W przedsiębiorstwie produkcyjnym o przewadze konkurencyjnej nie decydują tylko maszyny, moce produkcyjne czy dostęp do surowców. Równie ważne są informacje, dzięki którym można produkować szybciej, taniej i z lepszą jakością – dokumentacja techniczna, parametry procesów, receptury, projekty konstrukcyjne, prototypy, wyniki badań, algorytmy sterujące, dane o dostawcach, kalkulacje cenowe czy plany rozwoju produktów.
Utrata takich informacji może prowadzić nie tylko do strat finansowych, lecz także do utraty przewagi rynkowej, sporów z kontrahentami, problemów z ochroną patentową albo przejęcia rozwiązań przez konkurencję. Dlatego ochrona własności intelektualnej w przedsiębiorstwie produkcyjnym nie powinna ograniczać się do podpisania umowy o zachowaniu poufności. Powinna tworzyć spójny system obejmujący ludzi, dokumenty, technologie oraz relacje z partnerami zewnętrznymi.
Pierwszym krokiem powinno być ustalenie, jakie informacje i rozwiązania mieszczące się w pojęciu własności intelektualnej mają dla przedsiębiorstwa rzeczywistą wartość gospodarczą.
W zależności od profilu działalności mogą to być między innymi:
Nie wszystkie te informacje będą chronione w ten sam sposób. Część może stanowić przedmiot praw autorskich, część może nadawać się do ochrony patentowej lub rejestracji jako wzór użytkowy albo przemysłowy. Inne informacje mogą być chronione przede wszystkim jako tajemnica przedsiębiorstwa.
Warunkiem skutecznej ochrony tajemnicy przedsiębiorstwa jest jednak nie tylko poufny charakter informacji i jej wartość gospodarcza. Przedsiębiorca powinien również podejmować działania zmierzające do zachowania jej poufności. Oznacza to, że w razie sporu trzeba być przygotowanym do wykazania, jakie konkretne zabezpieczenia organizacyjne, prawne i techniczne zostały zastosowane. Ochrona nie powstaje wyłącznie przez oznaczenie dokumentu słowem „poufne”.
„Wypowiedzenie umowy o pracę uważane jest za konkretne, a więc uzasadnione, gdy a
Częstym błędem jest rozpoczęcie prac od przygotowania rozbudowanego regulaminu poufności, zanim przedsiębiorstwo ustali, jakie dane rzeczywiście posiada, gdzie są one przechowywane i kto ma do nich dostęp. Prawidłowy proces powinien rozpocząć się od audytu obiegu informacji, w ramach którego trzeba sprawdzić, jakie kategorie informacji powstają w poszczególnych działach, które z nich mają znaczenie strategiczne i gdzie są przechowywane. Ważne jest też ustalenie, kto może je przeglądać, kopiować, zmieniać lub przekazywać, czy są udostępniane podmiotom zewnętrznym oraz w jaki sposób można sprawdzić, kto i kiedy uzyskał do nich dostęp. Nie można też zapominać o tym, co dzieje się z dostępami po zmianie stanowiska lub zakończeniu współpracy.
Dopiero na tej podstawie można przygotować zasady odpowiadające rzeczywistym procesom przedsiębiorstwa. Dokument, który nie uwzględnia sposobu działania produkcji, działu badań i rozwoju, utrzymania ruchu, kontroli jakości, zakupów i sprzedaży, pozostanie w praktyce nieskuteczny.
sąd pracy stwierdzi, po przeprowadzeniu postępowania dowodowego, że wskazane przez pracodawcę fakty i rzeczowe okoliczności dotyczące osoby lub zachowania pracownika w procesie świadczenia pracy lub zdarzeń (także niezależnych od niego) wywarły wpływ na decyzję pracodawcy o rozwiązaniu umowy o pracę (wyr. SN z 14.5.1999 r., I PKN 47/99, OSNAPiUS 2000, Nr 14, poz. 548)” (vide: M. Świątkowski, Kodeks pracy. Komentarz, C.H. Beck 2012).
Próba traktowania każdej informacji jako ściśle poufnej najczęściej prowadzi do ignorowania procedur. Pracownicy nie wiedzą wówczas, które dokumenty wymagają szczególnej ostrożności, a które mogą być wykorzystywane w zwykłym obiegu.
Rozwiązaniem jest wprowadzenie przejrzystej klasyfikacji informacji, na przykład:
Każdej kategorii powinny odpowiadać konkretne reguły. Należy określić, kto może uzyskać dostęp, czy dokument może zostać wysłany pocztą elektroniczną, czy można zapisać go na nośniku przenośnym, czy dopuszczalne jest drukowanie oraz jak długo informacja ma być przechowywana.
Klasyfikacja powinna być zrozumiała także dla osób, które nie mają przygotowania prawnego ani informatycznego. Im prostszy system, tym większa szansa, że będzie faktycznie stosowany.
