W skrócie: wymogi prawne dla aplikacji mobilnej to przede wszystkim dane osobowe, regulamin, licencja dla użytkowników i prawa do kodu. Najważniejsze zasady:
- Aplikacja, która przetwarza dane osobowe, musi mieć politykę prywatności dostępną przed instalacją: w karcie aplikacji w sklepie i w samej aplikacji.
- Systemowe okienko z pytaniem o dostęp do lokalizacji czy aparatu nie jest zgodą w rozumieniu RODO.
- Regulamin trzeba udostępnić przed zawarciem umowy z użytkownikiem; postanowienia nieudostępnione go nie wiążą.
- Prawa do kodu napisanego przez founderów nie przechodzą na spółkę automatycznie: potrzebny jest aport albo pisemna umowa z wymienionymi w niej polami eksploatacji.
- Aplikacji nie rejestruje się w UODO, tak jak kiedyś rejestrowało się zbiory danych; firma powinna natomiast prowadzić wewnętrzny rejestr czynności przetwarzania.
Firma kończy prace nad aplikacją, wersja produkcyjna jest już gotowa. Przy publikacji sklep (App Store i Google Play) prosi o link do polityki prywatności i regulaminu. Aby oferować aplikację, zakładacie spółkę. Jednocześnie aplikacja została stworzona przez dwóch founderów, którzy są autorami kodu.
Na tym etapie łatwo przeoczyć dwie rzeczy. Po pierwsze, nowa spółka nie ma żadnych praw do kodu, dopóki founderzy ich nie przeniosą na swoją spółkę. Po drugie, polityka prywatności i regulamin muszą wskazywać spółkę jako administratora danych i usługodawcę. Artykuł pokazuje, co sprawdzić przed publikacją, żeby zgodność prawna aplikacji mobilnej nie była tylko deklaracją.
Sprawdź: obsługa prawna firm IT
Aplikacja mobilna a prawo: jakie przepisy musisz spełnić
Twoja aplikacja podlega jednocześnie kilku ustawom, a nie jednemu „prawu aplikacji mobilnych”. Prawo aplikacji mobilnych to w praktyce zbiór regulacji z kilku ustaw:
- RODO: przetwarzanie danych użytkowników, od adresu e-mail po identyfikator reklamowy urządzenia;
- ustawa o świadczeniu usług drogą elektroniczną: obowiązki do zaadresowania w regulaminie;
- prawo autorskie: ochrona kodu i warunki licencji dla użytkowników;
- Prawo komunikacji elektronicznej: zgoda na dostęp do informacji zapisanych w telefonie;
- ustawa o prawach konsumenta: płatne funkcje, subskrypcje i treści cyfrowe.
Wymogi prawne aplikacji mobilnej w 2026 r. nie zależą od tego, czy aplikacja jest płatna. Darmowa aplikacja z reklamami często przetwarza więcej danych niż płatna, bo jej model biznesowy opiera się na profilowaniu i sprzedaży powierzchni reklamowej.
Ten artykuł obejmuje pięć podstawowych obszarów: RODO, zgody, politykę prywatności, regulamin z licencją oraz prawa autorskie, a także to, co zmienia założenie spółki przez founderów.
Pozostałe regulacje prawne dotyczące aplikacji mobilnych omawiamy w artykule Aplikacja mobilna a prawa konsumenta: subskrypcje, cookies i sklepy.
Spółka, a nie founder, powinna być stroną umowy wobec użytkowników
Aplikację zazwyczaj wydaje i oferuje użytkownikom spółka założona przez founderów. W konsekwencji, to ona powinna występować wobec użytkowników jako administrator danych, usługodawca i wydawca aplikacji w sklepie.
W praktyce aplikacja często powstaje wcześniej niż spółka. Founderzy testują ją na prywatnym koncie deweloperskim, a pierwsze dane użytkowników zbierają jeszcze przed rejestracją w KRS. Do tego czasu administratorem danych są oni sami, a nie spółka. Po założeniu spółki trzeba więc uporządkować trzy elementy:
- polityka prywatności: wskazuje spółkę jako administratora danych, z jej firmą, adresem i danymi kontaktowymi;
- regulamin: wskazuje spółkę jako usługodawcę;
- konto deweloperskie: aplikacja powinna zostać przeniesiona z prywatnego konta foundera na konto spółki w App Store i Google Play.
