Jak Europa przekształca kontrolę eksportu technologii w instrument geopolityki

Kontrola eksportu produktów podwójnego zastosowania obejmuje przekazanie oprogramowania lub technologii drogą elektroniczną, także wtedy, gdy żaden przedmiot fizyczny nie przekracza granicy. Rozporządzenie (UE) 2021/​821 z dnia 20 maja 2021 roku zdefiniowało wywóz w sposób, który obejmuje udostępnienie kodu, dokumentacji konstrukcyjnej i danych technicznych odbiorcy poza Unią Europejską, w tym w ramach własnej grupy kapitałowej. Drugim obszarem o praktycznym znaczeniu jest art. 5 rozporządzenia, który przewiduje możliwość objęcia obowiązkiem zezwoleniowym niewymienionych w wykazie produktów służących do cyberinwigilacji. Ciężar klasyfikacji produktu oraz oceny ryzyka transakcji spoczywa wtedy na eksporterze. W Polsce procedury krajowe zmieniła ustawa z 13 marca 2026 roku, obowiązująca od 22 kwietnia 2026 roku, z częścią przepisów wchodzącą w życie 8 października 2026 roku. Największa część ryzyka mieści się w obszarze zarządzania dostępem do repozytoriów oraz środowisk deweloperskich, poza polem widzenia działów logistyki. Tekst opisuje, gdzie w organizacjach technologicznych powstają luki zgodności i jak wewnętrzny program zgodności przenosi wymogi rozporządzenia na poziom procedur operacyjnych.

Co obejmuje kontrola eksportu produktów podwójnego zastosowania w prawie unijnym i polskim?

Kontrola obejmuje wywóz produktów wymienionych w załączniku I do rozporządzenia (UE) 2021/​821. Pośrednictwo, pomoc techniczna i tranzyt podlegają zasadom określonym odrębnie w rozporządzeniu, natomiast transfer wewnątrzunijny obejmuje w szczególności produkty z załącznika IV. Kontrola obejmuje również produkty niewymienione w wykazie, jeżeli spełnione są warunki kontroli zastosowania końcowego opisane w art. 4 i art. 5. Ramy krajowe określa ustawa z dnia 29 listopada 2000 roku o obrocie z zagranicą towarami, technologiami i usługami o znaczeniu strategicznym.

Rozporządzenie opublikowano w Dzienniku Urzędowym Unii Europejskiej L 206 z 11 czerwca 2021 roku, a weszło w życie 9 września 2021 roku. System przewiduje zezwolenia indywidualne, globalne, generalne unijne oraz generalne krajowe. Załącznik II zawiera osiem unijnych zezwoleń generalnych, wśród nich zezwolenie na transfer technologii w ramach grupy kapitałowej oraz zezwolenie dotyczące szyfrowania. Zalecenie Komisji (UE) 2019/​1318 z dnia 30 lipca 2019 roku opisuje elementy wewnętrznego programu zgodności, a zalecenie Komisji (UE) 2024/​2659 z dnia 11 października 2024 roku zawiera wytyczne do art. 5.

Nowelizacja ustawy krajowej z dnia 13 marca 2026 roku (Dz.U. 2026 poz. 471) uporządkowała definicje krajowe, dopuściła elektroniczną formę wniosku o zezwolenie składanego na adres do doręczeń elektronicznych oraz określiła pięcioletni okres przechowywania części dokumentacji wnioskowej, liczony od dnia wydania zezwolenia. Dual‐​use e‑System, w skrócie DUeS, służy wymianie informacji między organami państw członkowskich i Komisją Europejską, w szczególności zgłoszeniom odmów wydania zezwolenia. Eksporter składa wniosek do krajowego organu kontroli obrotu.

Dlaczego transfer niematerialny technologii podlega kontroli eksportowej?

Definicja wywozu w rozporządzeniu obejmuje udostępnienie oprogramowania lub technologii środkami elektronicznymi odbiorcy poza Unią Europejską. Zdarzeniem istotnym prawnie pozostaje samo udostępnienie dostępu. Kontrola eksportu produktów podwójnego zastosowania przebiega więc przez systemy zarządzania tożsamością, repozytoria kodu, środowiska testowe i systemy zgłoszeniowe.

