Platforma SaaS w UE

Architektura prawna platformy SaaS

Prawnicy z kancelarii adwokackiej ARROWS na co dzień zajmują się właśnie tą podstawową problematyką. W UE istnieją bowiem dwa kluczowe podmioty: administrator danych osobowych (ten, kto decyduje, jak i w jakim celu dane są wykorzystywane) oraz podmiot przetwarzający (ten, kto przetwarza dane w imieniu administratora zgodnie z jego poleceniami). 

W przypadku rozwiązań SaaS sytuację komplikuje fakt, że administratorów może być kilku, przy czym operator platformy SaaS występuje jako administrator na przykład wtedy, gdy zarządza kontami użytkowników swoich klientów na potrzeby fakturowania.

Z drugiej strony, jeżeli Państwa klienci korzystają z platformy, aby wprowadzać do niej i przetwarzać dane osobowe swoich pracowników, klientów lub partnerów handlowych, wówczas administratorem jest Państwa klient, a Państwo są podmiotem przetwarzającym. Dlatego kluczowe jest jasne określenie tej pozycji w każdej umowie – nie tylko dlatego, że wymaga tego art. 28 RODO, lecz także po to, by było jasne, kto ponosi odpowiedzialność w razie incydentu.

Sytuacja komplikuje się jeszcze bardziej, gdy do gry wchodzą podmioty trzecie. Jeśli na przykład Państwa platforma SaaS działa w chmurze globalnego dostawcy, dostawca ten staje się kolejnym podmiotem przetwarzającym (podprzetwarzającym). Muszą Państwo zawrzeć z nim odrębną umowę powierzenia przetwarzania, która musi zapewniać wystarczające gwarancje ochrony danych. Przy konfigurowaniu DPA, ról administratora/podmiotu przetwarzającego i odpowiedzialności w łańcuchu dostawców pomocna może być specjalizacja w zakresie RODO

. W praktyce zdarza się, że wielu operatorów SaaS całkowicie pomija ten łańcuch, a podczas kontroli lub incydentu okazuje się, że nie mają oni wiedzy o tym, kto ma dostęp do danych klientów.

RODO a SaaS: kiedy przetwarzanie danych jest zgodne z prawem

Przetwarzanie danych osobowych w środowisku SaaS nie jest czynnością prawnie neutralną. RODO ustanawia jasną zasadę: bez tytułu prawnego (tzw. podstawy prawnej) przetwarzanie jest zabronione. Oznacza to, że jeśli chcą Państwo przechowywać dane pracowników, zbierać adresy e-mail klientów lub rejestrować adresy IP, muszą Państwo mieć podstawę prawną dla każdego z tych celów. W przypadku produktów SaaS warto jednocześnie dobrze przygotować dokumenty umowne (zwłaszcza OWU, postanowienia licencyjne i DPA), co zazwyczaj należy do obszaru umów i negocjacji.

RODO przewiduje sześć podstaw prawnych. W praktyce w środowisku SaaS najczęściej stosuje się cztery podstawy prawne: wykonanie umowy, wypełnienie obowiązku prawnego, prawnie uzasadniony interes oraz zgodę osoby, której dane dotyczą. Właśnie w obszarze podstaw prawnych kryje się jedno z największych ryzyk, ponieważ wielu dostawców SaaS błędnie zakłada, że może wykorzystywać dane w dowolny sposób.

Na przykład „ulepszanie usługi” z wykorzystaniem danych klientów wymaga starannej oceny, czy chodzi jeszcze o prawnie uzasadniony interes, czy też konieczna jest anonimizacja danych. Prawnicy z kancelarii adwokackiej ARROWS rutynowo zajmują się tą problematyką i znają praktyczne granice tzw. testów równowagi (oceny prawnie uzasadnionego interesu), które muszą Państwo przeprowadzić i udokumentować, jeśli opierają się Państwo na tej podstawie.

Główne obowiązki przy przetwarzaniu danych osobowych

Gdy mają już Państwo podstawę prawną, czeka Państwa szereg dalszych obowiązków. Muszą Państwo prowadzić Rejestr czynności przetwarzania (zgodnie z art. 30 RODO), w którym dla każdego procesu odnotowują Państwo cel, kategorie danych, okres przechowywania, odbiorców i środki bezpieczeństwa. Jeśli Państwa aplikacja SaaS wykorzystuje elementy AI uczące się na podstawie interakcji użytkowników, należy wyraźnie określić w rejestrze ten cel i związane z nim ryzyka.

Ponadto muszą Państwo realizować obowiązek informacyjny za pomocą tzw. Polityki prywatności (Privacy Policy), w której w zrozumiały sposób przekazują Państwo użytkownikom, jak postępują z ich danymi. W praktyce oznacza to, że jeśli użytkownik skorzysta z prawa do usunięcia danych, muszą Państwo być technicznie w stanie rzeczywiście usunąć go z bazy danych.

