PRAWO INFORMATYCZNE

„Co oznacza Rekomendacja „D” Komisji Nadzoru Finansowego w praktyce?”

noreply@blogger.com (SC) — Sat, 21 Jun 2014 20:37:00 +0000

Wydana przez Komisję Nadzoru Finansowego w styczniu 2013r., na podstawie art. 137 pkt 5 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2012 r. poz. 1376 j.t. z późn. zm.) nowa „Rekomendacja „D” dotycząca zarządzania ryzykami towarzyszącymi systemom informatycznym i telekomunikacyjnym używanym przez banki” zastępuje „Rekomendację D” opracowaną i wydaną w 2002 r. Postęp technologiczny, w szczególności rozwój cloud computing także i w bankowości oraz pojawienie się nowych ryzyk operacyjnych związanych ze stosowaniem IT w bankach sprawiła, że dotychczasowe rozwiązania stały się niewystarczające i zaistniała konieczność nowego uregulowania ochrony przed ryzykami związanych z procesami IT w bankach. Zakres wykorzystania IT w bankowości, w szczególności informatyzacja back-office i front-office sprawił, iż na standardowy podział służb i ryzyk bankowych trzeba nałożyć podział na służby i ryzyka związane z nowymi technologiami. Jednocześnie znacząco zwiększyła się rola tych technologii w systemie funkcjonalnym i biznesowym banku. W konsekwencji ryzyko operacyjne banku, które jest związane z profilem banku i jego rozmiarami zostało odpowiednio zmienione przez wykorzystywane systemy IT. Trzeba to było uwzględnić w Rekomendacji.

Niezależnie od ryzyk związanych w informatyzacją Back-Office i Front-Office do nowych ryzyk doszło w szczególności w skutek rozwoju świadczenia usług w internecie, wdrażania sieciowych systemów centralnych i sieci wiążących banki w skali kraju i świata. Pojawiły się ryzyka włamań do systemu, ryzyka luk systemu, ryzyka przekłamań informacji. Rekomendacja wydana w roku 2002, w oparciu o stan technologii tego okresu, nie mogła być oparciem dla działań minimalizujących ryzyko w roku 2014.

Należy podkreślić, iż w systemie źródeł prawa pozytywnego Rekomendacja „D” nie stanowi źródła prawa, czyli można powiedzieć, że Rekomendacja „D” nie jest „prawem”, ale ze względu na funkcjonowanie organu nadzoru, który będzie badał banki pod kątem zgodności ich systemu zarządzania ich ryzykiem operacyjnym z oczekiwaniami UKNF, wskazane jest dostosowanie systemów zarządzania ryzykiem informatycznym do zapisów Rekomendacji „D”. Komisja Nadzoru Finansowego zakłada, że banki wdrożą Rekomendację w terminie do 31 grudnia 2014 r. Po tym okresie kontrole banków będą obejmowały zgodność zarządzania ryzykiem operacyjnym IT z Rekomendacją „D”.

Rekomendacja „D” zawiera 22 rekomendacje szczegółowe, obejmujące cztery „obszary ryzyk” środowiska teleinformatycznego, a mianowicie:

1) Obszar „strategia i organizacja obszarów technologii informacyjnej i bezpieczeństwa”,

2) Obszar „rozwój środowiska IT”,

3) Obszar „utrzymanie i eksploatacja IT ”,

4) Obszar „zarządzanie bezpieczeństwem IT”.

noreply@blogger.com (SC) — Tue, 29 Nov 2011 16:57:00 +0000

noreply@blogger.com (SC) — Wed, 19 Oct 2011 22:03:00 +0000

Czy wiecie, że już prawie od roku jest dopuszczalne korzystanie z chmury obliczeniowej przez szpitale i inne podmioty lecznicze? Umożliwiło to rozporządzenie Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania.

Zgodnie z jego zapisami jest dopuszczalne przetwarzanie w systemach teleinformatycznych danych dotyczących usługi zdrowotnej pod warunkiem zabezpieczenia prawnego i faktycznego bezpieczeństwa danych.

Ale i de facto i de iure zagadnienie bezpieczeństwa danych w przetwarzaniu cyfrowym jest kluczowym zagadnieniem organizacji procesu przetwarzania.

Niezależnie od sposobu przetwarzania – czy to na własnych serwerach administratora danych, czy to na serwerach przetwarzającego należy zachować normy bezpieczeństwa gwarantujące brak dostępu osób trzecich do danych, a także zabezpieczenie przed utratą czy też przekłamaniem danych. Wymóg ten dotyczy praktycznie każdego serwera, który jest połączony z zewnętrzną siecią informatyczną, bez względu na to czy jest to serwer własny, dzierżawiony czy też udostępniona powierzchnia dyskowa.

noreply@blogger.com (SC) — Sun, 25 Sep 2011 21:13:00 +0000

http://www.youtube.com/watch?v=VjfaCoA2sQk&feature=related

Tym razem lekko
Bezpieczeństwo w chmurze jest najważniejsze! :-)

Informatyka w działalności leczniczej

noreply@blogger.com (SC) — Sun, 25 Sep 2011 19:26:00 +0000

„:Informatyzacja w działalności leczniczej – cele i rozwiązania”.

Rok 2011 w szeroko rozumianym obszarze świadczenia usług zdrowotnych będzie uznany za rok przełomowy. Nie tylko ze względu na wprowadzenie nowych form prawnych świadczenia usług zdrowotnych. Także, a może nawet przede wszystkim, ze względu na podjęcie kompleksowych działań zmierzających do wdrożenia informatyki w usługach zdrowotnych. Uchwalona przez Sejm ustawa z dnia 28 kwietnia 2011r. o systemie informacji w ochronie zdrowia wprowadza nową jakość w systemie przetwarzania informacji w obszarze określanym w nowej terminologii „działalnością leczniczą”. O ile do 2011r. podstawową formą dokumentowania zdarzeń związanych z leczeniem pacjentów była forma papierowej dokumentacji to wspomniana ustawa zakłada przeniesienie całości dokumentacji w sferę elektroniczną. Z czasem ma to doprowadzić między innymi, do dostępności „on line” informacji o stanie zdrowia pacjenta, dzięki czemu proces leczenia może być efektywniejszy i tańszy.

Jednakże tego rodzaju decyzja ustawodawcy od momentu uchwalenia pociąga za sobą różnorakie skutki dla podmiotów leczniczych. Jednym z istotniejszym spośród nich jest konieczność podjęcia decyzji o wyborze oprogramowania, ponieważ musi ono zapewnić stabilne i bezpieczne przetwarzanie i przechowywanie informacji medycznej.

Konsekwencje społeczne Cloud

noreply@blogger.com (SC) — Sat, 24 Sep 2011 21:20:00 +0000

Żywiołowy rozwój usług "Cloud Computing", poza zmianami w technologiach, powoduje coraz częściej uświadamiany nowy model planowania "informatyzacji" przedsiębiorstwa.

Do niedawna zarząd firmy decydujący się na zastosowanie informatyki w pierwszej kolejności zastanawiał się jakie ma możliwości inwestycyjne a następnie mógł ogłosić o zamiarze kupna oprogramowania użytkowego. Pojawiali się przedstawiciele firm softwarowych, którzy roztaczali wspaniałe widoki efektywności ich rozwiązań. Często jednocześnie doradzali jakie zmiany w systemie funkcjonalnym firmy są niezbędne aby uzyskać optymalny wynik. Trwający często długie miesiące proces wdrożenia też wymagał ścisłej współpracy dostawcy i odbiorcy i tworzył możliwości modyfikacji modelu.
W "chmurze obliczeniowej" proces wyboru wygląda inaczej. Zarząd firmy otrzyma różnorakie oferty wykupienia stypizowanych usług. I sam zarząd będzie musiał dopasować zestaw usług do potrzeb przedsiębiorstwa.
Przypuszczam, że już niedługo pojawi się nowy zawód - "cloud consultant" czyli fachowiec, który po przeprowadzeniu audytu potrzeb przedsiębiorstwa będzie mógł zaproponować odpowiedni zestaw usług do nabycia "w chmurze".
I tak, nowa technologia, rodzi nowe korzyści, nowe ryzyka, ale i nowe profesje.

Microsoft kupuje Skype

noreply@blogger.com (Unknown) — Tue, 10 May 2011 13:54:00 +0000

Microsoft ogłosił dzisiaj, że zamierza kupić Skype Inc. za ok. 7-8 miliardów dolarów. Transakcja jest o tyle ciekawa, iż będzie to jedno z niewielu tak dużych przejęć na koncie Microsoftu. Wg. Wall Street Journal Microsoft może wykorzystać Skype'a do wzmocnienia swojej oferty w ramach systemu Lync. Zobaczymy, czy tego rodzaju plan się powiedzie - jakiś czas temu eBay planował "zaprząc" popularny komunikator do swoich celów, co zakończyło się porażką.

Więcej tutaj.