Typowe punkty niezgodności powstają w miejscach, których dział handlowy nie obserwuje. Inżynier zatrudniony w spółce zależnej w kraju trzecim otrzymuje dostęp do repozytorium z dokumentacją produktu objętego wykazem kontrolnym. Dostawca usług utrzymania łączy się zdalnie ze środowiskiem produkcyjnym z lokalizacji poza Unią. Uczestnik projektu badawczego otrzymuje specyfikację techniczną w załączniku do wiadomości. Każda z tych sytuacji może wymagać zezwolenia, a ocena zależy od klasyfikacji technologii oraz od miejsca faktycznego dostępu.

Unijne zezwolenie generalne na transfer technologii w ramach grupy kapitałowej porządkuje część tych przypadków, jego stosowanie zostało jednak obwarowane warunkami, w tym prowadzeniem wewnętrznego programu zgodności. Organizacja, która nie spełnia warunków dotyczących programu, nie może skutecznie oprzeć transferu na tym zezwoleniu. Transfer dokonany bez innej właściwej podstawy może stanowić naruszenie przepisów.

Konsekwencją operacyjną jest powiązanie rejestru aktywów technologicznych z macierzą uprawnień. Bez tego powiązania organizacja nie odpowie na pytanie, kto miał dostęp do jakiej technologii i z jakiej jurysdykcji, a pytanie w tej formie pojawia się przed Zarządem i podczas audytu. Rejestr prowadzony wyłącznie w dokumentacji handlowej pozostawia poza zakresem transfery realizowane w ramach zwykłej pracy zespołów inżynierskich.

Kiedy eksporter musi zastosować kontrolę wobec produktów służących do cyberinwigilacji?

Obowiązek zezwoleniowy dla niewymienionych w wykazie produktów służących do cyberinwigilacji powstaje, gdy organ poinformował eksportera, że produkty są lub mogą być przeznaczone do wykorzystania w związku z wewnętrznymi represjami lub poważnymi naruszeniami praw człowieka i międzynarodowego prawa humanitarnego. Jeżeli natomiast eksporter, na podstawie ustaleń dokonanych w ramach procedury należytej staranności, jest świadomy takiego przeznaczenia, ma obowiązek powiadomić właściwy organ. Organ decyduje wtedy, czy objąć dany wywóz obowiązkiem uzyskania zezwolenia.

Definicja z art. 2 rozporządzenia zawęża zakres do produktów specjalnie zaprojektowanych w celu umożliwienia niejawnego nadzoru nad osobami fizycznymi przez monitorowanie, pobieranie, gromadzenie lub analizowanie danych z systemów informatycznych i telekomunikacyjnych. Zalecenie 2024/​2659 rozwija to kryterium. Technologie rozpoznawania twarzy i emocji mają zastosowania inne niż nadzór, na przykład identyfikację lub uwierzytelnianie, i nie wchodzą automatycznie w zakres definicji. Ocena wymaga sprawdzenia, czy oprogramowanie zostało specjalnie zaprojektowane do celów niejawnego nadzoru. Do produktów wymienionych w wykazie kontrolnym należą natomiast systemy przechwytywania przekazów telekomunikacyjnych.

Skutek praktyczny dla dostawcy oprogramowania analitycznego polega na tym, że decyzję klasyfikacyjną należy odpowiednio udokumentować w ramach procedur zgodności. Uznanie produktu za pozostający poza zakresem definicji stanowi rozstrzygnięcie, które organ może później zbadać. Notatka klasyfikacyjna z datą, wskazaniem osoby oceniającej, opisem funkcji produktu oraz uzasadnieniem odniesienia do definicji zamyka tę lukę.

Ocena ryzyka transakcji obejmuje końcowego użytkownika, zastosowanie końcowe, kraj przeznaczenia oraz sygnały ostrzegawcze w samej transakcji. Do sygnałów ostrzegawczych należą rozbieżność między profilem nabywcy a funkcjonalnością produktu, żądanie ograniczenia zapisu dzienników zdarzeń, nietypowa struktura pośredników oraz brak gotowości do złożenia oświadczenia końcowego użytkownika.

Jak rozkłada się odpowiedzialność za obchodzenie kontroli eksportu?

Odpowiedzialność może obejmować eksportera, pośrednika oraz podmiot świadczący pomoc techniczną, przy czym znaczenie stanu wiedzy o transakcji zależy od rodzaju obowiązku określonego w rozporządzeniu. Struktura z udziałem pośrednika w kraju trzecim nie zwalnia eksportera z obowiązków wynikających z przepisów kontroli eksportu. Sankcje za naruszenia określa prawo krajowe, a rozporządzenie zobowiązuje państwa członkowskie do ustanowienia środków skutecznych, proporcjonalnych i odstraszających.

