Autor: kancelaria

PIP ma zyskać nowe narzędzia do walki z dyskryminacją

Posted on by kancelaria

Ministerstwo Rodziny, Pracy i Polityki Społecznej przedstawiło projekt ustawy wdrażającej unijną dyrektywę o przejrzystości wynagrodzeń. Pracodawcy muszą przygotować się na obowiązkowe raportowanie luki płacowej, jawność kryteriów wynagradzania oraz surowe kary za nieprzestrzeganie nowych przepisów. Zmiany wejdą w życie 7 czerwca 2026 roku.

Czego dotyczy nowa ustawa?

Projekt ustawy o wzmocnieniu stosowania prawa do jednakowego wynagrodzenia mężczyzn i kobiet za jednakową pracę lub za pracę o jednakowej wartości (nr UC127) stanowi implementację dyrektywy Parlamentu Europejskiego i Rady (UE) 2023/970 z dnia 10 maja 2023 roku. Głównym celem regulacji jest zapewnienie przejrzystości wynagrodzeń oraz wzmocnienie mechanizmów egzekwowania zasady równości płac.

Nowe przepisy nakładają na pracodawców szereg obowiązków związanych z wartościowaniem stanowisk pracy, udostępnianiem informacji o wynagrodzeniach oraz raportowaniem luki płacowej. Jednocześnie znacząco rozszerzają kompetencje Państwowej Inspekcji Pracy w zakresie egzekwowania tych przepisów.

PIP z prawem do wytaczania powództw

Jedną z najważniejszych zmian przewidzianych w projekcie jest przyznanie Państwowej Inspekcji Pracy uprawnienia do wytaczania powództw w imieniu pracowników. Zgodnie z projektowanym art. 40 ust. 1, PIP będzie mogła – za pisemną zgodą pracownika lub osoby ubiegającej się o zatrudnienie – występować do sądu w sprawach o roszczenia wynikające z naruszenia zasady równego traktowania w zakresie wynagrodzenia.

Co istotne, inspekcja będzie mogła również przystępować do już toczących się postępowań sądowych, jeśli uzyska na to zgodę zainteresowanej osoby. To uprawnienie realizuje wymogi art. 15 dyrektywy unijnej, który nakazuje państwom członkowskim zapewnienie możliwości działania w imieniu pracowników podmiotom mającym uzasadniony interes w zapewnianiu równości płci.

Odszkodowania nie niższe niż minimalne wynagrodzenie

Projekt wprowadza również przepisy dotyczące odszkodowań dla osób poszkodowanych naruszeniem zasady równego wynagrodzenia. Zgodnie z art. 41 ust. 1, osoba wobec której pracodawca naruszył te prawa, będzie miała prawo do odszkodowania lub zadośćuczynienia w wysokości nie niższej niż minimalne wynagrodzenie za pracę.

Odszkodowanie ma obejmować w szczególności pełne odzyskanie zaległego wynagrodzenia wraz ze związanymi z nim świadczeniami rzeczowymi, odszkodowanie za utracone korzyści, rekompensatę za szkody spowodowane innymi czynnikami (w tym dyskryminację krzyżową), a także odsetki za zwłokę.

Katalog wykroczeń i wysokość kar

Projekt ustawy przewiduje wprowadzenie przepisów karnych, które mają zapewnić skuteczność nowych regulacji. Zgodnie z art. 50 projektu, pracodawca lub osoba działająca w jego imieniu podlega karze grzywny od 3 000 zł do 50 000 zł za szereg naruszeń.

Pracodawca zapłaci grzywnę za:

  • Brak oceny wartości stanowisk pracy zgodnie z wymogami ustawy,
  • nieudzielenie pracownikowi informacji o kryteriach ustalania wynagrodzeń,
  • nieudostępnienie na wniosek pracownika danych o średnich wynagrodzeniach w podziale na płeć,
  • nieprzygotowanie sprawozdania z luki płacowej,
  • niedokonanie wspólnej oceny wynagrodzeń gdy jest wymagana,
  • niezastosowanie środków zaradczych, a także
  • zamieszczanie w umowach o pracę postanowień zakazujących pracownikom ujawniania wysokości swoich wynagrodzeń.

Warto zwrócić uwagę, że projekt przewiduje również rozszerzenie katalogu wykroczeń w samym Kodeksie pracy. Do art. 281 k.p. zostaną dodane nowe wykroczenia dotyczące pozyskiwania niedozwolonych danych osobowych od kandydatów, nieprzekazywania wymaganych informacji osobom ubiegającym się o zatrudnienie oraz stosowania w ogłoszeniach o pracę nazw stanowisk niebędących neutralnymi pod względem płci.

Koniec z klauzulami poufności wynagrodzeń

Szczególnie istotną zmianą dla praktyki HR jest zakaz wprowadzania do umów o pracę oraz innych aktów wewnętrznych postanowień zabraniających pracownikom ujawniania wysokości swoich wynagrodzeń. Dotychczas popularna praktyka stosowania klauzul poufności płacowych stanie się wykroczeniem zagrożonym grzywną.

Zmiana ta ma fundamentalne znaczenie dla realizacji zasady przejrzystości wynagrodzeń – pracownicy będą mogli swobodnie porównywać swoje zarobki i identyfikować ewentualne przypadki dyskryminacji płacowej.

Nowe obowiązki PIP – szkolenia dla pracodawców

Projekt nakłada na Państwową Inspekcję Pracy nie tylko nowe uprawnienia kontrolne i procesowe, ale również obowiązek zapewnienia szkoleń pracodawcom zatrudniającym mniej niż 250 pracowników oraz zakładowym organizacjom związkowym. Szkolenia te mają ułatwić realizację zadań wynikających z nowej ustawy

.

Co pracodawcy powinni zrobić już teraz?

Mimo że nowe przepisy wejdą w życie dopiero w czerwcu 2026 roku, pracodawcy powinni jak najszybciej rozpocząć przygotowania. Kluczowe działania obejmują przeprowadzenie audytu obecnego systemu wynagradzania pod kątem równości płac, opracowanie lub aktualizację metodologii wartościowania stanowisk pracy, przygotowanie procedur udostępniania informacji o wynagrodzeniach na wniosek pracowników, przegląd umów o pracę i regulaminów pod kątem klauzul poufności wynagrodzeń oraz wdrożenie narzędzi do monitorowania i raportowania luki płacowej.

Podsumowanie

Projekt ustawy o jawności wynagrodzeń wprowadza fundamentalne zmiany w polskim prawie pracy. Pracodawcy staną przed koniecznością nie tylko dostosowania swoich systemów wynagradzania do nowych wymogów transparentności, ale również zmierzenia się z ryzykiem znaczących kar finansowych za ich nieprzestrzeganie. Jednocześnie pracownicy zyskają skuteczniejsze narzędzia dochodzenia swoich praw w przypadku dyskryminacji płacowej.

Termin wejścia w życie przepisów – 7 czerwca 2026 roku – może wydawać się odległy, jednak zakres niezbędnych zmian organizacyjnych i proceduralnych sprawia, że przygotowania warto rozpocząć już teraz. Szczególnie dotyczy to większych organizacji, które będą objęte obowiązkiem raportowania luki płacowej.

 

Praca na mrozie: obowiązki pracodawcy w okresie zimowym

Posted on by kancelaria

Fala mrozów, która dotknęła Polskę w styczniu 2026 roku, z temperaturami sięgającymi -10 do -12 stopni Celsjusza utrzymującymi się przez kilkanaście dni, postawiła przed pracodawcami pytania co do zapewnienia odpowiednich warunków pracy zatrudnionym pracownikom. Należy pamiętać o tym, że przepisy prawa pracy nakładają na pracodawców szereg obowiązków związanych z ochroną zdrowia pracowników w warunkach niskich temperatur.

Minimalne temperatury w miejscu pracy

Podstawową zasadą prawa pracy jest obowiązek pracodawcy do zapewnienia odpowiedniej temperatury w miejscu pracy. W przypadku pracy w pomieszczeniach zamkniętych przepisy określają minimalne progi temperaturowe, których przestrzeganie jest obligatoryjne.

Dla stanowisk biurowych oraz lekkich prac fizycznych minimalna temperatura wynosi 18 stopni Celsjusza. W przypadku cięższych prac fizycznych dopuszczalna jest temperatura nie niższa niż 14 stopni Celsjusza. Wyjątek stanowią miejsca pracy, gdzie niska temperatura wynika z samej istoty wykonywanej pracy, takie jak chłodnie czy mroźnie – w tych przypadkach pracodawca zobowiązany jest zapewnić pracownikom specjalistyczną odzież ochronną.

W sytuacji, gdy warunki w danym pomieszczeniu, w tym także w wyniku awarii systemu grzewczego, nie pozwalają na osiągnięcie wymaganych minimalnych temperatur, pracodawca jest zobowiązany do zastosowania dodatkowych źródeł ogrzewania. Mogą to być grzejniki elektryczne, termowentylatory czy inne urządzenia grzewcze, które pozwolą na utrzymanie odpowiedniej temperatury na stanowiskach pracy.

Obowiązki wobec pracowników wykonujących pracę na zewnątrz

Szczególne wymogi dotyczą pracowników wykonujących pracę na wolnym powietrzu. W okresie zimowym pracodawcy muszą zapewnić im kompleksową ochronę przed skutkami niskich temperatur. Kluczowe obowiązki obejmują dostarczenie odpowiednio ciepłej odzieży roboczej oraz odzieży zmiennej, która pozwoli pracownikom na wymianę przemoczonych lub przemarzniętych ubrań.

Niezbędne jest również udostępnienie pomieszczenia, w którym pracownicy mogą się ogrzać. Temperatura w takim pomieszczeniu nie może być niższa niż 16 stopni Celsjusza. Ponadto pracodawca zobowiązany jest zapewnić ciepłe napoje, dostępne przez cały czas trwania pracy.

Dla pracowników wykonujących na zewnątrz prace wymagające dużego wysiłku fizycznego przepisy przewidują dodatkowy obowiązek: zapewnienie ciepłych posiłków. Ma to szczególne znaczenie dla osób pracujących przy pracach budowlanych, remontowych czy drogowych w warunkach zimowych.

Prawo pracownika do odmowy pracy

Przepisy prawa pracy przyznają pracownikowi prawo do odmowy wykonywania pracy w sytuacji, gdy warunki pracy stwarzają bezpośrednie zagrożenie dla jego zdrowia lub życia. W kontekście pracy w niskich temperaturach oznacza to, że pracownik może odmówić pracy, jeżeli pracodawca nie wypełnia swoich obowiązków w zakresie zapewnienia odpowiednich warunków termicznych.

Dotyczy to zarówno sytuacji niedostatecznego ogrzewania pomieszczeń pracy, jak i nieprawidłowości w organizacji pracy na zewnątrz: braku odpowiedniej odzieży ochronnej, ciepłych napojów czy dostępu do ogrzewanych pomieszczeń. W przypadku uzasadnionej odmowy pracy z powodu naruszenia przez pracodawcę przepisów BHP pracownikowi nie można postawić zarzutu naruszenia obowiązków służbowych.

Praktyczne wyzwania dla pracodawców

Wielu polskich przedsiębiorstw prowadzących działalność na zewnątrz nie jest w pełni przygotowanych do wdrażania standardów pracy w warunkach ekstremalnie niskich temperatur. Pracodawcy, którzy na co dzień nie mierzą się z tak trudnymi warunkami atmosferycznymi, mogą nie dysponować odpowiednimi procedurami ani zasobami niezbędnymi do zapewnienia bezpieczeństwa pracownikom.

W skrajnych przypadkach temperatura może stanowić uzasadnienie dla czasowego wstrzymania określonych prac. Pracodawcy powinni uwzględniać warunki pogodowe w planowaniu zadań i być gotowi do elastycznego reagowania na zmieniające się okoliczności, w tym do przesunięcia niektórych prac na okres bardziej sprzyjających warunków atmosferycznych.

Przestrzeganie przepisów dotyczących ochrony pracowników przed skutkami niskich temperatur to nie tylko obowiązek prawny, ale również element odpowiedzialnego zarządzania zasobami ludzkimi. Pracodawcy, którzy dbają o bezpieczeństwo i komfort termiczny swoich pracowników, mogą liczyć na wyższą efektywność pracy oraz mniejszą absencję chorobową w okresie zimowym.

Nowelizacja KSH dotycząca rejestrów akcjonariuszy

Posted on by kancelaria

Zarządy spółek akcyjnych i komandytowo-akcyjnych czeka rewolucja w zakresie prowadzenia rejestrów akcjonariuszy. Rządowy projekt nowelizacji kodeksu spółek handlowych wprowadza obowiązek gromadzenia szczegółowych danych identyfikacyjnych, ścisły nadzór nad podmiotami prowadzącymi rejestry oraz nowe sankcje za bierność. Większość przepisów wejdzie w życie już 28 lutego 2026 roku.

Dlaczego ustawodawca sięga po nowe narzędzia?

Obowiązujące przepisy dotyczące rejestrów akcjonariuszy pozostawiały zbyt duże pole do nieścisłości. W dobie pełnej dematerializacji akcji, która nastąpiła w 2021 roku, utrzymywanie dawnego podziału na akcje imienne i na okaziciela straciło sens. Każda akcja ma dziś status akcji rejestrowej, co umożliwia identyfikację akcjonariusza. Paradoksalnie jednak dotychczasowe przepisy nie wymagały gromadzenia wystarczająco precyzyjnych danych.

Jak wskazywała w Sejmie przewodnicząca Komisji Nadzwyczajnej do spraw zmian w kodyfikacjach Barbara Dolniak, reforma jest naturalną konsekwencją postępującej cyfryzacji rynku kapitałowego. Coraz więcej osób uczestniczy w obrocie akcjami, a transparentność struktur właścicielskich ma kluczowe znaczenie w przeciwdziałaniu praniu brudnych pieniędzy.

Nowe dane w rejestrze akcjonariuszy

Kluczowym elementem reformy jest zmiana art. 328 k.s.h. Nowelizacja rozszerza katalog danych, które muszą znaleźć się w rejestrze akcjonariuszy. W przypadku osób fizycznych obowiązkowy stanie się wpis numeru PESEL, a dla akcjonariuszy zagranicznych daty urodzenia. Osoby prawne będą identyfikowane przez numer KRS oraz nazwę właściwego rejestru.

Celem tych zmian jest wzmocnienie ochrony akcjonariuszy poprzez pełną dostępność informacji o strukturze właścicielskiej. Organy państwowe oraz sami akcjonariusze zyskają pewność, z kim dokładnie dzielą kapitał spółki.

