Nielegalne oprogramowanie w firmie rzadko zaczyna się od świadomego „piractwa na dużą skalę”. Częściej problemem jest program zainstalowany w pośpiechu, nieaktualna ewidencja licencji, klucz użyty po odejściu pracownika albo dodatkowe stanowisko, którego nikt nie uwzględnił w subskrypcji. Skutki mogą jednak wykraczać poza porządkowanie IT: firma może mierzyć się z roszczeniami licencyjnymi, kosztami uzupełnienia braków, audytem, a w określonych sytuacjach także z odpowiedzialnością karną. Dlatego najpierw warto ustalić, czy chodzi o błąd w zarządzaniu licencjami, czy o świadome korzystanie z programu bez uprawnienia.
1. Rozróżnij błąd w zarządzaniu licencjami od przestępstwa komputerowego
Granica między niedopatrzeniem a umyślnym naruszeniem prawa
Niedopatrzenie to sytuacja, w której firma kupiła licencje, ale nie wie, na ilu stanowiskach program naprawdę działa. Przestępstwo komputerowe zaczyna się tam, gdzie ktoś uzyskuje program komputerowy bez zgody uprawnionego, żeby oszczędzić na zakupie albo przyspieszyć pracę. Różnica nie leży w nazwie pliku. Leży w świadomości, celu i korzyściach majątkowych.
Wyobraź sobie dwa biurka. Na pierwszym leży faktura i umowa licencyjna, a na dysku jest o jedną instalację za dużo, bo nikt nie zdjął konta po odejściu pracownika. Na drugim ktoś wkleił crack albo numer seryjny z forum, bo „i tak nikt nie sprawdzi”. Pierwszy przypadek to problem zarządczy i cywilny. Drugi może być już sprawą karną. Organy i producenci nie muszą przyjąć Twojej wersji „nie wiedziałem” tylko dlatego, że brzmi spokojnie.
Świadomość buduje się z drobiazgów: maila od informatyka, że „klucz nie przechodzi”, komunikatu aktywacji, polityki zakazującej instalacji bez zgody, a także z tego, że program był używany do płatnych zleceń. Im więcej takich śladów, tym trudniej tłumaczyć instalację przypadkiem.
Konsekwencje karne i przepisy, które wracają w aktach
W praktyce wracają dwa filary. Pierwszy to art. 278 § 2 Kodeksu karnego: uzyskanie programu komputerowego bez zgody osoby uprawnionej w celu osiągnięcia korzyści majątkowej jest zagrożone karą przewidzianą za kradzież, czyli pozbawieniem wolności od 3 miesięcy do 5 lat. Drugi to ustawa o prawie autorskim i prawach pokrewnych, która daje uprawnionemu roszczenia cywilne, a przy niektórych czynach także odpowiedzialność karną za rozpowszechnianie utworu bez uprawnienia.
Korzyść majątkowa nie musi oznaczać sprzedaży pirackiej kopii na boku. Wystarczy, że firma oszczędza na legalnym zakupie i dzięki temu realizuje zlecenia, wycenia projekty albo utrzymuje stanowiska pracy. Dlatego argument „nikt na tym nie zarabiał, to tylko narzędzie wewnętrzne” bywa słaby. Narzędzie, bez którego nie powstaje faktura dla klienta, ma wartość majątkową.
To nie jest indywidualna ocena prawna konkretnej instalacji. Kwalifikacja zależy od dowodów, daty czynu, liczby stanowisk i tego, czy program w ogóle podlega ochronie jak utwór. Przy wątpliwościach potrzebna jest analiza adwokata lub radcy, a nie ogólny opis z internetu.
Kto odpowiada personalnie
Odpowiedzialność nie zatrzymuje się na pieczątce spółki. Przy przestępstwie odpowiada osoba, która program uzyskała albo współdziałała: informatyk, który wgrał kopię, kierownik, który kazał „załatwić to bez faktury”, czasem członek zarządu, jeśli z akt wynika, że wiedział i godził się na taki sposób pracy.