Dodam na marginesie, iż do Skype'a mam sentyment, gdyż wyjątkowo dobrze pracowało mi się z działem prawnym tej firmy w trakcie wdrażania ich systemu u jednego z moich klientów.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Czy chmura obliczeniowa jest bezpieczna?

noreply@blogger.com (Unknown) — Wed, 04 May 2011 13:46:00 +0000

Jak zauważają menadżerowie i decydenci, chmura ma wiele zalet - jest łatwo skalowalna, nie wymaga utrzymywania rozbudowanych działów IT oraz jest przyjazna środowisku. Wielu ekspertów uważa jednak, że cloud computing nie jest środowiskiem bezpiecznym. Z taką opinią spotkałem się osobiście występując na konferencji Virtu GigaCon 2011, zaś podobne głosy słychać było wyraźnie na niedawnej konferencji zorganizowanej przez Pracodawców RP. Firmy nie ufają chmurze, gdyż korzystając z niej tracą bezpośrednią kontrolę nad swoim środowiskiem informatycznym.

Osobiście uważam, iż nieufność wobec chmury jest nieuzasadniona, zaś przemawia za tym twierdzeniem kilka istotnych argumentów. Po pierwsze, większość solidnych dostawców rozwiązań w chmurze opiera swoje systemy o centra danych, które są doskonale chronione – częstokroć zdecydowanie lepiej niż systemy własne (szczególnie w firmach z sektora MSP) – i geograficznie rozproszone.

Bardzo niewielu klientów Amazon, Microsoft czy wręcz naszego rodzimego Comarchu stać na stworzenie tak zaawansowanych data centers na własny użytek. O bezpieczeństwo dbają również mniejsi dostawcy - za przykład posłużyć może firma ISIWIS, której zabezpieczenia posiadają certyfikat PSF wydany przez władze Luksemburga, jeden z najbardziej wymagających i szanowanych atestów na świecie. Utrzymywanie danych we własnych serwerach przypominać może więc w pewnym sensie sytuację, w której firma przechowuje swoje aktywa we własnym sejfie zamiast w banku.

Po drugie, skala rozwiązań w chmurze skutecznie niweluje ryzyko przeglądania danych pojedynczych klientów przez dostawców. Wg. informacji firmy Amazon, na jej rozwiązania hostingowe w chmurze codziennie decyduje się 80 tysięcy nowych klientów. Tego rodzaju liczby gwarantują, iż prawdopodobieństwo tego, że pracownicy Amazonu inwigilują klientów są minimalne. Podobnie sytuacja wygląda u większości dostawców cloud computing, gdyż tylko firmy dysponujące dużymi pulami klientów są w stanie finansowo udźwignąć utrzymywanie infrastruktury, o którą chmura się opiera.

Rzeczywistym ryzykiem, które należy za to brać pod uwagę rozpoczynając przygodę z chmurą, jest ryzyko prawne. Istotnych kwestii do rozważenia jest wiele. Jednym z najważniejszych z nich jest problem przetwarzania danych osobowych. Przetwarzanie danych osobowych w chmurze jest najczęściej incydentalne, lecz pozostaje właściwie nie do uniknięcia, natomiast rygorystyczne przepisy dotyczące ochrony danych osobowych powodują, iż zarówno odbiorca, jak i dostawca narażeni są na ryzyka zarówno cywilno-prawne, jak i prawno-karne.

Ustawa o ochronie danych osobowych z 1997 roku oraz unijna dyrektywa, na kanwie której powstała polska ustawa, nakładają na podmioty zaangażowane w przetwarzanie danych osobowych rozliczne nakazy i zakazy dotyczące poziomów zabezpieczeń, praw dostępu i obowiązków rejestracji zbiorów. Przepisy te nie są dostosowane do w wysokim stopniu zautomatyzowanego i zglobalizowanego modelu chmury, co dodatkowo utrudnia ich stosowanie. Polscy i europejscy ustawodawcy wyjątkowo nieufnie podeszli również wobec wysyłania danych osobowych poza granice Unii - bez konieczności przechodzenia przez biurokratyczne piekło, dane tego rodzaju wysyłać można do kilku wybranych państw, których przepisy dot. ochrony danych sensytywnych Komisja Europejska uznała za wystarczająco surowe. Nie znajdziemy wśród nich najbardziej popularnych lokalizacji dużych data centers - USA, Indii czy Chin i innych krajów Azji Południowo-Wschodniej.

Stwarza to pewne problemy natury strategicznej globalnym dostawcom usług w chmurze, takim jak Microsoft, Google czy Amazon, lecz również międzynarodowym korporacjom, posiadającym chmury prywatne (systemy cloud computing stworzone wyłącznie na potrzeby konkretnej organizacji), których fizyczne serwery zlokalizowane są poza granicami Unii. Wprawdzie istnieją metody prawne pozwalające na obejście tych restrykcji (np. stosowanie tzw. modelowych klauzul umownych Komisji Europejskiej lub amerykańskich certyfikatów Safe Harbor), generują one dodatkowe koszta i przedłużają proces wdrażania chmury.

Obowiązek przestrzegania tych przepisów spoczywa zarówno na dostawcy, jak i odbiorcy usług w chmurze. Wynika to z faktu, iż zarówno podmiot przetwarzający dane osobowe (dostawca), jak i „administrator danych osobowych” (zazwyczaj - odbiorca) odpowiedzialni są za legalność przetwarzania danych osobowych. Wprawdzie cywilnoprawne konsekwencje niespełnienia wymogów prawa wiąże się jedynie z (relatywnie) niskimi karami finansowymi, prawno-karne konsekwencje są znacznie bardziej motywujące do traktowania tego problemu z należytą powagą - administrator danych, którym najczęściej jest członek wyższej kadry menadżerskiej w strukturach odbiorcy, może nawet zostać pozbawiony wolności.

Przykład: Grupa kapitałowa FEBC z siedzibą w Luksemburgu posiada spółki zarejestrowane w rozlicznych krajach Unii Europejskiej oraz kolejną spółkę FEBC India w New Delhi. Zarząd FEBC w Luksemburgu decyduje się na wdrożenie w całej strukturze korporacyjnej systemu informatycznego służącego do zarządzania relacjami z klientami (CRM); system ten ma być osadzony w prywatnej chmurze obliczeniowej, która fizycznie oparta będzie na serwerach znajdujących się w siedzibie spółki FEBC India. Wszystkie bazy klientów zostaną osadzone właśnie w tym systemie.

Przeciętna baza klientów zawiera rozliczne dane osobowe- np. imiona i nazwiska czy numery identyfikacyjne przedstawicieli klientów. W konsekwencji, dane osobowe przedstawicieli klientów europejskich spółek FEBC zostaną przesłane do Indii. Żeby proces ten był zgodny z prawem, FEBC India musi zawrzeć umowy dot. przetwarzania danych osobowych zawierające klauzule modelowe UE z każdą europejską spółką wchodzącą w skład grupy FEBC. Umowy te nałożą na FEBC India obowiązek stosowania poziomów zabezpieczeń odpowiadających rygorystycznym wymogom europejskim.

Abstrahując jednak od tych komplikacji, chmurę obliczeniowa uznać należy za rozwiązanie przyszłościowe. W pewnym sensie jest ona tym, do czego zawsze starałem się dążyć nadzorując informatyzację w bankach - rozwiązaniem, które pozwala na zakup tych, i tylko tych narzędzi, których akurat dana organizacja potrzebuje. Informatyzacja nie jest bowiem celem przeciętnego przedsiębiorstwa, lecz tylko narzędziem pozwalającym na usprawnienie jego działania.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Virtu GigaCon 2011

noreply@blogger.com (Unknown) — Tue, 19 Apr 2011 17:38:00 +0000

Witam!

Wziąłem dzisiaj udział w Virtu GigaCon 2011, wyjątkowo ciekawej konferencji poświęconej wirtualizacji. Wygłosiłem w jej trakcie prelekcję na temat licencjonowania w środowiskach wirtualnych, z której wywiązała się bardzo interesująca dyskusja poświęcona wielu aspektom licencji, m.in. odpowiedzialności cywilnej i karnej za naruszenie tego rodzaju umów. Duże poruszenie wśród słuchaczy wywołał również temat 'międzynarodowej' ochrony praw autorskich oraz zagadnienie praw do kodów źródłowych (rozmawialiśmy m.in. o depozycie kodów, o którym napiszę niedługo szerzej).

Dyskutując o wirtualizacji nie mogliśmy nie wspomnieć przy okazji o chmurze obliczeniowej. W jej kwestii zdania były podzielone – niektórzy goście argumentowali, iż chmura nie gwarantuje bezpieczeństwa danych, zaś inni podchodzili do niej bardzo entuzjastycznie. Ja osobiście zaliczyłbym siebie do tej drugiej kategorii – uważam, iż pod warunkiem, że dostawca chmury zapewni (także umownie!) odpowiadające nam poziomy zabezpieczeń, nasze dane będą w niej najprawdopodobniej tak samo bezpieczne jak w komputerze znajdującym w naszej firmie.

Wracając do wirtualizacji – tutaj zamieszczam bardziej merytoryczny tekst, który przygotowaliśmy w kancelarii na potrzebę konferencyjnego katalogu.

P.S. - Chciałbym pozdrowić wszystkich gości, prelegentów i organizatorów konferencji oraz podziękować za ciekawą, merytoryczną dyskusję. Do zobaczenia przy następnej okazji!