Koniec z martwymi umowami o prowadzenie rejestru

Jednym z największych problemów obecnego systemu jest sytuacja, w której spółki zawierają umowę o prowadzenie rejestru akcjonariuszy z domem maklerskim, a następnie przestają ją aktualizować lub opłacać. Nowelizacja wprowadza mechanizmy, które mają temu zapobiec.

Po pierwsze, dane podmiotu prowadzącego rejestr będą obligatoryjnie ujawniane w KRS. Informacja o instytucji finansowej zarządzającej akcjami stanie się publicznie dostępna w rejestrze przedsiębiorców.

Po drugie, zarząd otrzyma zaledwie siedem dni na poinformowanie podmiotu prowadzącego rejestr o zmianach danych spółki, takich jak zmiana siedziby czy firmy.

Po trzecie, instytucja prowadząca rejestr będzie miała ustawowy obowiązek powiadomienia sądu rejestrowego o wypowiedzeniu lub wygaśnięciu umowy ze spółką. Ten system wczesnego ostrzegania ma zapobiec sytuacjom, w których spółka funkcjonuje bez aktywnego rejestru akcjonariuszy.

Likwidacja pod ścisłą kontrolą

Zmiany dotyczą również procesu likwidacji spółek. Przy składaniu wniosku o wykreślenie podmiotu z KRS likwidatorzy będą musieli dołączyć pełny wykaz akcjonariuszy według stanu na dzień zakończenia likwidacji. Ma to uniemożliwić rozmycie się; odpowiedzialności i ułatwić wierzycielom identyfikację osób, do których trafił majątek polikwidacyjny.

Harmonogram wejścia w życie

Projekt przeszedł pierwsze czytanie w Sejmie 2 grudnia 2025 roku i został skierowany do Komisji Nadzwyczajnej do spraw zmian w kodyfikacjach. 18 grudnia 2025 roku komisja pozytywnie zaopiniowała projekt, a sprawozdanie w Sejmie odbyło się 8 stycznia 2026 roku.

Większość przepisów, w tym te dotyczące obowiązków sprawozdawczych wobec KRS, ma wejść w życie 28 lutego 2026 roku. Spółki akcyjne i komandytowo-akcyjne otrzymają jednak dwa lata od dnia wejścia w życie ustawy na dostosowanie swoich statutów do nowych wymogów w zakresie gromadzenia danych akcjonariuszy.

Co powinny zrobić spółki już teraz?

Choć okres przejściowy na dostosowanie statutów wynosi dwa lata, zarządy spółek powinny już teraz przygotować się do zmian. Warto zacząć od przeglądu aktualnej umowy z podmiotem prowadzącym rejestr akcjonariuszy i weryfikacji kompletności zgromadzonych danych. Spółki, które nie posiadają numerów PESEL lub dat urodzenia swoich akcjonariuszy, powinny podjąć działania zmierzające do ich uzyskania.

Należy również przygotować procedury wewnętrzne zapewniające dotrzymanie siedmiodniowego terminu na zgłaszanie zmian do podmiotu prowadzącego rejestr. W praktyce oznacza to konieczność ścisłej koordynacji między zarządem a działem prawnym lub zewnętrzną kancelarią obsługującą spółkę.

 

 

Outsourcing pracowniczy cudzoziemców w 2026 roku

Posted on by kancelaria

Rok 2026 będzie pierwszym pełnym rokiem funkcjonowania polskiego rynku pracy w nowej rzeczywistości prawnej dotyczącej zatrudniania cudzoziemców. Przepisy, które weszły w życie 1 czerwca 2025 roku, zdążyły już zmienić krajobraz outsourcingu pracowniczego, a dla wielu przedsiębiorców nadchodzące miesiące będą czasem trudnych decyzji biznesowych.

Koniec epoki szarej strefy w outsourcingu pracowniczym

Pakiet ustaw dotyczący zatrudniania cudzoziemców, w tym kluczowa ustawa o warunkach dopuszczalności powierzania pracy cudzoziemcom na terytorium Rzeczypospolitej Polskiej, wprowadził fundamentalne zmiany w funkcjonowaniu podmiotów zajmujących się outsourcingiem pracowniczym. Ustawodawca wyraźnie dał do zrozumienia, że era tolerowania działalności na granicy prawa dobiegła końca.

Nowe przepisy karne pozwalają na sankcjonowanie nieprawidłowości i nadużyć w procesach legalizacji pracy i pobytu cudzoziemców w Polsce z bezprecedensową surowością. Nie chodzi jedynie o podwyższenie dotychczasowych kar – wprowadzono również zupełnie nowe kategorie wykroczeń, które mogą znacząco ograniczyć funkcjonowanie podmiotów profesjonalnie zajmujących się outsourcingiem pracowniczym, a nieposiadających wpisu do rejestru agencji zatrudnienia.

Podwyższone sankcje finansowe – konkretne liczby

W celu eliminacji z rynku procesów nielegalnego wynajmowania pracowników wprowadzono nową sankcję, która uderza bezpośrednio w podmioty świadczące usługi outsourcingu pracowniczego. Grzywna w wysokości nie niższej niż 3 000 złotych grozi podmiotowi, który kieruje cudzoziemca do wykonywania pracy na rzecz i pod kierownictwem innego podmiotu na innej podstawie niż umowa o pracę tymczasową. Co istotne, sankcja ta dotyczy wyłącznie podmiotów świadczących usługi outsourcingowe – nie pracodawców-użytkowników.

Jeszcze dotkliwsza zmiana dotyczy grzywny za powierzenie pracy cudzoziemcowi skierowanemu przez podmiot niebędący agencją zatrudnienia. Minimalna kwota wzrosła dwukrotnie – z 3 000 złotych do 6 000 złotych. Rewolucyjnym rozwiązaniem jest jednak zasada kumulacji kar: grzywna nakładana jest za każde stwierdzenie naruszenia wobec jednego cudzoziemca. W praktyce oznacza to, że przedsiębiorca zatrudniający dziesięciu cudzoziemców z naruszeniem przepisów może otrzymać karę rozpoczynającą się od 60 000 złotych wzwyż.

Urzędy z nowymi narzędziami weryfikacji

Perspektywa 2026 roku oznacza, że urzędy będą już w pełni przygotowane do stosowania nowych przesłanek odmowy legalizacji pracy cudzoziemców. Organy administracyjne otrzymały konkretne narzędzia do weryfikacji, czy podmioty ubiegające się o zezwolenia nie starają się o tak zwane pozorne dokumenty legalizacyjne.

Urzędy mogą teraz odmówić wydania zezwolenia na pracę w kilku nowych przypadkach.

  • Jeżeli podmiot powierzający pracę został ustanowiony lub działa w celu ułatwiania cudzoziemcom wjazdu do Polski, urząd może to zweryfikować porównując liczbę wydanych zezwoleń z liczbą cudzoziemców, którzy faktycznie podjęli pracę.
  • Jeśli cudzoziemiec w ciągu dwóch lat poprzedzających złożenie wniosku posiadał już zezwolenie i wjechał do Polski, ale bez uzasadnionej przyczyny nie wykonywał pracy zgodnie z tym zezwoleniem, jego kolejny wniosek może zostać odrzucony.
  • Zaległości w obowiązkach związanych ze zgłaszaniem osób do ubezpieczeń społecznych czy zaległości w ZUS lub podatkach stanowią samodzielną podstawę odmowy.
  • Wreszcie, jeśli praca ma być wykonywana na rzecz osoby trzeciej, a podmiot powierzający pracę nie ma statusu agencji pracy tymczasowej, wniosek zostanie odrzucony.

Dwuletni okres karencji dla nowych agencji zatrudnienia

Jednym z najbardziej przełomowych rozwiązań jest wprowadzenie dwuletniego okresu karencji dla nowo utworzonych agencji zatrudnienia. Od 1 czerwca 2025 roku agencja, która chce świadczyć usługi pośrednictwa pracy lub pracy tymczasowej na rzecz cudzoziemców wymagających zezwolenia na pracę lub oświadczenia, musi najpierw przez dwa lata funkcjonować na rynku i świadczyć te usługi dla innych grup pracowników.

Próba obejścia tego ograniczenia grozi surowymi konsekwencjami w postaci wykreślenia z rejestru agencji zatrudnienia oraz grzywny w przedziale od 3 000 do nawet 100 000 złotych. Podmioty wpisane do rejestru przed 1 czerwca 2025 roku i świadczące już usługi na rzecz cudzoziemców nie podlegają temu ograniczeniu, jednak musiały do 30 września 2025 roku złożyć wniosek o zmianę wpisu w rejestrze.

Co oznacza rok 2026 dla pracodawców?

Przedsiębiorcy korzystający z usług outsourcingu pracowniczego powinni traktować rok 2026 jako czas gruntownej weryfikacji dotychczasowych modeli współpracy. Kluczowe pytania, na które należy znaleźć odpowiedzi, dotyczą statusu prawnego dotychczasowych partnerów biznesowych, zgodności stosowanych umów z nowymi wymogami oraz ryzyka finansowego wynikającego z potencjalnych nieprawidłowości.

Firmy świadczące usługi outsourcingu pracowniczego, które nie posiadają wpisu do rejestru agencji zatrudnienia lub nie spełniają nowych wymogów, mogą znaleźć się w bardzo trudnej sytuacji. Kontynuowanie działalności w dotychczasowym modelu może prowadzić do wielotysięcznych kar finansowych nakładanych za każdego cudzoziemca z osobna.

Profesjonalne wsparcie w nowej rzeczywistości prawnej

Złożoność nowych przepisów i wysokość potencjalnych sankcji sprawiają, że profesjonalny audyt dotychczasowych praktyk zatrudnieniowych staje się nie tyle opcją, co koniecznością. Nasza Kancelaria specjalizuje się w kompleksowej obsłudze prawnej procesów związanych z zatrudnianiem cudzoziemców, oferując zarówno audyty zgodności z nowymi przepisami, jak i wsparcie w dostosowaniu modeli biznesowych do aktualnych wymogów prawnych.

Zapraszamy do kontaktu w celu omówienia indywidualnej sytuacji Państwa firmy i wypracowania optymalnych rozwiązań na rok 2026.

NSA: umorzenie postępowania karnego skarbowego może unieważnić zawieszenie biegu przedawnienia

Posted on by kancelaria

Skład siedmiu sędziów rozstrzygnął wieloletni spór interpretacyjny

W dniu 14 kwietnia 2025 r. Naczelny Sąd Administracyjny w składzie siedmiu sędziów wydał wyrok o fundamentalnym znaczeniu dla podatników (sygn. I FSK 1078/24). Orzeczenie dotyczy jednej z najbardziej kontrowersyjnych kwestii w prawie podatkowym – wpływu umorzenia postępowania karnego skarbowego na skuteczność zawieszenia biegu terminu przedawnienia zobowiązania podatkowego.

Istota problemu

Zgodnie z art. 70 § 6 pkt 1 Ordynacji podatkowej, wszczęcie postępowania w sprawie o przestępstwo lub wykroczenie skarbowe zawiesza bieg terminu przedawnienia zobowiązania podatkowego. W praktyce organy podatkowe niejednokrotnie wykorzystywały ten mechanizm tuż przed upływem terminu przedawnienia, co rodziło uzasadnione wątpliwości co do instrumentalnego charakteru takich działań.

Dotychczas w orzecznictwie sądów administracyjnych funkcjonowały dwa przeciwstawne stanowiska. Według pierwszego z nich, sposób zakończenia postępowania karnego skarbowego pozostaje bez wpływu na skuteczność zawieszenia przedawnienia. Drugie stanowisko zakładało, że umorzenie postępowania z powodu braku znamion czynu zabronionego powinno unicestwiać skutek zawieszenia z mocą wsteczną.

Teza wyroku

Naczelny Sąd Administracyjny przyjął stanowisko kompromisowe, formułując następującą tezę:

Umorzenie postępowania karnego skarbowego z powodu stwierdzenia braku znamion czynu zabronionego może stanowić przesłankę bezskuteczności zawieszenia biegu terminu przedawnienia zobowiązania podatkowego, o którym mowa w art. 70 § 6 pkt 1 Ordynacji podatkowej w związku z art. 70c OrdPU, ze skutkiem ex tunc, jako konsekwencja instrumentalnego wszczęcia postępowania w sprawie o przestępstwo skarbowe lub wykroczenie skarbowe, o ile przesłanka ta oceniana jest w świetle całokształtu relewantnych w tym zakresie okoliczności danej sprawy.

Co to oznacza w praktyce?

NSA wyraźnie podkreślił, że sam fakt umorzenia postępowania karnego skarbowego nie przesądza automatycznie o instrumentalności jego wszczęcia. Jednocześnie jednak okoliczność ta może stanowić istotny argument przemawiający za uznaniem, że organ nadużył prawa wyłącznie w celu przedłużenia terminu przedawnienia.

Sąd wskazał katalog okoliczności, które należy brać pod uwagę przy ocenie instrumentalności:

  • moment wszczęcia postępowania karnego skarbowego w relacji do upływającego terminu przedawnienia
  • aktywność organu podatkowego we wcześniejszych etapach postępowania
  • powody wszczęcia postępowania karnego skarbowego
  • istnienie realnych przesłanek uzasadniających podejrzenie popełnienia przestępstwa lub wykroczenia
  • motywy umorzenia postępowania

Gwarancje dla podatników

Wyrok wpisuje się w linię orzeczniczą zapoczątkowaną uchwałą NSA z 24 maja 2021 r. (I FPS 1/21), która dopuściła kontrolę sądowoadministracyjną nad prawidłowością stosowania przez organy podatkowe przepisów o zawieszeniu przedawnienia. NSA przypomniał, że instytucja przedawnienia pełni funkcję gwarancyjną i chroni podatników przed prowadzeniem postępowań przez nieograniczony czas.

Jednocześnie Sąd zaznaczył, że nie można domniemywać instrumentalności działania organów. Obowiązek ponoszenia danin publicznych wynikający z art. 84 Konstytucji pozostaje zasadą, a przedawnienie stanowi wyjątek od niej.

Znaczenie wyroku

Orzeczenie ma przełomowe znaczenie z kilku powodów. Po pierwsze, rozstrzyga wieloletni spór interpretacyjny, dając jasne wytyczne zarówno organom podatkowym, jak i sądom administracyjnym. Po drugie, wzmacnia pozycję podatników, którzy mogą skuteczniej kwestionować instrumentalne wszczynanie postępowań karnych skarbowych. Po trzecie, wymusza na organach podatkowych większą staranność przy podejmowaniu decyzji o wszczęciu takich postępowań.

