowadzić przygotowań do wypowiedzenia lub rozwiązania bez wypowiedzenia stosunku pracy z tą pracownicą lub tym pracownikiem,

2) wypowiedzieć ani rozwiązać stosunku pracy z tą pracownicą lub tym pracownikiem, chyba że zachodzą przyczyny uzasadniające rozwiązanie umowy bez wypowiedzenia z ich winy i reprezentująca pracownicę lub pracownika zakładowa organizacja związkowa wyraziła zgodę na rozwiązanie umowy.

Ochrona obejmuje zarówno dokonanie wypowiedzenia, jak i jego skutek w postaci rozwiązania umowy, gdy ciąża powstała w trakcie okresu wypowiedzenia.

Ładowanie służbowego samochodu elektrycznego a koszty uzyskania przychodów

Pracownicy i dyrektorzy

Skoro w przedstawionych przypadkach dochodzi m.in. do wykorzystywania przez pracowników samochodów służbowych w celach prywatnych, to uzyskują oni przychód z tytułu nieodpłatnych świadczeń. Zgodnie z art. 12 ust. 2a ustawy o podatku dochodowym od osób fizycznych (dalej: PDOFizU): „Wartość pieniężną nieodpłatnego świadczenia przysługującego pracownikowi z tytułu wykorzystywania samochodu służbowego do celów prywatnych ustala się w wysokości:

1) 250 zł miesięcznie – dla samochodów:

a) o mocy silnika do 60 kW,

b) stanowiących pojazd lub pojazd napędzany wodorem;

2) 400 zł miesięcznie – dla samochodów innych niż wymienione w pkt 1”.

Jak wskazał Minister Finansów w interpretacji ogólnej z 11.9.2020 r. (DD3.8201.1.2020):

W związku z powyższym, wartość paliwa sfinansowanego przez pracodawcę jest uwzględniana w ww. ryczałtowym przychodzie pracownika.

Zdaniem organów podatkowych, bez znaczenia jest, czy paliwem samochodu służbowego jest benzyna, czy energia elektryczna. W sytuacji, gdy pracownik ładuje służbowy samochód z napędem elektrycznym w miejscu zamieszkania, to – w rozumieniu ustawy o podatku dochodowym od osób fizycznych – zwrot przez pracodawcę wydatku z tego tytułu nie będzie stanowił dodatkowego przychodu pracownika. Innymi słowy, zwrot wydatku na ładowanie samochodu służbowego w wartościach faktycznie poniesionych przez pracownika nie stanowi dla niego ww. przychodu (interpretacja indywidualna Dyrektora KIS z 5.10.2023 r., 0113-KDIPT2-3.4011.605.2023.1.MS).

Warto pamiętać, że zgodnie z art. 68 Kodeksu pracy stosunek pracy nawiązuje się również na podstawie powołania. Oznacza to, że przedstawione wnioski będą miały zastosowanie zarówno w odniesieniu do dyrektora, jak i szeregowego pracownika.

Zleceniobiorcy

Sytuacja przedstawia się nieco inaczej w przypadku zleceniobiorców, którzy wykorzystują firmowy samochód do celów prywatnych, co może mieć miejsce, jeśli strony umowy tak postanowią. W takim przypadku u zleceniobiorcy powstanie dodatkowy przychód z działalności wykonywanej osobiście, którego wartość należy ustalić zgodnie z zasadami określonymi w art. 11 ust. 2a PDOFizU. Oznacza to, że w przypadku nieodpłatnego udostępnienia zleceniobiorcy firmowego samochodu do celów prywatnych przez zleceniodawcę, który w ramach prowadzonej działalności nie świadczy usług najmu samochodów, wartość pieniężną świadczenia ustala się na podstawie cen rynkowych stosowanych przez firmy zajmujące się wynajmem samochodów tego samego rodzaju (marki), z uwzględnieniem w szczególności stanu technicznego i stopnia zużycia (przebiegu) samochodu, oraz czasu i miejsca udostępnienia.