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Licencje na program komputerowy w środowisku wirtualnym

noreply@blogger.com (Unknown) — Tue, 19 Apr 2011 17:37:00 +0000

WSTĘP: LICENCJE

W przypadku programów komputerowych, umowa licencyjna to dokument regulujący prawo do korzystania z z danego programu komputerowego, zawierany najczęściej pomiędzy właścicielem praw autorskich do tego utworu (lub osobą, która ma prawo do rozporządzania tym utworem) a podmiotem, który zamierza zeń korzystać. Licencja, co istotne, nie jest umową przeniesienia praw autorskich, lecz jedynie umową na użytkowanie tych praw.

Kwestia praw autorskich do oprogramowania jest pobieżnie uregulowana w polskiej Ustawie o prawach autorskich i prawach pokrewnych z 1994 roku (UPAiPP). Ustawodawca zarysował w niej najbardziej podstawowe regulacje rządzące prawami twórcy do jego programu, lecz nie odniósł się do mniej oczywistych praktyk i relacji, które dookreślane są cały czas przez prawników, kierujących się analogiami z sytuacjami opisanymi w ustawie oraz ogólnie przyjętymi praktykami biznesowymi. Należy jednak podkreślić, iż rozwój technologii wyprzedza rozwój prawa i dopiero wykładnia i orzecznictwo mogą ukształtować nowe ramy prawne rozwiązań technologicznych.

Jedną z praktyk całkowicie nieobecnych w Ustawie jest wirtualizacja. W chwili uchwalania ustawy nie była ona na tyle szeroko dostępna aby powstała konieczność jej odrębnej regulacji. Jednocześnie, jako że koncepcyjnie nie jest ona w swoim założeniu sprzeczna z Ustawą, wszelkie bardziej szczegółowe kwestie z nią związane są każdorazowo regulowane przy pomocy umów licencyjnych lub wykładni prawnej. Najważaniejsze elementy i aspekty tych umów zostaną przybliżone w niniejszym artykule.

Przed rozpoczęciem analizy problemu należy zwrócić uwagę na podstawowy ekonomiczny sens licencji: producenci oraz resellerzy oprogramowania zarabiają tym więcej, im więcej licencji sprzedają. W najbardziej klasycznym modelu, w którym program zainstalowany być może w jednym tylko komputerze, zależy im na sprzedaży licencji jak największej ilości użytkowników odrębnych komputerów. W przypadku wirtualizacji, założenia ekonomiczne w wyżej opisanym modelu mogą utracić swój podstawowy sens, gdyż program zainstalowany na jednej fizycznej maszynie służyć może wielu użytkownikom. Innymi słowy, wirtualizacja może pomóc ominąć konieczność zakupu wielu licencji.

RODZAJE LICENCJI

Dywagując nad umowami licencyjnymi w kontekście wirtualizacji można zkategoryzować je na kilka sposobów. Niektóre (szczególnie starsze) dokumenty wogóle nie odnoszą się bowiem do wirtualizacji, zaś te nowsze w różny sposób starają się tę kwestię uregulować.

Licencje nie traktujące o wirtualizacji

Tego rodzaju licencje opierają się najczęściej o liczbę „stanowisk pracy” lub o „komputer” (stanowisko nie musi być interpretowane jako fizyczny komputer), na których programy nimi objęte mogą być zainstalowane.

O ile nie budzi wątpliwości teza, iż licencja „na jeden komputer” powinna pozwalać na wielokrotną instalację w środowiskach wirtualnych, to licencja oparta o „stanowisko pracy” może być ograniczona do jednego systemu operacyjnego (licencje typu OEM). Stanowiskiem pracy nie jest wtedy bowiem sam fizyczny komputer ale komputer wraz z zainstalowanymi programami pozwalającymi wykonywać określone zadania w tym w szczególności konkretnym systemem operacyjnym.

Licencje per physical processor

Niektóre licencje, używane dawniej przez takie firmy jak Microsoft czy IBM, opierają się o liczbę procesorów w fizycznym komputerze. Wprawdzie nie muszą one uniemożliwiać wykorzystywania objętych nimi programów w środowisku wirtualnym, zazwyczaj wyraźnie utrudniają poprzez generowanie zbędnych, zawyżonych kosztów.

Dobrym przykładem tego rodzaju licencji są niektóre licencje Oracle. Ich koszt uzależniony jest od ilości procesorów w fizycznej maszynie, niezależnie od tego, jaką ilość procesorów wykorzystuje maszyna wirtualna, w której zainstalowany jest program Oracle. W efekcie, firma korzystająca z objętego tą licencją programu w maszynie wirtualnej wykorzystującej tylko połowę procesorów w maszynie fizycznej, ponosi de facto dwa razy wyższe koszta, gdyż licencja zakupiona musi być na wszystkie fizyczne CPU.

Licencje per virtual processor

Licencje tego rodzaju oparte są o ilość wirtualnych procesorów, czyli procesorów faktycznie wykorzystywanych przez maszynę wirtualną. Jest to dość nowoczesny rodzaj licencji, dobrze dopasowany do realiów wirtualizacji. Należy jednak zwrócić uwagę na fakt, iż licencji tych nie można uznać za najbardziej korzystne z punktu widzenia odbiorcy - w wielu organizacjach zapotrzebowanie na dodatkowe procesory wirtualne cały czas wzrasta, co z kolei zmusza je do dokonywania zakupów kolejnych licencji.

Licencje per user

Tego rodzaju licencje, również wpasowujące się w kontekst wirtualizacji, opierają się o liczbę użytkowników, którzy mają prawo do korzystania z objętych nimi programów. Są to jednocześnie licencje bardzo korzystne dla odbiorców, gdyż nie narażają ich na konieczność tak częstego dokupowania dodatkowych licencji, jak w przypadku licencji per virtual processor. Ze względu na ten fakt, wielu dostawców oprogramowania nie zgadza się na zawieranie tego typu licencji. Nie oznacza to z drugiej strony, iż licencje takie nie istnieją w praktyce - oferuje je m.in. Oracle.

Wyjątkiem od tej zasady jest oczywiście sytuacja, w której organizacja decydująca się na wirtualizację swoich programów na podstawie licencji per user znajduje się w fazie szybkiego wzrostu, wiążącego się z rosnącą ilością pracowników - użytkowników.

KONFLIKT LICENCJI

Niekiedy, postanowienia licencji programu zainstalowanego w środowisku wirtualnym może wykluczyć instalację innych programów. Dochodzi wtedy do konfliktu licencji, którego rozwiązanie może być trudne. W niektórych przypadkach jedynym wyjściem jest zakup droższej wersji licencji, która gwarantuje kompatybilność, lub w przypadku jej braku - próba podjęcia bezpośrednich negocjacji z dostawcą. Zwrócić należy jednak uwagę na fakt, iż szczególnie klienci dokonujący mniejszych zakupów mogą nie mieć realnych szans na wpłynięcie na decyzje dostawców.

Przykładem takiej sytuacji jest próba uaktualnienia systemu Windows XP lub Vista do wersji Windows 7 przy pomocy programu Parallels „Upgrade to Windows 7”, który ułatwia przeprowadzenie procesu aktualizacji oraz umożliwia uruchamianie programów przeznaczonych dla Windows XP (lecz nie działających w systemie Windows 7) w wirtualnym środowisku Windows XP. Konflikt w tym przypadku wynika z faktu, iż licencja uaktualnienia Windows 7 nie zezwala na utrzymywanie na tej samej maszynie fizycznej równoległego systemu Windows XP. Jedynym rozwiązaniem tego konfliktu jest zakup pełnego systemu Windows 7, którego licencja nie zabrania wirtualnej instalacji systemu XP. Problem stanowi fakt, iż licencja na pełny system Windows 7 jest znacznie droższa, niż licencja na aktualizację.

ZARZĄDZANIE LICENCJAMI

Niestosowanie się do postanowień umów licencyjnych skutkować może utratą prawa do korzystania z oprogramowania nimi objętego lub wręcz do odpowiedzialności odszkodowawczej. Oba te scenariusze wiążą się z dużymi kosztami, więc uniknięcie ich powinno stanowić priorytet każdej organizacji. Wiele firm wprowadza w tym celu schematy zarządzania licencjami, w ramach których prawnicy oraz informatycy współpracują ze sobą w celu bieżącej analizy zgodności i zapotrzebowania na zawieranie kolejnych umów.

WIRTUALIZACJA A CHMURA OBLICZENIOWA

Programy komputerowe w środowisku wirtualnym udostępniane w ramach modelu chmury obliczeniowej traktowane są jak SaaS. Wiodącą interpretacją przepisów jest stwierdzenie, iż program zainstalowany w chmurze nie wkracza w domenę umów licencyjnych, jeżeli nie jest on powielany w komputerze odbiorcy. W konsekwencji, zawieranie licencji w takim przypadku nie jest potrzebne, zaś nawet jeżeli strony podpiszą kontrakt nazwany 'licencją', nie będzie on miał prawnych konsekwencji właściwych dla umów tego typu.

