Technologických sporů přibývá. Firmy čelí šikanózním žádostem o data. Špatně nastavené smlouvy mohou pohřbít celé IT projekty. Výsledkem bývají roky trvající spory. „Řízení bude dlouhé, velmi nákladné a zároveň poměrně nepředvídatelné,“ varuje partner a specialista na technologické právo Dentons Zdeněk Kučera. Na co by si firmy měly dát pozor?
Říkáte, že soudy a právníci řeší čím dál víc sporů s technologickým prvkem. O jaké typy případů jde především?
Rozdělil bych je do tří oblastí. První se týká ochrany osobních údajů. Vidíme, že se toto téma začíná dostávat do sporů, ve kterých dříve vůbec nefigurovalo. Jsou to například pracovněprávní spory, kdy zaměstnanci velmi často využívají regulaci ochrany osobních údajů jako nástroj nátlaku na zaměstnavatele. Často se tak obracejí na zaměstnavatele či bývalé zaměstnavatele s širokou žádostí o poskytnutí osobních údajů, které o nich zpracovává. Vědí, že kvůli složitosti interních procesů bude pro zaměstnavatele finančně i časově náročné dohledat všechny informace o zpracování jejich osobních údajů. Navíc zaměstnavatelé obvykle nemají nástroje, s jejichž pomocí by dokázali efektivně vyfiltrovat všechny osobní údaje uložené ve svých systémech.
Žádosti o přehled zaměstnavatelem zpracovávaných osobních údajů často doprovázejí žaloby na neplatnost výpovědi z pracovního poměru. S obdobnými požadavky se setkáváme také ve chvíli, kdy zaměstnanec odejde ke konkurenci a mezi bývalým a novým zaměstnavatelem dojde k nekalosoutěžnímu sporu.
Jaký je vlastně cíl těchto požadavků? Jde čistě o šikanu bývalého zaměstnavatele, se kterým se pracovník nepohodl, nebo se zaměstnanci snaží získat například finanční kompenzaci?
Vidím dvě základní motivace. První je legitimní snaha získat informace, které mohou být následně využity v soudním řízení, třeba v již zmíněných žalobách o neplatnost výpovědi z pracovního poměru. Dokonce jeden z obvodních soudů v Praze řešil návrh na vydání předběžného opatření, kterým se zaměstnanec domáhal zákazu nakládání s určitými osobními údaji tak, aby je mohl později použít jako důkaz. Takové žádosti bývají zpravidla poměrně úzce vymezené a odpovídají účelu GDPR i ochraně práv subjektů údajů.
Vedle toho ale existuje druhý typ motivace, který už považuji za problematický. To jsou požadavky na informace o zpracovávaných údajích, které jsou zcela bezbřehé a jejich hlavním cílem je zatížení zaměstnavatele.
Jak firmy na takové žádosti reagují?
Z opatrnosti se zaměstnavatelé většinou snaží požadavkům vyhovět v co nejširším rozsahu. Nezřídka proto poskytují i rozsáhlou e-mailovou komunikaci a manuálně nebo pomocí specializovaných nástrojů začerňují obchodní tajemství a osobní údaje jiných osob. Pokud zaměstnanec ve společnosti působil deset nebo patnáct let, lze si snadno představit, že jde o mimořádně časově i finančně náročný proces.
Proč vlastně firmy tak rozsáhlé údaje poskytují? Skutečně jim to zákony nařizují?
Poskytují je proto, že zatím není jednoznačná rozhodovací praxe, jasně daný soudní výklad. Raději proto poskytnou všechno, než aby se pak dostaly do dalších problémů. Takže se vlastně točíme v kruhu. Nejsme schopni založit jednotnou praxi a odbourat zátěž těchto šikanózních žádostí, protože firmy raději informace poskytnout.
Určitě by pomohla i jasnější metodická vodítka. Některé dílčí otázky už soudy řešily. Například postavily najisto, že není nutné poskytovat kompletní e-mailovou komunikaci. Nemáme ale jednoznačnou odpověď na otázky typu, zda podnik musí poskytnout seznam všech e-mailů, které zaměstnanec kdy odeslal, komu je poslal nebo kdy tak učinil. Takové jednoznačné vodítko zatím stále chybí.
Od kdy nárůst případů v této oblasti pozorujete? Je to už od účinnosti GDPR, nebo jde spíše o záležitost posledních let?
Jde to záležitost několika posledních let. Vede k tomu jednoduchý důvod: lidé si začínají uvědomovat, že jde o nástroj, který lze využít. Určitou roli v tom podle mě hraje i aktivismus některých občanských iniciativ, byť ten zatím pozorujeme spíše na evropské úrovni než na té české. Typickým příkladem je Německo, kde existují advokátní kanceláře specializované právě na tuto problematiku. Ty aktivně oslovují subjekty údajů v kauzách, které rezonují veřejným prostorem, a nabízejí jim právní zastoupení. Takové případy pak často směřují k hromadným žalobám.
