Kradzież firmowych danych oraz know-how przedsiębiorstwa nie jest nowym zjawiskiem. Czy praca hybrydowa wpłynęła na jego zwiększenie? Co stanowi ustawa o zwalczaniu nieuczciwej konkurencji w tej kwestii? Jakimi narzędziami dysponują przedsiębiorcy oraz co powinni zrobić, po wykryciu naruszenia tajemnicy przedsiębiorstwa? Zapraszamy do zapoznania się z komentarzem eksperckim radcy prawnego Wojciecha Országha.
Naruszenie tajemnicy przedsiębiorstwa, a zabezpieczenia [Ustawa o zwalczaniu nieuczciwej konkurencji]
Kradzież firmowych danych to nie jest nowe zjawisko, ale czy to tylko kwestia upowszechnienia się pracy hybrydowej? Dzisiejsze systemy CRM i chmura sprawiają, że eksport całej bazy klientów to często zaledwie kilka kliknięć. Czy technologia po prostu wyprzedziła nasze procedury bezpieczeństwa, czy firmy dają pracownikom zbyt duże, niekontrolowane uprawnienia?
Wojciech Országh: Problem istniał na pewno dużo wcześniej. Sama ustawa o zwalczaniu nieuczciwej konkurencji pochodzi z 1993 r. i od początku opisuje ona ujawnienie, wykorzystanie lub pozyskanie cudzych informacji stanowiących tajemnicę przedsiębiorstwa jako czyn nieuczciwej konkurencji. Oczywiście praca zdalna, czy hybrydowa ułatwia przywłaszczanie sobie przez pracowników lub podwykonawców danych wrażliwych, jednak w swojej praktyce równie często spotykam przypadki wykorzystania nośników pendrive, przesyłania sobie wiadomości email na prywatne skrzynki, czy po prostu wykonanie zdjęcia ekranu firmowego komputera własnym telefonem. Niestety, ale o potrzebie ochrony tajemnicy swojego przedsiębiorstwa firmy dowiadują się po czasie. Powszechnym jest, że przedsiębiorcy nie wdrażają żadnych procedur ochrony tajemnicy przedsiębiorstwa, nie wyróżniają danych wrażliwych dodatkowym oznaczeniem, czy nawet nie zawierają dodatkowych umów o zachowaniu poufności (NDA) ze swoimi pracownikami i wykonawcami. Uprawnienia to jedno, ale w wielu firmach pracownik nie ma żadnych ograniczeń, ani też żadnych wskazówek jak postępować z danymi wrażliwymi. Sama infrastruktura i systemy bezpieczeństwa takiego problemu nie rozwiążą, bo te wymagają przejrzystych procedur i regulaminów.
Kradzież danych klientów a odejście pracownika [Przykłady]
Zwykle firmy orientują się o wycieku dopiero „post factum”, gdy klienci niespodziewanie zrywają umowy. Ale przecież skopiowanie dorobku firmy, tysięcy rekordów czy całego know-how, musi zostawiać cyfrowe ślady. Gdzie w takim razie firmy popełniają błąd? Brakuje im odpowiednich systemów monitorowania ruchu, czy ignorują behawioralne sygnały wysyłane przez odchodzącego pracownika?
