dokumentacja

Wpisy

Ceny transferowe – najważniejsze pytania i odpowiedzi dot. lat 2021 i 2022

Wprowadzone w ramach Polskiego Ładu zmiany w cenach transferowych (i szerzej, podatkach dochodowych) sprawiły, że podatnicy po raz kolejny mają wątpliwości odnośnie zakresu i sposobu realizacji obowiązków w obszarze cen transferowych za lata 2021-2022.

W artykule wyjaśniamy zatem najważniejsze kwestie i obszary wynikające ze zmian i regulacji obowiązujących względem roku 2021 i 2022

Ceny transferowe – limity 2021

W kontekście limitów transakcyjnych w 2021 roku zastosowanie mają obowiązujące od 2019 roku regulacje tj. lokalna dokumentacja cen transferowych jest sporządzana dla transakcji kontrolowanej o charakterze jednorodnym, której wartość przekracza w roku podatkowym następujące progi dokumentacyjne:

1) 10.000.000 zł – w przypadku transakcji towarowej;

2) 10.000.000 zł – w przypadku transakcji finansowej;

3) 2.000.000 zł – w przypadku transakcji usługowej;

4) 2.000.000 zł – w przypadku innej transakcji niż określona w pkt 1-3

Do transakcji innych (pkt 4) można zaliczyć wszelkie transakcje dot. operacji na kapitałach, konwersji zadłużenia, umorzenia długów, wymiany udziałów itd.

Dodatkowo, w przypadku transakcji kontrolowanych z podmiotem mającym miejsce zamieszkania, siedzibę lub zarząd na terytorium lub w kraju stosującym szkodliwą konkurencję podatkową próg dokumentacyjny wynosi 100.000 zł, niezależnie od rodzaju transakcji.

Oprócz tego do sporządzenia lokalnej dokumentacji cen transferowych są obowiązani podatnicy i spółki niebędące osobami prawnymi dokonujący transakcji kontrolowanej lub transakcji innej niż transakcja kontrolowana, jeżeli rzeczywisty właściciel ma miejsce zamieszkania, siedzibę lub zarząd na terytorium lub w kraju stosującym szkodliwą konkurencję podatkową oraz wartość tej transakcji za rok podatkowy, a w przypadku spółek niebędących osobami prawnymi – za rok obrotowy, przekracza 500.000 zł. Co jednak istotne obowiązek ten dotyczy wyłącznie transakcji zakupu towarów/usług. W przypadku transakcji sprzedaży (gdzie polski podatnik otrzymuje zapłatę) nie znajduje on zastosowania.

Ceny transferowe – limity 2022

W kontekście limitów transakcyjnych w 2022 roku zastosowanie mają takie same regulacje jak wskazane powyżej, co oznacza, że nowelizacja w ramach Polskiego Ładu nie wprowadziła zmian w tym zakresie.

Ceny transferowe – kto ma obowiązek 2021

W kontekście dokumentacji cen transferowych za rok 2021 obowiązek spoczywa na podmiotach powiązanych, realizujących ze sobą transakcje, przekraczające w roku podatkowym wskazane wyżej limity.

Co jednak istotne, obowiązek sporządzenia lokalnej dokumentacji cen transferowych nie ma zastosowania do transakcji kontrolowanych:

1) zawieranych wyłącznie przez podmioty powiązane mające miejsce zamieszkania, siedzibę lub zarząd na terytorium Rzeczypospolitej Polskiej w roku podatkowym, w którym każdy z tych podmiotów powiązanych spełnia łącznie następujące warunki:

nie korzysta ze zwolnienia, o którym mowa w art. 6,
nie korzysta ze zwolnienia, o którym mowa w art. 17 ust. 1 pkt 34 i 34a,
nie poniósł straty podatkowej;

2) objętych uprzednim porozumieniem cenowym w okresie, którego dotyczy to porozumienie;

3) których wartość w całości trwale nie stanowi przychodu albo kosztu uzyskania przychodu, z wyłączeniem transakcji finansowych, transakcji kapitałowych oraz transakcji dotyczących inwestycji, środków trwałych lub wartości niematerialnych i prawnych;

4) między spółkami tworzącymi podatkową grupę kapitałową;

5) w przypadku gdy powiązania wynikają wyłącznie z powiązania ze Skarbem Państwa lub jednostkami samorządu terytorialnego lub ich związkami;