Objevují se ale též kauzy založené na neoprávněném zpracování osobních údajů, jejich zpracování v rozporu s účelem nebo uchovávání údajů déle, než bylo přípustné. To je podle mě téma, které bude do budoucna sílit i u nás. Spolu s rozvojem hromadných žalob se budeme setkávat s případy, které mohou mít dopad na celé systémy.
Mohlo by vás zajímat
Můžete uvést konkrétní příklad?
V Beneluxu se před šesti nebo sedmi lety řešil případ systému pro posuzování úvěruschopnosti v bankovním sektoru. Tento systém soud shledal rozporným s pravidly ochrany osobních údajů. Musel se tak přestat používat.
Pokud by se obdobná situace hypoteticky stala v České republice, neznamenalo by to jen problém jednoho konkrétního systému. Mělo by to dopad na poskytování úvěrů napříč celým trhem a zároveň by to mohlo vést k tomu, že dotčené osoby začnou požadovat kompenzace za neoprávněné zpracování svých osobních údajů. Stejně tak by to vytvořilo tlak na bankovní instituce, aby klientům poskytly určitou kompenzaci, ať už formou finančního plnění, slevy nebo jiného zvýhodnění.
Mohu ale uvést i jiné hypotetické příklady – zpracování osobních údajů orgány činnými v trestním řízení, v pojišťovacím sektoru, či využívání standardizovaných souhlasů v internetové reklamě.
To byla první oblast sporů. Říkal jste ale, že jsou tři. Jakou byste zmínil jako další?
Druhou oblastí, kde pozorujeme výrazný nárůst sporů, je zavádění informačních systémů. Důvod je poměrně jednoduchý. Prakticky každá společnost, každá státní nebo veřejná instituce ke svému fungování potřebuje informační systémy. Patří k nim agendové systémy, CRM, spisové služby a celá řada dalších řešení. Aby jejich zavádění proběhlo úspěšně, musí mít objednatel už na začátku zkušenosti nejen se samotným systémem, ale také s procesem jeho integrace. Musí promyslet migraci dat, pokud dochází k přechodu z jednoho systému na druhý, a zajistit kvalitní projektové řízení.
Jenže právě projektoví manažeři s dostatečnými zkušenostmi velmi často chybí. A to především na straně objednatelů, kteří s podobnými projekty nemají tolik zkušeností. Ve většině případů se proto setkáváme se smlouvami, které vůbec neodpovídají tomu, jak projekt ve skutečnosti probíhá. K typickým příkladům patří smlouvy uzavřené na takzvaný waterfallový způsob dodávky. Jinými slovy, podobně jako když stavíte dům, existuje pevný plán, rozpočet a harmonogram. Samotný vývoj systému ale následně probíhá agilně, tedy v průběžných interakcích, kdy dodavatel a objednatel postupně přizpůsobují řešení potřebám objednatele, a projekt tak podléhá častým změnám. Součinnost objednatele je v takových projektech klíčová, což smlouva ne vždy adekvátně reflektuje.
Ve veřejném sektoru se pak velmi často setkáváme s tím, že smlouva opět vystupuje do popředí ve chvíli, kdy se projekt dostane do problémů. Zadavatel řekne: „Vzniklo prodlení. Podle smlouvy máme nárok na smluvní pokutu, a protože hospodaříme s veřejnými prostředky, musíme ji uplatnit.“ Nezřídka pak celý spor skončí u soudu. Ale ve chvíli, kdy se strany začnou přít o to, co vlastně mělo být dodáno, nezbývá soudu nic jiného než ustanovit znalce. Jenže kvalitních znalců v této oblasti je velmi málo. Výsledkem jsou potom znalecké spory, které se protahují, prodražují a mohou paralyzovat dodávku IT systému na několik let.
Jestli tomu tedy správně rozumím, hlavní problém spočívá v tom, že jsou špatně nastavené smlouvy? Že smlouvy počítají s jiným způsobem dodávky, než jak projekt ve skutečnosti probíhá?
Jako právníci samozřejmě vidíme problém především ve špatně nastavených smlouvách. Realita je ale košatější. Ve skutečnosti často každá ze stran přichází do projektu s trochu jinou představou o tom, jak má probíhat. Z naší zkušenosti vidím, že si objednatel velmi často neuvědomuje, že musí svůj vlastní systém i svá data na zavádění nového systému připravit. Typický příklad představuje migrace dat. Objednatel musí vědět, jak jsou jeho data strukturována, aby dodavatel mohl svůj systém této struktuře přizpůsobit. Problém často vzniká proto, že existuje předchozí dodavatel, který neposkytne všechny potřebné informace nebo nezajistí dostatečný přístup k původnímu systému. Tyto informace se pak nedostanou k novému dodavateli, který bez nich nemůže správně postupovat.