Jak stanowi bowiem art. 74 ust.4 pkt.1 UPAiPP, jeżeli korzystanie z programu nie powoduje „trwałego lub czasowego zwielokrotnienia programu komputerowego w całości lub w części jakimikolwiek środkami i w jakiejkolwiek formie” przez użytkownika, nie potrzebna jest licencja. Umowa licencyjna jest wymagana tylko jeżeli użytkownik dokonuje wyżej przedstawionych czynności.

W wielu umowach dotyczących SaaS dostawcy umieszczają klauzulę, która rezerwuje wszelkie prawa autorskie do oprogramowania dla dostawcy (lub autora oprogramowania, jeżeli jest to inny podmiot niż dostawca). Jest to stwierdzenie nieszkodliwe, zaś może być ono nieważne w przypadku, w którym okaże się, iż wbrew twierdzeniom dostawcy program jest zwielokrotniany w trakcie użytkowania przez komputer odbiorcy. Odbiorca wkracza bowiem wtedy w zakres praw autorskich, a co za tym idzie – automatycznie nadawana mu jest „licencja ustawowa” (wynikająca z art 23 ust. 2 UPAiPP), a więc prawo autorskie!

Sytuacja ta jest oczywiście odmienna, jeżeli do uruchomienia SaaS wymagane jest zainstalowanie odpowiedniego programu lub wtyczki w komputerze odbiorcy. Wtedy bowiem stwierdzić można, iż prawie na pewno odbiorca będzie musiał zawrzeć z dostawcą umowę licencyjną przed rozpoczęciem korzystania z programu.

Niektórzy prawnicy twierdzą jednak, iż nawet jeżeli instalacja jakiegokolwiek dodatkowego programu nie jest konieczna w celu rozpoczęcia korzystania z aplikacji SaaS, licencja powinna zostać zawarta. Wynika to z szerokiej interpretacji art. 74 ust. 4 pkt. 1 UPAiPP, według której to nie fizyczna lokalizacja zainstalowanego oprogramowania, lecz zakres korzystania z niego wyznacza granice prawa autorskiego.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Wynagrodzenie ryczałtowe

noreply@blogger.com (Unknown) — Wed, 13 Apr 2011 17:36:00 +0000

Od pewnego czasu toczy się sprawa pewnej firmy (Wykonawca - W), która podpisała umowę ze spółką (Zleceniodawca - Z), na mocy której firma W miała wykonać stosunkowo duże zlecenie przy projekcie prowadzonym przez firmę Z. Problem polegał na tym, iż strony uzgodniły w umowie wynagrodzenie ryczałtowe - kilkanaście milionów złotych - zaś w trakcie wykonywania umowy okazało się, iż same koszta poniesione przez spółkę A są wyższe o kilka dodatkowych milionów. W konsekwencji firmie W grozi upadłość z powodu wykonania umowy.

Sytuacja analogiczna wystąpić może na rynku IT - np. wykonawca systemu informatycznego może podpisać z podwykonawcą umowę przewidującą wynagrodzenie ryczałtowe, które następnie okaże się dramatycznie zbyt niskie. Jest to szczególnie problematyczne w sytuacjach, w których zamawiający co i rusz życzy sobie dodania nowych funkcjonalności systemu.

Kwestia wynagrodzeń ryczałtowych jest regulowana w Kodeksie Cywilnym, a dokładniej - w artykule 632. Jak stanowi art. 632 ust. 1:

"Jeżeli strony umówiły się o wynagrodzenie ryczałtowe, przyjmujący zamówienie nie może żądać podwyższenia wynagrodzenia, chociażby w czasie zawarcia umowy nie można było przewidzieć rozmiaru lub kosztów prac."

Jest to przepis mało korzystny dla przyjmujących zamówienie, gdyż umówienie się na ryczałt skutkuje po prostu dużym ryzykiem. W praktyce, największe kłopoty z tym artykułem mają mniejsze firmy, które zdobywają kontrakty od dużych przedsiębiorstw. Są bowiem one nagminnie 'wpychane' w podpisanie umowy. W konsekwencji, często nie mają one czasu ani okazji na skonsultowanie się z prawnikiem.

Kodeks cywilny oferuje pewne remedium w tego rodzaju przypadkach. Mowa o nim w art. 632 ust. 2:

"Jeżeli jednak wskutek zmiany stosunków, której nie można było przewidzieć, wykonanie dzieła groziłoby przyjmującemu zamówienie rażącą stratą, sąd może podwyższyć ryczałt lub rozwiązać umowę."

Przepis ten jest jednak tylko częściowo przydatny, gdyż odnosi się do sytuacji, w których nieprzewidziana zmiana stosunków następuje przed rozpoczęciem, a przynajmniej przed wykonaniem głównej części zlecenia. W praktyce zaś prawdziwy obraz sytuacji ukazuje się często dopiero na bardzo zaawansowanym stadium prac (zazwyczaj okazuje się, że oszacowanie budżetu, na którym oparty został ryczałt, było zaniżone).

Z tego rodzaju sytuacji bardzo trudno wyjść obronną ręką. Negocjacje wchodzą oczywiście w grę, lecz liczyć się należy z prawdopodobieństwem ich fiaska. Wtedy pozostaje jedynie walka sądowa. Prowadzić ją można między innymi na podstawie art. 58. ust. 2 KC, który stanowi, iż umowa sprzeczna z zasadami współżycia społecznego jest nieważna. Jednocześnie ust. 3 tego przepisu stwierdza, że jeżeli nieważnością jest dotknięta tylko część umowy, umowa ta pozostaje w mocy co do pozostałych jej części, chyba że z okoliczności wynika, iż bez postanowień dotkniętych nieważnością umowa nie mogłaby zostać wykonana.

Interpretacja ta jest potwierdzona uchwałą Sądu Najwyższego z 6 marca 1992 r., sygn akt III CZP 141/91 (OSNCP 6/92, póz. 90), w której uzasadnieniu sąd stwierdził jednoznacznie, że zasady współżycia społecznego „muszą oznaczać przede wszystkim zasadę równości stron stosunków prawnych".

W konsekwencji należy argumentować, iż powołane zapisy umowy naruszające zasadę równości stron są nieważne a tym samym podwykonawcy przysługuje odszkodowanie za straty, jakie poniósł realizując umowę.

Kwietniowe porządki

noreply@blogger.com (Unknown) — Tue, 12 Apr 2011 07:43:00 +0000

Witam!

Ostatnio nie miałem okazji do zbyt częstego zaglądania na bloga - serdecznie za to przepraszam. Nazbierało się w między czasie sporo nowości, które postaram się streścić poniżej. Jutro opublikuję też bardziej merytoryczny post, poświęcony (dość częstym) problemom z umowami opartymi o wynagrodzenie ryczałtowe.

Konferencja "Cloud Computing i jego aspekty prawne"

Nowy termin konferencji został na szczęście w końcu ustalony. Odbędzie się ona 12 maja 2011 roku w sali konferencyjnej biurowca Adgar Plaza. Jest on bardzo dogodnie zlokalizowany - znajduje się przy ulicy Postępu 17A, czyli w sercu mokotowskiego parku biznesowego. Mamy jeszcze parę wolnych miejsc, więc jeżeli ktoś chciałby się zapisać - zapraszam tutaj.

Konferencja "Virtu GigaCon 2011"

W między czasie zostałem zaproszony do udziału w innym przedsięwzięciu: konferencji GigaConu poświęconej wirtualizacji. Zaprezentuję w jej trakcie temat licencji komputerowych w kontekście wirtualnym. Jest to zagadnienie naprawdę bardzo ciekawe, a w dodatku dość życiowe. Postaram się napisać o nim trochę więcej w pewnym momencie! Tym czasem, Virtu GigaCon odbędzie się 19 kwietnia w hotelu Marriott Courtyard (Okęcie).

Ankieta "Joint Venture w IT"

Zainspirowani konferencyjną współpracą z panem Pawłem Ciesielskim, prezesem Asseco Corporate Ventures, postanowiliśmy przeprowadzić wśród polskich przedsiębiorców ankietę dotyczącą ich opinii na temat funduszów venture capital. Badanie jest krótkie (ok 10 minut), a w dodatku po jej wypełnieniu można wylosować książkę "Venture capital w Polsce i w krajach rozwiniętych". Link do ankiety znaleźć można tutaj (regulamin jest za to tutaj).

Konferencja "Reforma Ochrony Prywatności"

noreply@blogger.com (Unknown) — Mon, 14 Feb 2011 09:20:00 +0000

16 grudnia 2010 odbyła się konferencja zorganizowana przez GIODO, UKSW oraz Naukowe Centrum Prawno-Informatyczne, poświęcona przyszłości ochrony prywatności. Poruszono w jej trakcie wiele istotnych kwestii związanych z ochroną danych osobowych w dzisiejszych 'zinformatyzowanych' czasach, o których szerzej napiszę jeszcze nie raz na tym blogu. Jedną z nich była problematyka ochrony danych w chmurze obliczeniowej - temat mi bardzo bliski, gdyż właśnie m.in. o nim będę mówił na nadchodzącej konferencji "Cloud computing i jego aspekty prawne". Cieszę się, iż kwestia regulacji prawnych w chmurze staje się coraz bardziej popularna!

