dyrektywa o produktach wadliwych

Ta strona opisuje dyrektywę na poziomie UE. Nie czytano w źródle polskiej ustawy wdrażającej ani projektu takiej ustawy, więc nie ma tu polskich przepisów ani dat krajowych. Sprawdź je w prawie krajowym.

Dyrektywa w sprawie odpowiedzialności za produkty wadliwe (Product Liability Directive, PLD) nie jest reżimem zgodności. Nikt nie certyfikuje według niej, żaden organ jej nie nadzoruje i nie przewiduje ona kar. Rozstrzyga jedno: kto płaci odszkodowanie, gdy produkt wadliwy wyrządzi szkodę człowiekowi, i co poszkodowany musi udowodnić. Odpowiedzialność nie zależy od winy. Jeśli produkt był wadliwy i spowodował szkodę, podmiot gospodarczy odpowiada, nawet gdy działał starannie.

Dyrektywa wiąże państwa członkowskie, które wprowadzają ją do prawa krajowego. Ustala jeden poziom dla całej UE: prawo krajowe nie może być surowsze ani łagodniejsze, chyba że dyrektywa na to pozwala. Odszkodowania mogą żądać tylko osoby fizyczne. Klient biznesowy nie dochodzi na tej podstawie własnych strat, choć jego pracownicy mogą, jeśli produkt wyrządzi im szkodę.

Możesz natomiast prowadzić dokumentację, która pokazuje, jaki był produkt, gdy wyszedł z Twoich rąk, mieć politykę aktualizacji, której obronisz, oraz sprawdzić umowy z dostawcami i ubezpieczenie. Z tych kroków składa się plan dla tego obszaru.

Produkt to każda rzecz ruchoma, a definicja wprost wymienia oprogramowanie. Strona Komisji wylicza aplikacje, systemy operacyjne i systemy AI. Według motywów nie ma znaczenia sposób dostarczenia: oprogramowanie zainstalowane na urządzeniu, dostępne przez sieć lub chmurę albo sprzedawane jako usługa (SaaS). Twórca oprogramowania, także dostawca systemu AI, jest traktowany jak producent. Informacja nie jest produktem, więc treść plików cyfrowych i sam kod źródłowy oprogramowania pozostają poza zakresem.

Powiązana usługa to usługa cyfrowa zintegrowana z produktem lub z nim połączona tak, że bez niej produkt nie realizuje którejś ze swoich funkcji. Motywy podają przykłady: usługę, która monitoruje i reguluje temperaturę inteligentnej lodówki, albo asystenta głosowego sterującego produktami. Jest częścią składową produktu, gdy pozostaje pod kontrolą producenta. Kontrola producenta obejmuje też aktualizacje i części składowe od innych, które producent dostarcza, na które zezwala lub na które wyraża zgodę, i trwa, dopóki producent może dostarczać aktualizacje oprogramowania sam lub przez kogoś innego.

Darmowe i otwarte oprogramowanie opracowane lub dostarczone poza działalnością handlową jest wyłączone. Jeśli wbudujesz takie oprogramowanie w sprzedawany produkt, odpowiadasz za nie jako za część swojego produktu, choć jego autorzy nie odpowiadają.

Produkt jest wadliwy, gdy nie zapewnia bezpieczeństwa, którego osoba ma prawo oczekiwać, albo bezpieczeństwa wymaganego przez prawo Unii lub prawo krajowe. Sąd bierze pod uwagę wszystkie okoliczności. Przy oprogramowaniu i produktach podłączanych do sieci szczególnie liczą się:

• prezentacja produktu: etykieta, projekt, cechy techniczne oraz instrukcje instalacji, użytkowania i konserwacji
• dające się racjonalnie przewidzieć zastosowanie oraz wpływ innych produktów używanych razem z nim, także przez połączenie
• zdolność do dalszego uczenia się lub nabywania nowych cech po wprowadzeniu do obrotu
• moment wprowadzenia do obrotu albo, gdy producent zachowuje kontrolę, moment, w którym produkt przestał jej podlegać
• wymogi bezpieczeństwa produktów, w tym wymogi w zakresie cyberbezpieczeństwa istotne dla bezpieczeństwa produktu
• nakazy wycofania i inne interwencje organu lub podmiotu gospodarczego

Według motywów produkt może być wadliwy z powodu podatności, na przykład gdy nie spełnia wymogów cyberbezpieczeństwa istotnych dla bezpieczeństwa. Produkt nie staje się wadliwy tylko dlatego, że później pojawi się lepszy produkt albo aktualizacja.