Ostatni punkt bywa pomijany, bo aplikacja działa niezależnie od tego, na czyim koncie jest opublikowana. Tymczasem w sklepie sprzedawcą i stroną wobec użytkowników jest właściciel konta. Oba sklepy umożliwiają przeniesienie aplikacji między kontami bez utraty pobrań i opinii.
Zgodność aplikacji mobilnej z RODO zaczyna się od mapy danych
Zgodność aplikacji mobilnej z RODO zaczyna się od ustalenia, jakie dane aplikacja zbiera, w jakim celu i komu je przekazuje.
Przetwarzanie danych mobilnych obejmuje więcej, niż widać na ekranie. Danymi osobowymi są także identyfikator urządzenia, identyfikator reklamowy, adres IP i dokładna lokalizacja. Jeśli w aplikacji działają zewnętrzne narzędzia (SDK) do analityki, reklam czy logowania przez Google lub Facebooka, dane trafiają też do ich dostawców. Dla każdego z nich musisz ustalić rolę: podmiot przetwarzający, który wymaga umowy powierzenia (art. 28 RODO), albo odrębny administrator.
Ochrona danych osobowych w aplikacji wymaga też zabezpieczeń technicznych dobranych do ryzyka (art. 32 RODO). Bezpieczeństwo danych użytkowników to w praktyce:
- szyfrowanie: transmisja wyłącznie przez HTTPS, szyfrowanie wrażliwych danych w pamięci telefonu;
- minimalizacja: aplikacja nie pyta o kontakty czy lokalizację, jeśli funkcja ich nie wymaga;
- testy bezpieczeństwa: przed premierą i po większych aktualizacjach;
- procedura naruszeń: naruszenie, które może powodować ryzyko dla użytkowników, trzeba zgłosić do UODO w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO).
Cyberbezpieczeństwo aplikacji to nie tylko kwestia techniczna. Gdy dojdzie do wycieku, PUODO sprawdza, czy zabezpieczenia były adekwatne do ryzyka, a dokumentacja z testów jest Twoim głównym dowodem.
Zgoda systemowa na lokalizację nie jest zgodą z RODO
Okienko systemu iOS lub Android z pytaniem o dostęp do lokalizacji, aparatu czy kontaktów to zabezpieczenie techniczne. Nie jest to zgoda na przetwarzanie danych w rozumieniu RODO.
Zgody użytkownika aplikacji to obszar częstych błędów projektowych. Zespół zakłada, że skoro użytkownik kliknął „Zezwól”, firma może wykorzystać dane w dowolnym celu. Tak nie jest. Każdy cel przetwarzania wymaga osobnej podstawy prawnej:
- wykonanie umowy: dane niezbędne do działania funkcji, którą użytkownik wybrał, np. lokalizacja w aplikacji do zamawiania taksówki;
- zgoda: marketing, profilowanie reklamowe, analityka wykraczająca poza niezbędne minimum;
- prawnie uzasadniony interes: np. zapobieganie nadużyciom, obrona przed roszczeniami, analityka w celu ulepszenia działania aplikacji.
Uwaga na analitykę: jeśli SDK analityczne odczytuje identyfikatory zapisane w telefonie, Prawo komunikacji elektronicznej wymaga zgody użytkownika niezależnie od podstawy przetwarzania z RODO. Wyjątkiem jest dostęp niezbędny do świadczenia usługi, o którą użytkownik prosi.
Zgoda musi być dobrowolna, konkretna i świadoma. Nie może być domyślnie zaznaczona ani warunkiem korzystania z aplikacji, jeśli dane nie są potrzebne do jej działania. Użytkownik musi móc ją wycofać tak łatwo, jak ją wyraził, najlepiej w ustawieniach aplikacji.
Osobny reżim dotyczy dzieci. Jeśli podstawą przetwarzania jest zgoda, w Polsce samodzielnie wyraża ją osoba, która ukończyła 16 lat (art. 8 RODO). Za młodsze dzieci zgodę wyraża rodzic, a dostawca aplikacji musi podjąć rozsądne działania, żeby to zweryfikować. Komunikaty skierowane do dzieci muszą być napisane prostym językiem.