Dyrektywa cookies: uwagi środowiskowe

noreply@blogger.com (Unknown) — Wed, 09 Feb 2011 15:00:00 +0000

Ministerstwo Infrastruktury opublikowało na swojej stronie uwagi do proponowanej implementacji Dyrektywy "Cookies", o której pisałem jakiś czas temu. Jak można było się spodziewać - polskie środowisko telecom nie jest zachwycone tym projektem i wyraźnie preferuje starą, sprawdzoną metodę opt-out.

KIGEiT zauważyła:

"Zbieranie od użytkowników sieci zgody na Cookies (opt-in), a następnie utrzymywanie aktualności danych jest uciążliwe, a przez to kosztochłonne dla operatora. Bardziej racjonalnym rozwiązaniem byłoby wprowadzenie prawa zgłoszenia sprzeciwu przez użytkownika (opt-out) przy obligatoryjnym wpisaniu możliwości stosowania (lub nie) przez operatora Cookies do regulaminu świadczenia usług."

Polkomtel, PIIT oraz PTC mają na tę kwestię podobny pogląd:

"MI proponuje, aby uzyskiwanie dostępu do danych (tj. plików „cookies”) odbywało się po uzyskaniu zgody abonenta lub użytkownika końcowego. Powyższe rozstrzygnięcie stwarza poważne zagrożenie dla rozwoju usług świadczonych w sieci Internet, gdzie wiele serwisów internetowych/portali/sklepów internetowych świadczy usługi przy wykorzystaniu plików „cookies”. Wymóg uzyskania zgody użytkownika/abonenta może spowodować znaczny spadek opłacalność świadczonych usług w Internecie i znaczne ograniczenia zasobów Internetu.

Jednocześnie zauważamy, iż art. 5 ust. 3 Dyrektywy o prywatności i łączności elektronicznej zawiera poniższe stwierdzenie: „Nie stanowi to przeszkody dla każdego technicznego przechowywania danych ani dostępu do nich jedynie w celu wykonania transmisji komunikatu za pośrednictwem sieci łączności elektronicznej, lub gdy jest to ściśle niezbędne w celu świadczenia usługi przez dostawcę usługi społeczeństwa informacyjnego, wyraźnie zażądanej przez abonenta lub użytkownika.”

Powyższe należy rozpatrywać w połączeniu z motywem 66 zmienionej w 2009 roku Dyrektywy o prywatności i łączności elektronicznej, który m.in. mówi:

„[...] Wyjątki od obowiązku udzielania informacji i oferowania prawa do odmowy powinny być ograniczone do tych sytuacji, w których techniczne przechowywanie lub dostęp jest ściśle konieczny do realizacji zgodnego z prawem celu, jakim jest umożliwienie korzystania z określonej usługi, której abonent lub użytkownik wyraźnie zażądał. W przypadku, gdy jest to technicznie możliwe i skuteczne, zgodnie z odpowiednimi przepisami dyrektywy 95/46/WE, użytkownik może wyrazić zgodę na działanie poprzez zastosowanie odpowiednich ustawień w przeglądarce lub innej aplikacji. [...]”

Z powyższego wynika, iż zgoda użytkownika/abonenta nie musi być wymagana w przypadku, gdy jest to niezbędne dla prawidłowego świadczenia użytkownikowi / abonentowi usługi. Ponadto, zgoda ta może być wyrażona w różnej formie np. poprzez zastosowanie odpowiednich ustawie tzw. „przeglądarce internetowej”. W związku z tym wnosimy o uzupełnienie założeń o opisaną wyżej kwestię."

Osobiście zgadzam się z powyższymi uwagami, lecz w świetle licznych komentarzy Grupy Art. 29 (ciała doradczego przy KE), oraz wręcz (bardziej dyplomatycznej) pani komisarz Kroes, pozostanie przy modelu op-out może okazać się trudne. Unia Europejska to piękna i pożyteczna idea, lecz niekiedy tworzy kłopotliwe buble.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

UE uznaje Izrael za bezpieczny

noreply@blogger.com (Unknown) — Wed, 02 Feb 2011 14:29:00 +0000

31 stycznia 2011 roku Komisja Europejska wydała decyzję (2011/61/UE), w której stwierdzono, iż izraelskie prawo zapewnia 'adekwatny' poziom ochrony danych, zgodny z wytycznymi europejskimi. Oznacza to, iż dane osobowe pochodzące z Unii mogą być przetwarzane w Izraelu bez dodatkowych obostrzeń. Izrael dołączył do wąskiej grupy państw znajdujących się poza UE, które uznano za 'bezpieczne'. Należą do niej również m.in. Szwajcaria, Norwegia i Argentyna.

Decyzja Komisji niezwykle ułatwi wiele aspektów prowadzenia interesów pomiędzy przedsiębiorstwami z Unii i Izraela – przykładowo, nie będzie trzeba umieszczać w umowach dot. przekazywania danych klauzuli modelowych UE. Z dobrodziejstw decyzji najbardziej skorzystają przedsiębiorstwa, które posiadają oddziały w obrębie obu terytoriów oraz firmy utrzymujące centra danych w Izraelu. Daje ona także bezprecedensową szansę na rozwój rynku usług w chmurze obliczeniowej świadczonych z Izraela na rzecz firm europejskich.

Decyzja Komisji jest kulminacją ponad trzyletniego procesu, w ramach którego Unia analizowała izraelskie przepisy. Już w drugiej połowie zeszłego roku Grupa Robocza Art. 29, ciało doradcze przy Komisji, wydała opinię aprobującą izraelskie prawo ochrony danych, lecz dopiero formalna decyzja KE jest wiążąca.

Izrael może uznać przyjęcie decyzji za swój duży sukces, gdyż europejskie przepisy dotyczące ochrony danych osobowych należą do najbardziej restrykcyjnych na świecie. Głównym europejskim aktem prawnym regulującym przetwarzania i ochrony tego rodzaju danych jest Dyrektywa 95/46/WE. W Polsce ustawą odnoszącą się do tych kwestii jest Ustawa o ochronie danych osobowych z 1997 roku.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Look & Feel, czyli o ochronie interfejsu

noreply@blogger.com (Unknown) — Mon, 31 Jan 2011 09:35:00 +0000

W latach osiemdziesiątych i dziewięćdziesiątych roiło się na Zachodzie od pozwów dotyczących tzw. "look and feel" w kontekście programów informatycznych. Look and feel to pojęcie odnoszące się do wyglądu i sposobu użytkowania programu, czyli przede wszystkim jego interfejsu. W ostatnich latach pozwy tego rodzaju nieco przycichły (chociaż może powrócą wraz z rozwojem smartfonów?), lecz w Polsce problem ten nadal budzi kontrowersje.

Polski kłopot wynika z faktu, iż w naszym kraju nie zapadły żadne istotne wyroki na ten temat, więc prawnikom pozostaje bazowanie na przepisach Ustawy o prawach autorskich. W dodatku, powoływanie się na wyroki zagraniczne nie jest łatwe, gdyż znakomita większość z nich pochodzi z jurysdykcji amerykańskiej, w której panują zupełnie inne zwyczaje odnośnie look and feel.

Ustawa o prawach autorskich (oparta częściowo na unijnej dyrektywie 91/250/EWG) nie zawiera bezpośredniego mechanizmu ochrony praw do interfejsu. Taka interpretacja została potwierdzona w niedawnym wyroku Trybunału Europejskiego (BSA przeciwko Czeskiemu Ministerstwu Kultury, sprawa nr C-393/09) - sąd orzekł, iż:

"interfejs […] nie stanowi formy wyrażenia programu komputerowego w rozumieniu art. 1 ust. 2 dyrektywy 91/250 (art. 74 ust. 2 polskiej ustawy - przyp. aut.) oraz że w konsekwencji nie może korzystać ze szczególnej ochrony przyznanej na mocy tej dyrektywy programom komputerowym w prawie autorskim.".

Tym niemniej, interfejs uznać można za utwór graficzny, lub ewentualnie słowny (art. 2 ustawy), i jako taki jest on chroniony przez art. 17: "twórcy przysługuje wyłączne prawo do korzystania z utworu i rozporządzania nim na wszystkich polach eksploatacji oraz do wynagrodzenia za korzystanie z utworu.".

Skopiowanie i wklejenie cudzego interfejsu będzie stanowiło naruszenie praw autorskich (z wyjątkiem przypadku dozwolonego użytkowania). Określenie "look and feel" nie zawsze jest jednak takie proste - stwierdzenie kiedy interfejs programu ma "look and feel" innego dzieła powinno odbywać się indywidualnie w kontekście każdego przypadku.

Art. 2 ust. 1 ustawy stanowi, iż "opracowanie" cudzego utworu (interfejsu) nie zmienia faktu, iż efekt tego opracowania wciąż podlega prawu autorskiemu twórcy oryginalnego dzieła. Z drugiej strony, art. 2 ust. 4 stanowi, iż sama "inspiracja" cudzym utworem nie jest jego "opracowaniem". Inspirację odróżnić można od opracowania analizując twórczy charakter dzieła powstałego w wyniku tej inspiracji.