Dokumentowanie

Jeśli zaś chodzi o dokumentowanie kosztów ładowania służbowych samochodów elektrycznych na potrzeby zaliczenia wydatków do kosztów uzyskania przychodów (niezależnie od ich wykorzystywania przez wskazane osoby do celów prywatnych), to należy stwierdzić, że w przypadku ładowania ich w miejscach, w których nie ma możliwości uzyskania dokumentu sprzedaży, np. faktury, rozliczenie ładowania może okazać się bardzo trudne lub niemożliwe bez instalacji osobnego podlicznika, który pozwoli kontrolować ilość zużytej do ładowania samochodu energii. Sporządzenie zestawienia, o którym mowa w pytaniu, nie będzie w tej sytuacji wystarczające do zaliczenia wydatku do kosztów uzyskania przychodów.

Minimalne wynagrodzenie. Trwają prace nad nową ustawą implementującą unijne przepisy

Cel nowej ustawy o minimalnym wynagrodzeniu za pracę

Projekt nowej ustawy o minimalnym wynagrodzeniu ukazał się w sierpniu 2024 r. Ma on na celu, przede wszystkim, wdrożenie do polskiego porządku prawnego regulacji dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2041 z 19.10.2022 r. w sprawie adekwatnych wynagrodzeń minimalnych w Unii Europejskiej. Dodatkowo wprowadzane są jednak również inne zmiany, które, jak wynika z uzasadnienia do tego projektu, zapewnią „wprowadzenie bardziej sprawiedliwego i przejrzystego kształtu minimalnego wynagrodzenia za pracę oraz minimalnej stawki godzinowej”.

Aktualne przepisy przeniesione do projektowanej ustawy

Projekt po części powtarza przepisy obecnie obowiązującej ustawy o minimalnym wynagrodzeniu za pracę. W zakresie istotnym dla pracodawców projekt nowej ustawy przewiduje, tak samo jak obecna ustawa, dwa terminy zmiany wysokości minimalnego wynagrodzenia za pracę, jeżeli prognozowany na rok następny wskaźnik cen wynosi co najmniej 105%, to od 1 stycznia i od 1 lipca danego roku. Jeżeli jednak wskaźnik ten wynosi mniej niż 105%, to nadal będzie jeden termin zmiany wysokości minimalnego wynagrodzenia, tj. od 1 stycznia. Nadal ustalane będzie zarówno minimalne wynagrodzenie za pracę w ujęciu miesięcznym dla stosunku pracy oraz minimalna stawka godzinowa dla określonych umów cywilnoprawnych.

Nowe regulacje planowane w projektowanej ustawie

Nowością jest to, że zgodnie z projektem określona w nowej ustawie gwarancja minimalnego wynagrodzenia za pracę wyznaczać będzie dolną granicę wynagrodzenia przysługującego pracownikowi zatrudnionemu w pełnym miesięcznym wymiarze czasu pracy, niezależnie od posiadanych kwalifikacji, składników wynagrodzenia oraz szczególnych właściwości i warunków pracy. Projekt przewiduje, że wysokość wynagrodzenia zasadniczego pracownika zatrudnionego w pełnym miesięcznym wymiarze czasu pracy nie będzie mogła być niższa od wysokości minimalnego wynagrodzenia za pracę. Jak wynika z uzasadnienia do projektu celem wprowadzenia tej zmiany jest zapewnienie bardziej sprawiedliwego i przejrzystego kształtu minimalnego wynagrodzenia za pracę oraz przywrócenie motywacyjnego charakteru poszczególnym składnikom wynagrodzenia (np. dodatkowi funkcyjnemu, premii, nagrodzie, dodatkowi specjalnemu i innym dodatkom), które obecnie często stanowią uzupełnienie do poziomu minimalnego wynagrodzenia za pracę. W uzasadnieniu do projektu zauważa się, że w takich przypadkach dodatki te przestały pełnić rolę gratyfikacji i uznania pracownika za posiadane przez niego np. doświadczenie zawodowe, sprawowanie dodatkowych funkcji czy też uzyskane wyniki w pracy. Jeżeli pracownik jest zatrudniony w niepełnym miesięcznym wymiarze czasu pracy, wysokość minimalnego wynagrodzenia za pracę będzie natomiast ustalana w kwocie proporcjonalnej do liczby godzin pracy przypadającej do przepracowania przez pracownika w danym miesiącu, biorąc za podstawę wysokość minimalnego wynagrodzenia za pracę ustalonego na podstawie tej ustawy.