WO: Oczywiście! Wynoszenie informacji poufnych z firmy to nie jest wynik impulsywnego zachowania. Część pracowników planując odejść lub spodziewając się zwolnienia kopiuje dane "na zapas". Spotkałem się z sytuacją, gdy handlowiec planujący zakończenie współpracy przez kilka miesięcy dodawał w „ukrytym do wiadomości” swój prywatny adres email. W ten sposób uzyskał bezpośredni kontakt do wielu klientów dotychczasowego pracodawcy, które potem wykorzystywał w swojej nowej, konkurencyjnej firmie. Tę sytuację wykryto dopiero po pobraniu wszystkich maili z serwera poczty już po jego odejściu. Czy tej sytuacji można było zapobiec? Oczywiście, że tak! Część rozwiązań IT dla firm pozwala na stałe monitorowanie wychodzącej korespondencji e-mail i flagowanie ryzykownej korespondencji (np. określonych domen, wiadomości bez tematu lub treści, czy których odbiorca ma to samo nazwisko w adresie e-mail). Czasem brakuje też monitorowania publicznych rejestrów, jak chociażby KRS i CEIDG, gdzie momentalnie możemy odkryć, że nasz pracownik został członkiem zarządu konkurencyjnej spółki lub właśnie założył działalność o tożsamym do naszej profilu. Jeden z moich klientów zajmujący się importem i sprzedażą węgla po przejrzeniu z ciekawości "Wykaz przedsiębiorców wykonujących działalność gospodarczą w zakresie obrotu paliwami stałymi" okrył tam kilku byłych i obecnych pracowników. Takie informacje bardzo często są łatwo dostępne. Trzeba tylko wiedzieć co sprawdzać i jak często. Inaczej będzie jednak w przypadku dobrze przygotowanych i zaplanowanych działań konkurencji. Miałem do czynienia z sytuacją, gdzie firma transportowa podjęła niejawną współpracę z kierownikiem jednego z działów swojego konkurenta. Ten kierownik przez wiele miesięcy przygotowywał cały swój zespół do przejścia do nowej firmy (oczywiście wraz z klientami). Przez cały okres swojej działalności wraz z podległymi pracownikami stopniowo i systematycznie nakłaniał klientów do zmiany usługodawcy. Następnie zaplanował "odejścia" podległych pracowników za wypowiedzeniem i na końcu sam miał rozwiązać swoją umowę o pracę. Cały proceder wyszedł na jaw całkowicie przypadkiem, ponieważ jeden z klientów okazał się lojalny i powiadomił o tym mojego klienta, który we współpracy ze swoim działem bezpieczeństwa nagrał kilka rozmów wspominanego kierownika z klientami i zespołem. To jednak pozwoliło tylko zmniejszyć wymiar szkody, a nie ją powstrzymać. Same postępowania cywilne i karne związane z tym zdarzeniem trwały wiele lat i niestety, ale nie wszystkie zakończyły się pozytywnie dla klienta z uwagi m.in. na braki dowodowe, niedokładne procedury, czy źle przygotowane umowy o zakazie konkurencji po ustaniu zatrudnienia. Na szczęście nieszablonowe działania prawna pozwoliły na odzyskanie znacznej części klientów w przyszłości.
Zmiana strategii przedsiębiorców. Roszczenia wobec nowego pracodawcy.
Do tej pory zwykle to nielojalny pracownik ponosił konsekwencje kradzieży danych klientów. Dlaczego firmy decydują się na zmianę strategii i kierują roszczenia bezpośrednio do nowego pracodawcy? Jakie są prawne podstawy takiego działania?