Jak już wspomniałem, nie ma polskich wyroków, które pomogłyby w bardziej szczegółowym rozróżnieniu inspiracji od opracowania w kontekście interfejsów programów. Nie życzę nikomu, żeby na jego skórze sąd dokonał pierwszej w kraju analizy tego problemu, więc radzę ostrożnie podchodzić do inspirowania się cudzymi interfejsami ;)

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Cloud computing i Forum Ekonomiczne w Davos

noreply@blogger.com (Unknown) — Sat, 29 Jan 2011 14:29:00 +0000

Podczas Światowego Forum Ekonomicznego odbywającego się w Davos dyskutowano o chmurze obliczeniowej. Jak donosi pan Piotr Waszczuk z Computerworld, Neelie Kroes, unijna komisarz odpowiedzialna za agendę cyfrową, przedstawiła założenia polityki UE mające na celu promocję chmury obliczeniowej w Europie. W swoim przemówieniu wspomniała m.in., iż należy stworzyć również ramy prawne przyjazne chmurze (jak na razie UE ma z tym pewne problemy!). To jednak nie jedyna wzmianka o chmurze.

Na stronie www Forum znaleźć można także bardzo ciekawy raport dot. cloud computing. Wynika z niego, iż kwestie takie jak ochrona danych osobowych, bezpieczeństwo informacji, zgodność rozwiązań z przepisami prawnymi czy tzw. vendor lock-in stanowią najważniejsze bariery rozwoju europejskiego rynku usług w chmurze. Tematy te zostaną poruszone podczas konferencji, o której wspominałem wczoraj.

A oto pouczający wykres pochodzący ze wspomnianego raportu.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Open Software Licence v.3

noreply@blogger.com (Unknown) — Sat, 29 Jan 2011 09:32:00 +0000

Zetknąłem się niedawno z dość ciekawą licencją - Open Software Licence v.3. Jest to licencja stworzona w 2005 roku przez Lawrence'a Rosen'a, szefa działu prawnego organizacji Open Source Initiative. Czemu tak mnie zaciekawiła? Po pierwsze, dlatego, iż po prostu wcześniej się z nią nie spotkałem (po przeprowadzeniu krótkiego 'zwiadu' okazało się, że faktycznie nie jest specjalnie popularna). Po drugie, dlatego, iż charakteryzuje się kilkoma ciekawymi cechami.

Jednym z powodów jej małej popularności jest zapewne jej restrykcyjna natura. Po pierwsze, jest to licencja typu copyleft - każdy program, który zawiera nawet jedynie elementy nią objęte, musi być dystrybuowany na jej warunkach. Po drugie, co jeszcze dziwniejsze - umowa ta wymaga, by dystrybutor objętego nią programu podjął "rozsądne kroki" w celu uzyskania od swoich odbiorców wyraźnej zgody na jej warunki.

Co oznacza stwierdzenie "rozsądne kroki" nie do końca wiadomo (licencja nie zawitała jeszcze do sądu), ale na pewno nie znaczy ono, iż dystrybutor jest zobowiązany do pozyskania zgody odbiorcy na przyjęcie warunków OSL. Z drugiej strony, programu objętego OSL 3 nie można raczej wstawić na serwer FTP 'do ściągania'.

Na koniec trzecia cecha, która w realiach polskich jest raczej ciekawostką - jeżeli jakakolwiek strona umowy licencyjnej OSL v.3 wytoczy pozew przeciw licencjodawcy lub któremukolwiek innemu licencjobiorcy w związku z rzekomym naruszeniem patentu przez program objęty tą licencją, umowa z tą stroną jest automatycznie rozwiązywana. Postanowienie to wynika z faktu, iż patenty na oprogramowanie są w USA zmorą fanów Open Source (w Polsce programów się nie patentuje).

A tutaj znajdą Państwo link do tekstu licencji.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Konferencja: cloud computing i jego aspekty prawne

noreply@blogger.com (Unknown) — Fri, 28 Jan 2011 17:36:00 +0000

Witam!

Chciałbym zaprosić Państwa na konferencję poświęconą prawnym aspektom chmury obliczeniowej. Omówione zostaną w jej trakcie zagadnienia związane z umowami i gwarancjami na usługi w chmurze oraz problematyka przetwarzania i ochrony danych. Na konferencji wystąpią Pan Paweł Ciesielski, prezes Asseco Corporate Ventures, Pan Paweł Skowroński, ekspert KPMG ds. ochrony danych, Pan Dr. Thomas Helbing, niemiecki ekspert prawa IT oraz ja.

Nasi goście otrzymają w prezencie kopię raportu "Cloud computing i jego aspekty prawne" przygotowanego przez prelegentów.

Konferencja odbędzie się 2 marca w warszawskim hotelu Sheraton. Jej patronami są: Bankier.pl, Computerworld, Decyzje-IT.pl, ERP-view.pl, IT-portal.pl, Prawnik.pl, Radio PIN oraz Superstacja.

Więcej informacji tutaj.

Do zobaczenia!

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Cloud computing: kto wpada w szpony UE?

noreply@blogger.com (Unknown) — Thu, 27 Jan 2011 09:00:00 +0000

W chmurze obliczeniowej roi się od danych osobowych - przedsiębiorstwa przechowują w jej środowisku bazy danych dot. ich pracowników czy listy klientów, zawierające ich imiona i nazwiska, numery telefonów, a również niekiedy np. numery PESEL. Z punktu widzenia prawnego może to sprawy odrobinę komplikować: Unia Europejska, której członkiem jest Polska, podchodzi bardzo restrykcyjnie do problemu bezpieczeństwa danych osobowych.

Dyrektywa 95/46/WE dot. ochrony danych osobowych ('Dyrektywa') oraz jej polska inkarnacja, Ustawa o ochronie danych osobowych ('UODO'), ograniczają m.in. swobodę przesyłania tego rodzaju danych do krajów, które nie oferują "adekwatnych poziomów bezpieczeństwa" (czyli właściwie wszystkich państw, z wyjątkiem państw członkowskich UE, Szwajcarii, Lichtensteinu, Norwegii, Islandii, Argentyny i Kanady). Oczywiście istnieją sposoby na obejście tych restrykcji, ale o tym napiszę kiedy indziej. Dzisiaj skoncentruję się na zakresie stosowania tych przepisów wobec dostawców rozwiązań w chmurze.

Analizując Dyrektywę oraz UODO natrafić można na dwie kategorie podmiotów, które przetwarzają dane osobowe:

Administratora, który kontroluje cel i środki przetwarzania, oraz
Podmiot przetwarzający, który pojawia się, jeśli administrator zleci mu przetwarzanie

W praktyce, administratorem jest zazwyczaj odbiorca rozwiązań w chmurze (użytkownik), zaś podmiotem przetwarzającym - ich dostawca. Oczywiście istnieją od tej zasady wyjątki, ale dla uproszczenia przyjmę powyższy układ.

UODO jest nieco dziwną ustawą, gdyż wynikające z niej obowiązki dotyczą nie tylko podmiotów operujących na terytorium RP. Jak stanowi art. 3 ust. 2 UODO, jej przepisy stosuje się również wobec podmiotów, które nie mają siedziby w Polsce, ale przetwarzają dane osobowe używając 'urządzeń technicznych' zlokalizowanych w jej granicach. Urządzeniami technicznymi są m.in. serwery, lecz wg. niektórych interpretacji, mogą być nimi nawet pliki cookies.

Z UODO nie wynika jasno, czy powyższe założenia odnoszą się wyłącznie do administratora danych, czy też także do podmiotu przetwarzającego. Dyrektywa, na której nasza ustawa się opiera, jest w tym względzie bardziej klarowna: art. 4 ust. 1 pkt. c wyraźnie odnosi się do administratora. Tym niemniej, Peter Hustinx, Europejski Inspektor Ochrony Danych, stwierdził 13 kwietnia ubiegłego roku, iż art. 4 ust. 1 odnosi się także do podmiotu przetwarzającego.

Jak widać nawet z tego krótkiego (i wybiórczego) wpisu, kwestia przetwarzania danych osobowych w chmurze jest dość skomplikowana. Z jednej strony, dostawcom cloud zależy na jak najmniejszych ograniczeniach w tej kwestii, z drugiej zaś - Unia bardzo rygorystycznie podchodzi do tych zapędów. Po środku, jak zwykle, są prawnicy.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Fuzje i przejęcia w chmurach [CP]

noreply@blogger.com (Unknown) — Mon, 24 Jan 2011 09:30:00 +0000

Napisałem niedawno krótki artykuł na temat fuzji i przejęć na rynku dostawców rozwiązań w chmurze obliczeniowej, który ukaże się w jutrzejszym wydaniu magazynu Computerwolrd. Opisałem w nim podstawowe zagadnienia związane z transakcjami M&A oraz zwróciłem uwagę na pewne szczególne kwestie, które pojawić się mogą w procesach, w których stronami są firmy technologiczne.