Kary za nieprzestrzeganie przepisów

Projekt przewiduje także wprowadzenie do Kodeksu karnego przepisu, zgodnie z którym niewypłacanie wynagrodzenia za pracę przez okres co najmniej 3 miesięcy podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Ponadto z KP wynikać ma, że wypłacanie wynagrodzenia w wysokości niższej od wysokości minimalnego wynagrodzenia za pracę ustalonego na podstawie odrębnych przepisów będzie podlegało karze grzywny od 1500 zł do 45000 zł. Dodatkowo projekt wprowadza automatyzm w naliczaniu odsetek za czas opóźnienia w wypłacie wynagrodzenia za pracę (bez konieczności wnioskowania przez pracownika).

Etap prac nad projektem

Termin wejścia w życie tej ustawy został określony na 15.11.2024 r., jednak projekt nadal nie został jeszcze przyjęty przez Radę Ministrów.

Różnice kursowe ujęte na moment spłaty należności

Ujęcie początkowe należności wyrażonej w walucie obcej dokonywane jest po średnim kursie NBP z dnia poprzedzającego wystawienie faktury sprzedaży. Kurs użyty do ujęcia początkowego (w pytaniu: wartość pierwotna) najpewniej różni się od kursu zastosowanego do wyceny na dzień bilansowy (jeżeli taki wystąpił w trakcie postępowania likwidacyjnego), jak i od kursu użytego do zaksięgowania płatności (realizacji) należności. Wszystkie te różnice podlegają ujęciu na dobro przychodów finansowych lub obciążają koszty finansowe, w zależności od znaku różnicy.

Postawienie spółki w stan likwidacji oznacza, że zakres działalności spółki ukierunkowany jest na czynności likwidacyjne. W trakcie postępowania likwidacyjnego realizowane są również czynności podobne do tych wykonywanych przed rozpoczęciem likwidacji, jak ściąganie należności, spłata zobowiązań, czy sprzedaż zapasów. Konsekwencje tych operacji w postaci kosztów i przychodów ujmuje się na zasadach ogólnych, tj. nie podlegają one rozliczaniu z rezerwą utworzoną na koszty likwidacji. Tym samym koszty i przychody nierozliczane z rezerwą utworzoną na likwidację wpływają na wynik finansowy jednostki w likwidacji.

Uregulowanie należności przez kontrahenta oznacza, że wartość tej pozycji aktywów jest równa zero. Tym samym, różnice, które figurują na koncie należności już po spłacie należności, wymagają rozliczenia. Powstały w wyniku tych księgowań przychód lub koszt finansowy podlega rozliczeniu z kapitałem podstawowym, czyli powinien zostać (pośrednio) uwzględniony w podziale majątku pomiędzy wspólników wpływając na wartość majątku do podziału.

Powyższe jest również aktualne w zakresie środków pieniężnych w walucie obcej.

Ponad 350 tys. zł kary dla firmy za naruszenie zasad ochrony danych osobowych po ataku hakerskim

Incydent bezpieczeństwa: atak ransomware

Sprawa dotyczy firmy, która poinformowała UODO o ataku hakerskim, w wyniku którego utraciła dostęp do danych osobowych swoich pracowników i klientów. W wyniku ataku ransomware w bazie danych znalazły się wrażliwe informacje, takie jak numery PESEL, dowodów osobistych, adresy, numery telefonów, e-maile, a także dane dotyczące kont bankowych. Firma wskazała, że incydent miał miejsce wskutek wyłączenia przez pracownika oprogramowania antywirusowego, co umożliwiło zainstalowanie złośliwego oprogramowania.

