Firma IT z Krakowa wdraża nowy algorytm rekomendacji. Przez dwa lata inwestuje w R&D, zatrudnia specjalistów, buduje przewagę rynkową. Pewnego dnia były pracownik przenosi się do konkurencji – i trzy miesiące później na rynku pojawia się niemal identyczne rozwiązanie. Spółka nie ma żadnej dokumentacji, żadnych podpisanych klauzul poufności, żadnych dowodów. Sprawa jest przegrana jeszcze przed złożeniem pozwu.

Tajemnica przedsiębiorstwa podlega ochronie na podstawie ustawy o zwalczaniu nieuczciwej konkurencji. Aby informacja korzystała z tej ochrony, musi spełniać trzy warunki: mieć wartość gospodarczą, nie być powszechnie znana oraz być objęta realnymi działaniami zachowującymi poufność. Brak choćby jednego z tych elementów powoduje, że sąd odmówi ochrony – bez względu na faktyczną wartość informacji.

Ten artykuł omawia sześć obszarów: podstawy prawne ochrony, kluczowe instrumenty umowne, pułapki procesowe, kwestie transgraniczne, zastosowanie regulacji cyfrowych (AI Act, DORA, RODO) oraz checklist gotowości. Każdy obszar zawiera konkretne wskazówki dla działów prawnych i zarządów spółek.

Jakie informacje chronić i na jakiej podstawie prawnej?

Ustawa o zwalczaniu nieuczciwej konkurencji (u.z.n.k.) definiuje tajemnicę przedsiębiorstwa przez pryzmat trzech kumulatywnych przesłanek. Informacja musi mieć wartość gospodarczą, nie być dostępna dla osób zajmujących się daną dziedziną i być objęta działaniami poufnościowymi. Każda z tych przesłanek musi być spełniona łącznie – brak jednej wystarczy, by pozbawić informację ochrony przed sądem.

Zakres chronionych informacji jest szerszy, niż wiele spółek zakłada. Obejmuje nie tylko receptury i algorytmy, ale też listy klientów, marże kontraktowe, strategie negocjacyjne, plany ekspansji oraz wyniki badań rynku. W praktyce – wiele firm chroni dokumenty techniczne, pomijając dane handlowe, które mają co najmniej równie dużą wartość dla konkurencji.

Równolegle z u.z.n.k. działa RODO (Rozporządzenie UE 2016/679). Dane osobowe klientów lub pracowników włączone do baz stanowiących tajemnicę przedsiębiorstwa muszą być chronione podwójnie – jako tajemnica i jako dane osobowe. PUODO może nałożyć karę niezależnie od postępowania cywilnego. Dla spółek finansowych nakłada się jeszcze DORA (Rozporządzenie UE 2022/2554), która od 17 stycznia 2025 r. wymaga szczegółowego zarządzania ryzykiem ICT, w tym ochrony informacji krytycznych.

Instytucje takie jak UOKiK i KNF śledzą przypadki, w których naruszenie tajemnicy przedsiębiorstwa prowadzi do zakłóceń konkurencji. Jeśli ujawnione informacje dotyczyły warunków przetargów lub cen, sprawa może eskalować do postępowania antymonopolowego. To dodatkowy argument za dokumentowaniem ochrony już na etapie operacyjnym, nie dopiero w momencie naruszenia.

Jakie instrumenty umowne skutecznie chronią tajemnicę?

Umowy o zachowaniu poufności (NDA) to podstawowy, lecz często źle skonstruowany instrument. Skuteczna klauzula poufności powinna precyzować: zakres chronionych informacji, czas obowiązywania (rekomendowane minimum 3 lata po zakończeniu współpracy), dozwolone wyjątki oraz karę umowną. Kara umowna w wysokości od 50 000 do 200 000 PLN za każde naruszenie jest punktem wyjścia – niższe kwoty rzadko odstraszają.

Umowy z pracownikami wymagają osobnej klauzuli poufności, odrębnej od zakazu konkurencji. To odrębne instrumenty prawne o różnych podstawach i różnym zakresie. Klauzula poufności nie wymaga dodatkowego wynagrodzenia, zakaz konkurencji po ustaniu stosunku pracy – już tak, zgodnie z Kodeksem pracy. W praktyce spółki mylą oba instrumenty i tracą ochronę w obu obszarach jednocześnie.

Umowy z podwykonawcami i dostawcami technologii to kolejny słaby punkt. Spółka IT z Warszawy odkryła jesienią 2024 r., że jej podwykonawca API przekazał dane o architekturze systemu trzeciemu podmiotowi. Kontrakt nie zawierał klauzuli poufności obejmującej podpodwykonawców. Szkoda przekroczyła 300 000 PLN, a postępowanie sądowe trwa. Klauzule poufności powinny być kaskadowane na każdy poziom łańcucha dostaw.

