Audyt
Kontrola legalności oprogramowania w firmie: kto może ją przeprowadzić i jakie ma uprawnienia
Legalność oprogramowania w firmie sprawdzają organy ścigania: policja i prokuratura, a czynności mogą być prowadzone także przez inne uprawnione służby w zakresie ich właściwości. Przeszukanie odbywa się na podstawie przepisów kodeksu postępowania karnego i w wypadkach niecierpiących zwłoki może zostać przeprowadzone przed uzyskaniem postanowienia sądu lub prokuratora, które jest wtedy zatwierdzane następczo.
To jest scenariusz, o którym firmy myślą dopiero wtedy, gdy ktoś stoi w recepcji. Warto oddzielić dwie zupełnie różne sytuacje, bo mylenie ich prowadzi do złych decyzji: kontrolę prowadzoną przez organy ścigania w postępowaniu karnym i audyt zgodności licencyjnej prowadzony przez producenta oprogramowania na podstawie umowy. Poniżej opisujemy obie i to, co realnie chroni firmę w każdej z nich.
Kto może skontrolować legalność oprogramowania w firmie
Sprawdzenie legalności programów na firmowych komputerach odbywa się zwykle w ramach postępowania karnego dotyczącego naruszenia praw autorskich lub uzyskania cudzego programu komputerowego. Czynności procesowe wykonuje prokurator albo policja, a w zakresie swojej właściwości także inne uprawnione służby. Postępowanie najczęściej zaczyna się od zawiadomienia, które składa producent oprogramowania albo organizacja działająca w jego imieniu.
Producent sam nie ma uprawnień policyjnych. Nie wejdzie do firmy bez zgody, nie zajmie sprzętu i nie zażąda wydania dokumentów pod rygorem. Może natomiast złożyć zawiadomienie i może dochodzić roszczeń cywilnych, a jeśli firma podpisała umowę licencyjną z klauzulą audytową, może żądać audytu na warunkach zapisanych w tej umowie.
Czy przeszukanie wymaga nakazu
Zasadą jest postanowienie sądu albo prokuratora. Kodeks postępowania karnego przewiduje jednak, że w wypadkach niecierpiących zwłoki czynność może zostać przeprowadzona wcześniej, na podstawie legitymacji służbowej i nakazu kierownika jednostki, a zatwierdzenie następuje później. Osoba, u której prowadzono czynność, ma prawo żądać doręczenia postanowienia zatwierdzającego.
Praktyczny wniosek dla firmy jest prosty i niewygodny: liczenie na to, że będzie czas na uporządkowanie dokumentów po pierwszym telefonie, jest złą strategią. Dowody legalności muszą istnieć wcześniej, w formie, którą da się pokazać od razu. To jedyna część tej sytuacji, na którą firma ma pełny wpływ.
Jakie dokumenty są dowodem legalności oprogramowania
Dowodem uprawnienia jest dokument zakupu razem z warunkami licencji, a nie sam klucz produktu i nie sama instalacja. Klucz potwierdza wyłącznie, że program da się uruchomić. Nie mówi nic o tym, kto go kupił, na ile stanowisk i czy nadal ma prawo z niego korzystać.
| Dokument | Co potwierdza | Czy wystarczy sam |
|---|---|---|
| Faktura zakupu | Nabycie i liczbę stanowisk | Zwykle tak, razem z warunkami licencji |
| Umowa licencyjna | Zakres uprawnienia i ograniczenia | Tak, przy licencjach wolumenowych |
| Klucz produktu | Możliwość instalacji | Nie, sam niczego nie dowodzi |
| Certyfikat autentyczności na obudowie | Licencję OEM przypisaną do sprzętu | Tylko razem z tym komputerem |
| Łańcuch nabycia przy licencji wtórnej | Ciągłość uprawnienia od pierwszego nabywcy | Tak, to jest komplet wymagany przy obrocie wtórnym |
Przy licencjach kupionych na rynku wtórnym wymagania dowodowe są wyższe i to jest uczciwa informacja, a nie wada modelu. Trzeba wykazać pierwsze wprowadzenie kopii do obrotu w Unii Europejskiej, kolejne przeniesienia oraz oświadczenie zbywcy o trwałym usunięciu własnej kopii. Podstawę prawną całego mechanizmu opisujemy na stronie o legalności oprogramowania.