Řadu problémů ale vyvolávají i dodavatelé. Často se snaží projekt posouvat dopředu a poskytují práce, které mezi stranami dosud nebyly výslovně dohodnuty. Ve snaze projekt nezdržovat provedou určité činnosti navíc, ale vícepráce začnou uplatňovat až s velkým časovým odstupem. Judikatura i rozhodovací praxe Úřadu pro ochranu hospodářské soutěže jsou přitom v otázce víceprací, zejména u veřejných zakázek, poměrně přísné. Pozdní uplatňování neodsouhlasených víceprací může být problematické.
Mám to chápat tak, že ke sporům kvůli špatnému zadání zakázek dochází častěji u veřejných institucí než v běžných vztazích mezi firmami?
Podle našich zkušeností vznikají tyto problémy úplně stejně jak ve veřejném sektoru, tak ve firemních vztazích. Rozdíl je v tom, že ve veřejném sektoru je mnohem složitější spor vyřešit. Postupuje se tam daleko formálněji a podle mého názoru je to jeden z důvodů, proč se řada projektů v oblasti českého e-governmentu zbytečně zdržuje.
Jak to efektivně řešit?
Nejlepším řešením je v podobných situacích nasazení krizového řízení. To znamená odstavit osoby, které projekt dosud řídily, a místo nich dosadit lidi nezatížené předchozími konflikty. Současně je potřeba problémy eskalovat na vyšší úroveň řízení. Dosavadní projektoví manažeři by měli zůstat ve výkonných rolích, ale samotné rozhodování by mělo převzít nové vedení projektu.
Velmi přínosné může být také zapojení mediátora. Pokud totiž řešení zůstane pouze na lidech, kteří spolu na projektu dlouhodobě pracují a mezi nimiž už vznikla osobní animozita, nikam to nevede. Mediace může oběma stranám pomoci realisticky posoudit jejich situaci a ukázat jim, jaké šance mají v případném soudním řízení.
Soudní řízení je ale v těchto případech nevyhnutelné?
Často od představitelů státních institucí slýchám větu: „Musíme to nechat rozhodnout soudem, protože jde o státní majetek.“ To ale považuji často za alibismus. V řadě případů je takový postup dokonce v rozporu s péčí řádného hospodáře. Pouze kvalitní odborná analýza, která spojí technický i právní pohled, totiž může odpovědět na otázku, zda skutečně dává smysl spor vést. V mnoha případech je rozumnější hledat kompromis. Bez podobné analýzy ale podle mě nelze odpovědně rozhodnout, že jedinou cestou je soud.
Platí, že soudní cesta je dražší a komplikovanější?
Určitě. Ale hlavně úplně paralyzuje spolupráci obou stran. Nechcete přece pracovat s někým, s kým jeden den řešíte implementaci systému na řídicím výboru a druhý den se s ním soudíte u okresního soudu.
Jaká je třetí oblast sporů?
Třetí oblast, kde pozorujeme výrazný nárůst sporů – jen během posledního týdne jsme převzali hned dva podobné případy – se týká neoprávněného využívání různých datových výstupů. Často jde o výtvory, které ani nemusí být chráněny právem duševního vlastnictví. Pohybují se například na hranici databázového práva a dalších forem ochrany. Tohle téma velmi úzce souvisí i s umělou inteligencí.
O jaké spory konkrétně jde?
Typicky jde o situace, kdy jedna společnost vytvoří určitou databázi a konkurenční společnost její obsah využije. Může jít například o databázi historických dat z komoditních trhů, databázi výsledků sportovních utkání nebo datové soubory používané při obchodování na finančních trzích.
Nejde přitom jen o data samotná. Může se jednat také o části softwarových řešení nebo grafické prvky. Jde o případy, kdy se řeší, zda daný výstup vůbec požívá ochrany práva duševního vlastnictví. Právě těchto sporů přibývá. Velký nárůst těchto sporů sledujeme například v Německu.
Proč podle vás přibývá těchto sporů právě nyní?
Opět je to důsledek technologického vývoje. V byznysu se dnes pracuje s daty v rozsahu, který dříve vůbec neexistoval. Zároveň se data stále častěji získávají od konkurence prostřednictvím různých automatizovaných nástrojů. Stejně jako u sporů o zavádění informačních systémů jde o kauzy, které před patnácti lety v podstatě neexistovaly. Teprve kolem roku 2012 si pamatuji první případy ze Švýcarska nebo Francie. V České republice se spory týkající se dat začaly ve větší míře objevovat přibližně před pěti lety.