WO: Sama podstawa dochodzenia roszczeń od nowego pracodawcy wykorzystującego przywłaszczone dane nie jest nowa. Art. 11 ustawy o zwalczaniu nieuczciwej konkurencji za czyn nieuczciwej konkurencji uznaje nie tylko ujawnienie i wykorzystanie cudzych informacji stanowiących tajemnicę przedsiębiorstwa, ale również ich bezprawne pozyskanie. Tym samym, samo wejście w posiadanie takich informacji bez zgody ich właściciela, jeżeli informacje te były odpowiednio chronione i ich ujawnienie wynika z nieuprawnionego dostępu, przywłaszczenia, kopiowania dokumentów, przedmiotów, materiałów, substancji, plików elektronicznych obejmujących te informacje lub umożliwiających wnioskowanie o ich treści, może być rozpatrywane jako czyn nieuczciwej konkurencji. I na tej już tylko podstawie możliwe jest co do zasady dochodzenie odpowiedzialności cywilnoprawnej w stosunku do takiego przedsiębiorcy. Co więcej, zgodnie z art. 23 ust. 2 ustawy o zwalczaniu nieuczciwej konkurencji, w przypadku przedsiębiorcy wykorzystującego we własnej działalności gospodarczej bezprawnie uzyskaną informację stanowiącą tajemnicę przedsiębiorstwa, możliwe jest pociągnięcie go do odpowiedzialności karnej zagrożonej karą grzywny, ograniczenia wolności lub pozbawienia wolności nawet do lat 2. Zdarza się, że przedsiębiorca zatrudniający np. nowego handlowca nie wie, że ten wykorzystuje w jego firmie skradzione informacje. Jednak niezależnie od tego, skierowanie wezwania do zaprzestania naruszeń może wywrzeć właściwy wpływ na nielojalnego pracownika. Uczciwy przedsiębiorca chcąc chronić swoją reputację na pewno wybierze drogę polubownego rozwiązania sporu i usunięcia naruszeń. Do takich sytuacji dochodzi często w przypadku przedstawicieli handlowych samodzielnie pozyskujących klientów. Nowy pracodawca nie jest w stanie od razu zweryfikować, czy jego nowy pracownik korzysta z wypracowanych przez lata kontaktów w branży, czy przygotował sobie wcześniej bazę danych z poprzedniego miejsca pracy. Trzeba jednak pamiętać, że brak świadomości nielegalnego pochodzenia takich danych nie uwolni automatycznie przedsiębiorcy od ewentualnej odpowiedzialności za naruszenie tajemnic innego przedsiębiorcy. Taki przedsiębiorca powinien zadbać o odpowiednią weryfikację podchodzenia leadów sprzedażowych oraz uzyskać od pracownika oświadczenia dotyczące nienaruszania przez niego praw osób trzecich.
Co zaliczamy do tajemnicy przedsiębiorstwa?
Pociągnięcie do odpowiedzialności nowej firmy brzmi sensownie z perspektywy finansowej, ale rodzi pytania o dowody. Granica między zatrudnieniem z rynku świetnego specjalisty, który ma po prostu wyrobione relacje, a celowym "kupieniem bazy danych" wydaje się niezwykle cienka. Jak przed sądem udowodnić to drugie, skoro nowy pracodawca zawsze może się bronić: "nie wiedzieliśmy o skopiowanych plikach, po prostu zaoferowaliśmy mu lepsze warunki finansowe"?
WO: Tu trzeba się zgodzić. Wykazanie w procesie, że klient rzeczywiście został "skradziony" jest niezwykle trudne. Trzeba pamiętać, że w realiach gospodarki rynkowej każdy z nas, jako klient może swobodnie decydować o wyborze usługodawcy. Czym innym będzie jednak zmiana usługodawcy z uwagi na jego ofertę, czy zmianę w relacjach z dotychczasowym, a czym innym będzie wywarcie na nas wpływu np. poprzez wprowadzenie w błąd lub zaoferowanie dodatkowych korzyści w zamian za dokonanie zmiany. Czyn naruszenia tajemnicy przedsiębiorstwa bardzo rzadko występuje samodzielnie. W opisanej wcześniej sytuacji, kierownik informował klientów, że jego dział ma być niedługo zamknięty i powinni oni zacząć korzystać z nowej firmy. Tym samym, klienci nie dokonywali w pełni wolnego wyboru. Najbardziej podstawowym źródłem dowodowym będzie więc przesłuchanie klientów. To może być jednak za mało. Ważne jest wykazanie pewnego ciągu przyczynowo-skutkowego, np. pomiędzy odejściem pracownika a przejściem klienta do konkurencji. Kradzież informacji poufnych to jednak nie jest domena wyłącznie pracowników. Co więcej, wartość dla konkurencji ma nie tylko baza klientów, ale też