Choć firma próbowała zminimalizować skutki incydentu, argumentując, że celem ataku nie było pozyskanie danych, a raczej szantaż, Prezes UODO uznał, że takie podejście jest niewystarczające, zwłaszcza w kontekście wymogów RODO.

Niedociągnięcia w zakresie bezpieczeństwa

Zgodnie z wymaganiami RODO, administrator danych jest zobowiązany do wdrożenia odpowiednich środków technicznych i organizacyjnych, które zapewnią bezpieczeństwo przetwarzanych danych osobowych. W omawianym przypadku, UODO stwierdził, że firma nie przeprowadziła odpowiedniej analizy ryzyka, co mogło zapobiec atakowi. Przepisy RODO nakładają obowiązek wdrożenia środków zapobiegających atakom, takich jak aktualizowanie oprogramowania, stosowanie nowoczesnych zabezpieczeń czy systematyczne monitorowanie infrastruktury informatycznej. W tym przypadku firma nie przeprowadziła żadnych działań zapobiegawczych, co skutkowało złośliwym oprogramowaniem typu ransomware, które mogło zostać powstrzymane poprzez zwykłą aktualizację oprogramowania.

Odpowiedzialność administratora i podmiotu przetwarzającego

Kolejnym kluczowym elementem sprawy była odpowiedzialność administratora danych – firmy, która przetwarzała dane osobowe. UODO wykazał, że firma nie tylko nie wdrożyła odpowiednich środków ochrony danych, ale także nie zweryfikowała, czy podmiot przetwarzający (spółka cywilna) przestrzegał wymogów RODO. Spółka ta, której powierzone zostały dane do przetwarzania, zaniechała informowania administratora o potencjalnych zagrożeniach związanych z niewłaściwymi zabezpieczeniami serwera. Ponadto nie poinformowała o konieczności aktualizacji systemu operacyjnego, co mogło zapobiec atakowi.

W tym kontekście istotne jest, by administrator danych nie tylko dbał o swoje wewnętrzne procedury, ale także kontrolował, jak podmioty przetwarzające dane w jego imieniu zapewniają ich bezpieczeństwo. RODO nakłada na administratorów obowiązek weryfikowania, czy podmioty przetwarzające wdrożyły odpowiednie środki ochrony danych.

Niedostateczne szkolenia i zasada rozliczalności

Nie mniej istotnym uchybieniem, na które zwrócił uwagę UODO, był brak odpowiedniego szkolenia pracowników. Choć firma argumentowała, że to „czynnik ludzki” był przyczyną ataku, przeprowadzono tylko dwa szkolenia w zakresie ochrony danych osobowych, z czego jedno miało miejsce po incydencie. To zdecydowanie za mało, aby minimalizować ryzyko błędów ludzkich. Zgodnie z zasadą rozliczalności zawartą w art. 5 ust. 2 RODO, administrator danych powinien wykazać, że podjął wszelkie możliwe działania w celu ochrony danych przed nieautoryzowanym dostępem. Brak odpowiednich szkoleń oraz systematycznego monitoringu ryzyk, a także niedostateczne wdrożenie zasad ochrony danych, potwierdza brak realizacji tej zasady.

Wnioski: Jak Uniknąć Kar?