Czym różni się kontrola organów od audytu producenta
To są dwa różne światy, z różnymi konsekwencjami i różnym tempem. Kontrola organów dotyczy odpowiedzialności karnej i cywilnej za naruszenie praw autorskich. Audyt producenta wynika z umowy licencyjnej i dotyczy zgodności liczby instalacji z liczbą wykupionych uprawnień. Firma może przejść audyt producenta z dopłatą i bez żadnego postępowania karnego, bo nadmiar instalacji przy legalnie kupionych licencjach to problem umowny, a nie przestępstwo.
| Cecha | Kontrola organów | Audyt producenta |
|---|---|---|
| Podstawa | Kodeks postępowania karnego | Klauzula audytowa w umowie licencyjnej |
| Kto prowadzi | Policja, prokuratura | Producent albo firma audytorska w jego imieniu |
| Zapowiedź | Zwykle brak | Pisemna, z terminem |
| Typowy skutek | Postępowanie karne, zabezpieczenie sprzętu | Dopłata do zgodności, czasem kara umowna |
| Co chroni najlepiej | Kompletna dokumentacja zakupu | Aktualny rejestr licencji i instalacji |
Praktyka pokazuje, że firmy przygotowują się wyłącznie na ten drugi scenariusz, bo jest znacznie częstszy. Przygotowanie do niego opisujemy szczegółowo przy audycie licencji Microsoft, a metodykę policzenia stanu przy inwentaryzacji oprogramowania. Dobra wiadomość jest taka, że jedno przygotowanie działa na obie sytuacje: dokumentacja, która wystarczy producentowi, wystarczy też organom.
Co grozi za nielegalne oprogramowanie
Odpowiedzialność jest dwutorowa. Karna wynika z przepisów o ochronie programów komputerowych: uzyskanie cudzego programu komputerowego bez zgody uprawnionego w celu osiągnięcia korzyści majątkowej jest zagrożone karą pozbawienia wolności. Cywilna polega na roszczeniu uprawnionego o naprawienie szkody, w tym o zapłatę sumy odpowiadającej wynagrodzeniu, które byłoby należne za udzielenie zgody na korzystanie z utworu.
Odpowiedzialność ponosi konkretna osoba, a nie abstrakcyjna firma, co dla zarządu i osób kierujących IT jest najważniejszym zdaniem w całym temacie. Szerzej o konsekwencjach i o tym, jak wyglądają w praktyce, piszemy w artykule o tym, co grozi za nielegalne oprogramowanie w firmie.
Jak przygotować firmę, zanim ktokolwiek zapuka
- Jeden rejestr, nie trzy arkusze. Program, wersja, liczba stanowisk, przypisanie do sprzętu, dokument źródłowy.
- Dokumenty w jednym miejscu. Faktury i umowy licencyjne dostępne od ręki, nie w archiwum księgowości sprzed pięciu lat.
- Kwartalne porównanie. Liczba instalacji kontra liczba uprawnień, każda różnica wyjaśniona na piśmie.
- Ograniczone prawa lokalne. Użytkownik z uprawnieniami administratora instaluje, co chce, i nikt tego nie widzi.
- Jedno miejsce zakupu. Rozproszone zakupy kartą to najczęstsze źródło programów bez dokumentów.
- Wyznaczona osoba. Ktoś musi odpowiadać za całość, bo rejestr rozpada się na styku działów.
Warto przy okazji sprawdzić także oprogramowanie serwerowe, o którym zwykle nikt nie pamięta, bo nie stoi na niczyim biurku. Systemy serwerowe, bazy danych i licencje dostępowe CAL potrafią być największą luką w całym zestawieniu, zwłaszcza w firmach, które przez lata dokładały maszyny wirtualne. Jeśli infrastrukturę utrzymuje zewnętrzny dostawca, na przykład firma prowadząca serwery w Polsce, ustalcie na piśmie, kto odpowiada za licencje systemowe: to jedno zdanie w umowie oszczędza późniejszego sporu.
Legalne licencje taniej niż nowe
Najczęstszy powód, dla którego w firmach pojawia się oprogramowanie bez pokrycia, jest prozaiczny: ktoś potrzebował programu, nie było budżetu, a decyzja zapadła na poziomie użytkownika. Dlatego uporządkowanie kończy się zwykle pytaniem, skąd wziąć brakujące licencje bez rozbijania budżetu na kwartał.
Licencje wieczyste z legalnego obrotu wtórnego kosztują zwykle od 50 do 70 procent mniej niż nowe, przy identycznym zakresie uprawnienia. Podstawą jest wyrok TSUE C-128/11 w sprawie UsedSoft. Zobacz używane licencje Microsoft z jawnymi cenami i pełnym łańcuchem własności, a jeśli kupujesz w reżimie zamówień publicznych, sprawdź, jak opisać przedmiot zamówienia przy używanych licencjach w zamówieniach publicznych.
To nie jest opinia prawna. Przebieg konkretnej kontroli zależy od stanu faktycznego i podstawy prowadzonego postępowania, więc w razie czynności skontaktuj się z prawnikiem obsługującym firmę.
Najczęstsze pytania