Autor: kancelaria

Dwie formy marketingu są zakazane. Po pierwsze, wysyłanie niezamówionych informacji handlowych i marketingowych, głównie pocztą elektroniczną, tzw. spaming, ale również telefonicznie oraz przez inne formy automatycznych systemów wywołujących. Po drugie, wysyłanie informacji handlowych do klientów, którzy przy okazji zawierania umów z konkretnym przedsiębiorcą przekazali adres swojej poczty lub numer telefonu – pisze dr Joanna Worona-Vlugt na portalu prawo.pl.

Prawo komunikacji elektronicznej z 12 lipca 2024 r. (dalej PKE) obowiązuje od 10 listopada 2024 r. (Dz. U. z 2024 r. poz. 1221). Zastąpiło ono prawo telekomunikacyjne. PKE wdraża przepisy dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/1972 z 11 grudnia 2018 r. ustanawiającej Europejski kodeks łączności elektronicznej. Głównym celem ustawy jest ochrona interesów klientów operatorów telekomunikacyjnych, jednak znajdują się niej postanowienia, dotyczące zgód marketingowych, które będą miały szersze zastosowanie. Nowa ustawa reguluje kwestie wysyłania informacji handlowych oraz marketingu bezpośredniego. W tym do wysyłania informacji handlowych w relacji firma-firma (B2B).

Zgoda na informację handlową

Prawo komunikacji elektronicznej wprowadza jednolitą regulację dotyczącą zgód na marketing bezpośredni oraz przesyłanie informacji handlowych. PKE wymaga uzyskania zgody od abonenta lub użytkownika końcowego na przesyłanie informacji handlowej, w tym marketingu bezpośredniego.

Zgodnie z art. 398 PKE zakazane jest używanie do celów przesyłania informacji handlowej, w tym marketingu bezpośredniego, do abonenta lub użytkownika końcowego, chyba że uprzednio wyraził on na to zgodę:
automatycznych systemów wywołujących tj. urządzeń automatycznie wytwarzających i wysyłających komunikatów głosowych (np. połączenia telefoniczne z nagranymi wcześniej komunikatami), pocztę elektroniczną, komunikatorów elektronicznych czy SMS,
telekomunikacyjnych urządzeń końcowych, w szczególności w ramach korzystania z usług komunikacji interpersonalnej.

Możemy zatem mówić o dwóch zakazanych formach marketingu:

Pierwszym jest wysyłanie niezamówionych informacji handlowych i marketingowych, głównie pocztą elektroniczną – tzw. spaming, ale również telefonicznie oraz przez inne formy automatycznych systemów wywołujących.

Drugim zaś jest wysyłanie informacji handlowych, w tym marketingu bezpośredniego do klientów, którzy przy okazji zawierania umów z konkretnym przedsiębiorcą przekazali mu adres swojej poczty czy numer telefonu. Przedsiębiorca może, wbrew przepisom ustawy. wykorzystać otrzymany e-mail lub numer telefonu do celów marketingu bezpośredniego innych produktów lub usług, mimo że klient nie wyraził zgody na taką formę marketingu.

Marketing bezpośredni jest w motywie 47 RODO uznawany za uzasadnienie do przetwarzania danych osobowych w prawnie uzasadnionym interesie administratora danych. Jednakże wycofanie przez podmiot danych zgody wymaganej na podstawie art. 398 ust. 1 PKE, powoduje, że każdy kolejny kontakt marketingowy z tym odbiorcą będzie uznany za naruszenie PKE. Nieprawidłowe działania w zakresie marketingu bezpośredniego mogą zatem prowadzić nie tylko do naruszenia przepisów PKE, ale również przepisów RODO.

Nowe przepisy wykluczają możliwość stosowania tzw. cold call i cold e-mailingu bez wcześniejszego uzyskania zgody od odbiorcy. Ponadto regulacje zabraniają wykorzystywania danych pochodzących z publicznych rejestrów, stron internetowych czy generatorów adresów e-mail do celów marketingowych bez wyraźnej zgody zainteresowanego.

Zgoda na marketing bezpośredni i przesyłanie informacji handlowych 

Jak powinna wyglądać zgoda?

Po pierwsze – zgoda na marketing musi być zgodna z RODO – tj. musi być dowolna, konkretna, świadoma i w sposób jednoznaczny okazywać wolę odbiorcy, w formie świadczenia lub wyraźnego działania potwierdzającego pozwolenie na przetwarzanie jej danych osobowych. Oznacza to, że podmiot, którego dane dotyczą musi oddzielnie wyrazić zgodę na dane kanały komunikacji i na różne cele przetwarzania.