Wyrok Naczelnego Sądu Administracyjnego z dnia 14 kwietnia 2025 r., sygn. akt I FSK 1078/24

NSA: Konto na Facebooku to nie zgoda na przetwarzanie danych

Posted on by kancelaria

Naczelny Sąd Administracyjny w wyroku z dnia 20 maja 2025 r. (III OSK 1101/24) przesądził: samo założenie konta w serwisie społecznościowym i przystąpienie do grupy nie oznacza zgody na przetwarzanie danych osobowych przez innych użytkowników. Wyrok ma istotne znaczenie dla każdego, kto przetwarza dane pozyskane z mediów społecznościowych.

Stan faktyczny sprawy

Sprawa dotyczyła konfliktu między użytkownikami Facebooka, który rozpoczął się od publikacji certyfikatu szczepienia COVID-19. Kobieta wyraziła zgodę na zamieszczenie zdjęcia swojego certyfikatu szczepienia na blogu męża – burmistrza jednego z polskich miast – jednak pod warunkiem usunięcia wszelkich danych osobowych. Certyfikat miał służyć jedynie jako przykładowy dokument.
Jeden z użytkowników Facebooka pobrał zdjęcie certyfikatu ze strony burmistrza, a następnie przy użyciu aplikacji „Skaner Certyfikatów COVID” odczytał dane osobowe właścicielki kodu QR – jej imię i nazwisko. Dane te, wraz z przekreślonym zdjęciem certyfikatu, opublikował na zamkniętej grupie facebookowej liczącej ponad 6100 członków.
Użytkownik bronił się argumentem, że działał „w interesie publicznym” i „w dobrej wierze”, chcąc uświadomić kobiecie, że jej dane są publicznie dostępne. Twierdził również, że samo założenie konta na Facebooku i przystąpienie do grupy oznacza zgodę na przetwarzanie danych przez innych użytkowników.

Kluczowe rozstrzygnięcia sądu

NSA sformułował dwie fundamentalne tezy, które powinny stać się punktem odniesienia dla każdego praktyka zajmującego się ochroną danych osobowych w kontekście mediów społecznościowych.
„Założenie konta w portalu społecznościowym Facebook, przesyłanie powiadomień innym osobom, czy też przystąpienie do określonej grupy społecznościowej, nie jest równoznaczne z wyrażeniem zgody innym użytkownikom portalu na dalsze przetwarzanie zamieszczonych na swoim koncie danych osobowych.”

Sąd szczegółowo odniósł się do definicji zgody z art. 4 pkt 11 RODO, podkreślając, że musi ona być dobrowolna, konkretna, świadoma i jednoznaczna. Zgoda wymaga oświadczenia woli kierowanego do konkretnego odbiorcy. Kobieta nie składała żadnego oświadczenia woli względem użytkownika, który opublikował jej dane – a zatem nie można mówić o jakiejkolwiek zgodzie na przetwarzanie.

Co istotne, NSA wyraźnie wskazał, że z faktu opublikowania danych przez osobę posiadającą zgodę nie można wywodzić „dalszej, domniemanej zgody” na kolejne procesy przetwarzania przez inne osoby. Taka wykładnia byłaby sprzeczna z przepisami RODO określającymi warunki prawidłowej zgody.

Wyłączenie dla czynności osobistych lub domowych

Druga kluczowa kwestia dotyczyła art. 2 ust. 2 lit. c RODO, czyli wyłączenia stosowania rozporządzenia do przetwarzania danych o czysto osobistym lub domowym charakterze. Użytkownik argumentował, że jego działania mieściły się w tym wyłączeniu.

NSA nie podzielił tego stanowiska. Sąd wskazał, że publikacja danych na zamkniętej grupie facebookowej nie może być uznana za czynność o charakterze osobistym lub domowym, jeżeli osoba publikująca nie jest administratorem grupy, nie dobiera sobie osobiście jej uczestników, a jedynie do niej przystępuje. W takiej sytuacji pozostali członkowie grupy nie mają możliwości skutecznego sprzeciwienia się jej przystąpieniu. Czynności o „czysto osobistym lub domowym charakterze” są przeciwieństwem nie tylko czynności o charakterze zawodowym czy działalności gospodarczej, ale również form aktywności przybierających wymiar społeczny.

Sąd odwołał się przy tym do wcześniejszego orzecznictwa TSUE oraz opinii Grupy Roboczej Art. 29, zgodnie z którą przetwarzanie danych w portalach społecznościowych mieści się w wyłączeniu osobistym tylko wtedy, gdy dostęp do danych mają wyłącznie osoby wybrane samodzielnie przez użytkownika. W przypadku grupy liczącej ponad 6000 osób, do której każdy może przystąpić, ten warunek nie jest spełniony.

Dane o stanie zdrowia

Sprawa miała dodatkowy wymiar związany z przetwarzaniem szczególnych kategorii danych osobowych. NSA potwierdził stanowisko UODO, że publikacja przekreślonego kodu QR certyfikatu szczepienia – nawet w formie uniemożliwiającej jego odczytanie – w połączeniu z imieniem i nazwiskiem właścicielki stanowiła ujawnienie danych o stanie zdrowia w rozumieniu art. 9 ust. 1 RODO.
Sam fakt zamieszczenia zdjęcia kodu QR certyfikatu szczepienia pozwalał bowiem wyprowadzić jednoznaczny wniosek o poddaniu się szczepieniu – a ta informacja należy do kategorii danych dotyczących zdrowia.

Pojęcie „upublicznienia” danych

Warto zwrócić uwagę na stanowisko NSA dotyczące pojęcia „upublicznienia” danych osobowych, którym posługiwał się skarżący. Sąd jednoznacznie stwierdził, że jest to pojęcie pozaprawne, nieposiadające na gruncie RODO znaczenia prawnego. Zgodnie z art. 6 ust. 1 RODO sytuacja „upublicznienia” nie stanowi samodzielnej przesłanki legalizującej przetwarzanie danych osobowych.
To istotna wskazówka dla praktyków – fakt, że dane są „publicznie dostępne” w internecie, nie oznacza automatycznie, że można je swobodnie przetwarzać. Każde przetwarzanie wymaga odrębnej podstawy prawnej.

Wnioski praktyczne

  • Dla użytkowników mediów społecznościowych: Samo założenie konta i przystąpienie do grupy nie oznacza zgody na dowolne wykorzystanie danych przez innych użytkowników. Każdy ma prawo decydować, w jakim zakresie rezygnuje z prawa do prywatności.
  • Dla administratorów danych: Pozyskanie danych z profilu społecznościowego innej osoby nie daje automatycznej podstawy do ich dalszego przetwarzania. Konieczne jest uzyskanie odrębnej zgody lub wykazanie innej przesłanki z art. 6 ust. 1 RODO.
  • Dla działów compliance: Wyłączenie dla czynności osobistych lub domowych ma bardzo wąski zakres zastosowania w kontekście mediów społecznościowych. Publikacja na grupach – nawet zamkniętych – z reguły nie będzie się w nim mieścić.
  • W kontekście danych wrażliwych: Informacje pośrednio wskazujące na stan zdrowia (jak sam fakt posiadania certyfikatu szczepienia) podlegają szczególnej ochronie na podstawie art. 9 RODO.

Znaczenie wyroku

Orzeczenie NSA wpisuje się w linię orzeczniczą podkreślającą, że przepisy RODO należy interpretować w sposób zapewniający skuteczną ochronę osób, których dane dotyczą. W dobie powszechnego korzystania z mediów społecznościowych wyrok stanowi ważny sygnał: obecność w przestrzeni cyfrowej nie oznacza rezygnacji z ochrony danych osobowych.
Dla praktyków ochrony danych osobowych wyrok jest cennym źródłem argumentacji w sprawach dotyczących przetwarzania danych pozyskanych z mediów społecznościowych. Jasno wskazuje, że mechanizmy platform społecznościowych – takie jak możliwość oznaczania, komentowania czy udostępniania treści – nie tworzą automatycznej podstawy prawnej do przetwarzania danych innych użytkowników poza funkcjonalnościami samej platformy.

Źródło: Wyrok Naczelnego Sądu Administracyjnego z dnia 20 maja 2025 r., sygn. akt III OSK 1101/24

Czego UODO szuka podczas kontroli – analiza kar 2024–2025

Posted on by kancelaria

Przez pierwsze lata obowiązywania RODO kary nakładane przez polskiego regulatora były stosunkowo nieliczne i umiarkowane kwotowo. Lata 2024–2025 przyniosły radykalną zmianę: łączna wartość sankcji nałożonych tylko w 2024 roku przekroczyła niemal 14 mln zł, co stanowiło ponad 44% wszystkich kar wydanych przez Prezesa UODO od początku istnienia rozporządzenia. Rok później ta suma wzrosła do 64,5 mln zł. Ochrona danych osobowych przestała być obszarem, w którym można liczyć na pobłażliwość organu nadzorczego.

 

Rosnąca aktywność UODO – skąd ta zmiana?

Jeszcze w 2023 roku łączna wartość kar nałożonych przez Prezesa UODO wyniosła ok. 1,4 mln zł. W 2024 roku ta kwota wzrosła dziesięciokrotnie, osiągając blisko 14 mln zł – 20 opublikowanych decyzji objęło 24 różne podmioty, a naruszenia dotyczyły łącznie ponad 2,4 mln osób fizycznych. Rok 2025 przyniósł kolejny, jeszcze gwałtowniejszy wzrost: 32 decyzje sankcyjne o łącznej wartości 64,5 mln zł. Dla porównania – suma kar nałożonych przez organ przez wszystkie poprzednie lata, od wejścia RODO w życie w 2018 roku, wyniosła łącznie ok. 31 mln zł. W samym 2025 roku UODO przekroczył dwukrotnie ten dorobek.

Zmiana ma kilka źródeł. Po pierwsze, wzrosła świadomość prawna obywateli: w 2025 roku do UODO wpłynęło ok. 13 tys. skarg od osób fizycznych, niemal dwukrotnie więcej niż dwa lata wcześniej. Każda taka skarga może uruchomić postępowanie kontrolne, które zakończy się karą lub nakazem. Po drugie, urząd konsekwentnie przeszedł od podejścia edukacyjnego do egzekucyjnego – coraz częściej sięga po najwyższe progi sankcji przewidzianych w rozporządzeniu. Po trzecie, temat ochrony danych zyskał na znaczeniu politycznym i medialnym, co sprawia, że głośne decyzje są dla organu również elementem komunikacji z rynkiem.

„Wielu administratorów ograniczyło się do stworzenia regulaminu RODO na papierze. Tymczasem system ochrony danych musi działać w praktyce: być regularnie audytowany, monitorowany i dostosowywany do zmian technologicznych.” – Mirosław Wróblewski, Prezes UODO, listopad 2025

Europejski kontekst jest równie wymowny. Z raportu kancelarii DLA Piper „GDPR Fines and Data Breach Survey January 2026” wynika, że od początku 2025 do końca stycznia 2026 roku organy nadzorcze w całej UE i EOG nałożyły łącznie ok. 1,2 mld euro kar za naruszenia RODO. Od 2018 roku suma ta przekroczyła 7 mld euro. Polska, jeszcze niedawno w ogonie europejskiego rankingu surowości, wyraźnie nadrabia dystans.

Najważniejsze sprawy 2024 roku

Rok 2024 był przełomowy przede wszystkim dlatego, że pokazał rozpiętość podmiotów narażonych na sankcje: wśród ukaranych znalazły się zarówno spółki prywatne – e-commerce, banki, instytucje finansowe – jak i podmioty publiczne, w tym prokuratura i komitet inicjatywy ustawodawczej.

Najwyższa kara roku – ponad 4 mln zł za milczenie wobec poszkodowanych

X S.A. (podmiot prywatny, dane zanonimizowane przez UODO) – kara: 4 053 173 zł.

Najwyższa kara nałożona w 2024 roku dotyczyła spółki, której danych UODO nie ujawnił publicznie. Naruszenie polegało na zaniechaniu zawiadomienia osób dotkniętych incydentem bezpieczeństwa. Obowiązek ten wynika z art. 34 RODO i ma jeden kluczowy cel: dać osobom fizycznym szansę na podjęcie działań ochronnych, zanim wyrządzone zostaną im realne szkody. W ocenie organu nadzorczego spółka, wiedząc o naruszeniu, świadomie zdecydowała się nie informować poszkodowanych. UODO uznał to za przykład lekceważenia praw podmiotów danych i nałożył najwyższą w tym roku administracyjną karę pieniężną. Sprawa przypomina, że zgłoszenie naruszenia do organu to nie koniec obowiązków – równie ważne, a często pomijane, jest powiadomienie samych zainteresowanych.

Wyciek danych 2,2 mln użytkowników – kara dla Morele.net

Morele.net sp. z o.o. – kara: 3 819 960 zł.

Sprawa Morele.net to jeden z największych incydentów bezpieczeństwa w historii polskiego e-commerce. W wyniku ataku hakerskiego wyciekły dane osobowe ok. 2,2 mln zarejestrowanych użytkowników serwisu. UODO ukarał spółkę nie za sam fakt naruszenia – incydenty bezpieczeństwa mogą przydarzyć się każdemu – ale za to, że do wycieku w ogóle doszło wskutek zaniedbań po stronie administratora. Organ stwierdził naruszenie zasad przetwarzania (art. 5 RODO), obowiązku ochrony danych w fazie projektowania systemów (art. 25 RODO) oraz wymogów bezpieczeństwa technicznego i organizacyjnego (art. 32 RODO). Platforma przez lata przetwarzała dane milionów klientów bez adekwatnych zabezpieczeń – i zapłaciła za to blisko 4 mln zł.

Santander Bank – gdy 72 godziny to za długo

Santander Bank Polska S.A. – kara: 1 440 549 zł.

Kara nałożona na Santander Bank Polska ilustruje jedno z najczęściej niedocenianych ryzyk RODO: terminy związane z obsługą naruszeń. Art. 33 rozporządzenia nakłada na administratora obowiązek zgłoszenia naruszenia do organu nadzorczego co do zasady w ciągu 72 godzin od jego wykrycia. Art. 34 zobowiązuje z kolei do niezwłocznego poinformowania poszkodowanych, jeśli naruszenie może skutkować wysokim ryzykiem dla ich praw lub wolności. Bank opóźnił oba zgłoszenia. Sprawa jest ważną lekcją: posiadanie procedury zarządzania incydentami na papierze nie wystarczy – musi być wycwiczona i uruchamiana natychmiast, bo każda godzina zwłoki może być argumentem obciążającym w postępowaniu przed organem.

Toyota Bank – nieprawidłowa pozycja IOD i brak DPIA

Toyota Bank Polska S.A. – kara: 314 302 zł.