know-how, czyli to jak coś zrobić i zorganizować. Tutaj warto zasygnalizować, że innym sposobem wykradania informacji poufnych jest negocjowanie w złej wierze. Inny klient, przedsiębiorca z branży kreatywnej posiadał pewne innowacyjne rozwiązanie, które oferował jako usługę dla swoich klientów. Pewnego razu trafiła do niego osoba podająca się za potencjalnego klienta zainteresowanego jego usługami. Bez przeszkód podpisał on z tą osobą umowę o zachowaniu poufności na czas negocjacji oraz przekazał ofertę wraz z propozycją stawek oraz wykonania. Jego podejrzenia wzbudziło jednak to, że osoba ta wymagała odpowiedzi na coraz bardziej szczegółowe pytania dot. nie tylko realizacji samej umowy, ale też organizacji jego pracy, struktury firmy, danych podwykonawców. W wyniku dokładnego sprawdzenia okazało się, że rzekomy klient jest spokrewniony z innym przedsiębiorcą - konkurentem tegoż klienta. Niedługo potem ów konkurent zaczął kopiować strukturę organizacji klienta, korzystać z usług tych samych podwykonawców, a nawet wykorzystywać łudząco podobne formularze ofert. Tajemnica przedsiębiorstwa to nie tylko dane (np. baza klientów, stawki, struktura etatów i wynagrodzeń), ale też informacje techniczne, technologiczne, organizacyjne przedsiębiorstwa lub inne informacje posiadające wartość gospodarczą (szczególnie know-how).
Polecamy: Zatrudnianie i zwalnianie pracowników 2026 – obowiązki pracodawcy krok po kroku
Czy to dobry kierunek zmian?
Ponadto pozywanie nowego pracodawcy brzmi jak wypowiedzenie otwartej wojny innej firmie z branży. Czy przedsiębiorstwa rzeczywiście chętnie idą z tym do sądu, czy to raczej straszak, który ma wymusić szybką ugodę? Jak często takie sprawy kończą się w Polsce prawomocnym wyrokiem?
WO: Trudno odpowiedzieć inaczej, niż "to zależy". Uczciwi i poważni przedsiębiorcy dbają o swoją reputację i starają się zabezpieczyć przed "koniem trojańskim" w postaci np. wspominanej wcześniej skradzionej bazy danych. Warto tu posłużyć się przykładem Joyi Williams, która w 2006 r. jako asystentka jednego z dyrektorów Coca-Coli usiłowała sprzedać Pepsi poufne dokumenty i próbki nowego produktu. Pepsi zawiadomiło jednak o tym fakcie Coca-Colę oraz FBI. Zapytany o sprawę rzecznik prasowy Pepsi miał stwierdzić, że "Konkurencja może być surowa, ale musi też być zgodna z prawem i uczciwa". Dla wielu osób jest to kwestia etyki biznesu oraz własnej moralności. O tym, czy mamy do czynienia z nieuczciwym konkurentem, czy z kimś kto skorzystał z naszych tajemnic nieświadomie dowiemy się jeszcze na długo przed skierowaniem pozwu, w szczególności po reakcji na wezwanie do zaprzestania naruszeń. Trzeba pamiętać, że im większe pieniądze wchodzą w grę, tym więcej nieuczciwy konkurent jest gotowy zainwestować w uzyskanie jakiś informacji. Zdarza, się nowy pracodawca jest gotowy zapłacić karę umowną za naruszenie zakazu konkurencji przez przejmowanego pracownika (a przecież to niekiedy kilkakrotność wynagrodzenia). Do bezprawnego uzyskiwania bardzo wartościowych informacji wykorzystuje się niekiedy metody typowo operacyjne (np. podsłuchy, podszywanie się, szantaż, łapówki), a nawet nowe technologie (np. ataki hackerskie, czy spoofing). Czy przedsiębiorcy rzeczywiście idą z tym do sądu? Zasadniczo tak. Mimo, że takie sprawy są trudne i merytorycznie i dowodowo, to poza utraconymi klientami i pieniędzmi chodzi także o zasady. Ktoś kto buduje swoją rynkową pozycję latami nie może pozwolić na to, aby ktoś sobie jego know-how po prostu zabrał, albo kupił za bezcen. Na marginesie, w przypadku spółek handlowych, niedochodzenie tak poważnych roszczeń można rozpatrywać nawet w kategorii działania na szkodę spółki. Zarówno sprawy cywilne, jak i karne często mają pozytywny wynik, jeżeli przedsiębiorca odpowiednio zadbał o swoje interesy i bezpieczeństwo zawczasu. Trzeba dodatkowo pamiętać, że zaangażowani w sprawę pracownicy oraz przesłuchani świadkowie dadzą nam wyraźne świadectwo, że "nie odpuszczamy". A taka informacja łatwo dotrze do innych konkurentów planujących grać nieczysto.