Po drugie – wymagana jest odrębna i konkretna zgodna na każdy kanał komunikacji marketingowej. Oznacza to, że odbiorca musi wyrazić odrębną zgodę na otrzymanie newslettera, odrębną zgodę na kontakt mailowy oraz odrębną na kontakt telefoniczny.

Po trzecie – nowe wymogi w zakresie marketingu dotyczą również relacji B2B.

Czyn nieuczciwej konkurencji

PKE stanowi, że wysyłanie informacji handlowych bez wymaganych zgód, tak więc z naruszeniem art. 398 par. 1 PKE stanowi  czyn nieuczciwej konkurencji w rozumieniu przepisów ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz.U. z 2022 r. poz. 1233). Działanie takie oznacza pozyskiwanie klientów w sposób nieuczciwy, naruszający interesy innych przedsiębiorców. Omawiana ustawa rozszerza zatem zakres stosowania ustawy o zwalczaniu nieuczciwej konkurencji. Przedsiębiorca, którego interes został zagrożony może dochodzić zaniechania naruszenia niedozwolonych działań, usunięcia ich skutków, złożenia odpowiedniego oświadczenie, naprawienia wyrządzonej szkody.

Marketing i Sprzedaż B2B

Prawo komunikacji elektronicznej dotyczy nie tylko konsumentów, ale również przedsiębiorców. Nowe przepisy obejmują również zasady komunikacji marketingowej w relacjach B2B. Wcześniej przedsiębiorcy realizujący działania marketingowe i handlowe wobec innych firm mieli większą swobodę w działaniu, jednak Prawo komunikacji elektronicznej wprowadza bardziej rygorystyczne regulacje także w tym zakresie.

Aby prowadzić działania marketingowe i prowadzić komunikację sprzedażową przez zespoły handlowe, niezależnie od tego, czy ich adresatem są osoby fizyczne, czy prawne, należy spełnić wymagania określone w PKE. Zgodnie z artykułem 398, ochrona użytkowników końcowych dotyczy wszystkich abonentów, w tym zarówno osób prywatnych, jak i podmiotów prawnych. W praktyce oznacza to, że przedsiębiorcy muszą uzyskać odpowiednie zgody na kontakt marketingowy i sprzedażowy nie tylko od konsumentów, ale również od firm będących ich partnerami biznesowymi.

Wysokie kary

W przypadku naruszenia przepisów PKE Prezes Urzędu Komunikacji Elektronicznej może na podstawie art. 444 ust. 1 pkt 81 PKE nałożyć karę pieniężną. Prezes UKE nakłada na podmiot naruszający art. 398 PKE karę biorąc pod uwagę charakter i zakres naruszenia. Kara pieniężna może wynosić do 3 proc. przychodu ukaranego podmiotu, osiągniętego w poprzednim roku kalendarzowym lub do 1 000 000 zł, przy czym zastosowanie ma kwota wyższa.

Dodatkowo PKE wprowadza sankcje karne za nieprzestrzeganie przepisów ustawy. Ustawodawca w art. 448 PKE za wykroczenie, podlegające karze grzywny uznał przesyłanie środkami komunikacji elektronicznej informacje handlowe bez uprzedniego uzyskania zgody abonenta lub użytkownika końcowego.

Dotychczas pozyskane zgody

Należy zadać sobie pytanie, czy dotychczas uzyskane zgody są ważne, czy też należy je zebrać od nowa? Jeżeli dotychczas zebrane zgody spełniają wymogi RODO i PKE, to mogą być one dalej ważne, jednak administratorzy danych powinni przeprowadzić przegląd tych zgód, sprawdzając ich zgodność z nowymi przepisami.

Należy także mieć na uwadze, że podmiot danych powinien mieć możliwość wycofania zgody w dowolnym momencie. Aspekt ten powinien zostać uwzględniony w wewnętrznych procedurach dotyczących zarządzania danymi.

Aby sprawdzić, czy dotychczasowe zgody marketingowe są zgodne z PKE, warto odpowiedzieć na następujące pytania:

• Czy przy zawieraniu umowy masz oddzielną zgodę / oddzielny check-box na marketing bezpośredni?
• Czy masz oddzielną zgodę na każdy wykorzystywany kanał np. na telefon osobno i na e-mail osobno?
• Czy informacja o zgodzie na otrzymywanie informacji marketingowej jest dobrowolna, konkretna, świadoma i jednoznaczna?
• Czy wysyłasz informacje handlowe do podmiotów do wszystkich podmiotów ze swojej bazy danych?
• Czy sprawdziłeś, i czy możesz udowodnić, czy dany podmiot wyraził zgodę na otrzymywanie informacji marketingowych?
• Czy informujesz swoich klientów, że jego dane mogą być wykorzystane do wysłania informacji handlowych?
• Czy automatycznie zapisujesz swoich klientów do twojego newslettera?
• Czy klient wyraża oddzielną zgodę na otrzymywanie newslettera
• Jaką masz procedurę wypisania się newslettera lub innych form marketingu?
• Czy klient musi dokonać jakichś dodatkowych czynności, by wypisać się z otrzymywania informacji marketingowych?
• Czy klient może wyrazić sprzeciw do wykorzystania jego danych kontaktowych do przesyłania informacji handlowej?
• Czy stosujesz procedurę podwójnej weryfikacji zgody marketingowej (konieczność potwierdzenia lub kliknięcia w linka ze zgodą na otrzymywanie informacji handlowych)?