Decyzja w sprawie Toyota Bank jest warta uwagi z innego powodu niż pozostałe: nie dotyczyła wycieku danych ani opóźnionego zgłoszenia, ale strukturalnych uchybień w organizacji systemu ochrony danych. UODO ustalił, że bank prowadził profilowanie klientów na dużą skalę bez przeprowadzenia oceny skutków dla ochrony danych (DPIA), wymaganej przez art. 35 RODO. Co więcej, Inspektor Ochrony Danych nie podlegał bezpośrednio najwyższemu kierownictwu instytucji, co narusza art. 38 ust. 3 RODO. IOD pozbawiony rzeczywistej niezależności i bezpośredniego dostępu do zarządu nie jest w stanie efektywnie wykonywać swoich zadań – staje się figurą formalną, a nie realnym strażnikiem zgodności.

Na liście ukaranych w 2024 roku znalazły się też Prokuratura Krajowa i Komitet Inicjatywy Ustawodawczej „Stop LGBT” – naruszenia związane z przetwarzaniem danych bez właściwej podstawy prawnej. Ich obecność pokazuje, że organ nie stosuje żadnej taryfy ulgowej ze względu na charakter podmiotu.

Rekordowe kary 2025 roku

Rok 2025 był pod każdym względem bezprecedensowy. Pojedyncze sprawy biły kolejne rekordy, a skala naruszeń wskazuje, że problemy systemowe w ochronie danych osobowych są w Polsce powszechne i głęboko zakorzenione.

Poczta Polska – dane 30 milionów Polaków bez podstawy prawnej

Poczta Polska S.A. – kara: 27 124 816 zł.

Najwyższa kara w historii polskiego organu nadzorczego dotyczy sprawy wyborów korespondencyjnych z 2020 roku. Poczta Polska uzyskała wówczas od właściwego ministerstwa dane osobowe niemal 30 mln obywateli zgromadzone w rejestrze PESEL – bez wymaganej podstawy prawnej, bez zgody zainteresowanych i bez jakiegokolwiek poinformowania ich o tym fakcie. Dane były przetwarzane masowo w celu przygotowania pakietów wyborczych, a ostatecznie wybory w tej formie nigdy się nie odbyły. UODO, kończąc postępowanie wszczęte kilka lat wcześniej, stwierdził naruszenie zasad legalności, celowości i minimalizacji danych. Powiązana decyzja objęła też Ministerstwo Aktywów Państwowych, które dane udostępniło.

McDonald’s – PESEL przy zamówieniu

McDonald’s Polska Sp. z o.o. – kara: 16 900 000 zł.

Sieć restauracji rutynowo skanowała dokumenty tożsamości klientów – w tym numery PESEL – w okolicznościach, w których nie było to ani niezbędne, ani uzasadnione żadnym wyraźnym celem. UODO stwierdził naruszenie zasady legalności przetwarzania oraz zasady minimalizacji danych: administrator zbierał więcej informacji niż wymagał cel operacji, bez uprzedniej oceny konieczności i proporcjonalności. Kara w wysokości niemal 17 mln zł wyraźnie sygnalizuje, że praktyki masowego zbierania dokumentów tożsamości przez przedsiębiorców – wciąż obecne w wielu branżach – mogą skutkować sankcjami sięgającymi górnych limitów RODO.

Centrum Medyczne Ujazdek – ukryte kamery na neonatologii

Centrum Medyczne Ujazdek w Krakowie – kara: 1 145 000 zł.

Na oddziale neonatologii zainstalowano ukryte kamery monitoringu wbudowane w zegary ścienne. Nagraniom poddawane były pacjentki i personel medyczny – osoby w sytuacji szczególnej wrażliwości, w miejscu, gdzie uzasadnione oczekiwanie prywatności jest wyjątkowo wysokie. Sprawa naruszała jednocześnie kilka płaszczyzn RODO: brak poinformowania osób o monitorowaniu, przetwarzanie danych szczególnie chronionych bez podstawy prawnej oraz złamanie zasady przejrzystości. Decyzja zwróciła uwagę na kategorię często pomijaną w dyskusjach o RODO: fizyczne środowisko przetwarzania danych i monitoring wizyjny jako narzędzie inwigilacji.

Powtarzające się wzorce błędów

Błędna lub nieudokumentowana podstawa prawna przetwarzania to najpoważniejszy strukturalny problem, widoczny zarówno w decyzjach dotyczących podmiotów publicznych, jak i prywatnych. RODO wymaga, aby każda operacja przetwarzania danych opierała się na jednej z przesłanek z art. 6 ust. 1, a wybór tej przesłanki musi być świadomy, udokumentowany i adekwatny do rzeczywistego celu przetwarzania. W wielu kontrolowanych podmiotach organ stwierdzał, że administrator nie był w stanie wykazać, dlaczego przyjęta podstawa prawna ma zastosowanie do konkretnej czynności. To nie problem formalny – to fundament całego systemu zgodności.

Niedostateczne środki bezpieczeństwa pojawiają się niemal w każdej drugiej decyzji. Art. 32 RODO zobowiązuje administratorów do wdrożenia środków technicznych i organizacyjnych adekwatnych do ryzyka, a adekwatność ocenia się dynamicznie, w odniesieniu do aktualnego stanu wiedzy i technologii. Brak szyfrowania nośników przenośnych, nieaktualne analizy ryzyka, nieprzestrzeganie zasady minimalnych uprawnień dostępu – to uchybienia, które UODO stwierdził w podmiotach z różnych sektorów. Urząd coraz wyraźniej traktuje bezpieczeństwo danych i cyberbezpieczeństwo jako naczynia połączone.

Nieprawidłowa obsługa incydentów obejmuje zarówno opóźnienia w zgłaszaniu naruszeń do organu, jak i zaniechanie informowania samych poszkodowanych. Wiele organizacji posiada formalne procedury incydentalne, które jednak nie są ani ćwiczone, ani wdrożone w sposób umożliwiający działanie w krótkim czasie. Tymczasem 72-godzinny termin na zgłoszenie jest rygorystyczny – biegnie od momentu, gdy administrator powziął wiadomość o naruszeniu, nie od chwili jego formalnego potwierdzenia.

Pomijanie DPIA i zasady privacy by design bywa kosztowne. Ocena skutków dla ochrony danych jest wymagana przed uruchomieniem każdej operacji wysokiego ryzyka – profilowania na dużą skalę, przetwarzania danych szczególnych kategorii, monitorowania osób na dużą skalę. Brak DPIA oznacza najczęściej, że ryzyko nie zostało ocenione, a skoro nie zostało ocenione – nie zostało też ograniczone.

Nieuprawniony lub nieprzejrzysty monitoring wizyjny stał się w 2025 roku odrębną kategorią naruszeń. Kara nałożona na CM Ujazdek pokazała, że UODO reaguje nie tylko na incydenty IT, ale też na naruszenia prywatności w przestrzeni fizycznej. Każda organizacja stosująca kamery powinna zweryfikować, czy monitoring jest należycie oznakowany i czy obejmuje wyłącznie miejsca, w których jest to dopuszczalne.

Jak ograniczyć ryzyko – obszary do weryfikacji

Na podstawie analizy decyzji UODO z lat 2024–2025 wyodrębniliśmy obszary, które powinien zweryfikować każdy administrator danych – niezależnie od wielkości organizacji i sektora.

Podstawy prawne i rejestr czynności przetwarzania

  • Dokonaj przeglądu wszystkich czynności przetwarzania pod kątem aktualności i poprawności podstaw prawnych z art. 6 (i art. 9 dla danych szczególnych kategorii).
  • Upewnij się, że rejestr czynności przetwarzania jest aktualny i odzwierciedla rzeczywiste operacje – nie jest dokumentem stworzonym raz przy wdrożeniu RODO.
  • Tam gdzie podstawą jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f), udokumentuj przeprowadzony test równoważenia interesów.

 

Bezpieczeństwo techniczne i organizacyjne

  • Przeprowadź aktualną analizę ryzyka dla operacji przetwarzania – co najmniej raz w roku lub po każdej istotnej zmianie systemu.
  • Wdróż szyfrowanie nośników przenośnych jako standard, nie wyjątek.
  • Sprawdź czy polityki zarządzania dostępem są aktualne i czy każda osoba ma dostęp wyłącznie do danych niezbędnych do jej zadań.
  • Zaplanuj regularne testy środków bezpieczeństwa i dokumentuj wyniki oraz działania naprawcze.

 

Zarządzanie incydentami

  • Zweryfikuj, czy procedura zarządzania incydentami jest znana odpowiedzialnym osobom i regularnie ćwiczona.
  • Wyznacz konkretne osoby odpowiedzialne za klasyfikację naruszenia, decyzję o zgłoszeniu i kontakt z organem nadzorczym.
  • Pamiętaj o dwóch odrębnych obowiązkach: zgłoszeniu do UODO (art. 33) i zawiadomieniu poszkodowanych (art. 34) – oba mają swoje terminy i przesłanki.
  • Dokumentuj każdy incydent – w tym te, których nie zgłosiłeś. UODO może zapytać o uzasadnienie tej decyzji.

 

DPIA i privacy by design

  • Wprowadź procedurę oceny, które planowane operacje wymagają przeprowadzenia DPIA przed ich uruchomieniem.
  • Stosuj zasadę privacy by design od początku każdego projektu – nie jako działanie naprawcze po fakcie.
  • Dokumentuj wyniki DPIA i decyzje podjęte w celu ograniczenia zidentyfikowanych ryzyk.

 

Inspektor Ochrony Danych

  • Upewnij się, że IOD podlega bezpośrednio najwyższemu kierownictwu organizacji – nie kierownikowi działu prawnego ani IT.
  • Sprawdź, czy IOD nie pełni funkcji powodujących konflikt interesów z zadaniami wynikającymi z RODO.
  • Zapewnij IOD realne zasoby, dostęp do informacji i możliwość uczestnictwa w kluczowych decyzjach dotyczących przetwarzania danych.

 

Monitoring wizyjny

  • Przeprowadź inwentaryzację wszystkich urządzeń rejestrujących obraz i dźwięk w organizacji.
  • Zweryfikuj, czy każde miejsce objęte monitoringiem jest należycie oznakowane i czy osoby zostały poinformowane o przetwarzaniu ich danych.
  • Sprawdź, czy czas przechowywania nagrań jest ograniczony do niezbędnego minimum i egzekwowany przez system.

 

Co przyniesie 2026 rok?

Na podstawie ogłoszonego przez UODO planu sektorowych kontroli oraz trendów europejskich można wskazać obszary podwyższonego ryzyka w nadchodzących miesiącach. Regulatorzy w całej UE sygnalizują, że kwestia przetwarzania danych w systemach sztucznej inteligencji będzie priorytetem – wdrożenie AI Act tworzy nowe obowiązki nakładające się bezpośrednio na RODO. Administratorzy planujący projekty AI powinni już teraz ocenić zgodność planowanych operacji z obydwoma aktami prawnymi łącznie.

UODO zapowiedział również kontrole podmiotów przetwarzających dane w ramach wielkich unijnych systemów informacyjnych, takich jak SIS i VIS. Jednocześnie urząd wspólnie z Ministerstwem Cyfryzacji pracuje nad jednym punktem kontaktowym dla zgłaszania zarówno incydentów cyberbezpieczeństwa w rozumieniu NIS2, jak i naruszeń ochrony danych na gruncie RODO. To sygnał, że oba obszary będą coraz ściślej traktowane jako jeden reżim compliance.

Podsumowanie

Dane z lat 2024–2025 nie pozostawiają wątpliwości: egzekwowanie RODO w Polsce weszło w nową fazę. Organ nadzorczy działa konsekwentnie, nakłada kary proporcjonalne do skali naruszeń i nie ogranicza się ani do określonego sektora, ani do określonego rozmiaru podmiotu. Wspólny mianownik większości spraw jest ten sam: system ochrony danych, który istniał na papierze, ale nie działał w praktyce.

RODO nie wymaga perfekcji – wymaga systematyczności, udokumentowania decyzji i gotowości do działania w sytuacji kryzysowej. Organizacje, które regularnie audytują swoje procesy, aktualizują analizy ryzyka i ćwiczą procedury incydentalne, są w stanie nie tylko unikać kar, ale też skuteczniej chronić dane osób, które im zaufały. Audyt wewnętrzny przeprowadzony dziś jest nieporownanie tańszy od postępowania administracyjnego, które może przyjść jutro.

W ATL Law przeprowadzamy audyty zgodności z RODO, wspieramy w obsłudze naruszeń i postępowań przed UODO oraz prowadzimy szkolenia dla zespołów compliance i IOD.

Zapraszamy do kontaktu office@atl-law.pl 

Artykuł  ma charakter informacyjny i nie stanowi porady prawnej. Źródła: decyzje Prezesa UODO 2024–2025, raport Grant Thornton, raport DLA Piper „GDPR Fines and Data Breach Survey January 2026”. 

Składki ZUS od wynagrodzeń z umów licencyjnych

Posted on by kancelaria

Umowa licencyjna stanowi popularną formę współpracy między twórcami a podmiotami zainteresowanymi wykorzystaniem ich utworów. W kontekście rozliczeń z Zakładem Ubezpieczeń Społecznych kluczowe znaczenie ma właściwa kwalifikacja umowy oraz określenie, czy wynagrodzenie z niej wypłacane podlega obowiązkowym składkom ubezpieczeniowym.

Czym jest umowa licencyjna?

Umowa licencyjna to umowa regulowana przepisami ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych. Na jej podstawie twórca (licencjodawca) udziela drugiej stronie (licencjobiorcy) upoważnienia do korzystania z utworu na określonych polach eksploatacji. Umowa powinna precyzować zakres, miejsce i czas korzystania z utworu oraz wysokość wynagrodzenia przysługującego twórcy.

Istotną cechą umowy licencyjnej jest fakt, że twórca nie przenosi na licencjobiorcę swoich autorskich praw majątkowych – jedynie udziela zgody na korzystanie z utworu. Licencja może być wyłączna lub niewyłączna, odpłatna lub nieodpłatna.

Umowa licencyjna a tytuł do ubezpieczeń społecznych

Zgodnie z utrwalonym stanowiskiem Zakładu Ubezpieczeń Społecznych, umowa licencyjna sama w sobie nie stanowi tytułu do podlegania obowiązkowym ubezpieczeniom społecznym. Wynika to z faktu, że umowa licencyjna nie została wymieniona w zamkniętym katalogu tytułów ubezpieczeniowych określonym w art. 6 ust. 1 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych.