6) w których cena została ustalona w trybie przetargu nieograniczonego na podstawie ustawy z dnia 11 września 2019 r. – Prawo zamówień publicznych (Dz. U. z 2021 r. poz. 1129 i 1598);

7) realizowanych między grupą producentów rolnych wpisaną do rejestru, o którym mowa w art. 9 ust. 1 ustawy z dnia 15 września 2000 r. o grupach producentów rolnych i ich związkach oraz o zmianie innych ustaw (Dz. U. z 2018 r. poz. 1026 oraz z 2021 r. poz. 1603), a jej członkami, dotyczących odpłatnego zbycia:

na rzecz grupy producentów rolnych produktów lub grup produktów wyprodukowanych w gospodarstwach członków takiej grupy,
przez grupę producentów rolnych na rzecz jej członków towarów wykorzystywanych przez członka do produkcji produktów lub grup produktów, o których mowa w lit. a, oraz świadczenia usług związanych z tą produkcją;

8) realizowanych między wstępnie uznaną grupą producentów owoców i warzyw lub uznaną organizacją producentów owoców i warzyw, działających na podstawie ustawy z dnia 19 grudnia 2003 r. o organizacji rynków owoców i warzyw oraz rynku chmielu (Dz. U. z 2021 r. poz. 618), a jej członkami, dotyczących odpłatnego zbycia:

na rzecz takiej grupy lub organizacji produktów lub grup produktów wyprodukowanych w gospodarstwach członków takiej grupy lub organizacji,
przez taką grupę lub organizację na rzecz jej członków towarów wykorzystywanych przez członka do produkcji produktów lub grup produktów, o których mowa w lit. a, oraz świadczenia usług związanych z tą produkcją;

9) polegających na przypisaniu dochodu do zagranicznego zakładu położonego na terytorium Rzeczypospolitej Polskiej przez podatników, o których mowa w art. 3 ust. 2, jeżeli przepisy właściwych umów międzynarodowych, których stroną jest Rzeczpospolita Polska, przewidują, że dochody te mogą być opodatkowane tylko w państwie innym niż Rzeczpospolita Polska.

Ceny transferowe – kto ma obowiązek 2022

W kontekście roku 2022 obowiązek spoczywa zasadniczo na tych samych podmiotach, przy czym poszerzono zakres wyłączeń opisanych wyżej o:

1) Transakcje polegające wyłącznie na dokonaniu rozliczenia pomiędzy podmiotami powiązanymi wydatków poniesionych na rzecz podmiotu niepowiązanego, jeżeli łącznie są spełnione następujące warunki:

nie powstaje wartość dodana i rozliczenie następuje bez uwzględniania marży lub narzutu zysku,
rozliczenie nie jest związane bezpośrednio z inną transakcją kontrolowaną,
rozliczenie nastąpiło niezwłocznie po dokonaniu zapłaty na rzecz podmiotu niepowiązanego,
podmiot powiązany nie jest podmiotem mającym miejsce zamieszkania, siedzibę lub zarząd na terytorium lub w kraju stosującym szkodliwą konkurencję podatkową

2) stanowiących usługi o niskiej wartości dodanej – w przypadku spełnienia warunków określonych w art. 11f (tj. w przypadku skorzystania z tzw. Safe Harbour dla usług o niskiej wartości dodanej)

3) dotyczących pożyczki, kredytu lub emisji obligacji – w przypadku spełnienia warunków określonych w art. 11g (tj. w przypadku skorzystania z tzw. Safe Harbour dla transakcji finansowych)

Dodatkowo w przypadku:

transakcji kontrolowanych zawieranych przez podmioty powiązane będące mikroprzedsiębiorcą lub małym przedsiębiorcą w rozumieniu odpowiednio art. 7 ust. 1 pkt 1 i 2 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców,
transakcji innych niż transakcje kontrolowane, o których mowa w art. 11o ust. 1 i 1a (tj. transakcji innych niż tzw. „transakcje rajowe”)

– lokalna dokumentacja cen transferowych może nie zawierać analizy porównawczej lub analizy zgodności.

Przepis ten ma zastosowanie w przypadku przedsiębiorcy, który w ostatnim roku podatkowym spełnił warunki określone do uznania go za mikro lub małego przedsiębiorcę.

Ceny transferowe 2021 terminy

W kontekście dokumentacji cen transferowych za rok 2021 zastosowanie znajduje przedłużony termin. Konsekwentnie terminy przedłużono:

do 30 września 2022 r – dla podatników, w przypadku których pierwotny termin upływał w okresie od 1 stycznia 2022 r. do 30 czerwca 2022 r.