Jednym z ważnych obowiązków jest ocena skutków dla ochrony danych (DPIA). Jeśli prowadzą Państwo platformę SaaS, która może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych (np. przetwarzanie na dużą skalę danych wrażliwych lub profilowanie), RODO wymaga przeprowadzenia DPIA przed rozpoczęciem przetwarzania. Brak DPIA w przypadku systemów wysokiego ryzyka jest częstym przedmiotem kontroli organów nadzorczych.

Bezpieczeństwo danych w środowisku SaaS

W UE wymogi dotyczące bezpieczeństwa danych osobowych w SaaS są surowe. Zgodnie z art. 32 RODO muszą Państwo wdrożyć odpowiednie środki techniczne i organizacyjne. Obejmuje to szyfrowanie danych w spoczynku (at rest) i w trakcie przesyłania (in transit), co w praktyce oznacza, że baza danych nie powinna być przechowywana jako zwykły tekst, a cała komunikacja musi odbywać się za pośrednictwem bezpiecznych protokołów.

Wymagane jest również zarządzanie dostępem i uwierzytelnianie. Aplikacja SaaS powinna posiadać logi audytowe rejestrujące, kto się zalogował i jakie dane wyświetlił lub zmienił, co jest kluczowe dla późniejszego ustalenia przyczyn incydentów bezpieczeństwa.

Muszą Państwo także mieć plan reagowania na incydenty bezpieczeństwa. RODO wymaga, aby naruszenie ochrony danych osobowych, które powoduje ryzyko naruszenia praw i wolności osób, zgłosić w ciągu 72 godzin organowi nadzorczemu, w Czechach jest to czeski Urząd Ochrony Danych Osobowych (ÚOOÚ). Jeśli występują Państwo jako podmiot przetwarzający, muszą Państwo zgłosić incydent swojemu klientowi (administratorowi) bez zbędnej zwłoki, aby mógł on wypełnić swoje obowiązki prawne.

Co Państwu grozi, jeśli nie przestrzegają Państwo RODO

AI Act: obowiązki dotyczące sztucznej inteligencji w 2026 roku

W 2026 roku rozporządzenie w sprawie sztucznej inteligencji (AI Act) jest już w pełni stosowane i egzekwowalne. Jeśli Państwa platforma SaaS wykorzystuje AI (chatboty, algorytmy rekomendacyjne, modele generatywne, analizę obrazu), muszą Państwo przestrzegać tych przepisów. Naruszenie zasad dotyczących praktyk zakazanych może oznaczać karę do 35 milionów EUR lub 7 % światowego obrotu, a w przypadku pozostałych obowiązków do 15 milionów EUR lub 3 % obrotu.

AI Act dzieli systemy według poziomu ryzyka. Państwa aplikacja SaaS prawdopodobnie należy do jednej z poniższych kategorii, które AI Act rozróżnia według poziomu ryzyka.

• Systemy zakazane: np. scoring społeczny, kategoryzacja biometryczna na podstawie danych wrażliwych lub techniki manipulacyjne. Takich funkcji nie wolno oferować w UE.
• Systemy wysokiego ryzyka (High-Risk AI): np. systemy stosowane w rekrutacji pracowników, ocenie zdolności kredytowej, edukacji lub infrastrukturze krytycznej. Tutaj obowiązki są najsurowsze.
• Systemy o ograniczonym ryzyku: np. chatboty czy deepfake'i. Obowiązują tu przede wszystkim wymogi przejrzystości.
• Modele ogólnego przeznaczenia (GPAI): jeśli integrują Państwo zaawansowane modele (LLM), do ich dostawców mają zastosowanie szczególne zasady.

Jeśli prowadzą Państwo system wysokiego ryzyka, muszą Państwo wdrożyć system zarządzania ryzykiem, prowadzić dokumentację techniczną, zapewnić dokładność i cyberbezpieczeństwo, a przede wszystkim umożliwić nadzór człowieka nad decyzjami systemu.

Klasyfikacja i role w łańcuchu AI

Kluczowe jest ustalenie, czy są Państwo dostawcą (provider) systemu AI, czy podmiotem stosującym (deployer). Jeśli rozwijają Państwo własny model AI lub istotnie modyfikują model podmiotu trzeciego pod własną marką, są Państwo dostawcą ze wszystkimi obowiązkami (certyfikacja, rejestracja w unijnej bazie danych).

Jeśli jedynie korzystają Państwo z API (np. dostawcy globalnego modelu) i integrują je ze swoim SaaS bez istotnej zmiany przeznaczenia, występują Państwo jako podmiot stosujący (deployer), który ma obowiązek zapewnić korzystanie z systemu zgodnie z instrukcją, a także nadzór człowieka i informowanie użytkowników. Prawnicy z kancelarii adwokackiej ARROWS pomagają klientom prawidłowo określić ich rolę i kategorię ryzyka, co może zaoszczędzić ogromne koszty compliance.

Przejrzystość i oznaczanie treści

AI Act w art. 50 wymaga przejrzystości. Użytkownik musi wiedzieć, że komunikuje się z maszyną (chatbotem). Ponadto obowiązuje wymóg oznaczania wyników generowanych przez sztuczną inteligencję w sposób umożliwiający ich maszynowe wykrycie (znaki wodne, metadane), co dotyczy zwłaszcza generatorów obrazów, wideo i dźwięku (deepfake'i). Jeśli Państwa SaaS generuje treści, muszą Państwo zapewnić, aby dało się je zidentyfikować jako sztucznie wytworzone.

