Umowa o używanie prywatnego sprzętu (BYOD)

Umowa o używanie prywatnego sprzętu do celów służbowych (BYOD — Bring Your Own Device) w Polsce to dwustronne porozumienie zawierane między pracodawcą a pracownikiem na podstawie art. 67²⁵ § 2 ustawy z dnia 26 czerwca 1974 r. — Kodeks pracy (t.j. Dz.U. 2023 poz. 1465 ze zm.). Przepis ten, wprowadzony nowelizacją z dnia 1 grudnia 2022 r. (Dz.U. 2023 poz. 240) i obowiązujący od 7 kwietnia 2023 r., dopuszcza wyraźnie korzystanie przez pracownika z prywatnych narzędzi pracy (komputera, smartfona, tabletu) do wykonywania pracy zdalnej, o ile pracownik wyrazi na to zgodę i strony ustalą ryczałt pokrywający koszty amortyzacji i eksploatacji urządzenia.

Model BYOD zyskał popularność w Polsce przede wszystkim wśród przedsiębiorstw technologicznych, agencji marketingowych i firm startupowych, które zatrudniają pracowników dysponujących nowoczesnym prywatnym sprzętem i wolą uniknąć kosztów zakupu firmowego wyposażenia. Popularność BYOD wzrosła dodatkowo po masowym przejściu na pracę zdalną w okresie pandemii COVID-19, kiedy tysiące polskich pracowników korzystało z prywatnych komputerów do pracy z domu bez formalnych podstaw prawnych.

Głównym ryzkiem prawnym przy wdrożeniu polityki BYOD jest bezpieczeństwo danych osobowych przetwarzanych przez pracodawcę — na prywatnym urządzeniu pracownika mogą znajdować się dane klientów, dokumenty finansowe lub tajemnicę przedsiębiorstwa. Art. 32 rozporządzenia RODO (Dz.Urz. UE L 119 z 4.05.2016 r.) nakłada na pracodawcę jako administratora danych obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, takich jak szyfrowanie dysku, stosowanie VPN, separacja danych służbowych i prywatnych oraz możliwość zdalnego usunięcia danych firmowych z urządzenia w razie jego zagubienia lub kradzieży (remote wipe).

Umowa BYOD dostępna na forms-legal.com obejmuje: opis sprzętu i systemów operacyjnych, miesięczny ryczałt za używanie prywatnego urządzenia, minimalne wymogi bezpieczeństwa IT, zasady ochrony danych osobowych oraz tryb reagowania na incydenty bezpieczeństwa — wszystko zgodnie z aktualnym polskim prawem pracy i RODO.

Umowa BYOD w Polsce jest niezbędna w każdej sytuacji, gdy pracownik używa prywatnego sprzętu do wykonywania pracy — zarówno w biurze, jak i podczas pracy zdalnej lub hybrydowej. Bez pisemnej umowy pracodawca nie może legalnie wymagać od pracownika korzystania z prywatnego sprzętu do celów służbowych ani powoływać się na naruszenie zasad bezpieczeństwa IT w ewentualnym sporze pracowniczym.

Umowa jest konieczna w następujących sytuacjach. Po pierwsze — przy zatrudnianiu pracowników zdalnych, którym pracodawca nie dostarcza sprzętu służbowego. Art. 67²⁵ § 1 KP nakłada na pracodawcę obowiązek zapewnienia pracownikowi zdalnemu niezbędnych narzędzi pracy, jednak § 2 tego artykułu dopuszcza wyjątek — używanie prywatnego sprzętu za zgodą pracownika i z ryczałtem.

Po drugie — gdy pracownik korzysta z prywatnego smartfona do obsługi służbowej poczty e-mail lub aplikacji komunikacyjnych. Nawet dostęp do firmowego serwera pocztowego z prywatnego urządzenia tworzy ryzyko dla ochrony danych osobowych i wymaga zawarcia umowy BYOD z odpowiednimi klauzulami bezpieczeństwa.

Po trzecie — w firmach wdrażających systemy MDM (Mobile Device Management) do zdalnego zarządzania i nadzoru nad urządzeniami pracowników. Zainstalowanie agenta MDM na prywatnym urządzeniu bez zgody pracownika i bez podstawy umownej narusza jego prawa do prywatności i może być zakwestionowane przez Państwową Inspekcję Pracy (PIP) lub Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Po czwarte — przy wdrażaniu prawa do remote wipe. Możliwość zdalnego usunięcia danych firmowych z prywatnego urządzenia pracownika wymaga jego wyraźnej zgody wyrażonej w umowie BYOD — bez tej zgody pracodawca nie może legalnie korzystać z tej funkcji systemu MDM, nawet w razie zagubienia urządzenia.