Jedną z najważniejszych zasad jest ograniczenie dostępu zgodnie z rzeczywistymi potrzebami danego stanowiska. Pracownik produkcji nie zawsze musi mieć dostęp do pełnej dokumentacji projektowej. Dostawca komponentów nie powinien otrzymywać całego projektu urządzenia, jeżeli do wykonania zamówienia wystarczy pojedynczy rysunek. Serwisant może potrzebować dostępu do części parametrów maszyny, ale niekoniecznie do receptur produkcyjnych czy danych klientów.
W praktyce warto zastosować zasadę minimalnego dostępu, zgodnie z którą każda osoba otrzymuje wyłącznie te informacje, które są jej niezbędne do wykonania określonego zadania. System zarządzania uprawnieniami powinien przewidywać nadawanie dostępów przez wyznaczoną osobę oraz okresowy przegląd tych uprawnień, a także rejestrowanie pobierania i kopiowania kluczowych plików. Ważne jest również automatyczne wygaszanie dostępów czasowych, niezwłoczne odbieranie uprawnień po zmianie stanowiska lub zakończeniu współpracy, a także stosowanie odrębnych zasad dostępu dla podwykonawców, dostawców i serwisantów.
Szczególnego znaczenia nabiera procedura odejścia pracownika. Powinna ona obejmować nie tylko zwrot sprzętu i identyfikatorów, lecz także zablokowanie kont, odebranie dostępu do chmury, systemów projektowych i repozytoriów, sprawdzenie zwrotu dokumentacji oraz przypomnienie o obowiązkach związanych z poufnością.
W przedsiębiorstwach produkcyjnych pracownicy często uczestniczą w opracowywaniu nowych produktów, usprawnień technologicznych, projektów urządzeń, programów komputerowych lub rozwiązań mogących mieć charakter wynalazczy.
Dlatego dokumentacja pracownicza powinna określać co najmniej:
Samo ogólne postanowienie, zgodnie z którym pracownik zobowiązuje się „nie ujawniać informacji poufnych”, może okazać się niewystarczające. Postanowienia powinny odpowiadać rodzajowi informacji rzeczywiście występujących w przedsiębiorstwie oraz obowiązkom konkretnej grupy pracowników.
Prawo własności przemysłowej zawiera szczególne reguły dotyczące rozwiązań dokonanych przez pracownika w wyniku wykonywania obowiązków ze stosunku pracy albo realizacji innej umowy. Z tego względu zakres obowiązków, procedury zgłaszania rozwiązań oraz zasady dokumentowania prac badawczo-rozwojowych powinny być precyzyjnie uregulowane.
Umowa o zachowaniu poufności powinna być dostosowana do konkretnej współpracy. Innych zabezpieczeń wymaga współpraca z biurem konstrukcyjnym, innych testowanie prototypu przez zewnętrzne laboratorium, a jeszcze innych serwisowanie maszyn przez producenta urządzeń.
Dobrze przygotowana umowa powinna określać, jakie informacje są poufne i w jakim celu mogą być wykorzystywane, a także kto po stronie kontrahenta może otrzymać do nich dostęp i czy kontrahent może korzystać z podwykonawców. Istotne jest również, jak mają być zabezpieczane pliki i dokumenty oraz czy dopuszczalne jest ich kopiowanie i przechowywanie w chmurze. Umowa powinna wskazywać, kiedy informacje powinny zostać zwrócone lub usunięte, jak zgłaszać incydenty, przez jaki czas obowiązuje poufność i jakie są konsekwencje jej naruszenia.
Warto również rozstrzygnąć, czy kontrahent może korzystać z przekazanej wiedzy wyłącznie w celu wykonania umowy, czy również przy realizacji projektów dla innych klientów. W praktyce właśnie brak precyzyjnego określenia celu wykorzystania informacji jest częstym źródłem sporów.
Samo sfinansowanie projektu nie zawsze oznacza automatyczne nabycie wszystkich praw do jego rezultatów. Problem może dotyczyć dokumentacji technicznej przygotowanej przez zewnętrznego konstruktora, oprogramowania sterującego czy projektu formy, narzędzia lub opakowania. Podobne pytania dotyczą rezultatów prac badawczych, prototypu opracowanego wspólnie z dostawcą, usprawnień powstałych podczas wdrożenia oraz modyfikacji wykonanych przez integratora linii produkcyjnej.
Umowa powinna wskazywać, komu przysługują prawa do rezultatów podstawowych, kto może je modyfikować, czy wykonawca może ponownie wykorzystać rozwiązanie, kto posiada prawa do ulepszeń oraz czy przedsiębiorstwo otrzymuje prawa wyłączne, czy jedynie licencję.
Brak takich postanowień może ujawnić się dopiero wtedy, gdy przedsiębiorstwo chce zmienić dostawcę, rozbudować linię, zgłosić rozwiązanie do ochrony albo rozpocząć sprzedaż produktu na nowych rynkach.
Do wycieku informacji nie musi dojść w wyniku działania konkurencji. Częstym źródłem problemów są codzienne zachowania: przesłanie pliku na prywatną pocztę, zapisanie dokumentacji na niezabezpieczonym pendrivie, pozostawienie wydruku w sali konferencyjnej albo udostępnienie całego folderu zewnętrznemu współpracownikowi.