Polityka prywatności aplikacji mobilnej musi być dostępna przed instalacją
Polityka prywatności aplikacji mobilnej jest obowiązkowa, gdy aplikacja przetwarza jakiekolwiek dane osobowe, a w praktyce dotyczy to niemal każdej aplikacji.
Obowiązek wynika z art. 13 RODO: użytkownik musi wiedzieć, kto przetwarza jego dane, w jakim celu, na jakiej podstawie, komu je przekazuje i jak długo je przechowuje. Oba sklepy wymagają linku do polityki prywatności w karcie aplikacji i w samej aplikacji. App Store i Google Play wymagają też deklaracji o zbieranych danych, które wyświetlają się użytkownikowi przed pobraniem.
Polityka prywatności aplikacji skopiowana ze strony internetowej to ryzyko. Najczęstsze braki:
- brak SDK: polityka nie wymienia dostawców analityki i reklam;
- brak uprawnień: polityka nie wyjaśnia, po co aplikacja potrzebuje lokalizacji, aparatu czy mikrofonu;
- transfer poza EOG: brak informacji, że dane trafiają do USA lub innych państw spoza Europejskiego Obszaru Gospodarczego;
- niespójność: polityka mówi co innego niż dzieje się z danymi.
Niespójność między polityką a deklaracją w sklepie to prosty dowód naruszenia zasady przejrzystości, która wynika z RODO. Polityka musi więc być aktualizowana razem z aplikacją.
Regulamin aplikacji mobilnej: obowiązkowe elementy zamiast wzoru
Regulamin aplikacji mobilnej jest elementem obowiązkowym, gdyż jest umową między użytkownikiem a dostawcą usługi drogą elektroniczną, np. umożliwiającej założenie konta, zakupy lub korzystanie z treści.
Wpisując w wyszukiwarkę „regulamin aplikacji mobilnej wzór”, znajdziesz dziesiątki gotowych dokumentów. Problem w tym, że wzór nie zna Twojego modelu biznesowego. Ustawa o świadczeniu usług drogą elektroniczną (art. 8 ust. 3) wymaga, żeby regulamin określał co najmniej:
- rodzaje i zakres usług: co dokładnie aplikacja oferuje;
- wymagania techniczne: np. minimalna wersja systemu iOS lub Android;
- zakaz dostarczania treści bezprawnych: istotny, gdy użytkownicy publikują własne treści;
- warunki zawierania i rozwiązywania umów: rejestracja, usunięcie konta, wypowiedzenie subskrypcji;
- tryb reklamacji: sposób zgłoszenia, termin odpowiedzi.
Regulamin trzeba udostępnić przed zawarciem umowy, nieodpłatnie i w formie, którą użytkownik może zapisać. Jeśli tego nie zrobisz, użytkownik nie jest związany jego postanowieniami. Wobec konsumentów regulamin nie może zawierać klauzul niedozwolonych, np. prawa do jednostronnej zmiany ceny subskrypcji bez ważnej przyczyny.
Licencja użytkownika końcowego określa, co wolno zrobić z aplikacją
Aplikacja mobilna bez własnej licencji użytkownika końcowego działa na warunkach domyślnych sklepu albo bez jasnych zasad.
W App Store, jeśli nie dodasz własnej licencji, obowiązuje standardowa licencja Apple. Jest uniwersalna, więc nie uwzględnia specyfiki usługi, np. ograniczeń dla kont firmowych czy zasad korzystania z treści generowanych przez użytkowników. Licencja oprogramowania mobilnego może być osobnym dokumentem albo częścią regulaminu. Zwykle określa:
- zakres: licencja niewyłączna, niezbywalna, na użytek własny;
- zakazy: odsprzedaż, obchodzenie zabezpieczeń, automatyczne pobieranie danych, przekraczanie limitu użytkowników;
- zakończenie: kiedy licencja wygasa, np. po usunięciu konta.
Prawa autorskie do aplikacji: kod founderów nie należy do spółki
Jednym z największych wyzwań są autorskie prawa majątkowe do kodu napisanego przez founderów przed założeniem spółki. Te prawa należą do nich, a nie do spółki. Spółka nabywa je dopiero wtedy, gdy founderzy skutecznie je przeniosą na spółkę.