Czytaj więcej »

Dyrektywa Cookies nadchodzi

noreply@blogger.com (Unknown) — Mon, 24 Jan 2011 09:00:00 +0000

W listopadzie 2009 roku Unia Europejska przyjęła tzw. pakiet telekomunikacyjny, reformujący liczne gałęzie europejskiego prawa telekomunikacyjnego i internetowego. Stał się on sławny przede wszystkim ze względu na kwestię 'odcinania użytkowników-piratów od sieci', lecz nie tylko ten jego element zasługiwał na uwagę.

Bardzo interesującą kwestią jest też nowa regulacja dotycząca plików cookies. Podstawową funkcją cookies jest przechowywanie prostych informacji o użytkowniku (np. jego haseł i nazw), lecz pliki te pozwalają również na śledzenie go, np. w celach marketingowych (w tzw. systemach reklamy behawioralnej, takich jak Google Adwords).

DYREKTYWA: PODSTAWY

Akt prawny regulujący cookies to dyrektywa 2009/136/WE ('Nowa Dyrektywa'), wprowadzająca pewne zmiany do starej dyrektywy 2002/58/WE. Dyrektywa to dość nietypowy rodzaj aktu prawnego, który na kraje członkowskie UE nakłada obowiązek wprowadzenia określonych przezeń przepisów prawnych.

Dyrektywa najczęściej nie dotyczy więc w żaden sposób osób fizycznych lub prawnych, a jedynie nadaje kierunek reformom wewnątrz poszczególnych państw. Co istotne, państwa członkowskie nie muszą 'przepisywać' słów dyrektywy, a jedynie oddać ich intencję we własnych regulacjach. Przepisy wynikające z Nowej Dyrektywy muszą być wprowadzone do praw krajowych do 25 maja 2011 roku.

Artykuł 2 ust. 5 pkt. 3 rzeczonej dyrektywy brzmi następująco: „Państwa członkowskie zapewniają, aby przechowywanie informacji lub uzyskanie dostępu do informacji już przechowywanych w urządzeniu końcowym abonenta lub użytkownika było dozwolone wyłącznie pod warunkiem, że dany abonent lub użytkownik wyraził zgodę zgodnie z dyrektywą 95/46/WE po otrzymaniu jasnych i wyczerpujących informacji, między innymi o celach przetwarzania.

Nie stanowi to przeszkody dla każdego technicznego przechowywania danych ani dostępu do nich jedynie w celu wykonania transmisji komunikatu za pośrednictwem sieci łączności elektronicznej, lub gdy jest to ściśle niezbędne w celu świadczenia usługi przez dostawcę usługi społeczeństwa informacyjnego, wyraźnie zażądanej przez abonenta lub użytkownika.”

COOKIES TO DANE OSOBOWE?

Warto zaznaczyć, iż artykuł 5 ust. 3 zawiera odniesienie do innej głośnej unijnej dyrektywy – tej dotyczącej ochrony danych osobowych (95/46/WE). Jest to kolejny sygnał, iż pewne informacje przechowywane w niektórych plikach cookies traktowane być mogą przez prawo Unii Europejskiej jako dane osobowe, a więc wymagające szczególnej ochrony.

Interpretacja taka niesie ze sobą pewne bardzo istotne skutki. Jako że informacje pochodzące z plików cookies wędrują najczęściej do reklamodawców (np. firmy Google w przypadku reklam AdWords), stają się oni administratorami danych osobowych w rozumieniu dyrektywy 95/46/WE oraz polskiej ustawy o ochronie danych osobowych z 1998 roku. Nakłada to na nich liczne obowiązki wymienione w tej ustawie, oraz utrudnia przekazywanie tych danych poza granicę Unii Europejskiej (dla własnego bezpieczeństwa reklamodawcy powinni założyć, iż wszystkie zbierane przez nich pliki cookies zawierają dane osobowe).

Odniesienie do dyrektywy 95/46/WE logicznie łączy się nie tylko z wymogiem wyrażenia zgody na otrzymywanie plików cookies przez użytkownika, lecz także z wymogiem otrzymania przez niego informacji o celach przetwarzania. Administrator danych osobowych musi bowiem poinformować właściciela tych danych o celach ich przetwarzania zanim tego przetwarzania dokona. Należy tu zaznaczyć, iż wymóg ten stawiany przez Nową Dyrektywę odnosi się do wszystkich plików cookies (nie tylko tych zawierających dane osobowe), a więc w pewnym sensie rozszerza on typowy jak na razie dla danych osobowych wysoki poziom ochrony na inne 'poufne' dane.

Grupa Robocza Artykułu 29 ds. Ochrony Danych, unijne ciało doradcze, opublikowała w czerwcu 2010 roku opinię na ten temat, w której stwierdzono, iż „[j]ako że reklamy behawioralne opierają się na wykorzystaniu identyfikatorów umożliwiających tworzenie bardzo szczegółowych profili użytkowników, w większości przypadków uznawanych za dane osobowe, (…) świadoma zgoda może zostać uzyskana jedynie po podaniu użytkownikowi informacji o wysyłaniu plików cookie i jego celach.” Wprawdzie opinie Grupy Roboczej nie są prawnie wiążące, stanowią istotną wskazówkę interpretacyjną dla państw członkowskich.

OPT IN – OPT OUT

Mówiąc językiem laika, artykuł 5 ust. 3 nakłada na państwa członkowskie obowiązek wprowadzenia przepisów, które wymagać będą od m.in. internetowych reklamodawców uzyskania od użytkowników stron www wyraźnej, uprzedniej zgody na przesyłanie im plików cookies. Podobny obowiązek istniał już do tej pory w formie 'opt out' – użytkownicy musieli mieć możliwość wyłączenia w swoich przeglądarkach opcji odbierania plików cookies.

Nowa Dyrektywa wprowadziła jednak zamęt, gdyż interpretować ją można jako zmianę w kierunku modelu 'opt-in', według którego użytkownik musiałby za każdym razem wydać zgodę na otrzymywanie cookies. Potwierdziła to opinia Grupy Roboczej Artykułu 29, w której stwierdzono, iż „mechanizmy opt-in, wymagające działania użytkownika w celu wykazania zgody przed przesłaniem mu pliku cookie, lepiej spełniają wymogi art. 5(3).” Początkowo, obawiano się, iż oznaczałoby to powstanie np. 'wyskakujących okienek', przeciw którym wypowiedziała się jednak nawet Neeli Kroes, unijny komisarz do spraw prywatności w sieci.

Tym niemniej, w kwestii formy mechanizmów opt-in nie osiągnięto konsensusu. Grupa Robocza Art. 29 stwierdziła, iż najlepszym rozwiązaniem będzie umieszczenie w witrynach www wyraźnych przycisków pozwalających na ustosunkowanie się do przyjmowania plików cookies (nie wiadomo na razie, czy obowiązek ten spocznie na właścicielach stron czy dostawcach systemów reklamowych, jak sugerują niektóre organizacje branżowe). Pojawiły się również sugestie, iż to producenci przeglądarek internetowych powinni wprowadzić tę funkcję w swoich produktach.

Nie ustalono także, w jaki sposób użytkownik miałby być informowany o celach przetwarzania jego danych. Grupa Robocza w swojej opinii zaznaczyła, iż „najskuteczniejszym sposobem spełnienia tego wymogu jest podawanie podstawowych informacji bezpośrednio na ekranie, w sposób interaktywny, wyraźnie widoczny i łatwo zrozumiały. Istotne jest, by informacje były łatwo dostępne i wyraźnie widoczne. Najistotniejsze informacje nie mogą być ukryte w ogólnych warunkach świadczenia usług czy polityce prywatności.”

Nowa Dyrektywa wzburzyła sektor reklamowy. Przeciw jej założeniom wypowiedziała się m.in. organizacja Interactive Advertising Bureau, zrzeszająca takie koncerny jak Facebook czy Google. Nowe prawo nie podoba się również wielu użytkownikom sieci, którzy obawiają się, iż przeglądanie zasobów internetu stanie się uciążliwe.

POLSKA INTERPRETACJA

W Polsce nowe przepisy zostaną zawarte w nowelizacji Ustawy prawo telekomunikacyjne. Wprawdzie nie znane jest jeszcze jej brzmienie, Ministerstwo Infrastruktury opublikowało na początku stycznia 2011 dokument przedstawiający jej założenia. Możemy w nim przeczytać następujące odniesienie do kwestii cookies:

Zmiany w art. 173 wynikają z potrzeby właściwej implementacji znowelizowanego art. 5 ust. 3 Dyrektywy 2002/58/WE o prywatności i łączności elektronicznej, w zakresie przechowywania danych informatycznych, w szczególności plików tekstowych, w urządzeniach końcowych abonentów lub użytkowników końcowych (tzw. „cookies”).

Zasadnicza zmiana polega na wyraźnym wskazaniu (w art. 173 ust. 1), że dane takie mogą przechowywać zarówno podmioty świadczące usługi drogą elektroniczną, jak również przedsiębiorcy telekomunikacyjni. Ponadto, podkreśla się, że niezbędna jest w takim przypadku zgoda abonenta lub użytkownika końcowego, a nie jak obecnie - jedynie poinformowanie go o takim przechowywaniu danych w jego urządzeniu końcowym (art. 173 ust. 1 pkt 2)."