Umowa BYOD w Polsce powinna zawierać następujące elementy kluczowe:

Dokładny opis sprzętu. Typ urządzenia (laptop, smartfon, tablet), marka, model i numer seryjny — konieczne do identyfikacji sprzętu podczas audytu bezpieczeństwa i rozstrzygnięcia ewentualnego sporu dotyczącego naruszeń. Każda zmiana sprzętu powinna być odnotowana aneksem.

Ryczałt za używanie prywatnego sprzętu. Art. 67²⁵ § 2 KP wprost nakłada na pracodawcę obowiązek wypłaty ryczałtu lub ekwiwalentu pokrywającego koszty amortyzacji urządzenia i jego eksploatacji. Ryczałt jest zwolniony z podatku i składek ZUS do wysokości rzeczywistych kosztów. Typowe stawki w Polsce (2026) wynoszą 30-100 zł miesięcznie za laptop i 20-50 zł za smartfon.

Minimalne wymogi bezpieczeństwa. Lista obowiązkowych środków ochrony: szyfrowanie dysku (BitLocker, FileVault), aktualizacje systemu operacyjnego, aktywna blokada ekranu, oprogramowanie antywirusowe, klient VPN. Pracodawca może wymagać zainstalowania agenta MDM po uzyskaniu zgody pracownika.

Separacja danych służbowych i prywatnych. Obowiązek korzystania z osobnych kont użytkownika, kontenerów danych (np. Android Enterprise Work Profile) lub aplikacji zatwierdzonych przez pracodawcę, aby dane firmowe nie mieszały się z prywatnymi danymi pracownika — wymóg RODO (art. 32).

Prawo do remote wipe. Klauzula precyzująca zakres i warunki zdalnego usunięcia danych firmowych z prywatnego urządzenia — wyłącznie w zakresie danych służbowych, tylko w razie zagubienia, kradzieży lub zakończenia stosunku pracy, z uprzednim powiadomieniem pracownika (o ile to możliwe).

Procedura incydentów. Tryb zgłaszania zagubienia lub kradzieży urządzenia (do 2 godzin od stwierdzenia) oraz obowiązek pracodawcy oceny naruszenia ochrony danych i ewentualnego zgłoszenia do PUODO (72 godziny, art. 33 RODO).

Na platformie forms-legal.com wzorzec umowy BYOD jest uzupełniony o odrębny formularz inwentaryzacji sprzętu i listę kontrolną wymogów bezpieczeństwa IT.

Wypełnianie wzoru umowy BYOD pobranego z forms-legal.com przebiega następująco.

Krok 1 — dane stron. Wpisz pełną nazwę pracodawcy (KRS lub CEIDG), adres siedziby oraz dane pracownika: imię, nazwisko, stanowisko i datę zawarcia umowy.

Krok 2 — opis sprzętu. Podaj typ, markę, model i numer seryjny każdego urządzenia objętego umową. Jeżeli pracownik zmieni sprzęt w trakcie trwania umowy, należy zawrzeć aneks aktualizujący tę sekcję. Numer seryjny jest kluczowy dla działu IT przy wdrożeniu systemu MDM.

Krok 3 — system operacyjny. Wpisz aktualną wersję systemu operacyjnego. Pracodawca może wymagać minimalnej wersji systemu — np. Windows 11, macOS 14 Sonoma, Android 13 — jako warunek objęcia sprzętu polityką BYOD.

Krok 4 — ryczałt. Wpisz kwotę ryczałtu w zł. Przy ustalaniu kwoty weź pod uwagę: cykl życia urządzenia (zazwyczaj 3-5 lat), szacowany udział pracy służbowej w łącznym użytkowaniu urządzenia (np. 50%) i aktualne ceny podobnego sprzętu. Przykładowe obliczenie: laptop za 5 000 zł, cykl 4 lata, udział służbowy 60% → ryczałt ≈ (5 000 ÷ 48 miesięcy) × 60% ≈ 62 zł/mies.

Krok 5 — wymogi bezpieczeństwa. Zaznacz, czy urządzenie musi mieć zaszyfrowany dysk (zalecane: TAK). Wpisz wymagane oprogramowanie — minimum antywirus i klient VPN. Jeżeli firma wdraża MDM, uwzględnij go w tym polu.

Krok 6 — dane osobowe. Opisz kategorie danych przetwarzanych na urządzeniu (np. imiona i nazwiska klientów, adresy e-mail). Ogólny opis wystarczy — szczegóły są w Rejestrze Czynności Przetwarzania prowadzonym przez pracodawcę (art. 30 RODO).

