Nielegalne oprogramowanie w firmie – kto zapłaci karę: firma, szef czy pracownik?

Za nielegalne oprogramowanie w firmie zapłacić mogą trzy strony, każda w innym trybie. Firma odpowiada cywilnie wobec producenta i to ona zwykle płaci odszkodowanie, nawet jeśli program zainstalował pracownik. Odpowiedzialność karna jest natomiast osobista: dotyczy osoby, która program nabyła lub zainstalowała, oraz właściciela czy kierownika, który to zlecił albo świadomie tolerował. Pracownik może dodatkowo ponieść konsekwencje dyscyplinarne i materialne wobec pracodawcy.

Poniżej wyjaśniam, z jakich przepisów to wynika, skąd w firmach biorą się nielicencjonowane programy i jak przeprowadzić prosty audyt. Artykuł ma charakter informacyjny i nie zastępuje porady prawnej — w konkretnej sprawie skonsultuj się z prawnikiem.

Odpowiedzialność cywilna: firma płaci producentowi

Używanie programu bez licencji to naruszenie autorskich praw majątkowych. Na podstawie art. 79 ustawy o prawie autorskim i prawach pokrewnych producent (lub organizacja działająca w jego imieniu) może żądać m.in.:

• zaniechania naruszeń, czyli usunięcia nielegalnych kopii,
• usunięcia skutków naruszenia,
• naprawienia szkody na zasadach ogólnych albo zapłaty kwoty odpowiadającej dwukrotności stosownego wynagrodzenia — w praktyce dwukrotności ceny licencji za każdą nielegalną kopię,
• wydania uzyskanych korzyści.

Stroną takich roszczeń jest zwykle przedsiębiorca, bo to on korzysta z programu w swojej działalności. Jeśli program zainstalował pracownik w ramach wykonywania obowiązków, odpowiedzialność wobec producenta i tak co do zasady spoczywa na pracodawcy (Kodeks cywilny przewiduje odpowiedzialność za szkodę wyrządzoną przez osobę, której powierzono wykonanie czynności). Tłumaczenie „nie wiedziałem, co mają na komputerach” nie zwalnia firmy z tych roszczeń.

W praktyce wiele spraw kończy się ugodą: firma kupuje brakujące licencje i płaci dodatkową kwotę, żeby uniknąć procesu. Koszt i tak jest wyższy niż legalny zakup na starcie.

Odpowiedzialność karna: dotyczy konkretnych osób

Kodeks karny i ustawa o prawie autorskim przewidują kilka przestępstw związanych z nielegalnym oprogramowaniem:

Używanie pirackiego programu w firmie zwykle wpisuje się w art. 278 § 2 kk, bo firma działa w celu osiągnięcia korzyści majątkowej (oszczędza na licencji). Za kradzież — a więc i za ten czyn — Kodeks karny po nowelizacji obowiązującej od 1 października 2023 r. przewiduje karę pozbawienia wolności od 6 miesięcy do 8 lat, z łagodniejszym wymiarem w wypadku mniejszej wagi. Paserstwo nieumyślne, czyli np. kupno „okazyjnego” klucza w okolicznościach, które powinny wzbudzić podejrzenia, jest zagrożone łagodniej.

Kto może odpowiadać karnie:

• Osoba, która zainstalowała lub pobrała program — także pracownik działu IT, jeśli instaluje kopie bez licencji.
• Właściciel, członek zarządu lub kierownik, który polecił instalację albo świadomie na nią przyzwalał. Kodeks karny zna odpowiedzialność za kierowanie wykonaniem czynu i za polecenie jego wykonania osobie podległej.
• Sama spółka może zostać ukarana karą pieniężną na podstawie ustawy o odpowiedzialności podmiotów zbiorowych, co do zasady dopiero po prawomocnym skazaniu osoby fizycznej działającej w jej imieniu.

Policja w takiej sprawie może zabezpieczyć komputery i nośniki jako dowody. Dla małej firmy utrata sprzętu na czas postępowania bywa bardziej dotkliwa niż samo odszkodowanie.

Konsekwencje dla pracownika

Pracownik, który bez zgody pracodawcy instaluje nielicencjonowane programy na służbowym komputerze, naraża się na:

1. Odpowiedzialność porządkową — upomnienie lub naganę za naruszenie regulaminu i zasad bezpieczeństwa.
2. Rozwiązanie umowy bez wypowiedzenia z powodu ciężkiego naruszenia podstawowych obowiązków (art. 52 Kodeksu pracy), szczególnie gdy wcześniej zakazano instalowania programów.
3. Odpowiedzialność materialną — jeśli pracodawca poniesie szkodę, np. zapłaci odszkodowanie producentowi, może dochodzić jej zwrotu od pracownika. Przy winie nieumyślnej odpowiedzialność jest ograniczona do trzykrotności wynagrodzenia, przy umyślnej — obejmuje pełną kwotę szkody.
4. Odpowiedzialność karną na zasadach opisanych wyżej.

Jeśli przełożony każe Ci zainstalować program bez licencji, masz prawo odmówić — polecenie sprzeczne z prawem nie jest wiążące. Warto poprosić o nie na piśmie lub e-mailem, co często samo kończy temat.