Gdy aplikację napisało dwóch founderów, są oni współtwórcami. Prawo autorskie przysługuje im wspólnie, a do wykonywania prawa autorskiego do całości utworu potrzebna jest zgoda obu (art. 9 pr. aut.). Każdy z nich musi więc przenieść na spółkę swoje prawa. Jeśli zrobi to tylko jeden, spółka nie ma pełnych praw do aplikacji.
Przeniesienie praw wymaga:
- formy pisemnej: pod rygorem nieważności (art. 53 pr. aut.); e-mail bez kwalifikowanego podpisu elektronicznego nie wystarczy;
- pól eksploatacji: wymienionych wprost, np. zwielokrotnianie, modyfikacja kodu, rozpowszechnianie w sklepach z aplikacjami;
- kodu źródłowego: przekazania go spółce wraz z dokumentacją, np. przez przeniesienie repozytorium na konto spółki.
Brak takiej umowy ujawnia się zwykle w dwóch sytuacjach. Pierwsza to konflikt między wspólnikami: founder, który odchodzi ze spółki, nadal jest współwłaścicielem praw do kodu i może blokować rozwój aplikacji. Druga to wejście inwestora, który w due diligence zawsze pyta o tytuł prawny do kodu. Sprawdź też, czy aplikacja nie zawiera komponentów open source z licencjami, które wymagają udostępnienia kodu.
Aport, umowa czy licencja: jak przenieść kod na spółkę
Najbezpieczniejsze dla spółki jest przeniesienie praw do kodu w całości: przez aport albo przez umowę przeniesienia praw. Sama licencja to rozwiązanie najsłabsze.
W spółce z o.o. founderzy mają trzy drogi:
- aport (wkład niepieniężny): founderzy obejmują udziały w zamian za prawa do kodu; umowa spółki musi szczegółowo określać przedmiot wkładu, wnoszącego go wspólnika oraz liczbę i wartość objętych udziałów (art. 158 § 1 KSH);
- umowa przeniesienia praw po rejestracji spółki: spółka nabywa prawa do kodu za wynagrodzeniem albo nieodpłatnie;
- licencja: spółka korzysta z kodu, ale nie jest jego właścicielem; licencję niewyłączną można wypowiedzieć, a dla inwestora to sygnał ostrzegawczy.
Przy zakładaniu spółki przez S24 aport nie wchodzi w grę. W spółce zawiązanej na wzorcu umowy kapitał zakładowy można pokryć wyłącznie wkładami pieniężnymi (art. 158 § 1¹ KSH). Founderzy, którzy wybierają S24, przenoszą więc prawa do kodu umową zawartą już po rejestracji spółki. Alternatywą jest późniejsze podwyższenie kapitału aportem, ale to wymaga zmiany umowy spółki u notariusza.
Umowa przeniesienia praw między spółką a founderem, który jest członkiem zarządu, wymaga szczególnej reprezentacji. Spółkę reprezentuje wtedy pełnomocnik powołany uchwałą zgromadzenia wspólników (art. 210 § 1 KSH). Jeśli obaj founderzy są w zarządzie, nie mogą po prostu podpisać umowy sami ze sobą.
W prostej spółce akcyjnej (PSA) wkładem może być także praca lub usługi founderów (art. 300² KSH). To wygodne przy dalszym rozwoju aplikacji, ale nie zastępuje przeniesienia praw do kodu, który już istnieje. Przy zakładaniu PSA przez S24 sprawdź, czy wybrany wzorzec umowy przewiduje wkład niepieniężny. Jeśli nie, potrzebna jest umowa u notariusza.
Wycena aportu i skutki podatkowe przeniesienia praw (PIT, VAT) wymagają osobnej analizy przed podpisaniem umowy.
Kod pisany po założeniu spółki też trzeba zabezpieczyć
Kod, który founderzy piszą już po założeniu spółki, nie należy do niej automatycznie, jeśli nie są jej pracownikami.