Nowe przepisy zawarte w prawie komunikacji elektronicznej wprowadzają znaczące zmiany w obszarze uzyskiwania zgód na działania marketingowe i handlowe, które przedsiębiorcy muszą uwzględnić w swojej działalności. Regulacje te nakładają obowiązek uzyskania odrębnej zgody dla każdego kanału komunikacji, niezależnie od tego, czy jest to e-mail, telefon czy SMS. Dotychczasowe zgody mogą być nadal ważne, pod warunkiem że są zgodne z wymaganiami PKE oraz RODO, jednak zaleca się ich szczegółową weryfikację. Szczególnie, jeśli zarówno marketing, jak i zespół handlowy prowadzą dużo aktywności nakierowanych na pozyskanie klientów.

MondayNews.pl: Jeden z czołowych banków w Polsce wprowadza nową strategię wobec frankowiczów. mBank godzi się na to, aby pozywający wstrzymał się z płatnościami rat kapitałowo-odsetkowych i to aż do prawomocnego zakończenia postępowania sądowego. Znawcy tematu przekonują, że taka postawa jest dość nowatorska. Jednak patrząc na to szerzej, dostrzegają oni korzyści dla obu stron sporu. Jednocześnie trzeba zaznaczyć, że bank występuje wobec kredytobiorcy z pozwem o zwrot kapitału kredytu. Jak podkreślają eksperci, nie jest wykluczone, że ww. kwestia zostanie w końcu uregulowana ustawowo. Na rynku już pojawiają się opinie, że tego typu pisma będzie otrzymywać coraz więcej kredytobiorców, bo kredytodawcy mogą w tym dostrzec własny interes.

Wyraźna zmiana frontu

W drugiej połowie czerwca 2024 roku mBank otrzymał pozew od jednego ze swoich klientów. Kredytobiorca domagał się w nim stwierdzenia nieważności zawartej umowy. Zarzucał abuzywne warunki dotyczące przeliczeń kursowych. Kilka miesięcy później bank poinformował, że godzi się na to, aby w celu ułatwienia przyszłych rozliczeń, kredytobiorca wstrzymał się z płatnościami miesięcznych rat kapitałowo-odsetkowych. W piśmie został też wskazany termin tego – tj. od połowy listopada 2024 roku, włącznie do prawomocnego zakończenia postępowania sądowego dotyczącego nieważności umowy.

– Część klientów pozostających w sporze sądowym z naszym bankiem otrzymuje pisma, w których informujemy o możliwości zawieszenia spłat rat kapitałowo-odsetkowych. Naszym celem jest jak najszybsze zamknięcie kwestii kredytów frankowych. Ta propozycja to krok w stronę uproszczenia prowadzonych sporów sądowych, ułatwienia wzajemnych rozliczeń między klientem a bankiem i zmniejszenia ponoszonych przez instytucję kosztów – komentuje Piotr Rutkowski, zastępca rzecznika prasowego mBanku.

Jak stwierdza adwokat Wojciech Wandzel, lider Praktyki Banking & Finance w KKG Legal, żadne przepisy nie zmuszają banku do takiej decyzji, jeśli nie ma postanowienia sądu zabezpieczającego powództwo konsumenta poprzez wstrzymanie płatności rat kredytu. Z uwagi na orzecznictwo, jakie wykształciło się w tzw. sprawach frankowych, banki wypracowują swoje własne strategie postępowania. Z jednej strony one służą ochronie ich słusznych praw, ale z drugiej – minimalizacji kosztów spraw dotyczących kredytów walutowych. Do tego radca prawny Adrian Goska z Kancelarii SubiGo zaznacza, że postawa mBanku w sporach dotyczących stwierdzenia nieważności umowy kredytowej jest dość nowatorska. Chociaż nie wszyscy klienci otrzymali jeszcze takie pisma, można zauważyć, że jest to wyraźna zmiana w podejściu do prowadzenia sporów sądowych. One dotychczas często charakteryzowały się agresywną windykacją i niechęcią do ustępstw. Tutaj widać, że ten front wyraźnie się zmienił.