Co robić po wykryciu naruszenia: analiza krok po kroku
Wyobraźmy sobie sytuację kryzysową: firma właśnie odkryła twarde dowody na to, że były handlowiec skopiował dorobek na prywatny dysk i pracuje już dla konkurenta. Jakie konkretne kroki prawne i operacyjne zarząd powinien podjąć w ciągu pierwszych 24 godzin od tego odkrycia?
Ważne jest szybkie określenie ile dany handlowiec wiedział, do jakiej wiedzy miał dostęp oraz z jakimi klientami pracował. Następnie należy określić rozmiar potencjalnych oraz rzeczywistych szkód. Trzeba zweryfikować, czy rzeczywiście przejął jakiś klientów? Warto się z tymi klientami skontaktować i dowiedzieć, czy były ze strony handlowca próby kontaktu. Następnie trzeba przeanalizować, czy nowy pracodawca był zaangażowany w ten proces, czy też jest kolejnym przystankiem w karierze tego handlowca. Tutaj warto zacząć od pisma skierowanego do handlowca i jego nowego pracodawcy z wezwaniem do zaprzestania naruszeń oraz usunięcia ich skutków. Należy także ocenić, czy posiadane przez nas informacje dają podstawę do zawiadomienia organów ścigania o uzasadnionym podejrzeniu popełnienia przestępstwa. Wiele zależy od tego "co mamy". Zdarzają się bardzo profesjonalne działy bezpieczeństwa, które w kilka dni potrafią dostarczyć pokaźny materiał operacyjny. Od maili i wykazów połączeń po własne analizy i mapy połączeń osobowych i kapitałowych między danym pracownikiem a np. nowopowstałą spółką. Jeżeli urządzenia są odpowiednio zabezpieczone technicznie przez dział IT to nie powinno to stanowić problemu. Zdarza się jednak, że pracodawca odbiera od pracownika całkowicie wyczyszczony telefon i laptop (bez kopii danych na serwerze) oraz skrzynkę mailową, z której usunięto całą zawartość. Miałem do czynienia z sytuacją kiedy po wykryciu, że były pracownik przeszedł do konkurencji ujawniono, że w jego aktach osobowych brakuje kilku numerowanych kart akurat zawierających umowę o zakazie konkurencji. Pracownik planując zwolnienie najpewniej wkradł się do biura kadrowej i karty te wyrwał. Nie przewidział jednak, że kadry posiadały elektroniczną kopię wszystkich dokumentów z akt osobowych na potrzeby pracy zdalnej niektórych pracowników. Zabezpieczenie dowodów i ustalenie co się stało (jaka jest faktyczna szkoda) oraz co może się stać (jaka ta szkoda może być) to podstawa pierwszych godzin po ujawnieniu naruszenia.
Tajemnica przedsiębiorstwa. Jak się zabezpieczyć?
Porozmawiajmy o prewencji. Klasyczne umowy NDA bywają dziurawe, a zakaz konkurencji po ustaniu stosunku pracy wymaga wypłacania odszkodowania – na czym firmy często oszczędzają, sprawiając, że zakaz staje się nieważny. Jak zatem skonstruować te zabezpieczenia mądrze? Tak, aby realnie chroniły biznes przed utratą aktywów, ale jednocześnie nie odstraszały talentów wizją podpisywania „cyrografu”?