Niestety, wypowiedź ta w niewielki sposób klaryfikuje podejście polskiego ustawodawcy do praktycznych rozwiązań, które będzie należało wprowadzić. Jak wynika z analizy komunikatów wydanych przez odpowiednie instytucje w innych krajach członkowskich, możliwości interpretacyjnych jest bardzo wiele.

SZERSZA PERSPEKTYWA

Dyrektywa 2009/136/WE wpisuje się idealnie w politykę prowadzoną przez Unię Europejską, zakładającą zapewnianie bardzo wysokiego poziomu ochrony prywatności w sieci. Odzwierciedla również trend, w ramach którego informacje zawarte w plikach cookies są uznawane za dane osobowe, które powinny być chronione zgodnie z prawem ochrony danych osobowych (także wyjątkowo rozbudowanym w UE).

Tym niemniej, jej treść budzi pewne kontrowersje. Pomijając fakt, iż ze względu na jej ambiwalentne zapisy istnieje małe prawdopodobieństwo harmonizacji prawa w tej dziedzinie na terytorium Unii, przepisy wprowadzane dyrektywą 2009/136/WE mogą naruszyć równowagę pomiędzy ochroną danych osobowych a praktycznością korzystania z Internetu. Dyskusyjnym jest również podejście Unii do kwestii ochrony danych osobowych w czasach, gdy rzesze użytkowników internetu świadomie wyzbywa się swojej prywatności korzystając z serwisów społecznościowych i innych 'darów' Web 2.0.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

TMT w 2011 roku

noreply@blogger.com (Unknown) — Fri, 21 Jan 2011 18:36:00 +0000

Firma doradcza Deloitte przygotowała niedawno bardzo ciekawy raport poświęcony prognozom na rok 2011 w sektorze TMT (Technology, media, telecom). Wprawdzie poświęcony jest on kwestiom nie do końca związanym z tematyką niniejszego bloga, na pewno stanowi interesujący materiał dla każdego entuzjasty rozwiązań IT w biznesie.

Mowa jest w nim między innymi o nowych trendach w sprzedaży na rynku urządzeń komputerowych. Wg. Deloitte, sprzedaż komputerów stacjonarnych będzie stanowić mniej niż 50% sprzedaży w tym sektorze, zaś prym wieść będą tablety i smartphony. Gadżety te stają się coraz bardziej popularnym narzędziem pracy (jak donosi Wyborcza, iPady stały się hitem wśród... niemieckich posłów!), chociaż wiąże się to z pewnymi problemami - w działach IT wzrośnie zapotrzebowanie na specjalistów znających się już nie tylko na obsłudze PC.

Analitycy z Deloitte wskazują również na inną kwestię - dotychczasowo, tablety były przeważnie kupowane i używane przez pracowników w ich własnej gestii (co z kolei stanowi ciekawy problem prawny z punktu widzenia wewnętrznych regulaminów bezpieczeństwa). Jeżeli pracodawcy zdecydują się na 'odgórne' wyposażenie swoich kadr w tego rodzaju gadżety, będą musieli dobrze zastanowić się nad wyborem odpowiednich urządzeń. W niektórych firmach tablety z wbudowanymi kamerami mogą okazać się bowiem niezwykle przydatne (np. do wideokonferencji), zaś w innych priorytetem będzie np. wielkość ekranu.

Firmowy zakup tabletów to oczywiście taka sama transakcja handlowa, jak nabycie zwykłych komputerów - będziemy więc mieć do czynienia z umowami sprzedaży, a niekiedy z umowami leasingu lub najmu. Przed ich podpisaniem warto starannie przeanalizować postanowienia dotyczące serwisowania i gwarancji kupowanego sprzętu, oraz zapoznać się z licencjami na zainstalowane w nim oprogramowanie.

Na koniec podcast Deloitte:

(This podcast is © 2011 Deloitte Global Services Limited, or a member firm of Deloitte Touche Tohmatsu Limited, or one of their affiliates. - Wszelkie prawa do tego podcastu należą do Deloitte Global Services Limited lub firmy zrzeszonej w ramach Deloitte Touche Tohmatsu Limited, lub jednego z jej oddziałów)

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Prawo to ciekawy temat

noreply@blogger.com (Unknown) — Tue, 18 Jan 2011 15:51:00 +0000

Tym razem wpis na trochę inny temat. Zamieściłem niedawno kilka swoich artykułów w portalu Nowoczesna Firma (nf.pl) i z zaskoczeniem zauważyłem, iż moje krótkie opracowanie dot. aspektów prawnych open source jest w tym tygodniu najchętniej czytanym artykułem w serwisie. Cieszę się, że dość niszowe tematy prawnicze też mogą być popularne!

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!

Nie ufać umowie?

noreply@blogger.com (Unknown) — Tue, 18 Jan 2011 15:37:00 +0000

Tak jak większość prawników specjalizujących się w obsłudze transakcji na rynku IT, często podkreślam wagę zawierania odpowiednio skonstruowanych umów, starannie opisujących planowane działania. Znakomita przewaga sporów związanych z procesami wdrożeniowymi wynika bowiem właśnie z niejasno skonstruowanych kontraktów i nieprecyzyjnie określonych oczekiwań i zobowiązań stron. Tym niemniej...

Tym niemniej, kontrahenci nie powinni pokładać nadmiernej ufności w zawierane umowy - niestety, jak wynika z obserwacji rynku, zapisy umowne są dość często łamane. Przeważnie wynika to z nierealistycznych założeń konkretnych postanowień, lecz zdarzają się również przykłady umyślnego wyrządzania szkody. Dobrym przykładem tej drugiej kategorii jest głośny przypadek rzekomego wykradania kodów należących do teksańskiej spółki 2FA przez firmę Passlogix, należącą do koncernu Oracle.

REPUTACJA (NIEKIEDY) NIE GRA ROLI

Firmy 2FA i Passlogix były partnerami biznesowymi – współpracowały przy opracowywaniu rozwiązań z zakresu bezpieczeństwa informatycznego. Zgodnie z umową, Passlogix miał ograniczony dostęp do kodów 2FA i nie miał prawa do tworzenia produktów konkurencyjnych do tych sprzedawanych przez 2FA.

Jak twierdzi teksańska korporacja, spółka Passlogix kontrakt po prostu złamała. Sprawa trafiła do sądu, przed którym 2FA domaga się od byłego partnera odszkodowania w wysokości 100 milionów dolarów. Jeżeli oskarżenia okażą się zasadne, spółka zapewne otrzyma przynajmniej część żądanych pieniędzy, lecz proces trwać będzie najprawdopodobniej kilka lat.

Przykład ten ilustruje dwa istotne problemy. Po pierwsze – umowa nie przeszkodziła w powstaniu sporu, pomimo iż obie jej strony to szanowane spółki z dużym kapitałem. Po drugie – spór trafił do sądu, co oznacza, iż obie firmy naraziły się na długie i kosztowne postępowanie. Nawet jeżeli po werdykcie jednej ze stron zostaną zwrócone koszta, nastąpi to dopiero po kilku latach od ich rzeczywistego poniesienia. Należy pamiętać, iż wiele firm nie dysponuje odpowiednimi środkami potrzebnymi do prowadzenia długich sądowych batalii.

KARY UMOWNE LEKARSTWEM?

W wielu umowach związanych z informatyką napotkać można liczne postanowienia określające kary umowne; odnieść można wręcz wrażenie, że kara umowna jest cudownym lekarstwem na bolączki umowne. Niestety, nic bardziej mylnego.

Po pierwsze, kara umowna działa na zasadzie warunkowej – jeżeli strona A dokona jakiejś czynności (lub jej zaniecha), będzie musiała wypłacić określoną sumę stronie B. Problem w tym, iż udowodnienie 'zawinionej' czynności strony A nie jest zawsze zadaniem prostym. A to oznacza, że przed otrzymaniem z pozoru automatycznie wypłacanej sumy trzeba będzie przejść przez proces sądowy lub arbitrażowy.

Po drugie, kara umowna może być wypłacona tylko przez kontrahenta, z którego można odpowiednią sumę zwindykować. O ile zawieranie umów z dużymi korporacjami gwarantuje przeważnie, iż będą one mogły wypłacić zasądzone kwoty, o tyle wiele mniejszych firm może nie być w stanie tego dokonać.

ROZSĄDEK I ROZWAGA

Jedyną prawdziwą odpowiedzią na pytanie o gwarancję bezpieczeństwa w transakcjach jest stwierdzenie, iż takowej po prostu nie ma. Powodzenie współpracy zależy od wielu rzeczy, zaś jedną najważniejszych z nich jest (niestety mało przewidywalny) 'czynnik ludzki'. Można jednak zabezpieczyć się na jak największej ilości płaszczyzn: opracować rozsądną umowę, która promuje współpracę zamiast antagonizmu, zapoznać się z referencjami i sytuacją finansową rozważanych kontrahentów, a następnie temu wybranemu dać jak najmniej okazji do złamania umowy.

***

Jeśli chcielibyście Państwo otrzymywać powiadomienia o nowych wpisach, zapraszam do skorzystania z subskrypcji RSS lub newslettera!