– Z reguły na rynku można się spotkać z sytuacją klasyczną, czyli wstrzymanie płatności rat jest następstwem postanowienia sądu o udzieleniu zabezpieczenia. Ale praktyka postępowania poszczególnych banków w tej kwestii może być różna. W mojej ocenie, takie rozwiązanie może być korzystne dla obu stron i przybliżać do wypracowania finalnego porozumienia – mówi Piotr Glonek, radca prawny i doradca restrukturyzacyjny w Gardocki i Partnerzy Adwokaci i Radcowie Prawni.

Korzyści dla obu stron

Jak przekonuje adwokat Wojciech Wandzel, w tej sytuacji korzyścią dla kredytobiorcy jest to, że może zaprzestać spłacania rat kredytu bez konieczności uzyskania postanowienia sądu o zabezpieczeniu powództwa poprzez wstrzymanie płatności tych rat. Zdaniem eksperta z KKG Legal, tego rodzaju propozycja ze strony banku powinna więc skłaniać do zawarcia ugody. Ona obecnie pozostaje najszybszym i najkorzystniejszym sposobem rozwiązania sprawy kredytu walutowego, zwłaszcza że obecnie banki oferują bardzo korzystne warunki zawierania takich porozumień.

– Dla banku takie rozwiązanie przynosi korzyści w postaci zmniejszenia kosztów windykacyjnych oraz redukcji ryzyka eskalacji konfliktów z kredytobiorcami. W mojej ocenie, działanie to jest również strategią minimalizowania strat wizerunkowych. Bank, pokazując bardziej ludzkie podejście, może budować wizerunek instytucji otwartej na dialog. Dodatkowo rezygnacja z agresywnych działań może ułatwić rozliczenia po zakończeniu procesu sądowego – analizuje mec. Adrian Goska.

Zdarza się, że kredytobiorca zaprzestaje płatności z własnej inicjatywy i przy braku zabezpieczenia wydanego przez sąd. Jak wyjaśnia mec. Piotr Glonek, w takim przypadku bank jest zobligowany do wypowiedzenia umowy i podjęcia działań windykacyjnych, z dochodzeniem roszczeń na drodze sądowej włącznie. Jak dodaje adwokat Wojciech Wandzel, bank decyduje, czy wszczynać na koszt kredytobiorcy czynności upominawcze i windykacyjne w sytuacji sporu dotyczącego ważności umowy kredytu. Znaczenie ma obrana strategia postępowania w tego typu sprawach przez bank, który ma prawo podjąć działania windykacyjne.

– Średnia wysokość raty w przypadku kredytu frankowego zależy od kwoty kredytu, kursu franka szwajcarskiego oraz warunków umowy – oprocentowania. Przykładowo, dla kredytu na 300 tys. zł, przeliczanego na CHF, rata może wynosić 2500-3500 zł miesięcznie. Jeśli proces sądowy trwa 2 lata, łączna wartość wstrzymanych rat może wynieść nawet od 60 tys. do 84 tys. zł, zależnie od indywidualnych warunków kredytu – wylicza radca prawny z Kancelarii SubiGo.

Wiadomo też, że w ww. przypadku mBank zdecydował się wystąpić wobec kredytobiorcy z pozwem o zwrot kapitału kredytu. Radca prawny Adrian Goska informuje, że jeśli dana osoba otrzymała np. 300 tys. zł w ramach umowy frankowej, to taka kwota znajdzie się w pozwie banku, bez odsetek czy dodatkowych kosztów. Jak zaznacza ekspert, roszczenie kredytodawcy o zwrot kapitału jest skutkiem prawnym unieważnienia umowy, a nie autonomiczną inicjatywą. Bank podejmuje ten krok w ramach ochrony swoich interesów w procesach, które niemal zawsze kończą się stwierdzeniem nieważności umowy.

– Reakcje kredytobiorców na tego rodzaju powództwa są różne. Ale obserwuję, że coraz więcej frankowiczów i ich pełnomocników ma świadomość tego, iż jest to po prostu działanie banku motywowane koniecznością ochrony wypłaconego kapitału, a nie szykana wobec kredytobiorcy. Decydujące znacznie ma fakt, iż banki oferują aktualnie coraz bardziej korzystne pod względem finansowym warunki porozumień kończących spór z kredytobiorcą. Liczba zawieranych ugód sądowych oraz pozasądowych systematycznie rośnie – wyjaśnia ekspert z Gardocki i Partnerzy Adwokaci i Radcowie Prawni.

W tym roku zatrudnieni mają aż 14 dni ustawowo wolnych od pracy. W wyniku ostatnich zmian legislacyjnych otrzymali bowiem kolejny  wolną Wigilię. 2025 r. daje pracownikom wiele okazji do świętowania. Kalendarz długich weekendów też układa się korzystnie.