Jak se tyto tři typy sporů, které jste popsal, promítají do compliance firem (dodržování zákonů a regulací – pozn. red.) a jejich preventivní připravenosti?
To je dobrá otázka. Paradoxně to nejvíc pozoruji právě v letošním roce. Ve společnostech začínají vznikat nové pozice datových manažerů, tedy lidí odpovědných za datovou compliance. Neměli by ale zastávat čistě compliance roli. Datový manažer by měl zároveň umět identifikovat obchodní příležitosti spojené s využíváním dat. Měl by umět odpovědět například na otázku, zda lze určitá data z chytrých zařízení využít pro jednání s pojišťovnou a dosáhnout díky tomu nižšího pojistného nebo jiných obchodních výhod.
Důležité je, aby ve společnostech, které intenzivně pracují s daty, existovali lidé, kteří mají naprostý přehled o tom, jaká data firma zpracovává, odkud pocházejí, na jakém právním základu je podnik zpracovává a jakým způsobem mohou být dále využívána.
Jak významně dosud soudy ovlivňovaly vývoj praxe v technologických oblastech? U pracovněprávních sporů jste naznačoval, že zatím judikatura chybí. Jak je to ve zbývajících dvou?
Ve sporech o zavádění IT systémů už existují desítky soudních rozhodnutí. Když se ale podobný spor dostane k soudu, nejčastější doporučení zní: „Prosím vás, dohodněte se.“ A ono to skutečně dává smysl. Pokud totiž k dohodě nedojde, bude výsledek sporu záviset především na znaleckých posudcích. Řízení bude dlouhé, velmi nákladné a zároveň poměrně nepředvídatelné. Soudci totiž nejsou odborníci na zavádění informačních systémů, jde o specifickou oblast. Proto se v těchto případech přirozeně opírají o znalce.
Může v této oblasti tedy být lepší volbou řešení sporu rozhodčí řízení?
Určitě může. Větší přínos ale vidím v mediaci. Rozhodčí řízení je stejně jako řízení před soudem založené na střetu dvou stran a na jejich vzájemných procesních útocích. Za svou praxi jsem řešil více jak stovku podobných sporů. A musím říct, že možnost obnovit nebo zachovat budoucí spolupráci mezi oběma partnery je to nejcennější, co může mediace přinést.
Umějí firmy mediaci správně využívat? Dlouho byla vnímána spíš jako „měkký“ nástroj, který se v praxi příliš nepoužíval. Změnilo se to?
Samy od sebe většinou firmy po mediaci nesáhnou, pokud s ní tedy už nemají předchozí zkušenost. Zpravidla potřebují dobrého poradce, který jim pomůže správně nastavit postup.
Dalším problémem je také nedostatek opravdu kvalitních mediátorů. Takových, kteří rozumí jak samotné problematice informačních systémů, tak principům mediace. Nestačí někdo, kdo se věnoval například jen všeobecným obchodním podmínkám e-shopů. Potřebujete člověka, který rozumí složitým IT projektům a současně je zkušeným mediátorem. Takových lidí je opravdu jako šafránu.
Dokázal byste dát nějaké doporučení, jak podobným sporům úplně předcházet?
Pokud jde o zavádění IT systémů nebo využití dat, je především potřeba mít už od začátku kvalitního projektového manažera. Dále je nutné důkladně projít všechny detaily budoucí dodávky. Včetně migrace dat, migračních plánů a všech souvisejících procesů. Současně je dobré počítat s určitou finanční rezervou na vícepráce. Zejména u dlouhodobých projektů je potřeba počítat s tím, že se jejich rozsah může v průběhu času změnit. Velmi důležité je také nastavit jasný systém projektového řízení. Mám na mysli kvalitní zápisy z jednání, evidenci přijatých rozhodnutí nebo případně i nahrávky jednání. A jakmile se objeví sebemenší problém, je potřeba ho okamžitě popsat a eskalovat. Lidově řečeno – nenechávat ho vyhnít.
A co první oblast, o které jsme hovořili, tedy pracovněprávní spory související s GDPR? Dá se těm nějak předcházet?
Úplným základem je, aby společnosti přesně věděly, jaká data zpracovávají a jak s nimi nakládají. Je to tedy hlavně otázka dobře nastavené datové nebo personální architektury. To je první předpoklad. Druhým je správná reakce na samotné žádosti a odpovídající interní politika. Obsahuje-li žádost zjevně bezbřehé požadavky, měla by firma zvážit, zda skutečně musí stejně bezbřeze odpovídat. Právě tomu bych se snažil bránit.