3 miesiące – dla podatników, w przypadku których termin złożenia upływał w okresie od 1 lipca 2022 r. do 31 grudnia 2022 r. (w praktyce dla większości podmiotów, tj. podmiotów których rok podatkowy jest równy z kalendarzowym, termin ten upływa 31 grudnia 2022 r.)

Ceny transferowe 2022 terminy

W kontekście terminów na sporządzenie dokumentacji cen transferowych za rok 2022 zastosowanie znajdą terminy wynikające ze znowelizowanych regulacji tj.:

Dokumentację należy przygotować do końca 10 miesiąca po zakończeniu roku podatkowego, tj. dla podmiotów z rokiem podatkowym równym z kalendarzowym, do końca października 2023.
Oświadczenie o przygotowaniu dokumentacji i informację o cenach transferowych należy przygotować na podstawie dokumentacji cen transferowych i złożyć do końca 11 miesiąca po zakończeniu roku podatkowego, tj. dla podmiotów z rokiem podatkowym równym z kalendarzowym, do końca listopada 2023.

10 czerwca 2022/Autor kancelariaszula

Dokumentacja cen transferowych 2017 – praktyczny przewodnik

Praktyczne porady

W związku z podpisaniem przez Prezydenta RP ustawy wprowadzającej od 1 stycznia 2017 roku szereg zmian do przepisów ustawy o podatku dochodowym od osób prawnych oraz ustawy o podatku dochodowym od osób fizycznych, odnoszących się do problematyki tzw. cen transferowych, przygotowaliśmy dla Państwa krótkie kompendium wiedzy, zawierające niezbędne informacje dotyczące aktualnie obowiązujących regulacji w zakresie cen transferowych.

Czym jest dokumentacja cen transferowych?

Dokumentacja cen transferowych stanowi swoiste opracowanie opisujące zasady rządzące transakcjami zawieranymi pomiędzy podmiotami powiązanymi. Prawidłowo przygotowana powinna:

korespondować z faktycznymi warunkami realizowanych transakcji,
zawierać wszystkie niezbędne elementy wskazane w przepisach obowiązujących w roku, za który jest sporządzana,
przystępnie i jasno przedstawiać zasady rozliczeń wewnątrzgrupowych,
udowadniać rynkowy poziom wynagrodzenia (w przypadku gdy dany podatnik ma taki obowiązek, co szczegółowo opisujemy dalszej części niniejszego artykułu).

Kto sporządza dokumentację cen transferowych?

Zgodnie z aktualnie obowiązującymi przepisami (art. 9a ustawy o podatku dochodowym od osób prawnych oraz art. 25a ustawy o podatku dochodowym od osób fizycznych) do sporządzania dokumentacji cen transferowych zobowiązany jest podatnik, przekraczający wskazane w wymienionych ustawach limity przychodów, dokonujący transakcji (lub innych zdarzeń) z podmiotami powiązanymi. Powyższe oznacza, że podmiotem zobowiązanym do przygotowania dokumentacji jest zawsze podatnik danego podatku (tj. spółka, osoba fizyczna prowadząca działalność gospodarczą, wspólnik spółki osobowej). W tym zakresie polskie ustawy podatkowe nie przewidują żadnych wyjątków.

Kiedy należy przygotować dokumentację?

Aktualnie, polscy podatnicy są zobowiązani do przygotowywania dokumentacji cen transferowych dla transakcji zawieranych z podmiotami powiązanymi oraz dla tzw. innych zdarzeń, które zostały ujęte w księgach rachunkowych, mających istotny wpływ na wysokość dochodu lub straty podatnika. Pojęcie wskazanych innych zdarzeń nie pojawiało się do tej pory w polskich regulacjach dotyczących cen transferowych, a wynika bezpośrednio z nowelizacji. Co istotne, ustawodawca nie przedstawił precyzyjnej definicji owych innych zdarzeń, co oznacza, że ich katalog pozostaje otwarty i obejmuje wszelkie formy współpracy pomiędzy podmiotami powiązanymi, które zasadniczo nie kwalifikują się do uznania ich za typowe transakcje, a które ujmowane są w księgach rachunkowych i mają wpływ na wynik finansowy podatnika (np. współpraca kilku podmiotów w ramach wspólnego przedsięwzięcia czy podział kosztów wykorzystywania danego aktywa).