Krok 7 — remote wipe. Zaznacz, czy pracodawca ma prawo do zdalnego usunięcia danych. Zalecane: TAK — bez tego prawa pracodawca nie może skutecznie zareagować na kradzież lub zagubienie urządzenia.

Umowa BYOD w Polsce podlega następującym bezwzględnie obowiązującym przepisom:

Art. 67²⁵ KP. Pracodawca jest obowiązany zapewnić pracownikowi zdalnemu niezbędne narzędzia pracy, w tym sprzęt. Jeżeli pracownik używa własnego sprzętu — wymaga to jego zgody i uprawnia go do ryczałtu pokrywającego koszty amortyzacji i eksploatacji. Brak ryczałtu mimo korzystania z prywatnego sprzętu do celów służbowych może być zakwestionowane przez Państwową Inspekcję Pracy (PIP) lub sąd pracy.

RODO — art. 32. Pracodawca jako administrator danych osobowych przetwarzanych w systemach firmowych jest obowiązany wdrożyć odpowiednie środki techniczne i organizacyjne, które zapewnią bezpieczeństwo danych — niezależnie od tego, czy przetwarzanie odbywa się na sprzęcie firmowym czy prywatnym. Brak odpowiednich środków może skutkować karą administracyjną PUODO do 20 mln EUR lub 4% rocznego obrotu (art. 83 ust. 4 RODO).

RODO — art. 33. W razie naruszenia ochrony danych osobowych (zagubienie urządzenia z danymi klientów) pracodawca jest obowiązany zgłosić je do PUODO w terminie 72 godzin od stwierdzenia. Umowa BYOD powinna zawierać procedurę zgłaszania incydentów, która umożliwia zachowanie tego terminu.

Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO). Pracodawca powinien ograniczyć dostęp pracownika do danych osobowych na prywatnym urządzeniu do niezbędnego minimum. Polityka BYOD powinna precyzować, które systemy i jakie dane mogą być przetwarzane na prywatnych urządzeniach.

KC art. 471 (odpowiedzialność odszkodowawczą). Pracownik korzystający z prywatnego sprzętu ponosi odpowiedzialność za szkody wyrządzone pracodawcy w wyniku naruszenia zasad bezpieczeństwa określonych w umowie BYOD — np. za wycieki danych spowodowane niezaktualizowanym oprogramowaniem lub korzystaniem z nieszyfrowanego połączenia.

Przy wdrażaniu polityki BYOD w Polsce najczęściej popełniane są następujące błędy:

1. Brak pisemnej umowy BYOD. Wielu pracodawców dopuszcza pracowników do korzystania z prywatnych urządzeń bez formalnej umowy. W razie incydentu bezpieczeństwa — wycieku danych klientów z prywatnego laptopa pracownika — PUODO może stwierdzić naruszenie art. 32 RODO i nałożyć karę na pracodawcę, który nie wdrożył odpowiednich środków technicznych.

2. Brak ryczałtu lub zaniżony ryczałt. Art. 67²⁵ § 2 KP obliguje pracodawcę do wypłaty ryczałtu pokrywającego koszty amortyzacji urządzenia. Niewypłacanie ryczałtu lub ustalenie symbolicznej kwoty (np. 1 zł) naraża pracodawcę na roszczenie pracownika o zapłatę ekwiwalentu za używanie prywatnego sprzętu do celów służbowych.

3. Wdrożenie MDM bez zgody pracownika. Zainstalowanie agenta MDM na prywatnym urządzeniu bez wyraźnej, pisemnej zgody pracownika narusza jego prawa do prywatności (art. 11¹ KP), a jeżeli agent MDM umożliwia monitorowanie aktywności pracownika — również art. 22³ KP (monitoring pracownika wymaga wpisu w regulaminie lub odrębnym akcie).

4. Brak procedury reagowania na incydenty. Umowa BYOD bez jasno określonego trybu zgłaszania zagubienia lub kradzieży urządzenia uniemożliwia pracodawcy terminowe zawiadomienie PUODO (72 godziny, art. 33 RODO), co może być uznane za odrębne naruszenie RODO.

5. Nieokreślenie zakresu remote wipe. Klauzula umożliwiająca pracodawcy „usunięcie wszelkich danych z urządzenia” — bez ograniczenia do danych służbowych — jest nadmierna i może prowadzić do bezpowrotnego usunięcia prywatnych zdjęć, dokumentów i kontaktów pracownika. Zakres remote wipe powinien być ograniczony wyłącznie do danych firmowych.