WO: Przede wszystkim to na przedsiębiorcy będzie spoczywał ciężar udowodnienia, że odpowiednio chronił swoje informacje poufne. Pracownik, czy podwykonawca nie może mieć wątpliwości, że określona informacja jest wrażliwa i wymaga szczególnej ochrony. Podstawą będzie wdrożenie odpowiedniej polityki ochrony takich informacji, czyli określenie co podlega ochronie, na czym na ochrona polega, kto i za co ponosi odpowiedzialność. Informacje poufne muszą też być odpowiednio oznaczone. Spotykam się z praktyce z oznaczaniem dokumentów pieczątką „tajemnica przedsiębiorstwa”, albo „poufne”. Dla odbiorcy jest to jasny znak, że są to informacje szczególnie wrażliwe. Drugi krok to umowa o zachowaniu poufności (NDA) dla podwykonawców, osób współpracujących na umowę zlecenie, czy B2B, a także odebranie oświadczeń o zachowaniu poufności od osób zatrudnionych na umowę o pracę. Stosowne zapisy dot. poufności powinny znaleźć się także w regulaminie pracy lub układzie zbiorowym pracy. Jeżeli mamy już formalne ramy ochrony tajemnicy przedsiębiorstwa, powinniśmy zatroszczyć się o aspekty techniczne (np. polityka czystego biurka, blokowanie możliwości korzystania w pracy z zewnętrznych dysków chmurowych lub logowania na prywatną pocztę e-mail, wszelkiego rodzaju rozwiązania związane z cyberbezpieczeństwem). Trzeba jednak pamiętać, że najsłabszym ogniwem zawsze jest i będzie człowiek. Należy regularnie prowadzić szkolenia i instruktaże dot. ochrony informacji poufnych. Należy także uczulać pracowników na zagrożenia związane z cyberbezpieczeństwem oraz szpiegostwem przemysłowym, czy korupcją w biznesie. Kradzież danych nie musi nastąpić „specjalnie”. Wystarczy, że pracownik księgowości otworzy plik od nieznanego nadawcy o niewinnej nazwie „faktura” i udzieli on dostępu cyberprzestępcom do serwera firmy. Pracownicy mogą być także nieświadomie wykorzystywani do kradzieży danych np. sprawdzając zawartość pendrive`a znalezionego na ogólnodostępnym korytarzu. Podnoszenie świadomości zagrożenia oraz regularne szkolenia! Zakaz konkurencji po ustaniu zatrudnienia to dobre zabezpieczenie, ale trzeba pamiętać, że pracownik z określoną wiedzą już odszedł. Możemy liczyć, że w zamian za odszkodowanie nie wykorzysta tej wiedzy u konkurencji przez określony czas, ale jego wiedzy w naszej organizacji już nie ma. Co więcej, nie każdego pracownika można w ten sposób powstrzymać od przejścia do konkurencji. Takie zakazy sprawdzą się w przypadku handlowców, pracowników operacyjnych, czy zarządzających przedsiębiorstwem. Bardzo trudno byłoby jednak dobrze go skonstruować w odniesieniu do kadrowej, księgowej, czy pracownika działu bezpieczeństwa, a przecież ich wiedza też jest wiele warta. Warto oczywiście zdecydować się na zakaz konkurencji po ustaniu zatrudnienia i cyklicznie weryfikować poczynania byłego pracownika. Częstym mechanizmem jest uzależnienie wypłaty odszkodowania od comiesięcznego złożenia oświadczenia o nienaruszeniu zakazu konkurencji. Nielojalny pracownik musiałby poświadczyć nieprawdę, aby uzyskać odszkodowanie, a brak złożenia przez niego oświadczenia to lampka ostrzegawcza. Niezależnie jednak od tego, nawet najlepszy zakaz konkurencji nie pomoże w ochronie tajemnicy przedsiębiorstwa bez odpowiednich procedur i szkoleń.