Prawa autorskie a treści generowane przez sztuczną inteligencję

Jednym z najbardziej palących tematów dla operatorów SaaS jest pytanie, do kogo należą treści wygenerowane przez AI. Odpowiedź prawa czeskiego jest w 2026 roku wciąż dość restrykcyjna. Zgodnie z czeską ustawą o prawie autorskim (§ 5) autorem może być wyłącznie osoba fizyczna.

Orzecznictwo (np. orzeczenie Sądu Miejskiego w Pradze (Městský soud v Praze) w sprawie obrazu wygenerowanego przez AI) potwierdza, że wynik stworzony przez sztuczną inteligencję bez istotnego wkładu twórczego człowieka nie jest utworem. Samo wpisanie tekstowego promptu z reguły nie wystarcza do powstania prawa autorskiego do rezultatu.

Ma to zasadnicze konsekwencje dla Państwa platformy SaaS. Jeśli chcą Państwo udostępnić użytkownikom funkcję AI generującą treści (teksty, grafiki) i umownie „przenieść na nich prawa autorskie”, napotykają Państwo prawną przeszkodę: żadne prawa autorskie nie powstały. Nie można przenieść czegoś, co nie istnieje.

Jak uregulować to w warunkach licencyjnych

Rozwiązaniem jest przejrzystość i właściwe sformułowanie OWU.

• Nie stwarzajcie wrażenia wyłączności: poinformujcie użytkowników, że wyniki AI mogą nie być chronione prawem autorskim i że ten sam prompt może wygenerować podobny wynik także innemu użytkownikowi.
• Ludzki wkład twórczy: jeśli Państwa platforma umożliwia użytkownikowi dalszą edycję i modyfikację wyniku, prawo autorskie może powstać do tego ostatecznego, zmodyfikowanego przez człowieka utworu.
• Dane treningowe: AI Act nakłada na dostawców modeli GPAI obowiązek publikowania podsumowania treści wykorzystanych do trenowania modelu.

Ogólne warunki umów i umowy powierzenia przetwarzania

OWU dla SaaS to nie tylko formalność. To dokumenty, które definiują Państwa relację handlową. W UE OWU dla B2B SaaS mają zazwyczaj następującą strukturę:

• Przedmiot usługi: SaaS jest usługą (udostępnieniem dostępu), a nie sprzedażą towaru. Klient nie nabywa własności oprogramowania.
• Warunki licencyjne: zakres korzystania, liczba użytkowników, zakaz inżynierii wstecznej (reverse engineering).
• Dostępność (SLA): gwarancja dostępności i sankcje za przerwy w działaniu.
• Odpowiedzialność za szkodę: część kluczowa. W relacjach B2B odpowiedzialność można ograniczyć, co chroni Państwa przed rujnującymi roszczeniami.
• Ochrona danych (DPA): często w formie załącznika regulującego kwestie RODO.

Akt w sprawie danych (Data Act) a przenoszalność

Od września 2025 roku w pełni stosuje się rozporządzenie w sprawie danych (Data Act). Nakłada ono na dostawców usług chmurowych (w tym SaaS) obowiązek usunięcia przeszkód w zmianie dostawcy. Muszą Państwo zapewnić, aby klient mógł łatwo przejść do konkurencji – czyli umożliwić eksport jego danych w ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie. Praktyki uzależniania klienta od dostawcy (vendor lock-in) są przez to rozporządzenie sankcjonowane.

Praktyczne kroki: jak prawidłowo skonfigurować SaaS

Aby Państwa platforma SaaS była bezpieczna pod względem prawnym, należy postępować następująco:

• Określcie role: kiedy są Państwo administratorem, a kiedy podmiotem przetwarzającym? Czy przepływy danych są zmapowane?
• Sklasyfikujcie AI: czy Państwa rozwiązanie podlega AI Act? Czy jest systemem wysokiego ryzyka?
• Przygotujcie dokumentację na miarę: skopiowane od konkurencji OWU nie zapewnią ochrony. Potrzebują Państwo OWU, DPA i Privacy Policy odpowiadających Państwa rozwiązaniu technicznemu.
• Zmapujcie podwykonawców: zawrzyjcie umowy z dostawcami chmury i innymi podmiotami przetwarzającymi.
• Ustalcie procesy: plan reagowania na incydenty, obsługa praw osób, których dane dotyczą, eksport danych zgodnie z Data Act.
• Zabezpieczcie aplikację: szyfrowanie, logowanie, kopie zapasowe.

Jeśli wydaje się Państwu, że to dużo – mają Państwo rację. Prawo nowych technologii jest skomplikowane. Prawnicy z kancelarii adwokackiej ARROWS zajmują się tą problematyką na co dzień. Jeśli nie są Państwo pewni, od czego zacząć, prosimy o kontakt pod adresem konsultacja@arws.cz – chętnie pomożemy w analizie prawnej i przygotowaniu dokumentacji.