W spółce kapitałowej brak majątku na koncie nie zamyka sprawy osobom z zarządu. Roszczenia cywilne idą zwykle do przedsiębiorcy, ale postępowanie karne może dotyczyć konkretnych ludzi. Użytkownik, który sam zainstalował program na służbowym laptopie, też nie jest niewidzialny. „To nie mój komputer, to sprzęt firmy” nie wymazuje śladu konta, z którego poszła instalacja.
Dlatego polityka IT ma sens dopiero wtedy, gdy da się pokazać, kto mógł instalować oprogramowanie, kto to akceptował i co działo się po wykryciu nadmiarowej kopii. Brak takiej ścieżki przenosi winę w górę organizacji szybciej, niż zarząd się spodziewa.
Realia dowodowe: skąd bierze się „wiedzieli”
Śledczy i biegły nie zaczynają od filozofii. Zaczynają od dysku, rejestru, logów aktywacji, historii przeglądarki, poczty i backupów. Świadomość pracodawcy wynika często z prostych rzeczy: zgłoszenia w helpdesku, screena z komunikatem „nielicencjonowana kopia”, faktury za sprzęt bez odpowiadającej faktury za program albo wiadomości „wrzuć ten klucz, bo licencja firmowa się skończyła”.
Donos byłego pracownika bywa iskrą, nie całym dowodem. Potem liczy się to, co zostało na nośnikach. Kasowanie plików po wezwaniu wygląda gorzej niż sama nielegalna instalacja. Utrudnianie zabezpieczenia dowodów może stać się osobnym problemem, niezależnie od sporu o licencje.
2. Przelicz ryzyko finansowe: dwukrotność wynagrodzenia i koszty uboczne
Mechanizm naliczania roszczeń na gruncie art. 79 Prawa autorskiego
Uprawniony, którego autorskie prawa majątkowe naruszono, może żądać między innymi zaniechania naruszenia, usunięcia jego skutków oraz naprawienia szkody. Obok zwykłego odszkodowania ustawa przewiduje możliwość żądania zapłaty sumy odpowiadającej wielokrotności stosownego wynagrodzenia, które w chwili dochodzenia roszczenia byłoby należne za udzielenie zgody na korzystanie.
Przez lata w obiegu była formuła dwukrotności, a przy zawinionym naruszeniu trzykrotności. Wyrok Trybunału Konstytucyjnego z 23 czerwca 2015 r. (SK 32/14) uznał za niekonstytucyjny fragment dotyczący trzykrotności. W sporach po tym orzeczeniu nie należy więc automatycznie przyjmować „potrójnej licencji” jako pewnego żądania. Dwukrotność i naprawienie szkody na zasadach ogólnych nadal wracają w wezwaniach i pozwach, ale konkretna podstawa zależy od aktualnego brzmienia przepisu, daty naruszenia i linii orzeczniczej. Tu łatwo o błąd, jeśli ktoś kopiuje stary wzór pisma z sieci.
Dlaczego producenci liczą „stosowną opłatę”, a nie cenę z promocji
Stosowne wynagrodzenie to niekoniecznie najtańsza promocja ze sklepu w dniu kontroli. Producent wskazuje zwykle cennik, który odpowiada sposobowi użycia: stanowisko, serwer, użytkownik nazwany, subskrypcja roczna albo licencja sieciowa. Jeśli program pracował dwa lata na pięciu stanowiskach, żądanie nie brzmi „oddajcie jedną puszkę z wyprzedaży”. Brzmi: zapłaćcie za okres bezprawnego korzystania tak, jakby zgoda została udzielona na tych warunkach.
Druga warstwa to mnożnik z art. 79. Stąd bierze się hasło o dwukrotności opłaty licencyjnej. Do tego dochodzi żądanie zaniechania, czasem publikacji oświadczenia albo informacji o orzeczeniu. Dla małej firmy boleśniejsza bywa nie sama wielokrotność, tylko zestawienie: zaległe licencje plus kara umowna z kontraktu plus koszt prawników po obu stronach.