Przy umowach SaaS i chmurowych warto zwrócić uwagę na klauzule dotyczące danych przetwarzanych przez dostawcę. Szczegółowe omówienie krytycznych klauzul w tym zakresie zawiera przewodnik o umowach SaaS na polskim rynku. Dostawca chmury z siedzibą poza UE może podlegać obowiązkom ujawnienia danych wobec organów własnego kraju – to ryzyko, które trzeba adresować umownie.

Gdzie najczęściej tracisz ochronę prawną?

Pierwszy i najczęstszy błąd to brak dokumentacji działań ochronnych. Sąd nie domniemywa, że spółka chroniła informacje – musi to udowodnić. Jeśli nie ma polityki poufności, logów dostępu, podpisanych klauzul i szkoleń pracowniczych, trzecia przesłanka u.z.n.k. odpada. Informacja technicznie wartościowa przestaje być tajemnicą w sensie prawnym.

Drugi błąd to nadmiernie szeroki zakres oznaczenia „poufne". Gdy spółka klasyfikuje jako tajemnicę wszystko – od cennika po ogłoszenia prasowe – sąd uzna, że nie ma realnej polityki ochrony. Klasyfikacja powinna być selektywna, udokumentowana i przeglądana co 12 miesięcy. Trzy poziomy: publiczne, wewnętrzne, ściśle poufne – to wystarczający schemat dla większości organizacji.

Trzeci błąd dotyczy postępowania po naruszeniu. Spółka, która odkryje wyciek, ma 3 lata na wniesienie powództwa od momentu, gdy dowiedziała się o naruszeniu i osobie sprawcy (art. 20 u.z.n.k.). Przekroczenie tego terminu zamyka drogę do roszczeń odszkodowawczych. Tymczasem firmy często zwlekają z działaniem, licząc na polubowne rozwiązanie. Każdy tydzień zwłoki osłabia dowody.

Czwarty błąd – nieadresowanie ryzyka AI. AI Act (Rozporządzenie UE 2024/1689), który wszedł w życie 1 sierpnia 2024 r., nakłada obowiązki przejrzystości na systemy wysokiego ryzyka. Jeśli model AI trenowany na wewnętrznych danych spółki zostanie ujawniony lub wykorzystany przez podmiot trzeci, dochodzi do krzyżowania się reżimów: u.z.n.k., AI Act i RODO. Zarządzanie tymi trzema warstwami wymaga zintegrowanej polityki ochrony danych i tajemnicy.

Jak działa ochrona transgraniczna tajemnicy przedsiębiorstwa?

Polska wdrożyła Dyrektywę UE 2016/943 o ochronie tajemnicy przedsiębiorstwa. Oznacza to, że poziom ochrony w Polsce jest porównywalny z innymi państwami UE. Jednak w sporach transgranicznych pojawia się pytanie o prawo właściwe. Jeśli naruszenie nastąpiło przez podmiot z Niemiec lub Czech, polskie przepisy mogą nie wystarczyć – konieczne jest wskazanie prawa właściwego w umowie lub oparcie się na regulacjach unijnych.

Dla inwestorów zagranicznych wchodzących na rynek polski kwestia ochrony tajemnicy pojawia się na etapie due diligence. Spółka, która nie potrafi wykazać systemu ochrony – polityk, umów, rejestru tajemnic – obniża swoją wycenę. W transakcjach M&A z udziałem funduszy PE ta kwestia pojawia się rutynowo w liście pytań prawnych. Brak dokumentacji to sygnał ryzyka operacyjnego.

Dla firm z sektora finansowego DORA nakłada dodatkową warstwę: obowiązek zarządzania ryzykiem ICT i raportowania incydentów do KNF w terminie 4 godzin od wykrycia incydentu krytycznego. Wyciek tajemnicy przedsiębiorstwa przez kanał cyfrowy może jednocześnie stanowić incydent ICT w rozumieniu DORA. Podwójny obowiązek raportowy – do KNF i wewnętrznie – musi być uwzględniony w procedurach.

Spółki działające w modelu IP holdingowym powinny rozważyć, czy prawa do tajemnicy przedsiębiorstwa mogą być przedmiotem licencji lub aportu do funduszu IP. To pytanie łączy się z kwestią IP Box – preferencyjną 5% stawką CIT na kwalifikowane dochody z praw własności intelektualnej. Szczegółowa analiza dostępna jest w przewodniku o IP Box dla firm IT.

Firma produkcyjna z Dolnego Śląska zimą 2025 r. utraciła wyłączność na formułę produktu w Czechach, ponieważ kontrakt z czeskim dystrybutorem nie zawierał klauzuli poufności podlegającej prawu polskiemu. Sąd czeski odmówił ochrony, bo według prawa czeskiego informacja nie była wystarczająco oznaczona. Lekcja: w kontraktach transgranicznych zawsze wskaż prawo właściwe i jurysdykcję.

Checklist gotowości – co sprawdzić przed naruszeniem?