Już na początku roku zatrudnieni mogli wybrać się na dłuższy wypoczynek. Wystarczyły bowiem tylko dwa dni urlopu, aby skorzystać z sześciu dni wolnego (trzeba było połączyć wolne w Nowy Rok ze świętowaniem Trzech Króli).

Kolejny długi weekend w 2025 r. pracownicy mogą zaplanować np. w majówkę. W tym roku 1 maja wypada w czwartek. Wystarczy zatem tylko jeden dzień urlopu (na piątek 2 maja), aby zyskać czterodniowy, długi weekend. Aby nie tracić dni z urlopu wypoczynkowego, można też odebrać dzień wolny za święto wypadające w sobotę (3 maja).

Jednak najwięcej pracownicy zyskają na wolnej wigilii Bożego Narodzenia. Zatrudnieni będą mieli wolne od środy (24 grudnia). Planując na ten okres dłuższy wypoczynek, wystarczy wziąć dwa dni urlopu (22–23 grudnia), aby zyskać aż dziewięć dni wolnego.

Ustanowienie Wigilii dniem wolnym od pracy to nowe rozwiązanie. Przypomnijmy, wprowadza je ustawa z 6 grudnia 2024 r. o zmianie ustawy o dniach wolnych od pracy oraz niektórych innych ustaw (Dz.U. poz. 1965).

Ustawa przewiduje ponadto, że trzy niedziele poprzedzające Wigilię będą niedzielami handlowymi. To wzbudziło zastrzeżenia prezydenta RP, dlatego mimo że podpisał ustawę, podjął też decyzję o skierowaniu jej do Trybunału Konstytucyjnego w trybie kontroli następczej, m.in. ze względu na uwagi związkowców.

Chodzi o wątpliwości, które były podnoszone przede wszystkim podczas rozmów prowadzonych w Pałacu Prezydenckim z przedstawicielami pracodawców i pracowników. W ich trakcie poruszono kwestie braku konsultacji ustawy i zaskoczenia obu stron tymi przepisami.

– Organizacje pracowników, przede wszystkim Solidarność, kładły nacisk na dyskryminacyjny charakter ustawy wobec pracowników zatrudnionych w handlu. W związku z tym prezydent zdecydował, że ustawa będzie poddana kontroli przez TK, jednak w trybie następczym, czyli ustawa wchodzi w życie, ale punktowo; w tych aspektach, które budzą duże zaniepokojenie partnerów społecznych, zostanie skierowana do TK – wyjaśniła Małgorzata Paprocka, szefowa Kancelarii Prezydenta RP.

Bez względu na te zastrzeżenia już w tym roku Wigilia będzie dniem ustawowo wolnym od pracy.

Radca prawny Iwona Smolak komentuje dla Dziennika Gazeta Prawna: – W 2025 r. dwa dni ustawowo wolne od pracy przypadają w soboty, tj. 3 maja oraz 1 listopada. Zgodnie z postanowieniem art. 130 par. 2 kodeksu pracy „każde święto występujące w okresie rozliczeniowym i przypadające w innym dniu niż niedziela obniża wymiar czasu pracy o 8 godzin”. Oznacza to, że pracownikom zatrudnionym w ramach stosunku pracy, dla których sobota jest dniem wolnym od pracy (tj. pracującym od poniedziałku do piątku) – w zamian za święto przypadające w sobotę – przysługuje jeden dzień wolny, do końca okresu rozliczeniowego (który zazwyczaj stanowi jeden miesiąc kalendarzowy). Za wypadające w sobotę Święto Narodowe Trzeciego Maja takiemu pracownikowi powinien zatem zostać udzielony inny dzień wolny w maju 2025 r., a za wypadające w sobotę Wszystkich Świętych – inny dzień wolny w listopadzie 2025 r. Zatem podczas planowania odpoczynku w 2025 r. zasadnym będzie wykorzystanie dnia wolnego od pracy za 3 maja – dnia 2 maja, oraz za 1 listopada – 10 listopada. Takie rozwiązanie spowoduje, że w 2025 r. będziemy mogli korzystać z dwóch wydłużonych weekendów bez strat w ustawowym wymiarze dni urlopowych.

Ugoda staje się najbardziej efektywnym sposobem zakończenia sporu w „sprawie frankowej”

Rok 2023 był rekordowy pod względem wpływu do sądów pozwów w sprawach frankowych. Jak pokazują statystyki w 2024 roku wpływ nowych pozwów utrzymuje się nadal na wysokim poziomie.

Jak wynika z danych udostępnionych przez 47 sądów okręgowych, w trzech kwartałach br. wpłynęło do nich ok. 54,8 tys. spraw frankowych. To o 1% mniej niż w analogicznym okresie 2023 roku, kiedy było ich 55,3 tys.