Nie da się uczciwie podać jednej kwoty „typowego odszkodowania”. Zależy od produktu, liczby kopii, okresu i tego, czy spór kończy się ugodą. Ugoda bywa tańsza niż proces, ale podpisana w panice, bez inwentaryzacji, potrafi objąć programy, których firma wcale nie używała.
Jeśli chcesz pogłębić ten wątek, sprawdź też: Licencjonowanie Microsoft 365 i Office 2021: praktyczne scenariusze dla firm i szkół.
Ukryte koszty, których nie widać w cenniku
Poza roszczeniem licencyjnym zostają koszty, które nie mieszczą się w jednej fakturze od producenta. Opinia biegłego z informatyki, zaliczki, dojazdy, przechowywanie zabezpieczonych nośników, publikacja informacji o sprawie w piśmie branżowym, jeśli sąd tak orzeknie, oraz czas ludzi wyłączonych z projektów. Do tego dochodzi utrata klienta, który w umowie ma klauzulę o legalności narzędzi albo audyt swojego łańcucha dostaw.
Jest jeszcze koszt wizerunkowy wewnątrz firmy. Pracownicy zaczynają ukrywać instalacje zamiast je zgłaszać. To dokładnie odwrotny efekt od tego, którego potrzebuje zarząd po pierwszym sygnale z zewnątrz.
Zabezpieczenie sprzętu i paraliż operacyjny
W postępowaniu karnym prokurator może wnioskować o zabezpieczenie nośników, na których mogą być dowody. Zajęcie serwera albo kilku stacji roboczych nie jest metaforą. To brak dostępu do poczty, projektów CAD, księgowości albo kopii zapasowych, jeśli wszystko siedziało na jednym hoście bez legalnego, odseparowanego backupu.
Firmy, które trzymają jedyną kopię danych na komputerze z wątpliwym oprogramowaniem, płacą dwa razy: raz sporem o licencję, drugi raz przestojem. Legalny, aktualny backup poza maszyną objętą ryzykiem nie „czyści” naruszenia, ale ogranicza skalę paraliżu. Kasowanie dysków po wezwaniu tego nie załatwia i może zostać odczytane jako działanie przeciwko postępowaniu.
3. Zrozum, kto puka do drzwi: audyt producencki a kontrola organów ścigania
Różnice między weryfikacją kontraktową a postępowaniem karnym
Audyt licencyjny i wizyta policji to dwa różne światy, choć oba mogą zacząć się od tego samego podejrzenia. Audyt Microsoft, Oracle, Autodesk czy innego dostawcy wynika zwykle z umowy, warunków EULA albo programu Software Asset Management. To weryfikacja, czy użycie mieści się w zakupionych uprawnieniach. Postępowanie karne prowadzi prokuratura, a czynności na miejscu wykonuje policja, czasem z biegłym. Tu nie negocjuje się „okresu na uzupełnienie braków” tak jak w piśmie od producenta.
Pomylenie tych trybów jest częstym błędem. Ktoś traktuje pismo od organizacji zbiorowego zarządzania albo od pełnomocnika producenta jak grzecznościową ankietę i odpisuje ogólnikami. Albo odwrotnie: na wezwanie kontraktowe reaguje jak na przeszukanie i odmawia wszystkiego, łamiąc obowiązki z własnej umowy. Każdy z tych ruchów pogarsza pozycję.
Skąd bierze się sygnał: donos, telemetria, organizacje takie jak BSA
Sprawy rzadko zaczynają się od losowej kontroli „z ulicy”. Częściej jest zgłoszenie byłego pracownika, konkurenta albo klienta, który zobaczył nielicencjonowany program na prezentacji. Drugie źródło to telemetria samego oprogramowania: nieudana aktywacja, powtarzające się klucze, instalacje volume bez serwera licencji. Organizacje takie jak BSA The Software Alliance występują w imieniu części producentów i wysyłają wezwania do wyjaśnień albo do zakupu brakujących licencji.