Skąd w firmach bierze się nielegalne oprogramowanie

Rzadko chodzi o świadome piractwo na dużą skalę. Najczęstsze źródła to:

• Programy „darmowe tylko do użytku domowego”. Wiele popularnych narzędzi ma licencję zabraniającą zastosowań komercyjnych lub wymagającą płatnej licencji od określonej wielkości firmy. Przykłady: TeamViewer w wersji darmowej (tylko użytek prywatny), Oracle VM VirtualBox Extension Pack (licencja do użytku osobistego), WinRAR (wersja próbna, w firmie wymaga zakupu), Docker Desktop (płatny dla firm od 250 pracowników lub 10 mln USD rocznego przychodu), Visual Studio Community (z ograniczeniami dla organizacji „enterprise”). Zasady potrafią się zmieniać, więc zawsze czytaj aktualną licencję.
• Shadow IT — pracownicy instalują programy, których potrzebują, bez wiedzy działu IT. Szerzej o tym zjawisku w artykule Shadow IT — jak go wykryć i zabezpieczyć firmę.
• Licencje przeniesione z prywatnych komputerów lub instalacje z domowej subskrypcji (np. planów Microsoft 365 dla użytkowników domowych, których warunki wykluczają zastosowania komercyjne).
• Za mało licencji — kupiono 10 stanowisk, a program działa na 15 komputerach.
• Wygasłe subskrypcje i wersje próbne, z których firma korzysta dalej po okresie testowym.
• Podejrzanie tanie klucze z marketplace’ów. Handel używanymi licencjami wieczystymi jest w UE co do zasady legalny, ale klucze za ułamek ceny często pochodzą z programów zbiorowych, edukacyjnych lub testowych i bywają później blokowane.

Pirackie instalatory to także poważne ryzyko bezpieczeństwa. „Cracki” i aktywatory są jednym z głównych sposobów dystrybucji złośliwego oprogramowania, w tym trojanów zdalnego dostępu i programów kradnących hasła — więcej w tekście o oprogramowaniu RAT.

Jak przeprowadzić audyt licencji w małej firmie

Audyt nie wymaga drogich narzędzi. Dla kilkunastu czy kilkudziesięciu komputerów wystarczy arkusz i kilka poleceń.

Krok 1: spisz zainstalowane oprogramowanie

Na każdym komputerze z Windows uruchom PowerShell i wyeksportuj listę programów z rejestru:

$klucze = 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*',
          'HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*'
Get-ItemProperty $klucze |
    Where-Object DisplayName |
    Select-Object DisplayName, DisplayVersion, Publisher |
    Sort-Object DisplayName |
    Export-Csv "$env:COMPUTERNAME-programy.csv" -NoTypeInformation -Encoding UTF8 -Delimiter ';'

Nie używaj do tego Get-CimInstance Win32_Product — zapytanie jest wolne i potrafi uruchamiać naprawę instalacji MSI. Alternatywnie możesz użyć winget list. Programy zainstalowane tylko dla użytkownika znajdziesz w analogicznym kluczu w HKCU:. Jeśli dopiero poznajesz PowerShell, zajrzyj do zestawienia 10 poleceń PowerShell, które musisz znać.

Krok 2: sprawdź licencję systemu

slmgr /dlv

Polecenie pokaże kanał licencji (np. OEM, Retail, Volume) i stan aktywacji. Problemy z aktywacją, takie jak błąd 0xc004f074, bywają sygnałem, że system aktywowano kluczem z niepewnego źródła lub nielegalnym aktywatorem KMS.

Krok 3: zestaw listę z dokumentami

Dla każdego programu komercyjnego potrzebujesz dowodu prawa do używania: faktury, umowy licencyjnej, certyfikatu, potwierdzenia z portalu producenta (np. centrum administracyjnego Microsoft 365) albo zapisu warunków licencji darmowej. Prowadź rejestr: program, liczba licencji, gdzie zainstalowany, data ważności subskrypcji, lokalizacja dokumentów.

Krok 4: usuń lub dokup

Wszystko, czego nie da się udokumentować, odinstaluj albo kup licencję. Często okazuje się, że dla rzadko używanych narzędzi istnieje darmowy odpowiednik z licencją dopuszczającą użytek komercyjny, np. 7-Zip zamiast WinRAR-a czy LibreOffice tam, gdzie pakiet biurowy jest używany sporadycznie.

Jak zapobiegać problemom na przyszłość

1. Odbierz użytkownikom uprawnienia administratora. Bez nich zainstalowanie programu wymaga udziału działu IT. To jednocześnie jedno z najskuteczniejszych zabezpieczeń przed złośliwym oprogramowaniem.
2. Wprowadź listę dozwolonych aplikacji — przez AppLocker lub App Control for Business (dawniej WDAC) w zasadach grupy albo w systemie zarządzania urządzeniami. Przydatne ustawienia znajdziesz w zestawieniu obiektów GPO dla bezpieczeństwa.
3. Zapisz zasady w regulaminie — zakaz samodzielnej instalacji oprogramowania i ścieżka zgłaszania zapotrzebowania na nowe narzędzia.
4. Powtarzaj audyt przynajmniej raz w roku i przy każdej zmianie sprzętu.
5. Kupuj ze sprawdzonych źródeł i archiwizuj dokumenty licencyjne razem z dokumentacją księgową.

Legalne oprogramowanie to nie tylko brak ryzyka prawnego. To także aktualizacje bezpieczeństwa, wsparcie producenta i pewność, że instalator nie zawiera dodatkowego „prezentu” od osoby, która go złamała.