Ustawa krajowa nakłada obowiązek reakcji i obowiązek informacyjny. Podmiot, który uzyska informację albo ma uzasadnione podstawy do przypuszczenia, że wystąpiły lub mogą wystąpić nieprawidłowości w obrocie towarami o znaczeniu strategicznym, ma obowiązek podjąć wszelkie możliwe czynności mające na celu przywrócenie stanu zgodnego z prawem lub zapobieżenie nieprawidłowościom oraz zawiadomić organ kontroli obrotu. Przepis przenosi wykrycie nieprawidłowości z obszaru decyzji biznesowej do obszaru obowiązku ustawowego, co ma znaczenie dla konstrukcji kanału zgłoszeń wewnętrznych oraz dla terminów reakcji zapisanych w procedurze.

Drugim mechanizmem jest konsultacja odmów. Organ kontroli obrotu przed wydaniem zezwolenia indywidualnego lub globalnego ustala, czy w ciągu ostatnich trzech lat organ innego państwa członkowskiego odmówił wydania zezwolenia na obrót towarem o zasadniczo identycznych parametrach do tego samego końcowego użytkownika. Wcześniejsza odmowa w innym państwie członkowskim wpływa na postępowanie prowadzone w Polsce, co ogranicza skuteczność strategii opartej na wyborze jurysdykcji o łagodniejszej praktyce orzeczniczej.

Dla organizacji działającej w kilku państwach Unii wynika z tego wymóg spójności. Rozbieżne klasyfikacje tego samego produktu w dwóch spółkach grupy tworzą ryzyko, które ujawnia się przy pierwszej konsultacji między organami. Ujednolicenie klasyfikacji na poziomie grupy oraz prowadzenie jednego rejestru decyzji klasyfikacyjnych ograniczają to ryzyko.

Jak zbudować wewnętrzny program zgodności dla kontroli eksportu technologii?

Wewnętrzny program zgodności opiera się na elementach opisanych w zaleceniu Komisji (UE) 2019/​1318. Program spełnia swoją funkcję wtedy, gdy każdy element ma przypisanego właściciela, dokument odniesienia oraz dowód działania.

Zakres obejmuje zobowiązanie kadry kierowniczej wyższego szczebla do zapewnienia zgodności, strukturę organizacyjną wraz z podziałem odpowiedzialności i zasobami, szkolenia oraz budowanie świadomości, środki kontroli transakcji w postaci klasyfikacji produktu i oceny ryzyka, przegląd skuteczności obejmujący audyty, sprawozdawczość i działania korygujące, prowadzenie oraz archiwizację dokumentacji, a także bezpieczeństwo fizyczne i bezpieczeństwo informacji. Zalecenie 2024/​2659 traktuje środki kontroli transakcji dla produktów służących do cyberinwigilacji jako część tego samego programu.

W obrocie uzbrojeniem ustawa krajowa wymaga utworzenia i stosowania wewnętrznego systemu kontroli. W obszarze produktów podwójnego zastosowania program zgodności funkcjonuje jako standard należytej staranności oraz warunek korzystania z części unijnych zezwoleń generalnych, co w określonych przypadkach przenosi go z kategorii dobrej praktyki do kategorii warunku korzystania z danej podstawy zezwoleniowej.

Organizacje utrzymujące system zarządzania bezpieczeństwem informacji zgodny z ISO/​IEC 27001 mają wdrożoną część wymaganych mechanizmów, w szczególności zarządzanie dostępem, klasyfikację informacji oraz retencję zapisów. Rozszerzenie istniejącego systemu o kryteria kontroli eksportu pozostaje efektywniejsze od budowy równoległej dokumentacji, ponieważ pozwala wykorzystać istniejące cykle przeglądów i audytów wewnętrznych.

Podsumowanie

Kontrola eksportu produktów podwójnego zastosowania rozstrzyga się w systemach zarządzania dostępem oraz w dokumentacji decyzji klasyfikacyjnych. Organizacja, która potrafi wskazać, kto miał dostęp do jakiej technologii, z jakiej jurysdykcji i na jakiej podstawie prawnej, dysponuje materiałem dowodowym na potrzeby postępowania przed organem kontroli obrotu. Organizacja opierająca zgodność na deklaracjach handlowych takiego materiału nie posiada. Nowelizacja z dnia 13 marca 2026 roku zmieniła część krajowych wymogów proceduralnych, a wytyczne z zalecenia 2024/​2659 doprecyzowały sposób stosowania należytej staranności wobec produktów służących do cyberinwigilacji.