✔️ Tym samym nie mamy do czynienia z tak skokowym wzrostem rdr liczby inicjowanych spraw, jak to miało systematycznie miejsce w latach ubiegłych. To może potwierdzać opinię tych ekspertów, którzy prognozują, że jesteśmy już na „szczycie fali” co do liczby takich nowych postępowań. Teza ta może być uzasadniona z uwagi na stopniowe wyczerpywanie się w bankach puli aktywnych kredytów frankowych.

Niemniej jednak okolicznością, którą muszą brać pod uwagę kredytobiorcy, w szczególności wnoszący pozwy do sądów mających siedziby w dużych aglomeracjach, jest czas trwania postępowań . Osobiście obserwuje już wyznaczanie przez Sąd Okręgowy w Warszawie terminów rozpraw w tej kategorii spraw na listopad… 2026 roku….

✔️ W tym miejscu rozwiązaniem, które wychodzi naprzeciw takim dylematom są realizowane aktualnie przez banki rozbudowane projekty ugód i mediacji. Pozwalają one zakończyć spór przy wyważeniu interesów obu stron, zarówno na etapie przedsądowym i w trakcie trwających już postępowań.

✔️ Aktualnie skala wpływu spraw frankowych nie jest zaskoczeniem. Banki z wyzwaniem związanym z kredytami w CHF mierzą się od kilku lat, co znajduje wyraz m.in. w  odpisach i rezerwach, tworzonych cyklicznie przez banki na ryzyko prawne hipotecznych kredytów walutowych.

Efektywną ścieżką minimalizowania tego ryzyka i drogą do pozytywnego zakończenia sporu są wspomniane już programy mediacji, ugód pozasądowych i sądowych, realizowane przez banki.

✔️ O tym, że propozycje ugodowe banków są postrzegane przez samych frankowiczów jako coraz bardziej korzystne, świadczy rosnąca liczba zawieranych ugód . Według danych podawanych przez Związek Banków Polskich liczba zawartych ugód w sprawach frankowych przekroczyła już 100 tysięcy.

✔️ Dynamika wzrostu liczby zawieranych ugód jest okolicznością, którą należy oceniać bardzo pozytywnie. Także w kontekście tego jakim wyzwaniem i obciążeniem dla polskich sądów stał się problem kredytów frankowych.

Zalanie papierowych dokumentów zawierających dane osobowe, zniszczenie systemów elektronicznych czy też kradzież komputerów przez szabrowników muszą zostać zgłoszone przez administratora do prezesa UODO oraz podmiotów danych – pisze dr Joanna Worona-Vlugt na łamach Rzeczpospolitej.

W połowie września 2024 r. w południowo-zachodniej części Polski miała miejsce powódź powodująca ogromne straty materialne. Powódź, jako katastrofa naturalna, zawsze wiąże się z gwałtownymi zjawiskami, które mają wpływ na infrastrukturę, ale też na życie obywateli. Spowodowała wymierne straty materialne zarówno u osób fizycznych, jak i u przedsiębiorców będących administratorami danych osobowych. Przy ratowaniu dobytku w obliczu katastrofy naturalnej ochrona danych osobowych mogła zejść na drugi plan. Wobec zaistniałej katastrofy naturalnej należy zatem podjąć rozważania o jej konsekwencjach dla ochrony danych osobowych.

Obowiązek administratora danych

Naruszeniem ochrony danych osobowych jest naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. W przypadku powodzi może to być m.in. zalanie papierowych dokumentów zawierających dane osobowe, zniszczenie systemów elektronicznych czy też kradzież mienia, w tym komputerów, przez szabrowników. Obowiązkiem administratora jest wewnętrzne dokumentowanie zaistniałych naruszeń ochrony danych osobowych. W zależności od wagi naruszenia do obowiązków administratora będzie należało powiadomienie prezesa Urzędu Ochrony Danych Osobowych oraz zawiadomienie podmiotów danych.

RODO nie przewiduje wyjątków od przestrzegania przepisów nawet w sytuacjach kryzysowych, takich jak powodzie. Niemniej jednak 20 września 2024 r. prezes Urzędu Ochrony Danych Osobowych wydał komunikat przypominający, że termin 72 godzin na zgłoszenie takiego zdarzenia do prezesa biegnie dopiero od momentu jego stwierdzenia, a w wielu przypadkach będzie to możliwe dopiero po opanowaniu sytuacji i wstępnym oszacowaniu potencjalnych strat. Prezes UODO wskazał również, że gdyby nie udało się dotrzymać wymaganego terminu, administratorzy powinni pamiętać o wskazaniu przyczyn opóźnienia, odwołując się do nadzwyczajnych warunków związanych z sytuacją powodziową.