Samo wezwanie nie jest wyrokiem. Jest zaproszeniem do pokazania uprawnień albo do ugody. Ignorowanie go bywa droższe niż odpowiedź po inwentaryzacji. Pośpieszne „kupujemy wszystko, co wymienili w piśmie” też bywa drogie, bo lista z wezwania nie zawsze pokrywa się z realnym użyciem.
Prawa i obowiązki przy audycie umownym
Zakres audytu wynika z tego, co firma podpisała: umowy Enterprise, Microsoft Customer Agreement, warunków Autodesk, Oracle czy innej EULA. Typowe obowiązki to udostępnienie danych o instalacjach, współpraca w rozsądnym terminie i powstrzymanie się od niszczenia zapisów. Typowe granice to brak prawa do swobodnego buszowania po całej firmie bez podstawy w umowie oraz ochrona tajemnicy przedsiębiorstwa i danych osobowych osób trzecich.
Zanim ktokolwiek wpuści audytora do sieci, warto przeczytać klauzulę audytową z prawnikiem: termin, zakres produktów, poufność, kto ponosi koszt, co się dzieje przy rozbieżności. Odpowiedź powinna opierać się na faktach z inwentaryzacji, nie na deklaracji „u nas wszystko jest legalne”. Deklaracja bez spisu licencji nie broni się w zestawieniu z logami.
4. Zrób inwentaryzację, zanim ktokolwiek odpowie na wezwanie
Pierwsza praktyczna reakcja to spis, nie deklaracja. Zbierz, co faktycznie stoi na stacjach, serwerach i maszynach wirtualnych: nazwa produktu, edycja, liczba instalacji, sposób aktywacji i okres używania. Obok połóż to, co firma naprawdę posiada: faktury, numery umów, klucze przypisane do konta, potwierdzenia subskrypcji i maile o przeniesieniu licencji.
Przykład: wezwanie wymienia dziesięć stanowisk programu graficznego. Po spisie okazuje się, że trzy to instalacje testowe usunięte rok temu, dwie należą do podwykonawcy na jego sprzęcie, a pięć ma pokrycie w umowie rocznej, tylko pod inną nazwą handlową. Bez tego zestawienia firma albo kupuje za dużo, albo odpiera zarzut gołosłowiem.
Sens jest prosty: odpowiedź ma wynikać z różnicy między użyciem a uprawnieniem, nie z pamięci informatyka. Spis róbcie na kopii danych i w pliku, który da się później pokazać prawnikowi. Nie poprawiaj przy okazji historii instalacji.
5. Zabezpiecz dane operacyjne, ale nie ruszaj śladów instalacji
Jeśli praca firmy wisi na jednym serwerze albo na laptopach z wątpliwym oprogramowaniem, zrób legalną kopię danych biznesowych na nośnik poza tym sprzętem: poczta, projekty, księgowość, umowy. Kopia ma uratować ciągłość pracy, nie „posprzątać” komputer.
Przykład: biuro projektowe trzyma rysunki tylko na stacji, na której ktoś doinstalował nielicencjonowaną wtyczkę. Po zabezpieczeniu nośnika zespół nie otwiera plików klienta przez tydzień. Osobny backup projektów, zrobiony wcześniej i opisany datą, pozwala dokończyć zlecenie na legalnym stanowisku. Skasowanie wtyczki po otrzymaniu pisma tego nie załatwia i wygląda jak usuwanie śladów.
Praktyczny sens: rozdzielcie dane firmy od programu, o który jest spór. Nie formatujcie dysków, nie czyśćcie rejestru, nie oddawajcie laptopów do „serwisu z czyszczeniem” i nie każcie pracownikom wynosić sprzętu do domu. Jeśli pojawi się policja albo biegły, wskażcie, gdzie są kopie, i nie utrudniajcie zabezpieczenia.
Przy planowaniu kolejnych kroków pomocny może być tekst: Legalność korzystania z AI w tworzeniu muzyki – licencje audio.