Najczęstsze pytania

Czy transfer technologii do spółki zależnej poza Unią wymaga zezwolenia?

Udostępnienie technologii objętej wykazem kontrolnym odbiorcy poza Unią Europejską stanowi wywóz w rozumieniu rozporządzenia, również w ramach jednej grupy kapitałowej. Podstawą może być unijne zezwolenie generalne na transfer technologii w ramach grupy, którego stosowanie wymaga spełnienia warunków określonych w załączniku II. Ocena zależy od klasyfikacji technologii oraz od kraju faktycznego dostępu.

Czym różni się zezwolenie globalne od generalnego unijnego?

Zezwolenie globalne organ wydaje konkretnemu eksporterowi i obejmuje określone produkty, odbiorców lub kraje przeznaczenia. Unijne zezwolenie generalne wynika bezpośrednio z załącznika II do rozporządzenia i przysługuje każdemu eksporterowi, który spełnia jego warunki. Korzystanie z zezwolenia generalnego pozostaje uwarunkowane obowiązkami zgłoszeniowymi i dokumentacyjnymi wobec organu.

Czy wewnętrzny program zgodności jest obowiązkowy w Polsce?

Ustawa krajowa wymaga wewnętrznego systemu kontroli w obrocie uzbrojeniem. W obszarze produktów podwójnego zastosowania program zgodności stanowi standard należytej staranności opisany w zaleceniu Komisji (UE) 2019/​1318 oraz warunek korzystania z części unijnych zezwoleń generalnych. Brak programu ogranicza dostępne podstawy prawne wywozu.

Co zrobić po wykryciu podejrzenia nieprawidłowości w obrocie?

Ustawa krajowa nakłada na podmiot, który uzyskał informację albo ma uzasadnione podstawy do przypuszczenia, że nieprawidłowości wystąpiły lub mogą wystąpić, obowiązek podjęcia wszelkich możliwych czynności mających na celu przywrócenie stanu zgodnego z prawem lub zapobieżenie nieprawidłowościom oraz zawiadomienia organu kontroli obrotu. Procedura wewnętrzna powinna wskazywać osobę odpowiedzialną za zawiadomienie oraz termin jego przygotowania. Równolegle należy zabezpieczyć dokumentację transakcji, ponieważ stanowi ona materiał postępowania.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/​821 z dnia 20 maja 2021 roku ustanawiające unijny system kontroli wywozu, pośrednictwa, pomocy technicznej, tranzytu i transferu produktów podwójnego zastosowania
• Ustawa z dnia 29 listopada 2000 roku o obrocie z zagranicą towarami, technologiami i usługami o znaczeniu strategicznym dla bezpieczeństwa państwa, a także dla utrzymania międzynarodowego pokoju i bezpieczeństwa (Dz.U. z 2023 r. poz. 1582)
• Ustawa z dnia 13 marca 2026 roku o zmianie ustawy o obrocie z zagranicą towarami, technologiami i usługami o znaczeniu strategicznym dla bezpieczeństwa państwa, a także dla utrzymania międzynarodowego pokoju i bezpieczeństwa oraz ustawy o wykonywaniu działalności gospodarczej w zakresie wytwarzania i obrotu materiałami wybuchowymi, bronią, amunicją oraz wyrobami i technologią o przeznaczeniu wojskowym lub policyjnym (Dz.U. 2026 poz. 471)
• Komisja Europejska, „Zalecenie Komisji (UE) 2019/​1318 w sprawie wewnętrznych programów zgodności dla kontroli handlu produktami podwójnego zastosowania”, lipiec 2019
• Komisja Europejska, „Zalecenie Komisji (UE) 2024/​2659 w sprawie wytycznych dotyczących wywozu produktów służących do cyberinwigilacji na podstawie art. 5 rozporządzenia (UE) 2021/​821″, październik 2024

Narzędzie porządkuje kontekst organizacji oraz wymagania stron zainteresowanych. Obejmuje to również wymagania wynikające z przepisów dotyczących kontroli obrotu.