Z analizy tej sprawy wyłania się kilka kluczowych wniosków, które powinny być przyjęte przez przedsiębiorców jako zasady działania w kontekście ochrony danych osobowych:

• Analiza ryzyka – obowiązkowa dla każdego administratora danych. Musi ona uwzględniać wszelkie możliwe zagrożenia, w tym ataki z wykorzystaniem złośliwego oprogramowania.
• Wdrażanie środków technicznych i organizacyjnych – aktualizowanie systemów operacyjnych, zabezpieczeń serwerów oraz monitorowanie infrastruktury IT są kluczowe, aby zapobiegać atakom.
• Szkolenie pracowników – regularne i systematyczne szkolenia z zakresu ochrony danych osobowych to podstawa ochrony przed błędami ludzkimi. Warto inwestować w podnoszenie świadomości pracowników na temat zagrożeń i procedur ochrony danych.
• Odpowiedzialność za podmioty przetwarzające – administrator danych musi w pełni kontrolować działania podmiotów, którym powierza przetwarzanie danych, i weryfikować ich działania w zakresie ochrony danych osobowych.
• Komunikacja z osobami, których dane dotyczą – prawidłowe i terminowe zawiadomienie osób o naruszeniu ochrony ich danych to obowiązek wynikający z RODO, którego zlekceważenie wiąże się z poważnymi konsekwencjami.

W kontekście tej sprawy, kluczowym elementem, który należy podkreślić, jest to, że niewłaściwe zabezpieczenia, brak analizy ryzyka oraz zaniedbania w zakresie weryfikacji działań podmiotów przetwarzających, skutkują nie tylko naruszeniem przepisów, ale również karą, która może zagrażać przyszłości firmy. Zachowanie zgodności z RODO nie jest tylko kwestią formalności, ale przede wszystkim troski o bezpieczeństwo danych i reputację przedsiębiorstwa.

Źródło:

https://uodo.gov.pl

Ujawnienie informacji o wysokości wynagrodzenia pracownika

W odniesieniu do dostępu do danych osobowych pracowników zawartych w dokumentacji pracowniczej warunkami podstawowymi, jakie muszą zostać spełnione, są:

1) niezbędność dostępu do danych pracowników do prawidłowego wykonywania obowiązków służbowych przez przełożonego, oraz

2) nadanie upoważnienia do przetwarzania danych osobowych.

Administrator danych osobowych (pracodawca) musi przestrzegać bezwzględnie podstawowych zasad przetwarzania danych pracowników, jak również ich ochrony.

Dane osobowe muszą być:

1) przetwarzane zgodnie z prawem, rzetelnie i sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”),

2) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 RODO za niezgodne z pierwotnymi celami („ograniczenie celu”),

3) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”),

4) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane („prawidłowość”),

5) przechowywane formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 RODO, z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”),

6) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).

Z zasad tych wynika wprost, że dostępność danych osobowych powinna być ograniczona konkretnym celem ich przetwarzania. Powinno to zostać również odniesione jako jedna z nadrzędnych zasad do nadawania upoważnienia do dostępu do danych osobowych pracowników. Ocena tego, czy dana osoba (przełożony) powinna mieć dostęp do szczegółowych informacji o pracowniku powinna być dokonywana z uwzględnieniem konkretnego zakresu uprawnień i obowiązków skarbnika, kierownika. Można powiedzieć, że w każdym przypadku nadawania uprawnień do wglądu do danych osobowych pracowników pracodawca powinien rzetelnie odpowiedzieć co najmniej na pytania: po co? Do czego są potrzebne? Ile informacji powinno być udostępnianych?

Dostęp do danych o wynagrodzeniu byłby uzasadniony np. wówczas, gdyby przełożony miał bezpośredni wpływ na kształtowanie wysokości wynagrodzenia. Jeżeli chodzi zaś o samo porównanie wysokości wynagrodzeń w kontekście przepisów o równym traktowaniu, to dane w tym zakresie posiada pracodawca i zwykle w oparciu o te dane może dokonać oceny, czy regulacje te są przestrzegane.