W przypadku zidentyfikowania przez podatnika transakcji lub zdarzeń, które potencjalnie powinny zostać opisane w dokumentacji cen transferowych, konieczne jest ustalenie czy ma on w ogóle obowiązek sporządzania tego rodzaju dokumentacji. W tym kontekście aktualnie obowiązujące przepisy o cenach transferowych wprowadzają stosowne limity transakcyjne.

Limity transakcyjne

Ostateczne ustalenie czy dla danej transakcji należy przygotować dokumentację cen transferowych uzależnione jest od poziomu przychodów podatnika, osiągniętych w roku poprzedzającym rok, za który dokumentacja jest sporządzana. Przepisy obowiązujące od 1 stycznia 2017 roku wprowadziły koncepcję tzw. progu istotności, zgodnie z którą dokumentowaniu powinny podlegać wyłącznie transakcje jednego rodzaju, których łączna wartość przekracza określoną wysokość. Wysokość ta uzależniona jest od przychodów (kosztów) podatnika. I tak, w przypadku podatników, którzy w roku poprzedzającym rok, za który sporządzana jest dokumentacja osiągneli przychody (koszty) na poziomie:

od 2 mln do 20 mln EUR – próg istotności wynosi: 50 000 EUR + 5 000 EUR za każdy 1 mln EUR przychodu powyżej 2 mln EUR;
od 20 mln do 100 mln EUR – próg istotności wynosi: 140 000 EUR + 45 000 EUR za każde 10 mln EUR powyżej 20 mln EUR;
powyżej 100 mln EUR – próg istotności wynosi 500 000 EUR.

Poszczególne progi transakcjyjne obrazowo przedstawia poniższa tabela:

Przychody podatnika za rok poprzedzający	Próg transakcyjny
< 2 000 000 EUR	Brak obowiązku sporządzania dokumentacji
2 000 000 EUR – 2 999 999,99 EUR	50 000 EUR
3 000 000 EUR – 3 999 999,99 EUR	55 000 EUR
4 000 000 EUR – 4 999 999,99 EUR	60 000 EUR
5 000 000 EUR – 5 999 999,99 EUR	65 000 EUR
6 000 000 EUR – 6 999 999,99 EUR	70 000 EUR
7 000 000 EUR – 7 999 999,99 EUR	75 000 EUR
8 000 000 EUR – 8 999 999,99 EUR	80 000 EUR
9 000 000 EUR – 9 999 999,99 EUR	85 000 EUR
10 000 000 EUR – 10 999 999,99 EUR	90 000 EUR
11 000 000 EUR – 11 999 999,99 EUR	95 000 EUR
12 000 000 EUR – 12 999 999,99 EUR	100 000 EUR
13 000 000 EUR – 13 999 999,99 EUR	105 000 EUR
14 000 000 EUR – 14 999 999,99 EUR	110 000 EUR
15 000 000 EUR – 15 999 999,99 EUR	115 000 EUR
16 000 000 EUR – 16 999 999,99 EUR	120 000 EUR
17 000 000 EUR – 17 999 999,99 EUR	125 000 EUR
18 000 000 EUR – 18 999 999,99 EUR	130 000 EUR
19 000 000 EUR – 19 999 999,99 EUR	135 000 EUR
20 000 000 EUR – 29 999 999,99 EUR	140 000 EUR
30 000 000 EUR – 39 999 999,99 EUR	185 000 EUR
40 000 000 EUR – 49 999 999,99 EUR	230 000 EUR
50 000 000 EUR – 59 999 999,99 EUR	275 000 EUR
60 000 000 EUR – 69 999 999,99 EUR	320 000 EUR
70 000 000 EUR – 79 999 999,99 EUR	365 000 EUR
80 000 000 EUR – 89 999 999,99 EUR	410 000 EUR
90 000 000 EUR – 99 999 999,99 EUR	455 000 EUR
100 000 000 EUR i więcej	500 000 EUR

Co zawiera dokumentacja cen transferowych?