Przedsiębiorstwo powinno jednoznacznie określić, czy dopuszczalne jest korzystanie z prywatnych skrzynek pocztowych oraz na jakich urządzeniach można przetwarzać dokumentację. Ważne jest też wskazanie, jakie nośniki mogą być podłączane do komputerów firmowych i z jakich usług chmurowych wolno korzystać, a także w jaki sposób przesyłać duże pliki i kiedy wymagane jest szyfrowanie. Trzeba również ustalić, czy możliwy jest zdalny dostęp do systemów oraz w jaki sposób należy niszczyć wydruki i nośniki.
Jeżeli przetwarzane informacje obejmują także dane osobowe, zastosowane środki powinny uwzględniać wymagania bezpieczeństwa wynikające z RODO, w tym charakter, zakres i cele przetwarzania oraz poziom ryzyka.
Ochrona informacji w zakładzie produkcyjnym nie może koncentrować się wyłącznie na cyberbezpieczeństwie. Istotne są również zasady dostępu do hali, laboratorium, narzędziowni, magazynu prototypów oraz pomieszczeń działu badań i rozwoju.
W praktyce należy rozważyć podział zakładu na strefy dostępu oraz wprowadzenie identyfikatorów dla pracowników i gości wraz z rejestracją wejść. Warto też wprowadzić obowiązek poruszania się gości z opiekunem, zakaz fotografowania i nagrywania oraz zasady wnoszenia telefonów do stref chronionych. Nie mniej istotne jest zabezpieczenie prototypów i braków produkcyjnych, kontrola wynoszenia dokumentacji i nośników, a także jasna procedura dostępu serwisantów oraz ekip zewnętrznych.
Szczególnie ważne jest postępowanie z odpadami, wadliwymi produktami i elementami prototypowymi. Pozostawione oznaczenia, konstrukcja komponentu lub fragment dokumentacji mogą ujawniać istotne informacje o przygotowywanym rozwiązaniu.
Pracownicy nie stosują skutecznie procedur, których nie rozumieją. Dlatego szkolenia powinny być krótkie, cykliczne i dostosowane do stanowisk. Inne przykłady należy omawiać z pracownikami produkcji, inne z konstruktorami, działem handlowym, zakupami, jakością oraz kadrą zarządzającą.
Skuteczne szkolenie powinno pokazywać, jak rozpoznać informację poufną i komu można ją przekazać, a także czego nie przesyłać na prywatny adres i jak reagować na omyłkowe wysłanie wiadomości. Warto również omówić, jak postępować z gościem lub serwisantem, kiedy zgłosić podejrzane zachowanie oraz dlaczego pozornie nieistotny fragment danych może mieć wartość dla konkurenta.
Celem nie jest wyłącznie wykazanie, że przedsiębiorstwo przeprowadziło szkolenie. Celem jest zmiana codziennych zachowań.
Każde przedsiębiorstwo powinno zakładać, że mimo zastosowanych zabezpieczeń incydent może wystąpić.
Procedura reagowania na incydenty powinna wskazywać:
Szybkość reakcji może przesądzać o możliwości ograniczenia skutków naruszenia oraz zabezpieczenia materiału dowodowego. Improwizowanie dopiero po wykryciu wycieku zwykle prowadzi do utraty czasu i informacji potrzebnych do dochodzenia roszczeń.
Prawna obsługa sektora produkcyjnego powinna rozpoczynać się od poznania jego procesów, a nie od przedstawienia uniwersalnego wzoru umowy. Prawnik zajmujący się własnością intelektualną pomoże ocenić, które rozwiązania nadają się do ochrony patentowej, a które powinny pozostać tajemnicą przedsiębiorstwa.
Zakres obsługi może obejmować między innymi:
W Kancelarii Jurkiewicz świadczymy obsługę prawną zakładów produkcyjnych, wspierając je w budowaniu rozwiązań prawnych dostosowanych do ich technologii, struktury organizacyjnej oraz modelu współpracy z pracownikami, dostawcami i kontrahentami. Celem wdrożenia nie powinno być tworzenie kolejnych dokumentów, lecz ograniczenie ryzyka utraty informacji, które decydują o przewadze konkurencyjnej przedsiębiorstwa.
Autor: Monika Jurkiewicz, radca prawny.
Monika stosuje w pracy zasady lean managemantu i zarządzania projektami, ponieważ wie, że w dobie turbulentnego i mniej przewidywalnego otoczenia każda organizacja poszukuje rozwiązań zwiększających efektywność oraz ograniczających marnotrawstwo, aby osiągnąć przewagę konkurencyjną. Pisze Doktorat na Uczelni Łazarskiego, ale też została certyfikowanym Audytorem ISO Normy 9001:2015.
(+48) 56-622-09-77
biuro@kancelaria-jurkiewicz.pl
ul. Warszawska 4/5 87-100 Toruń
Jeśli chcecie być na bieżąco z najnowszymi artykułami na naszym blogu, serdecznie zapraszamy do zapisania się na nasz newsletter LOVE LABOUR LVOE.
Oferujemy tylko wartościowe treści – bez spamu.