Zwolnienie podmiotowe od VAT dla podatników rozpoczynających prowadzenie działalności gospodarczej

Zasadniczo każda odpłatna dostawa towarów lub świadczenie usług na terytorium kraju w ramach prowadzonej działalności gospodarczej podlega opodatkowaniu VAT (zob. art. 5 ust. 1 pkt 1 w zw. z art. 15 ust. 1 i ust. 2 ustawy o podatku od towarów i usług, dalej: VATU). Przy czym, w świetle przepisów ustawy o podatku od towarów i usług, przez prowadzenie działalności gospodarczej należy rozumieć również faktyczne prowadzenie takiej działalności, np. prywatne wynajmowanie nieruchomości w sposób ciągły dla celów zarobkowych, a nie tylko wpis przedsiębiorcy w Centralnej Ewidencji i Informacji o Działalności Gospodarczej.

Wyjątkowo jednak odpłatna dostawa towarów lub świadczenie usług na terytorium kraju w ramach prowadzonej działalności gospodarczej może korzystać ze zwolnienia od VAT w przypadku tzw. zwolnienia podmiotowego od VAT. Umożliwia ono małym przedsiębiorcom, dokonującym sprzedaży o wartości nieprzekraczającej 200 000 zł netto rocznie, uniknięcie obowiązku zapłaty VAT (zob. art. 113 ust. 1 VATU).

W przypadku osoby rozpoczynającej w trakcie roku podatkowego wykonywanie czynności podlegających opodatkowaniu VAT (np. prywatnego wynajmu nieruchomości), osoba ta może korzystać ze zwolnienia podmiotowego od VAT, jeżeli przewidywana przez nią wartość sprzedaży nie przekroczy, w proporcji do okresu prowadzonej działalności gospodarczej w roku podatkowym, kwoty 200 000 zł netto (zob. art. 113 ust. 9 VATU). Natomiast jeżeli faktyczna wartość sprzedaży zwolnionej podmiotowo od VAT, w proporcji do okresu prowadzonej działalności gospodarczej, przekroczy w trakcie roku podatkowego kwotę 200 000 zł netto, zwolnienie traci moc począwszy od czynności, którą przekroczono tę kwotę.

Mając na uwadze powyższe należy uznać, że w przedstawionej sytuacji osoba fizyczna, która uzyskuje przychody z tytułu prywatnego wynajmu nieruchomości, powinna zarejestrować się do celów VAT jako podatnik VAT czynny przed rozpoczęciem wynajmowania nieruchomości, jeżeli na podstawie obiektywnych przesłanek osoba ta może ustalić przewidywaną wartość sprzedaży w wysokości powyżej 200 000 zł netto rocznie.

Wynika to m.in. z tego, że w przypadku osoby rozpoczynającej w trakcie roku podatkowego wykonywanie czynności podlegających opodatkowaniu VAT (np. prywatnego wynajmu nieruchomości), przepisy ustawy o podatku od towarów i usług, które dotyczą zwolnienia podmiotowego, odwołują się wprost do przewidywanej przez tę osobę wartości sprzedaży. Innymi słowy, treść przepisów ustawy o podatku od towarów i usług przewiduje wyraźnie, że możliwość korzystania ze zwolnienia podmiotowego od VAT nie przysługuje każdej osobie rozpoczynającej w trakcie roku podatkowego wykonywanie czynności podlegających opodatkowaniu VAT. Możliwość ta przysługuje jedynie osobie, która przewiduje, że jej wartość sprzedaży nie przekroczy, w proporcji do okresu prowadzonej działalności gospodarczej w roku podatkowym, kwoty 200 000 zł netto.

Ponadto należy wskazać, że celem zwolnienia podmiotowego od VAT jest uproszczenie obowiązków oraz zmniejszenie ciężarów podatkowych dla małych przedsiębiorców. Dlatego też należy przyjąć, że jeżeli dana osoba na podstawie obiektywnych przesłanek (np. treści umowy najmu nieruchomości) może ustalić przewidywaną wartość sprzedaży w wysokości powyżej 200 000 zł netto rocznie, to nie powinna ona zostać uznana za małego przedsiębiorcę uprawnionego do stosowania zwolnienia podmiotowego od VAT.