Ochrona tajemnicy przedsiębiorstwa to system, nie jednorazowe działanie. Poniższy checklist pozwala ocenić gotowość organizacji w 5 kluczowych obszarach. Każdy brak to luka, którą można wykorzystać w postępowaniu sądowym lub przy negocjacjach z konkurencją.

  • Rejestr tajemnic: czy spółka prowadzi aktualny wykaz informacji objętych ochroną z datą klasyfikacji i osobą odpowiedzialną?
  • Umowy poufności: czy wszystkie umowy z pracownikami, podwykonawcami i dostawcami zawierają klauzule poufności z karą umowną minimum 50 000 PLN?
  • Kontrola dostępu: czy dostęp do informacji poufnych jest ograniczony technicznie (hasła, logi, szyfrowanie) i dokumentowany?
  • Procedura naruszenia: czy spółka ma plan działania na wypadek wycieku – z wyznaczoną osobą kontaktową, terminem 4-godzinnego raportowania (DORA) i 72-godzinnego (RODO)?
  • Przegląd roczny: czy polityka ochrony tajemnicy jest weryfikowana co 12 miesięcy i aktualizowana po zmianach personalnych lub technologicznych?

Uważamy, że bezpieczniejszym rozwiązaniem jest przeprowadzenie audytu ochrony tajemnicy przed naruszeniem, nie po nim. Koszt audytu to ułamek kosztów postępowania sądowego, które trwa średnio 2–3 lata przed polskimi sądami powszechnymi. Każdy element checklisty, który można uzupełnić dziś, zamyka potencjalną lukę procesową.

Znak towarowy i ochrona danych to instrumenty uzupełniające, nie zamienne. Znak towarowy chroni oznaczenia – nie know-how ani listy klientów. RODO chroni dane osobowe – nie dane techniczne bez przypisania do osoby. Tajemnica przedsiębiorstwa wypełnia przestrzeń między tymi instrumentami i często stanowi jedyną dostępną ochronę dla najcenniejszych aktywów informacyjnych spółki.

Kancelaria IP Warszawa to określenie, które klienci wpisują, szukając wsparcia po fakcie. Lepszym podejściem jest zbudowanie systemu ochrony zanim dojdzie do naruszenia. System nie musi być skomplikowany – musi być konsekwentny i udokumentowany.

Konkretna sytuacja Państwa firmy wymaga oceny, które informacje mają wartość gospodarczą i czy obecna dokumentacja jest wystarczająca do obrony przed sądem. Brak systemu ochrony to nieodwracalna strata pozycji procesowej w momencie naruszenia – odbudowanie jej po fakcie jest wielokrotnie trudniejsze i kosztowniejsze.

Jeśli Państwa spółka przetwarza wartościowe informacje handlowe lub techniczne i nie ma aktualnego rejestru tajemnic ani kompletnych klauzul poufności – przeprowadzimy audyt ochrony, przygotujemy dokumentację i wdrożymy procedury: info@kordeckipartners.com.

Często zadawane pytania

P: Czy tajemnica przedsiębiorstwa chroni informacje, które nie zostały nigdzie zapisane?

O: Tak, ustawa o zwalczaniu nieuczciwej konkurencji nie wymaga, aby informacja była utrwalona na piśmie. Jednak w postępowaniu sądowym to spółka musi udowodnić, że informacja spełniała trzy przesłanki ochrony. Brak dokumentacji oznacza brak dowodów. W praktyce – niezapisana tajemnica jest chroniona prawnie, ale prawie niemożliwa do obrony procesowej.

P: Ile kosztuje wdrożenie systemu ochrony tajemnicy przedsiębiorstwa i jak długo to trwa?

O: Zakres i koszt zależą od wielkości organizacji. Dla spółki zatrudniającej do 50 osób audyt i wdrożenie podstawowego systemu – rejestr, wzory umów, polityka klasyfikacji – zajmuje od 4 do 8 tygodni. Koszt obsługi prawnej wynosi zazwyczaj od 8 000 do 25 000 PLN netto. To wielokrotnie mniej niż koszty postępowania sądowego, które w sprawach o naruszenie tajemnicy przedsiębiorstwa sięgają 80 000–150 000 PLN i więcej.

P: Czy zakaz konkurencji zastępuje klauzulę poufności po odejściu pracownika?

O: To częste nieporozumienie. Zakaz konkurencji ogranicza działalność zawodową byłego pracownika, ale nie zakazuje wprost ujawniania informacji poufnych. Klauzula poufności działa niezależnie i obejmuje konkretne informacje, a nie sferę aktywności zawodowej. Artykuł 11 ustawy o zwalczaniu nieuczciwej konkurencji i przepisy Kodeksu pracy regulują te kwestie odrębnie. Oba instrumenty powinny być stosowane jednocześnie.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do ochrony własności intelektualnej, tajemnicy przedsiębiorstwa i regulacji technologicznych. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.