W praktyce oznacza to, że wynagrodzenie wypłacane wyłącznie z tytułu udzielenia licencji na korzystanie z utworu już istniejącego nie podlega składkom ZUS – ani składkom na ubezpieczenia społeczne (emerytalne, rentowe, chorobowe, wypadkowe), ani składce na ubezpieczenie zdrowotne.

Warunki zwolnienia z oskładkowania

Aby wynagrodzenie z umowy licencyjnej mogło być zwolnione ze składek ZUS, muszą zostać spełnione określone warunki:

  1. Utwór musi już istnieć w momencie zawierania umowy – umowa dotyczy wyłącznie udzielenia licencji na korzystanie z gotowego utworu, a nie jego stworzenia.
  2. Umowa nie może mieć charakteru umowy o dzieło lub zlecenia – jej przedmiotem jest wyłącznie udzielenie prawa do korzystania z utworu, nie zaś wykonanie określonej pracy czy świadczenie usług.
  3. Utwór nie powstał na zamówienie licencjobiorcy – w przypadku umowy z własnym pracodawcą istotne jest, aby utwór nie został stworzony w ramach obowiązków pracowniczych ani na zlecenie pracodawcy.
  4. Wynagrodzenie dotyczy wyłącznie licencji – nie obejmuje innych świadczeń, które mogłyby stanowić tytuł do ubezpieczeń.

Umowa licencyjna z własnym pracodawcą

Szczególną uwagę należy poświęcić sytuacji, gdy umowa licencyjna zawierana jest między pracownikiem a jego pracodawcą. Zgodnie ze stanowiskiem ZUS, jeżeli przedmiotem umowy jest wyłącznie udzielenie licencji na korzystanie z utworu, który:

– został stworzony poza stosunkiem pracy,

– nie powstał w ramach obowiązków pracowniczych,

– nie był wykonany na polecenie pracodawcy,

wówczas wynagrodzenie z tytułu takiej umowy licencyjnej nie wchodzi do podstawy wymiaru składek na ubezpieczenia społeczne pracownika.

Odmiennie sytuacja wygląda, gdy umowa licencyjna łączy się z obowiązkiem stworzenia utworu – wówczas mamy do czynienia z umową o charakterze zbliżonym do umowy o dzieło, a wynagrodzenie powinno zostać uwzględnione w podstawie wymiaru składek.

Aspekty podatkowe – 50% koszty uzyskania przychodu

Wynagrodzenie z tytułu umowy licencyjnej stanowi przychód z praw majątkowych, o którym mowa w art. 18 ustawy o podatku dochodowym od osób fizycznych. Do tego rodzaju przychodów można stosować 50% koszty uzyskania przychodu na podstawie art. 22 ust. 9 pkt 1-3 ustawy o PIT.

W 2026 roku roczny limit 50% kosztów uzyskania przychodu z tytułu praw autorskich i pokrewnych wynosi 120 000 zł. Po przekroczeniu tego limitu podatnik nie może już stosować podwyższonych kosztów, chyba że udokumentuje faktycznie poniesione wydatki w wyższej kwocie.

Obowiązek zgłoszenia umowy do ZUS

Od 1 stycznia 2021 r. obowiązuje przepis nakazujący zgłaszanie zawartych umów o dzieło do ZUS na formularzu RUD w terminie 7 dni od dnia zawarcia umowy. Warto podkreślić, że obowiązek ten nie dotyczy umów licencyjnych ani umów o przeniesienie autorskich praw majątkowych, jeżeli występują one samoistnie i nie są powiązane z wykonaniem dzieła.

Oznacza to, że czysta umowa licencyjna, której przedmiotem jest udzielenie zgody na korzystanie z istniejącego już utworu, nie podlega zgłoszeniu do ZUS. Inaczej jest w przypadku umowy, która obejmuje zarówno stworzenie utworu, jak i udzielenie licencji – taka umowa może mieć charakter umowy o dzieło i podlegać obowiązkowi zgłoszenia.

Podsumowanie

Umowa licencyjna, rozumiana jako umowa dotycząca wyłącznie udzielenia zgody na korzystanie z istniejącego utworu, nie stanowi samodzielnego tytułu do ubezpieczeń społecznych. Wynagrodzenie wypłacane na jej podstawie nie podlega składkom ZUS, pod warunkiem że umowa nie ma charakteru umowy o dzieło czy zlecenia i nie wiąże się z obowiązkiem stworzenia utworu.

Przy kwalifikacji umowy należy zawsze kierować się jej rzeczywistą treścią i charakterem, a nie jedynie nazwą. Kluczowe znaczenie ma odpowiedź na pytanie, czy w momencie zawierania umowy utwór już istnieje, czy też ma dopiero powstać. Ta okoliczność determinuje zarówno obowiązki wobec ZUS, jak i sposób rozliczenia podatkowego wynagrodzenia.

Podstawa prawna

  • Ustawa z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz.U. z 2025 r. poz. 1644 ze zm.)
  • Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz.U. z 2025 r. poz. 836 ze zm.)
  • Ustawa z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych (Dz.U. z 2025 r. poz. 163 ze zm.)
  • Rozporządzenie Rady Ministrów z dnia 11 września 2025 r. w sprawie wysokości minimalnego wynagrodzenia za pracę oraz wysokości minimalnej stawki godzinowej w 2026 r. (Dz.U. poz. 1242)

Najważniejsze zmiany prawne dla przedsiębiorców w 2026 roku

Posted on by kancelaria

Krajobraz regulacyjny dla przedsiębiorców działających w Polsce ulegnie w 2026 roku zasadniczej transformacji. Niniejsza kompleksowa analiza przedstawia najistotniejsze zmiany legislacyjne, które wpłyną na działalność operacyjną, obowiązki podatkowe, praktyki zatrudnienia oraz wymogi zgodności. Reformy obejmują wiele obszarów – od harmonizacji przepisów wynikającej z prawa unijnego po krajowe inicjatywy polityczne mające na celu modernizację polskiego środowiska biznesowego.

Inwestorzy zagraniczni oraz korporacje międzynarodowe posiadające polskie spółki zależne powinni zwrócić szczególną uwagę na kilka przełomowych zmian:

  • obowiązkowe wdrożenie Krajowego Systemu e-Faktur (KSeF),
  • transpozycję unijnej dyrektywy o przejrzystości wynagrodzeń,
  • rozszerzone obowiązki w zakresie cyberbezpieczeństwa wynikające z dyrektywy NIS2 oraz
  • etapowe wejście w życie rozporządzenia o sztucznej inteligencji (AI Act).

Każdy z tych aktów prawnych wprowadza znaczące obciążenia compliance, ale także nowe możliwości operacyjne.

Niniejsza analiza zawiera szczegółowe omówienie każdej zmiany regulacyjnej, w tym harmonogramy wdrożenia, zakres stosowania, wymogi zgodności oraz potencjalne sankcje za naruszenia. W stosownych przypadkach wskazujemy przepisy przejściowe oraz praktyczne uwagi dla przedsiębiorców planujących proaktywne dostosowanie swoich operacji.

I. Prawo pracy i regulacje zatrudnienia

1. Dyrektywa UE o przejrzystości wynagrodzeń – transformacja praktyk płacowych

Ramy prawne i harmonogram wdrożenia

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2023/970 z dnia 10 maja 2023 r. w sprawie wzmocnienia stosowania zasady równości wynagrodzeń dla mężczyzn i kobiet za taką samą pracę lub pracę o takiej samej wartości za pośrednictwem mechanizmów przejrzystości wynagrodzeń oraz mechanizmów egzekwowania stanowi jedną z najbardziej doniosłych reform prawa pracy ostatnich lat. Dyrektywa weszła w życie 6 czerwca 2023 r., a państwa członkowskie zobowiązane są do transpozycji jej przepisów do prawa krajowego do 7 czerwca 2026 r.

Pierwsze przepisy w Polsce weszły w życie 24 grudnia 2025 r. Pełne wdrożenie wszystkich obowiązków przewidywane jest do czerwca 2026 r. Oznacza to, że pracodawcy muszą niezwłocznie dostosować swoje procesy rekrutacyjne i polityki wynagrodzeń do nowych wymogów.

Zakres zastosowania

Dyrektywa ma zastosowanie do wszystkich pracodawców w sektorze publicznym i prywatnym, przy czym niektóre obowiązki są skalowane w zależności od wielkości zatrudnienia. Ramy regulacyjne rozróżniają:

  • Wszyscy pracodawcy: wymogi przejrzystości przed zatrudnieniem oraz indywidualne prawa do informacji
  • Pracodawcy zatrudniający 100+ pracowników: obowiązkowa sprawozdawczość dotycząca luki płacowej (początkowo pracodawcy z 250+ pracownikami, rozszerzenie na 100+ do 7 czerwca 2031 r.)
  • Pracodawcy zatrudniający 250+ pracowników: roczne obowiązki sprawozdawcze od 7 czerwca 2027 r.

Kluczowe obowiązki compliance

  • Przejrzystość przed zatrudnieniem: Pracodawcy muszą przekazywać kandydatom do pracy informacje o początkowym poziomie wynagrodzenia lub przedziale wynagrodzeń dla ogłaszanego stanowiska. Informacja ta musi być ujawniona w ogłoszeniu o pracę lub przed rozmową kwalifikacyjną, w ostateczności przed zawarciem umowy o pracę – bez konieczności zwracania się o nią przez kandydata. Co istotne, pracodawcom zakazuje się pytania kandydatów o historię ich wynagrodzeń w obecnym lub poprzednich stosunkach pracy.

 

  • Indywidualne prawa do informacji: Pracownicy uzyskują prawo do żądania i otrzymania pisemnej informacji o ich indywidualnym poziomie wynagrodzenia oraz średnich poziomach wynagrodzeń, w podziale na płeć, dla kategorii pracowników wykonujących taką samą pracę lub pracę o takiej samej wartości. Pracodawcy muszą odpowiedzieć w ciągu dwóch miesięcy i muszą corocznie informować pracowników o tym prawie.

 

  • Sprawozdawczość dotycząca luki płacowej: Pracodawcy spełniający kryteria będą musieli składać sprawozdania dotyczące luki płacowej ze względu na płeć w całej swojej załodze, w tym informacje o średniej i medianie luki płacowej, proporcji pracownic i pracowników w każdym kwartylu wynagrodzeń oraz średniej luce płacowej według kategorii pracowników w podziale na zwykłe wynagrodzenie zasadnicze oraz składniki uzupełniające lub zmienne.

 

  • Wspólna ocena wynagrodzeń: Jeżeli sprawozdawczość płacowa ujawnia lukę płacową ze względu na płeć wynoszącą 5% lub więcej w jakiejkolwiek kategorii pracowników, a pracodawca nie może uzasadnić tej luki obiektywnymi czynnikami neutralnymi pod względem płci, pracodawca musi przeprowadzić wspólną ocenę wynagrodzeń we współpracy z przedstawicielami pracowników. Ocena ta musi określać środki naprawcze i być udostępniona pracownikom oraz ich przedstawicielom.

Egzekwowanie i sankcje

Dyrektywa znacząco wzmacnia mechanizmy egzekwowania. Państwa członkowskie muszą zapewnić, aby pracownicy, którzy doznali dyskryminacji płacowej, mogli uzyskać pełne odszkodowanie, w tym zaległe wynagrodzenie i związane z nim premie lub świadczenia rzeczowe, a także odszkodowanie za utracone możliwości i szkody niematerialne. Co istotne, dyrektywa przenosi ciężar dowodu: gdy pracownik przedstawi fakty, z których można domniemywać, że doszło do dyskryminacji, to pracodawca musi udowodnić, że nie doszło do naruszenia zasady równości wynagrodzeń.

Krajowa ustawa implementacyjna ma wprowadzić kary administracyjne za nieprzestrzeganie przepisów, choć konkretne kwoty sankcji oczekują na ostateczne opracowanie legislacyjne. Dyrektywa wymaga, aby kary były skuteczne, proporcjonalne i odstraszające.

Praktyczne aspekty wdrożenia

Organizacje, które jeszcze nie rozpoczęły przygotowań, powinny niezwłocznie przeprowadzić kompleksowy audyt równości płac, opracować lub udoskonalić metodologie wartościowania stanowisk w celu identyfikacji pracy o takiej samej wartości, dokonać przeglądu i standaryzacji struktur płacowych i polityk wynagradzania, przeszkolić personel HR i menedżerów rekrutujących w zakresie nowych wymogów przejrzystości, zaktualizować procesy rekrutacyjne i szablony ogłoszeń o pracę oraz ustanowić systemy śledzenia i raportowania danych płacowych według płci. Firmy działające w wielu jurysdykcjach UE powinny zauważyć, że choć dyrektywa ustanawia minimalne standardy, państwa członkowskie mogą wprowadzić bardziej rygorystyczne wymogi.

2. Zreformowane zasady obliczania stażu pracy

Kontekst legislacyjny

Data wejścia w życie: 1 stycznia 2026 r.

Nowelizacja Kodeksu pracy zasadniczo przekształca sposób obliczania stażu pracy dla celów uprawnień pracowniczych. Reforma ta ma na celu zniwelowanie wieloletnich nierówności między pracownikami zatrudnionymi na podstawie tradycyjnych umów o pracę a osobami pracującymi na podstawie umów cywilnoprawnych lub jako samozatrudnieni.

Zmiany merytoryczne

Zgodnie z nowymi przepisami do stażu pracy mogą być zaliczane następujące okresy: okresy zatrudnienia na podstawie umów cywilnoprawnych (umowa zlecenie, umowa o dzieło), w przypadku których dana osoba podlegała ubezpieczeniom społecznym, okresy prowadzenia zarejestrowanej działalności gospodarczej oraz okresy pracy wykonywanej na podstawie innych udokumentowanych form spełniających określone kryteria.

Zmiana ta wpływa na liczne uprawnienia zależne od stażu, w tym wymiar urlopu wypoczynkowego (który wzrasta wraz z całkowitym stażem), dodatki stażowe przewidziane w układach zbiorowych pracy lub regulaminach wewnętrznych, okresy wypowiedzenia umowy o pracę oraz niektóre obliczenia z zakresu ubezpieczeń społecznych.

Wymogi compliance dla pracodawców

Pracodawcy muszą ustanowić procedury dokumentowania i weryfikacji okresów zgłaszanych przez pracowników, zaktualizować systemy kadrowo-płacowe w celu uwzględnienia rozszerzonego obliczania stażu, dokonać przeglądu układów zbiorowych i regulaminów wewnętrznych pod kątem potencjalnych skutków kosztowych oraz poinformować obecnych pracowników o nowych uprawnieniach. Skutki finansowe mogą być znaczące dla organizacji zatrudniających dużą liczbę pracowników, którzy wcześniej pracowali w niestandardowych formach zatrudnienia.