Drugim obowiązkiem, jaki może pojawić się przy naruszeniu, jest zawiadomienie osób, których dane naruszono. Obowiązek taki powstaje, jeżeli istnieje wysokie ryzyko naruszenia praw lub wolności osób fizycznych. W obecnej sytuacji część administratorów może mieć problem z realizacją tego obowiązku – w wyniku powodzi mogło dojść do utraty baz danych oraz ich kopii zapasowych. Wykonanie obowiązku powiadomienia osób, których dane naruszono w przypadku utraty zasobów firmy (drukarek, sprzętu elektronicznego), również może napotkać realne problemy. Należy jednak pamiętać, że art. 34 RODO nakłada obowiązek informowania podmiotów danych wyłącznie w sytuacji, gdy naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Każdy z administratorów powinien zatem ocenić, czy w wyniku naruszenia danych osobowych w następstwie powodzi faktycznie zachodzi wysokie ryzyko naruszenia praw lub wolności podmiotów danych.

Dostęp do systemów informatycznych

W trakcie powodzi, gdy kluczowa infrastruktura zostaje zniszczona lub uszkodzona, administratorzy danych muszą stawić czoła nie tylko wyzwaniom związanym z fizycznym zabezpieczeniem swoich zasobów, ale również z zapewnieniem ciągłości funkcjonowania systemów informatycznych. Naturalne katastrofy, takie jak powódź, mogą doprowadzić do awarii zasilania, uszkodzeń serwerów, a nawet całkowitego paraliżu infrastruktury IT. W takich okolicznościach utrzymanie skutecznych zabezpieczeń staje się szczególnie trudne, co może prowadzić do nieautoryzowanego dostępu do danych przez osoby trzecie, w tym cyberprzestępców.

Przerwy w dostawie energii elektrycznej, spowodowane zalaniem instalacji, mogą wyłączyć systemy zabezpieczające, takie jak firewalle czy serwery autoryzacyjne, co zwiększa ryzyko naruszenia bezpieczeństwa danych. Gdy systemy zabezpieczające są niesprawne, cyberprzestępcy mogą wykorzystać ten moment słabości, aby przeprowadzić ataki. Hakerzy, świadomi problemów związanych z katastrofami naturalnymi, mogą aktywnie poszukiwać takich okazji, aby uzyskać nieautoryzowany dostęp do systemów, które w normalnych warunkach byłyby skutecznie chronione. W efekcie przestępcy mogą zdobyć dane przedsiębiorstwa, urzędu czy też instytucji publicznych.

W takich warunkach administratorzy mogą być zmuszeni do podejmowania szybkich i nie zawsze przemyślanych działań ratunkowych, co dodatkowo zwiększa ryzyko błędów ludzkich, które mogą doprowadzić do naruszeń bezpieczeństwa danych. Brak fizycznego dostępu do centrów danych lub niemożność zabezpieczenia serwerów może sprawić, że dostęp do informacji uzyskają osoby nieuprawnione np. w wyniku uszkodzenia drzwi serwerowni czy konieczności szybkiego przeniesienia sprzętu. W przypadku awarii zasilania niektóre systemy mogą uruchomić procedury awaryjne, które powodują wyłączenie pewnych zabezpieczeń, np. systemów szyfrujących.

Warto również zauważyć, że problematyka dostępu do danych w sytuacji kryzysowej nie ogranicza się jedynie do ataków zewnętrznych. Również wewnętrzni pracownicy w sytuacji stresu i chaosu mogą dopuścić się naruszeń, np. logując się do systemów poza standardowymi procedurami bezpieczeństwa, używając osobistych urządzeń bez odpowiedniego zabezpieczenia. W obliczu powodzi, gdy wiele działań podejmowanych jest w trybie awaryjnym, trudniej jest monitorować i kontrolować dostęp do systemów, co może skutkować przypadkowymi naruszeniami danych.

Zbieranie danych bez podstawy prawnej

Podczas powodzi i innych sytuacji kryzysowych ludzie mobilizują się do niesienia pomocy poszkodowanym. Akcje ratunkowe, zbiórki darów, organizacja schronień i inne inicjatywy humanitarne często realizowane są przez organizacje pomocowe, lokalnych wolontariuszy, a nawet osoby prywatne. Niestety, nierzadko dochodzi wtedy do zbierania danych osobowych bez odpowiedniej podstawy prawnej. Organizacje i osoby prywatne, często z najlepszymi intencjami, zbierają dane osobowe, aby lepiej koordynować pomoc. Problem pojawia się jednak, gdy dane są gromadzone bez wyraźnie określonego celu, bez zgody poszkodowanych, administrator zbiera je nadmiarowo i nie ma świadomości obowiązku przestrzegania przepisów RODO.