Najpierw odpowiada producent produktu wadliwego. Jest nim także ten, kto zleca zaprojektowanie lub wytworzenie produktu, oraz ten, kto umieszcza na nim swoją nazwę lub znak towarowy. Odpowiada też producent wadliwej części składowej, jeśli jego część została zintegrowana lub połączona z produktem pod kontrolą producenta i spowodowała wadliwość. Producent produktu nadal odpowiada za tę część.

Gdy producent ma siedzibę poza Unią, odpowiadają również importer i upoważniony przedstawiciel. Gdy nie ma żadnego z nich, odpowiada dostawca usług realizacji zamówień: firma, która świadczy co najmniej dwie z usług magazynowania, pakowania, adresowania i wysyłania, nie będąc właścicielem produktu. Jeśli nie da się wskazać odpowiedzialnego podmiotu w UE, odpowiada dystrybutor, chyba że w ciągu miesiąca od wniosku wskaże taki podmiot albo własnego dostawcę. Ta sama zasada obejmuje platformy internetowe, przez które konsumenci kupują od przedsiębiorców, na warunkach z aktu o usługach cyfrowych.

Kto znacząco modyfikuje produkt poza kontrolą producenta, a potem udostępnia go na rynku lub oddaje do użytku, jest traktowany jak jego producent.

Kilka odpowiedzialnych podmiotów odpowiada solidarnie, a ten, kto zapłacił, może dochodzić zwrotu od pozostałych według prawa krajowego. Gdy do szkody przyczynił się ktoś trzeci, na przykład atakujący wykorzystujący podatność, Twoja odpowiedzialność się nie zmniejsza. Może się zmniejszyć, gdy przyczyniła się wina samego poszkodowanego. Motywy podają przykład użytkownika, który przez niedbalstwo nie zainstalował aktualizacji, która zapobiegłaby szkodzie.

Odszkodowanie obejmuje trzy rodzaje szkody:

• śmierć lub szkodę na osobie, w tym uznaną w naukach medycznych szkodę na zdrowiu psychicznym
• uszkodzenie lub zniszczenie mienia, z wyjątkiem samego produktu wadliwego, produktu uszkodzonego przez wadliwą część składową wbudowaną przez producenta oraz mienia wykorzystywanego wyłącznie do celów zawodowych
• zniszczenie lub uszkodzenie danych, które nie są wykorzystywane do celów zawodowych

Pokrywane są wszystkie uszczerbki majątkowe wynikające z tej szkody. Uszczerbki niemajątkowe w zakresie, w jakim pozwala na to prawo krajowe. Według motywów liczy się koszt odzyskania lub odtworzenia danych, ale nie ma uszczerbku majątkowego, jeśli dane da się odzyskać bez kosztów, na przykład z kopii zapasowej. Dane wykorzystywane do celów zawodowych, nawet częściowo, są wyłączone. Wyciek danych to inna sprawa: dyrektywa nie zmienia unijnych przepisów o danych osobowych, w tym RODO.

Osoba poszkodowana, która przedstawi fakty i dowody wystarczające do wykazania wiarygodności roszczenia, może wnieść, by sąd nakazał Ci ujawnienie odpowiednich dowodów, którymi dysponujesz. Sąd ogranicza nakaz do tego, co konieczne i proporcjonalne, i waży interesy wszystkich stron, w tym tajemnice przedsiębiorstwa, które może chronić w toku postępowania i po nim. Może też zażądać przedstawienia dowodów w łatwo dostępny i zrozumiały sposób. Według motywów może to obejmować dokumenty, które trzeba dopiero zestawić z posiadanych informacji. Pozwany może w odpowiedzi żądać dowodów powoda.

Powód nadal musi udowodnić wadliwość, szkodę i związek przyczynowy. Dyrektywa ułatwia to domniemaniami, które możesz obalić:

• wadliwość domniemywa się, jeśli nie ujawnisz dowodów, których ujawnienie nakazał sąd
• wadliwość domniemywa się, jeśli produkt narusza obowiązkowy unijny lub krajowy wymóg bezpieczeństwa, który ma chronić przed taką szkodą
• wadliwość domniemywa się, jeśli szkodę spowodowało oczywiste nieprawidłowe działanie produktu podczas dającego się racjonalnie przewidzieć używania
• związek przyczynowy domniemywa się, gdy wadliwość ustalono, a szkoda jest takiego rodzaju, jaki zwykle odpowiada tej wadzie
• gdy złożoność techniczna lub naukowa nadmiernie utrudnia dowód, sąd domniemywa wadliwość, związek przyczynowy albo oba, jeśli powód wykaże ich prawdopodobieństwo

Według motywów przykładem naruszenia obowiązkowego wymogu jest produkt bez środków rejestrowania informacji o swoim działaniu, gdy prawo tego wymaga.