II. Zmiany w prawie podatkowym

1. Podwyższenie limitu zwolnienia z VAT

Data wejścia w życie: 1 stycznia 2026 r.

Próg zwolnienia podmiotowego z VAT dla małych przedsiębiorców na podstawie art. 113 ustawy o VAT wzrośnie z 200 000 zł do 240 000 zł rocznego obrotu. Ten 20% wzrost odzwierciedla korektę o inflację i jest zgodny z dyrektywą UE 2020/285, która zezwala państwom członkowskim na ustalanie progów zwolnień do 85 000 EUR (lub równowartości).

Przepisy przejściowe: Podatnicy, którzy przekroczyli próg 200 000 zł w 2025 r., ale pozostali poniżej 240 000 zł, mogą wybrać korzystanie ze zwolnienia od 1 stycznia 2026 r. Podatnicy dotychczas zarejestrowani jako czynni podatnicy VAT, których obrót obecnie spadłby poniżej nowego progu, mogą złożyć wniosek o wyrejestrowanie, z zastrzeżeniem standardowych wymogów proceduralnych.

Rozważania strategiczne: Choć podwyższony próg przynosi korzyści mikroprzedsiębiorcom poprzez zmniejszenie obciążeń compliance, przedsiębiorcy powinni dokładnie ocenić, czy zwolnienie z VAT pozostaje korzystne. Podmioty zwolnione z VAT nie mogą odliczać VAT naliczonego, co może być niekorzystne dla firm ponoszących znaczące koszty nakładów lub sprzedających głównie klientom zarejestrowanym jako podatnicy VAT, którzy mogą odliczyć VAT należny.

2. Obowiązkowy Krajowy System e-Faktur (KSeF)

Ramy regulacyjne

KSeF stanowi polską implementację obowiązkowego e-fakturowania B2B, pozycjonując Polskę wśród pierwszych państw członkowskich UE, które wprowadzają tak kompleksową cyfrową infrastrukturę fakturowania. System został ustanowiony na mocy ustawy z dnia 29 października 2021 r. o zmianie ustawy o podatku od towarów i usług oraz niektórych innych ustaw, z późniejszymi nowelizacjami doprecyzowującymi harmonogram wdrożenia i wymogi techniczne.

Etapowy harmonogram wdrożenia

  1. 1 lutego 2026 r.: Obowiązkowy dla dużych podatników z wartością sprzedaży przekraczającą 200 mln zł w roku podatkowym 2024. Podmioty te muszą wystawiać faktury ustrukturyzowane za pośrednictwem KSeF dla wszystkich transakcji B2B.
  2. 1 kwietnia 2026 r.: Obowiązkowy dla wszystkich pozostałych podatników VAT, w tym zarówno podatników czynnych, jak i zwolnionych. Ta faza obejmuje zdecydowaną większość polskich przedsiębiorców.
  3. 1 stycznia 2027 r.: Mikropodatnicy z miesięcznym obrotem nieprzekraczającym 10 000 zł muszą spełnić wymogi. Do tej daty takie podmioty mogą kontynuować wystawianie faktur poza KSeF.

Uwaga krytyczna: Obowiązek odbierania faktur za pośrednictwem KSeF ma zastosowanie do wszystkich podatników od 1 lutego 2026 r., niezależnie od tego, kiedy rozpoczyna się ich obowiązek wystawiania.

Architektura techniczna

KSeF funkcjonuje jako scentralizowana platforma rządowa do tworzenia, przesyłania, przechowywania i archiwizowania ustrukturyzowanych faktur elektronicznych. Kluczowe specyfikacje techniczne obejmują: faktury muszą być zgodne ze strukturą schematu XML FA(3) określoną w specyfikacjach Ministerstwa Finansów, każda faktura otrzymuje unikalny numer identyfikacyjny KSeF po przesłaniu, system zapewnia walidację danych faktury w czasie rzeczywistym względem informacji o zarejestrowanych podatnikach, faktury są przechowywane przez 10 lat od końca roku, w którym zostały wystawione, eliminując odrębne obowiązki archiwizacyjne dla podatników.

Korzyści operacyjne

Poza zgodnością KSeF oferuje wymierne korzyści operacyjne. Termin zwrotu VAT zostaje skrócony z 60 do 40 dni dla podatników korzystających wyłącznie z KSeF. Eliminowany jest obowiązek składania plików JPK_FA na żądanie. Widoczność faktur w czasie rzeczywistym usprawnia zarządzanie przepływami pieniężnymi i redukuje spory. Standaryzowany format ułatwia automatyczne przetwarzanie i integrację z systemami ERP.

Przepisy przejściowe (do 31 grudnia 2026 r.)

Przepisy przewidują ulgę przejściową w początkowym okresie wdrożenia. Faktury uproszczone dla transakcji nieprzekraczających 450 zł mogą być nadal wystawiane poza KSeF, do miesięcznego limitu łącznego 10 000 zł. Faktury wystawiane za pośrednictwem kas fiskalnych pozostają ważne. Wymóg umieszczania numerów identyfikacyjnych KSeF w przelewach zostaje odroczony do 2027 r. Kary za naruszenia związane z KSeF nie będą nakładane w okresie przejściowym, umożliwiając przedsiębiorcom adaptację bez konsekwencji karnych.

Przepisy awaryjne

System zawiera mechanizmy awaryjne na wypadek zakłóceń technicznych. Tryb 'Offline24′ umożliwia wystawianie faktur poza KSeF podczas niedostępności systemu, z obowiązkowym przesłaniem w ciągu 24 godzin od przywrócenia systemu. Ponadto przepisy regulują scenariusze przestojów KSeF oraz procedury awaryjne dla fakturowania o krytycznym znaczeniu biznesowym.

3. Estoński CIT – koniec pierwszego okresu rozliczeniowego

Kontekst i aktualny status

Polski ryczałt od dochodów spółek, potocznie zwany 'estońskim CIT’, został wprowadzony w 2021 r. i znacząco rozszerzony w 2022 r. Reżim ten pozwala kwalifikującym się spółkom na odroczenie podatku dochodowego od osób prawnych do momentu dystrybucji zysków do wspólników, zachęcając tym samym do reinwestycji.

31 grudnia 2025 r. oznacza zakończenie pierwszego czteroletniego okresu rozliczeniowego dla wielu wczesnych użytkowników. Spółki muszą ocenić, czy kontynuować stosowanie tego reżimu przez kolejny czteroletni okres, czy przejść na standardowe opodatkowanie CIT. Decyzja ta niesie istotne implikacje w zakresie planowania podatkowego.

Planowane zmiany (projekt UD116)

Ministerstwo Finansów zaproponowało zmiany w reżimie estońskiego CIT, które – choć nie weszły w życie od 1 stycznia 2026 r. z powodu opóźnień legislacyjnych – sygnalizują kierunek przyszłej polityki. Przedsiębiorcy powinni przewidywać wejście w życie następujących zmian w 2026 r. lub na początku 2027 r.

Rozszerzona definicja ukrytych zysków: Proponowane zmiany znacząco poszerzają katalog transakcji traktowanych jako 'ukryte zyski’, w tym płatności czynszowe na rzecz wspólników, opłaty licencyjne za znaki towarowe, wynagrodzenia za usługi doradcze oraz pożyczki między podmiotami powiązanymi. Pozycje te powodują natychmiastowe opodatkowanie nawet w przypadku braku formalnej dystrybucji zysków.

Domniemanie dotyczące dystrybucji po wyjściu: Zastosowanie miałoby wzruszalne domniemanie, że dystrybucje dokonane po wyjściu z estońskiego CIT pochodzą z zysków zgromadzonych w okresie opodatkowania ryczałtem, przy czym ciężar dowodu przeciwnego spoczywa na podatniku.

Skodyfikowane wydatki niezwiązane z działalnością: Nowelizacja miałaby wprowadzić ustawową definicję 'wydatków niezwiązanych z działalnością gospodarczą’, rozstrzygając spory interpretacyjne powstałe na gruncie obecnych przepisów.

Złagodzone wymogi formalne: Jako przeciwwaga, propozycje złagodziłyby niektóre wymogi proceduralne, takie jak wyeliminowanie utraty prawa do estońskiego CIT z powodu niedociągnięć technicznych w sporządzaniu sprawozdań finansowych.

4. Fundacje rodzinne – niepewność legislacyjna

Reżim fundacji rodzinnej, wprowadzony w maju 2023 r., był przedmiotem proponowanych zmian pod koniec 2025 r., które zostały zawetowane przez Prezydenta RP z przyczyn proceduralnych. Weto powoływało się na naruszenie trzyletniej gwarancji stabilności towarzyszącej uchwaleniu pierwotnej ustawy.

Proponowane zmiany (obecnie zawieszone): Projekt nowelizacji miał wprowadzić 36-miesięczny wymóg okresu posiadania aktywów wniesionych do fundacji lub przez nią nabytych przed zbyciem, aby mogły kwalifikować się do traktowania zwolnionego z podatku. Przychody z najmu krótkoterminowego miały być klasyfikowane jako działalność gospodarcza podlegająca 25% CIT zamiast dochodu zwolnionego. Fundacje miały zostać objęte zakresem przepisów o zagranicznych spółkach kontrolowanych (CFC) w określonych okolicznościach.

Dalszy los legislacyjny tych propozycji pozostaje niepewny. Sejm może podjąć próbę odrzucenia weta lub rząd może wprowadzić zmienione ustawodawstwo uwzględniające zastrzeżenia proceduralne. Inwestorzy korzystający lub rozważający struktury fundacji rodzinnych powinni ściśle monitorować rozwój sytuacji legislacyjnej.

 

III. Infrastruktura cyfrowa i regulacja technologii

1. Obowiązkowy system e-Doręczeń

Data wejścia w życie: 

System e-Doręczeń stanowi polską implementację wymogów rozporządzenia UE 910/2014 (eIDAS) dotyczących kwalifikowanych usług rejestrowanego doręczenia elektronicznego. Od 1 stycznia 2026 r. wszystkie podmioty wpisane do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG) oraz Krajowego Rejestru Sądowego (KRS) muszą posiadać adres do doręczeń elektronicznych umożliwiający odbieranie oficjalnej korespondencji od organów publicznych.

Termin wdrożenia e-Doręczeń

Termin na wdrożenie e-Doręczeń, zależy od daty rejestracji firmy w CEIDG albo w KRS:

  • firmy, które rejestrowały działalność w CEIDG albo w KRS od 1 stycznia 2025 roku, zakładają skrzynki do e-Doręczeń podczas rejestracji
  • firmy, które zarejestrowały działalność w CEIDG przed 1 stycznia 2025 roku, muszą mieć adres do e- Doręczeń od 1 października 2026 roku
  • firmy, które zarejestrowały działalność w KRS przed 1 stycznia 2025 roku, muszą mieć adres do e-Doręczeń od 1 kwietnia 2025 roku.

Uwaga! Przedstawiciele zawodów zaufania publicznego, mają obowiązek posługiwania się e-Doręczeniami od 1 stycznia 2025 roku.

Zakres funkcjonalny

System e-Doręczeń zapewnia prawnie równoważną usługę listu poleconego za potwierdzeniem odbioru. Cała oficjalna korespondencja administracyjna, w tym komunikaty organów podatkowych, powiadomienia z ZUS, dokumenty sądowe i korespondencja agencji regulacyjnych, będzie przesyłana elektronicznie. System zapewnia opatrzone znacznikiem czasowym dowody wysłania i odbioru, ustanawiając prawnie wiążące potwierdzenie doręczenia.

Wymogi compliance

Przedsiębiorcy muszą zarejestrować się na adres do e-Doręczeń za pośrednictwem platformy rządowej (administrowanej przez Pocztę Polską lub kwalifikowanych dostawców usług zaufania), wyznaczyć odpowiedzialny personel do monitorowania i odpowiadania na oficjalną korespondencję, zintegrować zarządzanie e-Doręczeniami z procesami compliance oraz zapewnić procedury zastępcze na wypadek nieobecności personelu lub problemów z dostępem do systemu. Brak ważnego adresu do e-Doręczeń może skutkować uznaniem doręczenia za skuteczne pomimo nieodebrania, z istotnymi konsekwencjami proceduralnymi.

2. Dyrektywa NIS2 – rozszerzone obowiązki cyberbezpieczeństwa

Kontekst regulacyjny

Dyrektywa (UE) 2022/2555 (NIS2) uchyla i zastępuje pierwotną dyrektywę w sprawie bezpieczeństwa sieci i informacji, znacząco rozszerzając zarówno zakres objętych podmiotów, jak i głębokość wymaganych środków bezpieczeństwa. Państwa członkowskie były zobowiązane do transpozycji NIS2 do 17 października 2024 r.; Polska nie ukończyła jeszcze transpozycji, choć projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa przeszedł przez Radę Ministrów w listopadzie 2025 r. i jest procedowany w Sejmie.

Zakres zastosowania

NIS2 ma zastosowanie do podmiotów działających w 18 określonych sektorach, sklasyfikowanych jako 'podmioty kluczowe’ lub 'podmioty ważne’. Sektory kluczowe obejmują: energetykę (energia elektryczna, ropa naftowa, gaz, wodór, ciepłownictwo), transport (lotniczy, kolejowy, wodny, drogowy), bankowość i infrastrukturę rynków finansowych, sektor zdrowia (świadczeniodawcy, laboratoria, badania medyczne, farmaceutyki, wyroby medyczne), zaopatrzenie w wodę pitną i jej dystrybucję, gospodarkę ściekową, infrastrukturę cyfrową (punkty wymiany ruchu internetowego, usługi DNS, rejestry TLD, przetwarzanie w chmurze, centra danych, sieci dostarczania treści, dostawców usług zaufania, łączność elektroniczną), zarządzanie usługami ICT (dostawców usług zarządzanych, dostawców zarządzanych usług bezpieczeństwa) oraz administrację publiczną (podmioty administracji centralnej). Sektory ważne obejmują: usługi pocztowe i kurierskie, gospodarkę odpadami, produkcję chemikaliów, produkcję i dystrybucję żywności, przemysł wytwórczy (wyroby medyczne, komputery, elektronikę, maszyny, pojazdy silnikowe), dostawców usług cyfrowych (platformy handlowe online, wyszukiwarki, platformy społecznościowe) oraz organizacje badawcze.

Progi wielkości

NIS2 zasadniczo ma zastosowanie do średnich i większych przedsiębiorstw, zdefiniowanych jako podmioty zatrudniające 50 lub więcej pracowników lub z rocznym obrotem i/lub roczną sumą bilansową przekraczającą 10 mln EUR. Jednakże niektórzy operatorzy infrastruktury krytycznej wchodzą w zakres stosowania niezależnie od wielkości.