Zdarza się, że potrzebujący pomocy powodzianie udostępniają swoje dane – takie jak imię, nazwisko, adres zamieszkania, stan zdrowia czy dane członków rodziny – bez zastanowienia, kto i w jaki sposób będzie je przetwarzał. W wielu przypadkach osoby zbierające te informacje działają w dobrej wierze, ale brakuje im wiedzy na temat przepisów związanych z ochroną danych osobowych. Brak formalnych procedur prowadzi do tego, że dane mogą być później wykorzystywane niezgodnie z pierwotnym celem ich zebrania, na przykład do celów handlowych, a nawet do popełniania przestępstw.

Szczególnie niebezpieczna jest sytuacja, w której dane osobowe są zbierane przez osoby lub grupy podszywające się pod prawdziwe organizacje pomocowe. Podszywając się pod organizacje charytatywne, takie osoby zbierają dane pod pretekstem dostarczenia pomocy humanitarnej – organizacji noclegu, pomocy medycznej, dystrybucji darów czy środków finansowych. Dane zdobyte w taki sposób mogą później zostać użyte do oszustw czy też kradzieży tożsamości.

Brak przejrzystości w zakresie tego, kto jest odpowiedzialny za zbieranie danych i do jakich celów dane będą używane, stwarza ryzyko naruszenia zasad RODO, takich jak zasada legalności, rzetelności i przejrzystości przetwarzania. Administratorzy, zbierając dane osobowe, powinni działać na podstawie określonych przepisów prawa i jasno informować osoby, których dane dotyczą, o celu przetwarzania oraz o podstawach prawnych tego działania. Niestety podczas powodzi te zasady są często pomijane, a osoby w potrzebie są proszone o udostępnienie danych bez wyjaśnienia, jak będą one wykorzystywane, kto będzie je przetwarzał i jak długo.

Wyłudzenia danych osobowych

Sytuacja powodziowa jest również wykorzystywana przez przestępców do wyłudzania m.in. danych osobowych, ale również danych do logowania do kont społecznościowych. Wyłudzenia danych w takich sytuacjach mogą być realizowane zarówno przez bezpośredni kontakt z poszkodowanymi, jak i za pośrednictwem internetu czy telefonu.

Cyberprzestępcy, tworząc różnego rodzaju fake newsy i fałszywe wpisy na portalach społecznościowych oraz szerząc dezinformacje, próbują wyłudzić dane internautów. Zdarza się, że po kliknięciu w link zamieszczony na portalach społecznościowych użytkownicy muszą podać dane do logowania. Strona logowania jest jednak podrobiona przez oszustów, więc dane logowania trafiają do przestępców. Działania takie wyczerpują znamiona przestępstwa opisane w art. 269b § 1 k.k. w związku z art. 267 § 1 k.k., tj. wytwarzanie programów komputerowych w związku z bezprawnym uzyskaniem informacji lub też art. 286 k.k., tj. oszustwa.

Szczególnie niechlubnym procederem jest wyłudzenie danych osobowych powodzian. Typowe schematy wyłudzeń danych podczas sytuacji kryzysowych obejmują bezpośrednie kontakty z poszkodowanymi – zarówno osobiście, jak i telefonicznie. Oszuści często przedstawiają się jako przedstawiciele organizacji humanitarnych, oferujący pomoc finansową lub rzeczową, ale wymagają podania szczegółowych danych osobowych, takich jak PESEL, adres zamieszkania, a nawet informacje dotyczące kont bankowych. Innym sposobem wyłudzania jest tworzenie fałszywych stron internetowych, które wyglądają jak autentyczne witryny organizacji charytatywnych. Na takich stronach oszuści proszą o rejestrację, wymagając podania pełnych danych osobowych, rzekomo w celu kwalifikacji do otrzymania pomocy.

Wyłudzenia danych osobowych podczas sytuacji kryzysowej mogą mieć poważne konsekwencje. Dane zdobyte przez oszustów mogą być wykorzystane do kradzieży tożsamości, zaciągania zobowiązań finansowych na dane osoby poszkodowanej, a także do przeprowadzenia dalszych oszustw, takich jak phishing czy wyłudzanie kolejnych informacji. Ochrona przed takim zagrożeniem wymaga zarówno zwiększenia świadomości społecznej na temat ochrony danych osobowych, jak i skutecznych działań ze strony instytucji publicznych oraz organizacji pomocowych.

* * *

Zarządzanie danymi osobowymi w sytuacji powodziowej jest wyzwaniem, które wymaga odpowiedniego przygotowania zarówno od strony technicznej, jak i organizacyjnej. Katastrofy naturalne są nieprzewidywalne, a ich skutki mogą być bardzo poważne nie tylko dla infrastruktury fizycznej, ale także dla bezpieczeństwa informacji i ochrony danych osobowych. Kluczowym elementem minimalizacji ryzyka naruszeń jest odpowiednie planowanie i świadomość potencjalnych zagrożeń.