6. Wyznacz jedną osobę do kontaktu i zamknij wewnętrzny szum
Wezwanie nie powinno krążyć po całym zespole jako plotka. Zarząd wskazuje jedną osobę: zwykle ktoś z IT razem z prawnikiem albo pełnomocnikiem. Ta osoba zbiera pytania audytora, pilnuje terminu i oddaje jedną, spójną odpowiedź. Pracownicy dostają krótkie polecenie: nie instalować nic nowego, nie usuwać programów, zgłaszać każdy nietypowy kontakt z zewnątrz.
Przykład: producent dzwoni do handlowca, bo ten figuruje na fakturze za sprzęt. Handlowiec „dla świętego spokoju” mówi, że programów jest „ze dwadzieścia, kupowane lata temu”. Ta liczba wraca później w piśmie jako przyznanie stanu używania. Jedna ścieżka kontaktu ucina takie przypadkowe przyznania.
Sens: audytor i organ mają rozmawiać z kimś, kto zna zakres pisma i umie powiedzieć „odpowiemy po sprawdzeniu”. Reszta firmy ma pracować, nie negocjować.
7. Z prawnikiem ustalcie, na co wolno odpowiedzieć, a czego nie oddawać
Zanim wyślecie eksport z narzędzia skanującego, pokażcie pismo adwokatowi albo radcy, który ogarnie i umowę licencyjną, i ochronę danych. Chodzi o trzy rzeczy: termin, zakres żądania i to, czy w logach nie ma tajemnicy klienta albo danych osobowych bez podstawy do przekazania.
Przykład: audytor prosi o „pełny skan sieci”. W eksporcie widać nie tylko pakiet biurowy, ale też nazwy projektów klienta z branży obronnej i konta pracowników. Prawnik zawęża przekaz do produktów objętych klauzulą audytową, resztę anonimizuje albo odmawia z powołaniem się na umowę i przepisy o danych. Inaczej wygląda pismo od prokuratury: tam nie wystarczy powołanie się na EULA, a zakres czynności wynika z postanowienia, nie z dobrej woli firmy.
Praktyczny sens: konsultacja na starcie jest tańsza niż sprostowanie pochopnego maila. Prawnik ma też ocenić, czy w ogóle jest spór licencyjny, czy już materiał dla organów. Tę ocenę zostawcie jemu, nie szablonowi z internetu.
8. Odpowiadajcie faktami, terminem i propozycją uzupełnienia braków
Na pismo producenta odpowiedzcie w terminie z umowy albo z wezwania, nawet jeśli spis nie jest jeszcze idealny. Da się napisać krótko: potwierdzamy odbiór, wskazujemy osobę kontaktu, podajemy datę przekazania zestawienia i prosimy o doprecyzowanie listy produktów. Milczenie jest gorsze niż odpowiedź „sprawdzamy”.
Przykład: firma ma 14 dni. W 10. dniu wysyła tabelę: osiem stanowisk z fakturą, dwa bez pokrycia, jedno sporne co do edycji. Do spornego dołącza pytanie, który cennik audytor przyjmuje. Brakujące dwie licencje kupuje dopiero po potwierdzeniu, że to ten produkt i ten okres, a nie „wszystko z załącznika”. Przy piśmie od organu ścigania terminu nie negocjuje się mailowo. Stawiennictwo, wydanie nośników i odpowiedzi na pytania idą przez pełnomocnika, zgodnie z wezwaniem.
Sens: pokazujecie współpracę tam, gdzie umowa jej wymaga, i nie finansujecie cudzej listy życzeń. Każde twierdzenie w odpowiedzi powinno mieć ślad: fakturę, umowę, zrzut z panelu licencyjnego albo wynik inwentaryzacji z datą.
9. Po sprawie zamknijcie furtkę, którą weszło naruszenie
Gdy bieżące pismo jest pod kontrolą, ustawcie zasadę na przyszłość: instaluje tylko IT albo zatwierdzony portal, pracownik nie wgrywa programów „na chwilę”, a odejście z pracy uruchamia zdjęcie konta i sprawdzenie stanowiska. Raz na kwartał porównujcie liczbę instalacji z liczbą uprawnień, zanim zrobi to ktoś z zewnątrz.