Zgodnie ze znowelizowanymi przepisami, obowiązującymi od 1 stycznia 2017 roku, zawartość dokumentacji cen transferowych uwarunkowana jest również poziomem przychodów (kosztów) podatnika osiągniętych w roku poprzedzającym rok, za który dokumentacja jest sporządzana. W tym kontekście wyróżniono kilka poziomów rozbudowania dokumentacji. Tym samym, podatnicy, którzy osiągnęli przychody na poziomie co najmniej:

2 mln EUR – przygotowują podstawową dokumentację Local File (dokumentacja lokalna), zawierającą najważniejsze informacje o podatniku i transakcjach podlegających dokumentowaniu;
10 mln EUR – przygotowują analizy danych porównawczych dla wszystkich transakcji podlegających dokumentowaniu (tzw. analizy benchmarkingowe), których celem jest potwierdzenie rynkowego poziomu wynagrodzenia stosowanego w dokumentowanych transakcjach. Dodatkowo podatnicy ci są również zobowiązani do składania deklaracji CIT-TP za dokumentowany rok podatkowy;
20 mln EUR – są zobowiązani do posiadania dokumentacji grupowej tzw. Master File, odpowiadającej polskim wymogom, zredagowanej w języku polskim;
750 mln EUR (skonsolidowane) – są zobowiązani do sporządzenia sprawozdania o wysokości dochodów i zapłaconego podatku w miejscach prowadzenia działalności, a także zakładów zagranicznych (tzw. Country-by-Country Reporting).

Z powyższego wynika, że zawartość dokumentacji cen transferowych za dany rok uzależniona będzie u danego podatnika od osiągniętych przez niego w poprzednim roku przychodów lub poniesionych kosztów, które determinują zarówno zakres obowiązków dokumentacyjnych, jak i jednostkowe progi transakcyjne.

Wszystkie niezbędne elementy dokumentacji przygotowywanej na każdym poziomie (Local File, analizy benchmarkingowe, Master File) zostały przedstawione w aktualnie obowiązujących ustawach i rozporządzeniach, tj. ustawie o podatku dochodowym od osób prawnych (art. 9a), ustawie o podatku dochodowym od osób fizycznych (art. 25a), oraz rozporządzeniach w sprawie informacji zawartych w dokumentacji podatkowej. Co szczególnie istotne, dotychczas obowiązujące przepisy nakładały na podatników wyłącznie obowiązek przygotowywania dokumentacji lokalnej (Local File), w wersji zdecydowanie mniej rozbudowanej niż obecna. Oznacza to, że dotychczasowe obowiązki związane z dokumentacją cen transferowych obejmowały wyłącznie niewielki ułamek obecnie obowiązujących regulacji.

Odpowiedzialność

Zgodnie z art. 9a ust. 7 na wszystkich podatników nałożono również dodatkowy obowiązek związany z procesem przygotowywania dokumentacji cen transferowych. Obowiązek ten dotyczy złożenia oświadczenia o przygotowaniu stosownej dokumentacji w ustawowym terminie i w przypadku osób prawnych obciąża solidarnie wszystkie osoby uprawnione do składania oświadczeń w imieniu podatnika. Co ważne, oświadczenie składane jest pod rygorem odpowiedzialności karnej (nie karnoskarbowej) za składanie fałszywych zeznań.

Termin na sporządzenie dokumentacji

W oparciu o pierwotne brzmienie przepisów obowiązujących od 1 stycznia 2017 roku, dokumentacja cen transferowych powinna zostać sporządzona w terminie nie późniejszym niż dzień upływu terminu określonego dla złożenia rocznego zeznania podatkowego (tj. w praktyce w większości przypadków do 31 marca 2018 roku – w odniesieniu do dokumentacji za 2017 rok). Jednoczesnie 15 marca 2017 roku w życie weszło rozporządzenie Ministra Finansów z dnia 14 marca 2018 r. w sprawie przedłużenia terminów wykonania niektórych obowiązków z zakresu dokumentacji podatkowej. Zgodnie z jego treścią terminy na przygotowanie stosownej dokumentacji i złożenie oświadczenia, o którym mowa w art. 9a ust. 7 zostały przedłużone o 6 miesięcy – tj. w większości przypadków przypadają obecnie na 30 września 2018 roku. Przedłużenie dotyczy terminów przypadających pierwotnie w roku 2018 i 2019 (tj. zasadniczo odnoszących się do dokumentacji cen transferowych sporządzanych za lata 2017 i 2018).

Wzór dokumentacji cen transferowych

Obowiązujące od 1 stycznia 2017 roku przepisy nie wprowadziły jednolitego wzoru, zgodnie z którym stosowna dokumentacja powinna być sporządzana. Wymogi formalne dotyczące treści dokumentacji zaprezentowane zostały w art. 9a ustawy o podatku dochodowym od osób prawnych (art. 25a w przypadku PIT – Local File) , oraz rozporządzeniach w sprawie informacji zawartych w dokumentacji podatkowej (analizy danych porównawczych oraz dokumentacja Master File). Sporządzenie wyczerpującej dokumentacji w oparciu o wskazane wymogi powinno zapewnić jej zgodność formalną z obowiązującymi regulacjami.