Podstawowe obowiązki

Środki zarządzania ryzykiem: Podmioty muszą wdrożyć odpowiednie środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykami dla bezpieczeństwa sieci i informacji. Środki te muszą obejmować: polityki dotyczące analizy ryzyka i bezpieczeństwa systemów informatycznych, procedury obsługi incydentów, ciągłość działania i zarządzanie kryzysowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu sieci i systemów informatycznych, obsługę i ujawnianie podatności, polityki dotyczące kryptografii i szyfrowania, bezpieczeństwo zasobów ludzkich i polityki kontroli dostępu oraz uwierzytelnianie wieloskładnikowe i ciągły monitoring.

Zgłaszanie incydentów: Podmioty muszą zgłaszać znaczące incydenty do właściwego CSIRT (Computer Security Incident Response Team) zgodnie z etapowym harmonogramem:

  • wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy o znaczącym incydencie,
  • powiadomienie o incydencie w ciągu 72 godzin z wstępną oceną oraz
  • raport końcowy w ciągu miesiąca zawierający szczegółowy opis, ocenę skutków i środki naprawcze.

Odpowiedzialność organów zarządzających: Członkowie organów zarządzających ponoszą osobistą odpowiedzialność za zapewnienie zgodności ze środkami zarządzania ryzykiem cyberbezpieczeństwa. Kierownictwo musi zatwierdzać i nadzorować wdrażanie środków cyberbezpieczeństwa oraz przechodzić odpowiednie szkolenia.

Sankcje

Polski projekt implementacji przewiduje kary administracyjne do 100 mln zł lub 2% całkowitego światowego rocznego obrotu. Podmioty kluczowe mogą podlegać maksymalnym karom 10 mln EUR lub 2% obrotu, podczas gdy podmioty ważne – do 7 mln EUR lub 1,4% obrotu. Ponadto organy nadzorcze mogą nakładać ograniczenia operacyjne, wymagać konkretnych działań naprawczych lub w skrajnych przypadkach tymczasowo zawiesić usługi bądź zakazać członkom organów zarządzających pełnienia funkcji zarządczych.

3. Rozporządzenie UE o sztucznej inteligencji (AI Act)

Ramy regulacyjne

Rozporządzenie (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji (AI Act) wprowadza pierwsze na świecie kompleksowe ramy regulacyjne dla systemów AI. Jako rozporządzenie UE stosuje się bezpośrednio we wszystkich państwach członkowskich bez konieczności transpozycji krajowej. AI Act wszedł w życie 1 sierpnia 2024 r., a poszczególne przepisy stają się stosowane etapowo.

Etapowy harmonogram wdrożenia

  1. 2 lutego 2025 r.: Zakaz systemów AI stanowiących niedopuszczalne ryzyko (w tym scoring społeczny, niektóre systemy kategoryzacji biometrycznej, rozpoznawanie emocji w miejscach pracy/edukacji oraz manipulacyjne techniki AI). Wchodzą również w życie wymogi dotyczące umiejętności w zakresie AI dla dostawców i podmiotów wdrażających.
  2. 2 sierpnia 2025 r.: Obowiązki dla modeli AI ogólnego przeznaczenia (GPAI), w tym wymogi dokumentacyjne, obowiązki przejrzystości oraz wzmocnione wymogi dla modeli o ryzyku systemowym. Struktury zarządzania i ramy sankcji stają się operacyjne.
  3. 2 sierpnia 2026 r.: Pełne stosowanie wymogów dla systemów AI wysokiego ryzyka. Jest to najistotniejszy termin compliance dla większości przedsiębiorców.
  4. 2 sierpnia 2027 r.: Wydłużony termin dla systemów AI wysokiego ryzyka będących elementami bezpieczeństwa produktów objętych szczególnymi unijnymi przepisami harmonizacyjnymi (np. wyroby medyczne, maszyny, pojazdy).

System klasyfikacji oparty na ryzyku

AI Act stosuje podejście oparte na ryzyku, kategoryzując systemy AI na cztery poziomy: ryzyko niedopuszczalne (zakazane), wysokie ryzyko (podlegające rygorystycznym wymogom), ograniczone ryzyko (obowiązki przejrzystości) oraz minimalne ryzyko (nieuregulowane poza dobrowolnymi kodeksami).

Systemy AI wysokiego ryzyka – compliance do 2 sierpnia 2026 r.

Termin 2 sierpnia 2026 r. dotyczy przede wszystkim systemów AI wysokiego ryzyka, które obejmują: systemy AI stosowane jako elementy bezpieczeństwa produktów objętych unijnymi przepisami harmonizacyjnymi wymagającymi oceny zgodności przez stronę trzecią, systemy identyfikacji i kategoryzacji biometrycznej, systemy AI do zarządzania infrastrukturą krytyczną (ruch drogowy, woda, gaz, ogrzewanie, energia elektryczna), systemy AI w edukacji (przyjęcia, oceny, monitoring), systemy AI w zatrudnieniu (rekrutacja, selekcja, ocena wyników, decyzje o awansach i zwolnieniach), dostęp do usług kluczowych (scoring kredytowy, ocena ryzyka ubezpieczeniowego, dyspozytor służb ratunkowych), systemy AI w egzekwowaniu prawa i kontroli granicznej, systemy AI w migracji i azylu (przetwarzanie wiz, ocena wniosków) oraz systemy AI we wymiarze sprawiedliwości (narzędzia badawcze prawne, wsparcie decyzji sądowych).

Wymogi dla systemów wysokiego ryzyka

Dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka muszą wdrożyć kompleksowe ramy compliance. Dostawcy (wprowadzający AI na rynek) muszą:

  • ustanowić systemy zarządzania ryzykiem z ciągłym monitoringiem,
  • zapewnić zarządzanie danymi dla zbiorów danych szkoleniowych,
  • przygotować szczegółową dokumentację techniczną,
  • wdrożyć mechanizmy logowania dla identyfikowalności,
  • zapewnić czytelne instrukcje użytkownika,
  • umożliwić nadzór człowieka oraz
  • zapewnić dokładność, solidność i cyberbezpieczeństwo.

Przed wprowadzeniem na rynek systemy wysokiego ryzyka muszą przejść ocenę zgodności (samoocenę lub przez stronę trzecią w zależności od kategorii), nosić oznakowanie CE i być zarejestrowane w unijnej bazie danych.

Podmioty wdrażające (korzystające z systemów AI pod własnym nadzorem) muszą: używać systemów zgodnie z instrukcjami, wdrożyć środki nadzoru człowieka, monitorować działanie pod kątem ryzyk, prowadzić rejestry i informować pracowników o wykorzystaniu AI w decyzjach HR oraz przeprowadzać oceny wpływu na prawa podstawowe (w przypadku niektórych podmiotów wdrażających, takich jak podmioty publiczne).

Polskie środki implementacyjne

Polska tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako główny organ nadzoru rynku w zakresie zgodności z AI Act. Projekt ustawy implementacyjnej przewiduje również: piaskownice regulacyjne umożliwiające kontrolowane testowanie innowacyjnych systemów AI, mechanizm opinii wiążących dla wytycznych regulacyjnych oraz koordynację z istniejącymi regulatorami sektorowymi.

Środki wsparcia dla MŚP

AI Act zawiera szczególne przepisy wspierające małe i średnie przedsiębiorstwa, w tym: preferencyjne struktury opłat za oceny zgodności, priorytetowy dostęp do piaskownic regulacyjnych, proporcjonalne kalkulacje kar w zależności od wielkości przedsiębiorstwa oraz materiały informacyjne dostosowane do potrzeb MŚP. Przepisy te mają na celu zapobieganie nieproporcjonalnemu obciążeniu mniejszych innowatorów.

 

 

IV. Prawo własności intelektualnej

1. Modernizacja ochrony wzorów przemysłowych

Ramy legislacyjne

UE przeprowadziła kompleksową reformę ochrony wzorów przemysłowych za pośrednictwem dwóch komplementarnych instrumentów: Rozporządzenia (UE) 2024/2822 zmieniającego rozporządzenie w sprawie wzorów wspólnotowych, którego przepisy pierwszej fazy stosuje się od 1 maja 2025 r., a drugiej fazy od 1 lipca 2026 r., oraz Dyrektywy (UE) 2024/2823 w sprawie prawnej ochrony wzorów (przekształcającej dyrektywę 98/71/WE), z terminem implementacji przez państwa członkowskie do 9 grudnia 2027 r. Reformy te stanowią najistotniejszą aktualizację unijnego prawa wzorów od ponad dwóch dekad.

Kluczowe zmiany merytoryczne

  1. Rozszerzony zakres ochrony: Zreformowana definicja 'wzoru’ wyraźnie obejmuje produkty cyfrowe i niefizyczne, w tym graficzne interfejsy użytkownika, animacje, elementy projektowania stron internetowych, ikony i symbole w formie elektronicznej, kroje pisma typograficznego oraz wzory istniejące wyłącznie w środowiskach wirtualnych lub przeznaczone do druku 3D.
  2. Zharmonizowana klauzula naprawy: Wprowadzenie obowiązkowej klauzuli naprawy zezwala stronom trzecim na produkcję, sprzedaż i używanie części zamiennych do celów naprawczych bez naruszania praw z wzorów obejmujących komponenty 'must-match’. Przepis ten harmonizuje obszar, w którym prawa państw członkowskich znacząco się różniły.
  3. Uproszczone zgłoszenia wielowzorowe: Pojedyncze zgłoszenia mogą teraz obejmować do 50 wzorów (wzrost z poprzednich limitów), niezależnie od klasy produktów. To znacząco redukuje koszty zgłoszeń i obciążenia administracyjne dla branż intensywnie korzystających z wzorów.
  4. Modyfikacja struktury opłat: Początkowe opłaty rejestracyjne i za wczesne przedłużenie są obniżone, przy wyższych opłatach za późniejsze okresy przedłużenia. Struktura ta zachęca do racjonalizacji portfeli wzorów, jednocześnie redukując bariery dla początkowej ochrony.
  5. Wzmocnione egzekwowanie: Ochrona rozciąga się na towary w tranzycie przez UE, a uprawnieni z wzorów uzyskują wzmocnione narzędzia przeciwko podrabianiu. Nowy symbol rejestracji (litera D w okręgu) zapewnia wyraźne oznaczenie statusu ochrony.
  6. Wzory pracownicze: Wzory stworzone przez pracowników w toku zatrudnienia należą do pracodawcy, chyba że umowa stanowi inaczej, zapewniając domyślną jasność w tej często spornej kwestii.

Implikacje strategiczne

Przedsiębiorcy powinni dokonać przeglądu istniejących portfeli wzorów pod kątem możliwości wykorzystania nowego zakresu ochrony, ocenić strategie dotyczące części zamiennych i komponentów w świetle klauzuli naprawy, zaktualizować umowy o pracę i polityki IP dotyczące wzorów tworzonych przez pracowników oraz rozważyć timing nowych zgłoszeń wzorów w kontekście zmian struktury opłat.

V. Reżim kontroli przedsiębiorców i deregulacja

1. System kontroli oparty na analizie ryzyka

Data wejścia w życie: 1 stycznia 2026 r.

Ustawa deregulacyjna wprowadza fundamentalne zmiany w sposobie planowania i przeprowadzania kontroli regulacyjnych. Reforma ma na celu zastąpienie arbitralnych schematów kontroli systematycznym podejściem opartym na ryzyku, koncentrującym zasoby organów egzekwowania na podmiotach o podwyższonym ryzyku nieprzestrzegania przepisów, przy jednoczesnym zmniejszeniu obciążeń dla przedsiębiorców o dobrej historii compliance.

System kategoryzacji ryzyka

Przedsiębiorcy zostaną przypisani do jednej z trzech kategorii ryzyka: niskiego, średniego lub wysokiego. Kategoryzacja będzie oparta na okresowej analizie uwzględniającej czynniki takie jak:

  • historia zgodności,
  • sektorowe profile ryzyka,
  • wzorce skarg oraz
  • inne obiektywne wskaźniki.

Proces kategoryzacji będzie dokumentowany i podlegał kontroli administracyjnej.

Implikacje operacyjne

Częstotliwość i intensywność kontroli będą skorelowane z kategoryzacją ryzyka, przy czym podmioty niskiego ryzyka będą podlegać rzadszym kontrolom rutynowym. Organy kontrolne muszą opracowywać i publikować okresowe plany kontroli oparte na analizie ryzyka. Reforma ma na celu zwiększenie przewidywalności przy zachowaniu skutecznego nadzoru nad działalnościami wysokiego ryzyka.

2. Priorytety egzekwowania UODO w 2026 roku

Prezes Urzędu Ochrony Danych Osobowych (PUODO) publikuje roczne plany kontroli sektorowych określające priorytetowe obszary egzekwowania. Plan na 2026 r. zostanie opublikowany na początku stycznia 2026 r.

Na podstawie priorytetów z 2025 r. oraz bieżących tendencji egzekwowania następujące obszary wymagają wzmożonej uwagi:

  • bezpieczeństwo danych w sektorze ochrony zdrowia, w szczególności systemy elektronicznej dokumentacji medycznej i platformy telemedyczne,
  • przetwarzanie danych osobowych dzieci, w tym przetwarzanie wizerunku, mechanizmy zgody i weryfikacja wieku,
  • przetwarzanie danych w wielkoskalowych systemach UE (SIS II, VIS, Eurodac) przez upoważnione podmioty krajowe oraz
  • bezpieczeństwo aplikacji internetowych i środki zapobiegania naruszeniom danych.

UODO staje się coraz bardziej aktywny w nakładaniu znaczących kar administracyjnych, z niedawnymi sankcjami sięgającymi milionów złotych za poważne naruszenia RODO. Organizacje powinny zapewnić, że ich programy zgodności z ochroną danych uwzględniają bieżące priorytety egzekwowania.

3. Uproszczenie prawa spółek handlowych

Data wejścia w życie: 1 stycznia 2026 r.

Nowelizacja Kodeksu spółek handlowych redukuje formalności administracyjne dla spółek kapitałowych. Kluczowe zmiany obejmują: wyeliminowanie niektórych wymogów składania dokumentów w sądach rejestrowych, uproszczone procedury podejmowania uchwał przez wspólników i organy zarządzające oraz usprawnione wymogi dotyczące dokumentacji korporacyjnej. Zmiany te mają na celu redukcję kosztów compliance przy zachowaniu integralności ładu korporacyjnego.