Program komputerowy stworzony przez pracownika w ramach obowiązków służbowych należy do pracodawcy, chyba że umowa stanowi inaczej (art. 74 ust. 3 pr. aut.). Ta zasada działa tylko przy umowie o pracę. Powołanie do zarządu uchwałą wspólników nie przenosi praw do kodu. Founder, który jest członkiem zarządu bez żadnej umowy, z każdą aktualizacją aplikacji tworzy kod, który należy do niego.
Spółka ma dwa rozwiązania:
- umowa o pracę: prawa do kodu pisanego w ramach obowiązków przechodzą na spółkę z mocy prawa;
- umowa B2B lub kontrakt menedżerski: z klauzulą przeniesienia praw do kodu z chwilą jego powstania i z wymienionymi polami eksploatacji.
W obu przypadkach obowiązuje ta sama zasada reprezentacji co przy przeniesieniu praw (art. 210 § 1 KSH). Ten sam problem dotyczy pierwszych programistów i freelancerów, których spółka zatrudni później.
FAQ: aplikacja mobilna a wymogi prawne
Czy aplikacja mobilna zbierająca dane osobowe wymaga rejestracji?
Nie. Obowiązek rejestracji zbiorów danych zniknął 25 maja 2018 r., gdy zaczęło obowiązywać RODO. Twoja firma prowadzi natomiast wewnętrzny rejestr czynności przetwarzania (art. 30 RODO). Mniejsze firmy są z tego zwolnione tylko wyjątkowo, a aplikacja przetwarzająca dane regularnie zwykle nie spełnia warunków zwolnienia.
Jakie są konsekwencje prawne braku zgodności aplikacji z RODO?
UODO może nałożyć karę do 20 mln euro lub 4% światowego rocznego obrotu, a za część naruszeń do 10 mln euro lub 2% obrotu (art. 83 RODO). Może też ograniczyć lub zakazać przetwarzania, co w praktyce oznacza wyłączenie funkcji aplikacji. Do tego dochodzą roszczenia użytkowników i ryzyko usunięcia aplikacji ze sklepu.
Czy aplikacja mobilna musi mieć politykę prywatności?
Tak, jeśli przetwarza dane osobowe, a dotyczy to niemal każdej aplikacji. Wymagają tego RODO oraz zasady App Store i Google Play. Bez linku do polityki prywatności Twoja aplikacja nie przejdzie weryfikacji w sklepie.
Czy aplikacja mobilna musi być zgodna z prawem autorskim?
Tak, i to w dwóch kierunkach. Spółka musi mieć prawa do własnego kodu, a więc umowę z founderami i programistami, a także prawo do korzystania z cudzych elementów: bibliotek open source, grafik, czcionek i dźwięków. Brak tytułu prawnego do któregokolwiek z nich może oznaczać roszczenia twórcy i usunięcie aplikacji ze sklepu.
Czy aplikacja mobilna dla dzieci wymaga dodatkowych zabezpieczeń prawnych?
Tak. Za dziecko poniżej 16 lat zgodę na przetwarzanie danych wyraża rodzic, a Ty musisz rozsądnie zweryfikować, że to on. Informacje muszą być napisane językiem zrozumiałym dla dziecka, a profilowanie reklamowe dzieci powinno być wyłączone.
Podsumowanie: zgodność prawna to element produktu
Aplikacja mobilna a prawo to nie jeden dokument, ale kilka elementów, które muszą do siebie pasować: mapa danych, podstawy przetwarzania, polityka prywatności, regulamin z licencją i umowa przenosząca prawa do kodu na spółkę. Najwięcej problemów powstaje na styku tych elementów, np. gdy deklaracja w sklepie mówi co innego niż polityka prywatności albo gdy aplikację wydaje spółka, a prawa do kodu nadal mają founderzy.
Jeśli zakładacie spółkę wokół gotowej aplikacji albo planujecie inwestycję, sprawdźcie dokumenty, zanim zrobi to sklep, UODO lub inwestor.
Sprawdź naszą usługę: audyt zgodności z RODO
Tworzysz lub rozwijasz aplikację mobilną i potrzebujesz wsparcia prawnego? Prawo nowych technologii to jeden z głównych obszarów działalności kancelarii Łochowski Legal. Sprawdź, w czym możemy pomóc Twojej firmie.