Zachęcamy do kontaktu z naszą Kancelarią, która specjalizuje się w zagadanieniach z zakresu cen transferowych i realizuje kompleksowe projekty polegające na:

przygotowywaniu stosownej dokumentacji na wszystkich szczeblach,
weryfikacji dokumentacji sporządzonej przez Klienta,
prowadzeniu szkoleń z zakresu cen transferowych,
opracowywaniu i wdrażaniu modeli cen transferowych,
bieżącym doradztwie podatkowym.

Naszym Klientom oferujemy najwyższą jakość, pełne zaangażowanie w każdy projekt oraz przystępne ceny.

Kontakt:

Łukasz Szula

l.szula@kancelariaszula.pl,

tel. 535-005-012

21 czerwca 2018/Autor kancelariaszula

Czym jest RODO i czego dotyczy? Najważniejsze informacje

Praktyczne porady

Czym jest RODO?

RODO, a właściwie Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1) ustanawia na terenie całej Unii Europejskiej zasady oraz przepisy o ochronie danych osobowych osób fizycznych. Ten akt prawny, będąc rozporządzeniem unijnym, nie wymaga wdrożenia, ani innego rodzaju specjalnie zaplanowanej implementacji, a jego postanowienia są stosowane w polskim porządku prawnym bezpośrednio.

Oznacza to, że poza niewielkimi wyjątkami, postanowienia tego rozporządzenia są źródłem podstawowych zasad oraz wymogów dotyczących ochrony danych osobowych w Polsce. Choć polski ustawodawca podjął już działania zmierzające do uchwalenia polskiej ustawy o ochronie danych osobowych, to polska ustawa będzie określała wyłącznie pewne detale, takie jak organ właściwy do nadzoru nad RODO, czy szczegółowe zasady prowadzenia kontroli w sprawie ochrony danych osobowych.

Kogo i od kiedy obowiązuje RODO?

Postanowienia Rozporządzenia zaczęły obowiązywać wszystkich przedsiębiorców, ktorzy prowadzą działalność na terytorium Unii Europejskiej, niezależnie od formy jej prowadzenia, wraz z dniem 25 maja 2018r. Od tej daty wszystkie podmioty przetwarzające dane w charakterze innym niż prywatny, czy rodzinny są zobligowane do zapewnienia zgodności tego procesu z wymogami RODO.

Zgodnie z treścią Rozporządzenia, dane osobowe podlegają ochronie bez względu na to, czy ostatecznie znajdą się w zbiorze danych osobowych. Oznacza to, że dane osobowe będą podlegały ochronie już od momentu ich zgromadzenia, niezależnie od tego, czy dane te będą przez danego przedsiębiorcę wykorzystywane stale, czy incydentalnie.

Oznacza to, że RODO chroni dane osobowe osoby fizycznej niezależnie od tego, czy w danym przypadku osoba ta występuje jako konsument czy nie. Ochronie podlegają zatem również dane przedsiębiorców, pracowników czy przedstawicieli spółek, z którymi dany podmiot współpracuje wyłącznie na stopie zawodowej.

Wśród podmiotów objętych Rozporządzeniem (tj. wśród zobowiązanych do jego przestrzegania wymienionych wyżej przedsiębiorców) można wyróżnić podmioty funkcjonujące w charakterze:

Administratora danych – tj. podmiotu przetwarzającego dane osobowe „bezpośrednio” (np. firma zatrudniająca pracowników, przetwarzająca dane tych pracowników).
Procesora danych – tj. podmiotu przetwarzającego dane osobowe na zlecenie ich administratora (np. firma świadcząca usługi obsługi księgowo-płacowej, przetwarzająca dane osobowe pracowników swoich klientów).

Jak stosujemy RODO?

RODO ma zastosowanie do czynności przetwarzania danych osobowych. Zawarta w art. 4 pkt 2 RODO definicja przetwarzania ma bardzo szeroki charakter i oznacza w zasadzie każdą operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych.

Z kolei operacjami przetwarzania danych osobowych są zarówno czynności zautomatyzowane (przy wykorzystaniu systemów informatycznych), jak i wykonywane w inny sposób (np. „na papierze” – w formie wydruków, akt, dokumentów, czy korespondencji papierowej).