Podmiot gospodarczy nie odpowiada, jeśli udowodni jedną z okoliczności: nie wprowadził produktu do obrotu; wadliwość prawdopodobnie nie istniała w chwili wprowadzenia do obrotu lub oddania do użytku albo powstała później; wadliwość wynika z zapewnienia zgodności z wymogami prawnymi; ówczesny stan wiedzy naukowej i technicznej nie pozwalał jej wykryć; producent części składowej wykaże, że wadliwość wynika z projektu produktu lub instrukcji, które otrzymał; albo podmiot modyfikujący wykaże, że wadliwość dotyczy części, której nie zmieniał.

Drugie wyłączenie ma twardą granicę dla producentów oprogramowania. Nie działa, gdy wadliwość wynika z czegoś, co pozostaje pod kontrolą producenta: powiązanej usługi, oprogramowania wraz z aktualizacjami, braku aktualizacji oprogramowania niezbędnych do utrzymania bezpieczeństwa albo znaczącej modyfikacji. Według motywów sama dyrektywa nie nakłada obowiązku dostarczania aktualizacji. Państwa członkowskie mogą też utrzymać lub wprowadzić przepisy, które dla niektórych produktów odbierają zarzut ryzyka rozwoju (stanu wiedzy).

Roszczenie trzeba wnieść w ciągu trzech lat od dnia, w którym poszkodowany dowiedział się o szkodzie, wadliwości i odpowiedzialnym podmiocie. Prawo wygasa po 10 latach od wprowadzenia produktu do obrotu lub oddania do użytku, a po 25 latach, gdy szkoda na osobie miała utajony charakter. Znacząca modyfikacja otwiera nowy okres 10 lat. Aktualizacje, które nie są znaczącą modyfikacją, według motywów go nie otwierają.

• 18 listopada 2024 r. Dyrektywa została opublikowana w Dzienniku Urzędowym UE. Według Komisji weszła w życie 8 grudnia 2024 r.
• 9 grudnia 2026 r. Państwa członkowskie mają mieć w mocy przepisy krajowe. Od tego dnia dyrektywa z 1985 r. traci moc.
• Po 9 grudnia 2026 r. Produkty wprowadzone do obrotu lub oddane do użytku od tej chwili podlegają nowym zasadom. Produkty wprowadzone wcześniej pozostają pod dyrektywą z 1985 r. w brzmieniu prawa krajowego.

Tekst dyrektywy mówi o produktach wprowadzonych do obrotu po 9 grudnia 2026 r., a strona Komisji o produktach wprowadzanych od tego dnia. Zapytaj prawnika, jak krajowa ustawa traktuje produkt wydany dokładnie tego dnia. Sprawdź w niej własne brzmienie i datę.

Dyrektywa nie wymienia Cyber Resilience Act (CRA). Działa przez dwie furtki. Sąd bierze pod uwagę wymogi cyberbezpieczeństwa istotne dla bezpieczeństwa produktu, gdy ocenia wadliwość, i domniemywa wadliwość, gdy produkt narusza obowiązkowy wymóg bezpieczeństwa, który ma chronić przed poniesioną szkodą. Czy dany wymóg CRA jest takim wymogiem, rozstrzygną sądy. Mimo to czytaj oba akty razem: obowiązek CRA obsługi podatności w okresie wsparcia, także przez aktualizacje zabezpieczeń, spotyka się z zasadą, że brak niezbędnej aktualizacji bezpieczeństwa utrzymuje Twoją odpowiedzialność.

Dokumenty też się pokrywają. Według CRA producent przechowuje dokumentację techniczną co najmniej 10 lat albo przez okres wsparcia, ustala i podaje okres wsparcia oraz zgłasza aktywnie wykorzystywane podatności. Według PLD roszczenie można wnieść do 10 lat po wprowadzeniu produktu do obrotu, a sąd może nakazać ujawnienie odpowiednich dowodów. Ten sam zbiór odpowiada na oba: zapisy wydań, wyniki testów, lista części składowych, rejestr podatności z datami, historia aktualizacji i decyzja o okresie wsparcia.

Ubezpieczenie to decyzja zarządu. Dyrektywa zobowiązuje Komisję tylko do sprawozdania o dostępności ubezpieczenia od odpowiedzialności za produkt. Czy Twoja polisa obejmuje oprogramowanie, powiązane usługi i utratę danych, to pytanie do brokera.