4. Podwyższony limit działalności nierejestrowej

Data wejścia w życie: 1 stycznia 2026 r.

Próg prowadzenia działalności gospodarczej bez rejestracji (działalność nieewidencjonowana) zgodnie z art. 5 ustawy Prawo przedsiębiorców wzrasta do 225% minimalnego wynagrodzenia obliczanego kwartalnie. Przy płacy minimalnej w 2026 r. na poziomie 4 806 zł przekłada się to na około 10 813 zł na kwartał. Warto zauważyć, że kwota ta może być zarobiona nierównomiernie w ramach kwartału, w tym w całości w ciągu jednego miesiąca, pod warunkiem nieprzekroczenia kwartalnego limitu. Zwolnienie pozostaje niedostępne dla osób, które prowadziły zarejestrowaną działalność gospodarczą w ciągu ostatnich 60 miesięcy.

VI. Pozostałe istotne zmiany regulacyjne

1. Korekta progów zamówień publicznych

Od 1 stycznia 2026 r. próg obowiązkowego stosowania ustawy Prawo zamówień publicznych wzrasta ze 130 000 zł do 170 000 zł wartości netto. Zamówienia poniżej tego progu mogą być udzielane w uproszczonych procedurach. Dodatkowo od lipca 2026 r. zostanie wprowadzony dobrowolny system certyfikacji wykonawców, umożliwiający prekwalifikowanym wykonawcom uczestnictwo w przetargach ze zmniejszonymi wymogami dokumentacyjnymi.

2. Rozszerzenie systemu SENT

Od 17 marca 2026 r. system monitorowania przewozu towarów (SENT) zostanie rozszerzony na odzież, dodatki odzieżowe i obuwie, gdy przesyłka przekracza 10 kg lub 20 sztuk. Rozszerzenie to odpowiada na zidentyfikowane ryzyka oszustw VAT w sektorze tekstylnym i odzieżowym. Dotknięci przedsiębiorcy muszą rejestrować przewozy w systemie PUESC i przestrzegać ustalonych protokołów monitorowania.

3. Termin planów ogólnych gmin

Gminy mają termin do 30 czerwca 2026 r. na uchwalenie 'planów ogólnych’ zastępujących dotychczasowe 'studia uwarunkowań i kierunków zagospodarowania przestrzennego’. Od 1 lipca 2026 r. decyzje o warunkach zabudowy mogą być wydawane wyłącznie dla obszarów wyznaczonych jako 'obszary uzupełnienia zabudowy’. Zmiana ta istotnie wpływa na planowanie inwestycji deweloperskich i wymaga wczesnego zaangażowania w procesy planistyczne gmin.

 

Strategiczne rekomendacje compliance

Zmiany regulacyjne przedstawione w niniejszej analizie wymagają skoordynowanych, proaktywnych działań ze strony przedsiębiorców działających w Polsce. Rekomendujemy następujące priorytetowe działania:

Priorytety natychmiastowe (I kwartał 2026)

  1. Wdrożenie KSeF: Ukończenie integracji technicznej z Krajowym Systemem e-Faktur. Przetestowanie procedur wystawiania i odbierania faktur. Przeszkolenie personelu księgowego i finansowego. Ustanowienie procedur awaryjnych na wypadek niedostępności systemu.
  2. Rejestracja e-Doręczeń: Rejestracja adresu do doręczeń elektronicznych przed 1 stycznia 2026 r. Wyznaczenie odpowiedzialnego personelu i ustanowienie procedur monitorowania.
  3. Wdrożenie przejrzystości wynagrodzeń: Przepisy już częściowo obowiązują od 24 grudnia 2025 r. Natychmiastowe przeprowadzenie audytu równości płac. Aktualizacja szablonów ogłoszeń o pracę i procedur rekrutacyjnych. Wdrożenie systemu zbierania i raportowania danych płacowych.

Priorytety średnioterminowe (II-III kwartał 2026)

  1. Ocena zgodności z NIS2: Ustalenie, czy organizacja wchodzi w zakres NIS2. Przeprowadzenie analizy luk względem wymaganych środków bezpieczeństwa. Opracowanie procedur reagowania na incydenty i raportowania. Uwzględnienie wymogów odpowiedzialności kierownictwa.
  2. Inwentaryzacja systemów AI: Skatalogowanie wszystkich wdrożonych lub rozwijanych systemów AI. Sklasyfikowanie systemów według kategorii ryzyka AI Act. Rozpoczęcie planowania zgodności dla systemów wysokiego ryzyka przed terminem sierpniowym 2026.
  3. Przegląd estońskiego CIT: Dla spółek obecnie objętych estońskim CIT – ocena kontynuacji lub wyjścia w świetle proponowanych zmian i okoliczności biznesowych.

Bieżący monitoring

  • Śledzenie postępu legislacyjnego oczekujących reform (nowelizacja estońskiego CIT, fundacje rodzinne, transpozycja NIS2)
  • Monitorowanie priorytetów egzekwowania UODO i zmian w ochronie danych
  • Współpraca ze stowarzyszeniami branżowymi i doradcami profesjonalnymi w zakresie wytycznych implementacyjnych
  • Ocena zmian w planowaniu przestrzennym gmin wpływających na inwestycje w nieruchomości

Podsumowanie

Krajobraz regulacyjny 2026 r. prezentuje zarówno wyzwania, jak i możliwości dla przedsiębiorców w Polsce. Podczas gdy obowiązki compliance znacząco rosną – szczególnie w obszarach cyfryzacji, cyberbezpieczeństwa i przejrzystości – reformy oferują również korzyści poprzez uproszczone procedury, zwiększoną pewność prawną i zmodernizowane ramy dostosowane do współczesnych operacji biznesowych. Organizacje, które podejdą do tych zmian proaktywnie, z odpowiednim planowaniem i alokacją zasobów, będą najlepiej przygotowane do poruszania się w zmieniającym się środowisku regulacyjnym, utrzymując jednocześnie przewagę konkurencyjną.

 

Krajowy System e-Faktur (KSeF) – przewodnik na 2026 rok

Posted on by kancelaria

Krajowy System e-Faktur to najbardziej znacząca zmiana w polskim fakturowaniu od lat. Po wielokrotnych przesunięciach terminów, sprawa jest już przesądzona – 27 sierpnia 2025 r. Prezydent Karol Nawrocki podpisał ustawę wdrażającą KSeF. Ministerstwo Finansów potwierdziło 11 grudnia 2025 r., że nie rozważa przesunięcia terminu obowiązkowego uruchomienia KSeF.

Do wejścia obowiązku pozostał nieco ponad miesiąc – to ostatni moment na przygotowania.

Czym jest KSeF?

Krajowy System e-Faktur to platforma teleinformatyczna prowadzona przez Ministerstwo Finansów, służąca do wystawiania, odbierania i przechowywania faktur ustrukturyzowanych w jednolitym formacie XML. W praktyce oznacza to, że zamiast wysyłać fakturę e-mailem czy pocztą, przedsiębiorca wystawia ją w systemie KSeF, skąd nabywca może ją pobrać. Jednocześnie faktura automatycznie trafia do administracji skarbowej.

Faktura ustrukturyzowana różni się od tradycyjnych faktur papierowych czy PDF-ów tym, że ma z góry określoną strukturę, dzięki czemu dane są spójne i możliwe do automatycznego przetwarzania przez systemy księgowe. To koniec faktur na papierze, w PDF-ie, Wordzie czy Excelu – w ich miejsce pojawia się jednolity, ustrukturyzowany plik XML z numerem KSeF.

Terminy wdrożenia – harmonogram 2026

System wchodzi etapowo:

  • 1 lutego 2026 r. – obowiązek dla dużych podmiotów (obroty w 2024 r. powyżej 200 mln zł brutto)
  • 1 kwietnia 2026 r. – obowiązek dla wszystkich pozostałych przedsiębiorców (mikro, małe i średnie firmy)
  • 1 stycznia 2027 r. – obowiązek dla najmniejszych podatników (wartość sprzedaży do 10 tys. zł brutto miesięcznie)

UWAGA: Kluczowa w wyznaczeniu terminu jest wartość sprzedaży brutto osiągnięta w 2024 r., a nie w 2025 r. Podatnicy już teraz mogą dokładnie określić, od kiedy będą musieli stosować nowy obowiązek.

Obowiązek odbierania e-faktur w KSeF będzie dotyczył wszystkich przedsiębiorców już od lutego 2026 roku. Nawet jeśli dany przedsiębiorca nie musi jeszcze wystawiać faktur w systemie, będzie musiał je w nim odbierać – dotyczy to np. faktur za prąd, telekomunikację czy paliwo od dużych dostawców.

Rozporządzenia wykonawcze – grudzień 2025

Minister Finansów i Gospodarki podpisał w grudniu 2025 r. cztery rozporządzenia wykonawcze dotyczące funkcjonowania KSeF:

  • Rozporządzenie w sprawie korzystania z KSeF (z 12 grudnia 2025 r.) – określa zasady korzystania z systemu, w tym wzór zawiadomienia ZAW-FA, metody uwierzytelniania użytkowników oraz procedury nadawania i odbierania uprawnień
  • Rozporządzenie w sprawie wyłączeń z KSeF (z 7 grudnia 2025 r.) – określa przypadki, w których nie ma obowiązku wystawiania faktur ustrukturyzowanych
  • Rozporządzenie zmieniające w sprawie wystawiania faktur (z 7 grudnia 2025 r.) – dostosowuje zasady wystawiania faktur uproszczonych
  • Nowelizacja rozporządzenia ws. JPK_VAT (z 12 grudnia 2025 r.) – weszła w życie 18 grudnia 2025 r., dotyczy okresów rozliczeniowych od 1 lutego 2026 r.

Nowe oznaczenia w JPK_VAT od lutego 2026

W ewidencji sprzedaży i zakupu JPK_VAT pojawią się nowe oznaczenia w węźle KSeF:

  • OFF – faktura wystawiona w trybie offline, która nie posiada jeszcze numeru KSeF na dzień złożenia ewidencji
  • BFK – faktura elektroniczna lub faktura w postaci papierowej (wystawiona poza KSeF)
  • DI – dowód inny niż faktura wystawiona za pośrednictwem KSeF

Obowiązek podawania numeru KSeF w JPK_VAT będzie dotyczył faktur wystawionych w KSeF bez względu na tryb ich wystawiania i przesyłania (offline 24, awaria, niedostępność systemu).

Kogo obejmie obowiązek?

Z KSeF korzystać będą musieli wszyscy podatnicy VAT wystawiający faktury w obrocie B2B, w tym:

  • Podatnicy VAT czynni i zwolnieni z VAT (jeśli wystawiają faktury)
  • Podmioty zagraniczne zarejestrowane jako podatnicy VAT w Polsce
  • Firmy każdej wielkości – od jednoosobowych działalności po korporacje

Wyłączenia: Sprzedaż konsumencka (B2C) – fakturowanie przez KSeF pozostaje dobrowolne, uproszczone. Niektóre usługi zwolnione od VAT również mogą być fakturowane poza systemem.

Kluczowe daty – co już się wydarzyło

  • Od 1 listopada 2025 r. – przedsiębiorcy mogą występować o certyfikaty wystawcy faktury (certyfikaty KSeF), niezbędne do uwierzytelnienia w systemie oraz do wystawiania e-faktur w trybie offline
  • Od listopada 2025 r. – dostępna testowa wersja Aplikacji Podatnika KSeF 2.0 (faktury wystawione w środowisku testowym nie wywołują skutków prawnych)
  • Od 1 stycznia 2026 r. – w e-Urzędzie Skarbowym rusza moduł zgłoszeń umożliwiający deklarowanie chęci wystawiania faktur z załącznikami
  • 18 grudnia 2025 r. – weszło w życie rozporządzenie dostosowujące JPK_VAT do KSeF

Korzyści z KSeF

  • Szybszy zwrot VAT – 40 dni zamiast standardowych 60 dni, co poprawi płynność finansową przedsiębiorców
  • Brak obowiązku archiwizacji – system przejmuje obowiązek przechowywania e-faktur
  • Eliminacja duplikatów – w KSeF faktura nie zaginie, nie trzeba wystawiać duplikatów
  • Automatyzacja procesów – możliwość automatycznego importowania danych z dokumentów zakupowych do systemów finansowo-księgowych
  • Mniejsze ryzyko błędów – ustrukturyzowany format ogranicza pomyłki przy przetwarzaniu faktur

Sankcje za niedopełnienie obowiązków

Za niedopełnienie obowiązków (np. niewystawienie faktury w KSeF, wystawienie jej z pominięciem systemu lub nieprzesłanie w terminie po awarii) naczelnik urzędu skarbowego będzie mógł nałożyć karę pieniężną:

  • Do 100% kwoty podatku wykazanego na fakturze
  • Do 18,7% kwoty należności ogółem – w przypadku faktur bez wykazanego podatku

Wprowadzenie sankcji jest jednak odroczone – w pierwszym okresie funkcjonowania systemu administracja skarbowa ma prowadzić działania edukacyjne wspierające podatników.

Jak się przygotować? Checklist na ostatni miesiąc

  • Dokonaj identyfikacji w aplikacji podatnika KSeF – załóż konto i zweryfikuj tożsamość
  • Pobierz certyfikat wystawcy faktury – niezbędny do wystawiania faktur w trybie offline i na wypadek awarii systemu
  • Zintegruj program fakturowo-księgowy z KSeF – skontaktuj się z dostawcą oprogramowania i przetestuj integrację
  • Ustal uprawnienia do korzystania z KSeF – określ, kto w firmie będzie mógł wystawiać i odbierać faktury
  • Przeszkol pracowników – zapoznaj zespół z nowym procesem fakturowania
  • Opracuj procedury awaryjne – przygotuj się na wystawianie faktur w trybie offline w przypadku niedostępności systemu
  • Przetestuj system – wykorzystaj środowisko testowe KSeF 2.0, aby sprawdzić procesy przed wejściem obowiązku

Podsumowanie

KSeF to rewolucja w polskim fakturowaniu, która dotknie praktycznie wszystkich przedsiębiorców. Choć nie jest to nowy podatek, jego wpływ na codzienne funkcjonowanie firm będzie porównywalny z dużymi reformami podatkowymi. Termin jest ostateczny – Ministerstwo Finansów wyraźnie potwierdziło, że nie planuje kolejnych przesunięć.

Dla biur rachunkowych kluczowe będzie wczesne przetestowanie integracji z systemami klientów, ustalenie procedur na wypadek awarii oraz przeszkolenie pracowników. Warto rozpocząć przygotowania natychmiast – pozostał już tylko miesiąc do wejścia pierwszego etapu obowiązku.