RODO nie zawiera zamkniętego katalogu czynności składających się na przetwarzanie danych osobowych. Wskazuje jednak na stosunkowo szeroki katalog czynności takich jak: zbieranie danych, porządkowanie danych, przechowywanie danych, ich adaptowanie lub modyfikowanie, ale również – przeglądanie, wykorzystywanie (np. w toku pracy), ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, usuwanie lub niszczenie.

Definicja danych osobowych zawarta w art. 4 ust. 4 RODO jest bardzo szeroka. Zgodnie z RODO „dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować (której tożsamość znamy i którą możemy wskazać spośród innych osób), w szczególności na podstawie jakiegoś rodzaju identyfikatora, takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Osobą możliwą do zidentyfikowania jest taka osoba, której tożsamości nie znamy, ale możemy poznać, korzystając z tych środków lub danych, które są dla nas dostępne.

W tym kontekście zakres danych osobowych jest bardzo szeroki i obejmie wszystkie informacje o charakterze osobowym, które mogą pomóc nam zidentyfikować daną osobę. Danymi osobowymi będą bowiem zarówno imię i nazwisko, czy PESEL osoby fizycznej, ale również:

data urodzenia;
adres zamieszkania;
numer telefonu (w tym służbowy), czy adres e-mail (również służbowy);
płeć, kolor oczu, waga, wzrost lub inne dane biometryczne wskazujące na właściwości biologiczne danej osoby.

Jednocześnie warto zaznaczyć, że choć RODO nie dotyczy przetwarzania danych dotyczących osób prawnych, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej, o tyle nie można wykluczyć takich sytuacji, w których jednak dane o charakterze osobowym będą związane z danymi dotyczącymi osób prawnych. Przykładem tego mogą być dane osób fizycznych, w szczególności w przypadku, gdy w skład firmy wchodzi imię i nazwisko wspólnika (np. przy spółkach komandytowych), czy też w zakresie dotyczącym członków organów.

RODO nakłada na administratorów obowiązek zapewnienia osobom, których dane dotyczą wszelkich informacji związanych z przetwarzaniem ich danych osobowych, oraz do zapewnienia należytej komunikacji w sprawie tego przetwarzania. Informacja taka powinna być przekazana w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem i może być udzielona na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Dopiero jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą.

Przepisy RODO nakładają na administratorów danych szereg obowiązków, które będą musiały być spełnione celem zapewnienia należytej ochrony danych osobowych, wymagając od nich, by zapewnili odpowiednie środki organizacyjne i techniczne służące ich należytej ochronie. Oznacza to, że RODO nie wskazuje konkretnych rozwiązań, czy środków bezpieczeństwa danych osobowych, nakazując dostosowanie wdrażanych rozwiązań do skali ryzyka oraz specyfiki przetwarzania. Wdrażając odpowiednie środki techniczne i organizacyjne, administrator powinien brać pod uwagę charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i różnej wadze zagrożenia. Przedsiębiorca powinien zatem przy projektowaniu i wdrażaniu rozwiązań bezpieczeństwa bazować na kształtowaniu obowiązków, których zakres określany jest w każdym przypadku przez pryzmat oceny ryzyka (tzw. podejście oparte na ryzyku).

RODO przewiduje dodatkowo, że każdy administrator powinien uwzględniać ochronę danych już w fazie projektowania (privacy by design) oraz w drodze realizacji zasady domyślnej ochrony danych (privacy by default). Oznacza to, że administratorzy mają obowiązek wdrażania odpowiednich środków technicznych i organizacyjnych już w momencie ustalania sposobów przetwarzania danych (czyli zaprojektowania odpowiednich procedur jeszcze przed rozpoczęciem przetwarzania), a następnie utrzymywania tych środków w trakcie samego procesu przetwarzania, aby domyślnie były przetwarzane tylko te dane, które są niezbędne z punktu widzenia każdego konkretnego celu przetwarzania. W szczególności takie rozwiązanie ma zapobiegać domyślnemu udostępnianiu danych nieograniczonemu kręgowi odbiorców. Łatwo zauważyć, że obowiązki administratora w tym zakresie wymagają od niego postawy proaktywnej i prewencyjnej. Ochrona prywatności ma być bowiem zapewniona już na etapie tworzenia procedur, regulaminów, systemów, czy nawet strony internetowej.