Przykład: po odejściu grafika jego licencja zostaje przypisana do konta, a na nowym laptopie ktoś stawia kopię z pendrive’a. Kwartalny raport pokazuje dwa użycia przy jednym prawie. Firma przenosi uprawnienie albo dokupuje stanowisko, zamiast czekać na kolejne wezwanie.
To nie zastępuje obrony w już otwartej sprawie. Ogranicza następną: wiadomo, kto instalował, kto akceptował i gdzie leżą dowody zakupu.
10. Zepnij pięć ruchów w jedną ścieżkę, zanim minie termin pisma
Gdy wezwanie już leży na biurku, nie dokładaj nowych zasad „na zapas”. Ułóż to, co firma ma zrobić w tej sprawie, w jednej kolejności i przypisz do każdego kroku właściciela oraz datę.
- Inwentaryzacja na kopii. IT spisuje produkt, edycję, liczbę użyć i sposób aktywacji, a księgowość dokłada faktury, umowy i subskrypcje. Plik dostaje datę i nie jest „poprawiany” po fakcie.
- Kopia danych, nie sprzętu. Projekty, poczta i księgowość idą na osobny, opisany nośnik. Dyski, rejestry i historia instalacji zostają nietknięte.
- Jeden kontakt. Zarząd wskazuje osobę, która odbiera telefony i maile. Reszta zespołu nie podaje liczb, nie oddaje laptopów i zgłasza każdy kontakt z zewnątrz.
- Konsultacja przed eksportem. Prawnik widzi pismo i proponowany zakres danych, zanim cokolwiek wyjdzie z firmy. On decyduje, co wynika z umowy, a co z wezwania organu.
- Odpowiedź ze śladem. W terminie idzie jedno pismo: osoba kontaktu, tabela użycie–uprawnienie, brakujące pozycje i pytanie tylko tam, gdzie edycja albo okres są sporne.
Przykład: spółka ma 14 dni. W dniu 2. jest spis i kopia projektów, w dniu 4. prawnik zawęża eksport, w dniu 9. wychodzi tabela z dwoma brakami i jednym pytaniem o edycję. Nikt po drodze nie „dopisuje” licencji w panelu ani nie kasuje stanowiska, którego nie ma na fakturze.
Sens tej ścieżki jest operacyjny: każdy ruch ma właściciela, termin i dokument, który da się później pokazać. Po zamknięciu pisma ta sama kolejność zostaje w procedurze IT, już bez trybu awaryjnego.
Sprawdź w 30 minut, czy firma ma problem licencyjny
Zanim odpowiesz na wezwanie albo zaczniesz porządkować instalacje, zbierz podstawowe dane. Nie usuwaj programów, kont ani historii aktywacji — najpierw udokumentuj stan faktyczny.
- Lista instalacji: spisz program, edycję, wersję, urządzenie i użytkownika.
- Lista uprawnień: zbierz faktury, umowy, zamówienia, potwierdzenia subskrypcji i dane z paneli producentów.
- Porównanie: zestaw liczbę faktycznych użyć z liczbą licencji oraz sprawdź, czy dana licencja obejmuje właściwy typ użycia.
- Status kont: zweryfikuj konta byłych pracowników, urządzenia wycofane z użycia i licencje przypisane do konkretnych osób.
- Ślady decyzji: zabezpiecz korespondencję dotyczącą zakupu, aktywacji, odmów zakupu lub zgłoszeń o problemach z licencją.
W sprawie nielegalnego oprogramowania najgorsza jest improwizacja: kasowanie instalacji, dopisywanie licencji po fakcie i sprzeczne odpowiedzi pracowników. Firma powinna najpierw ustalić stan użycia, zabezpieczyć dokumenty i dane, wyznaczyć jeden kanał kontaktu oraz skonsultować zakres odpowiedzi z prawnikiem. Dopiero potem warto uzupełniać braki i wdrażać zasady, które ograniczą ryzyko powtórki. Szybkie, uporządkowane działania nie cofają naruszenia, ale mogą zdecydować o tym, czy sprawa pozostanie pod kontrolą.