Jak chronić dane zgodnie z RODO?

RODO nie wskazuje konkretnych środków technicznych lub organizacyjnych, które należy zastosować, aby wykazać zgodność z określonymi w nim wymaganiami. Stąd, wybór środków bezpieczeństwa powinien być determinowany przez okoliczności i warunki przetwarzania danych oraz prawdopodobieństwo i powagę zdarzeń, które mogą doprowadzić do naruszenia praw i wolności osób, których dane są przetwarzane.

Jednym z podstawowych obowiązków podmiotów przetwarzających dane, zarówno administratorów, jak i podmiotów przetwarzających (procesorów), jest obowiązek rejestrowania wszystkich czynności przetwarzania danych poprzez prowadzenie tzw. rejestru czynności przetwarzania danych. Aby zrozumieć, jak praktycznie podejść do RCPD, należy wyjść od tego, czym na gruncie RODO jest czynność przetwarzania danych. Niestety, pojęcie to nie zostało zdefiniowane wprost w RODO, co może powodować trudności interpretacyjne co do tego, co należy rejestrować. Wszystkie dotychczasowe publikacje dotyczące tematu rejestrowania czynności przetwarzania danych zgodnie podkreślają, że czynności przetwarzania to operacje wykonywane na danych, które łączy realizacja tego samego celu przetwarzania. Należy zatem wyodrębniać czynności w odniesieniu do wspólnych, związanych z tymi czynnościami określonych celów przetwarzania danych. W praktyce tylko takie podejście jest wykonalne i możliwe do zrealizowania. Pojęcie czynności może być tak wielopoziomowe, że nie kierując się grupowaniem czynności według realizowanych przez nie celów, można zidentyfikować od kilkuset do kilku tysięcy procesów. Stąd, rozsądnym podejściem będzie grupowanie czynności przetwarzania w rejestrze wedle celu, którego czynności dotyczą. Jako przykład można tu wskazać następujące czynności:

administrowanie personelem i współpracownikami – rekrutacja i selekcja personelu;
zarządzanie personelem i wspołpracownikami – monitorowanie pracy, planowanie szkoleń;
organizacja pracy – monitorowanie zadań i wydajności;
relacje z klientami – zarządzanie portfelem klientów, planowanie i monitorowanie łańcucha dostaw, fakturowanie, marketing i reklama, rejestracja zamówień;
relacje z dostawcami – zarządzanie zamówieniami i płatnościami, poszukiwanie dostawców;

Co jednak szczególnie istotne RODO zwraca uwagę, że obowiązek prowadzenia stosownego rejestru opisywanego wyżej nie dotyczy podmiotów zatrudniających mniej niż 250 osób, chyba że przetwarzanie, którego dokonują̨, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą̨, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1 RODO (tj. dane wrażliwe).

Co grozi za uchybienie przepisom?

Zgodnie z ustawą o ochronie danych osobowych organem nadzorczym właściwym do kontroli postanowień RODO w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). PUODO jest również organem właściwym do prowadzenia postępowań i kontroli w sprawie naruszenia przepisów o ochronie danych osobowych. A tych z kolei warto unikać – efekty naruszeń mogą być bowiem dotkliwe. Na mocy RODO, PUODO będzie uprawniony do nałożenia kar pieniężnych sięgających nawet 20 000 000 EUR, w zależności od rodzaju i skali naruszenia.

Klientom naszej Kancelarii oferujemy usługi polegające na przeglądzie wdrożonych w przedsiębiorstwie procedur z zakresu ochrony danych osobowych, a także opracowywanie stosownych polityk czy wzorów dokumentów, zgodnych z aktualnymi wymogami RODO. W przypadku chęci:

zweryfikowania zgodności wdrożonych rozwiązań z obowiązującymi przepisami,
wprowadzenia spójnych polityk ochrony danych osobowych w poszczególnych spółkach grupy kapitałowej,
opracowania stosownych wzorów dokumentów, umów i zgód,
ewaluacji zakresu obowiązków związanych z przetwarzaniem danych osobowych

zachęcamy do kontaktu z naszą Kancelarią. Oferujemy najwyższą jakość usług i konkurencyjną ofertę cenową.

Kontakt:

Łukasz Szula

l.szula@kancelariaszula.pl

tel. 535-005-012

25 maja 2018/Autor kancelariaszula

Wpisy

Masz do nas pytanie? Napisz lub zadzwoń!

Cookie and Privacy Settings