Když neselže součást, ale jejich propojení: Kdo odpovídá za škodu?

Technická správnost jednotlivých částí ještě neprokazuje bezpečnost celku. Právo proto musí zjistit, kdo měl pod kontrolou samotnou souhru.

Požár bez vadné součásti

Logistické centrum skladuje bateriové články. Systém řízení zásob ukládá nejžádanější zboží blízko expediční zóny a zvyšuje hustotu skladování. Energetický systém ve špičce dočasně sníží výkon chlazení. Teplota přitom zůstává uvnitř povoleného rozmezí. Prediktivní údržba odloží výměnu několika čidel, protože stále měří v provozní toleranci. Protipožární systém při prvním kouři upraví ventilaci, aby omezil jeho šíření do části budovy s lidmi.

Každý systém provede svůj úkol a nepřekročí nastavený limit. Jejich kombinace však urychlí hromadění tepla v hustě zaplněné zóně. Čidla zachytí kritický vývoj pozdě a změna ventilace přivede k ohnisku další kyslík. Následuje rozsáhlý požár. Vážně se zraní pracovník údržby a zničeno je také soukromé vozidlo zaměstnance. Dodavatelé jednotlivých systémů doloží, že jejich nástroje pracovaly podle specifikace. Provozovatel skladu namítne, že se spoléhal na odborně dodané řešení.

Poškozený nestojí před jedním vadným strojem, ale před skupinou možných odpovědných osob. Každá ukazuje na ostatní. Izolované posouzení jednotlivých součástí může vést k závěru, že samostatně žádná neselhala. Celé řešení však bezpečné nebylo. To ještě automaticky neznamená odpovědnost určité osoby. Znamená to ale, že právní posouzení nesmí skončit u kontroly dílčích specifikací.

Technická správnost není právní bezvadnost

Pojem „bezvadný systém“ může být zavádějící. Součást může fungovat přesně podle zadání a přesto být nevhodná pro konkrétní propojení. Právní vada se navíc neposuzuje jen podle shody s technickou dokumentací. Význam má očekávaná bezpečnost, předvídatelné použití, známá omezení a informace poskytnuté dalším aktérům. Správná funkce komponenty proto nevylučuje pochybení při návrhu celku.

České soukromé právo nabízí několik režimů. Uplatnit se může smluvní odpovědnost, obecná deliktní odpovědnost, odpovědnost za provozní činnost nebo odpovědnost za újmu způsobenou vadou výrobku. Každý režim zachycuje jinou část případu. Smluvní nároky působí hlavně mezi smluvními stranami. Deliktní nárok vyžaduje právně významné porušení povinnosti a příčinnou souvislost. U provozní činnosti může být odpovědný provozovatel, ledaže prokáže veškerou rozumně požadovatelnou péči.

Závažnost následku sama nestačí. Pokud všechny osoby skutečně splnily své povinnosti, může škoda zůstat „tam, kde vznikla“. Právo nemůže dodatečně označit integrátora za univerzálního pojistitele jen proto, že je žaloba proti němu praktická. Povinnost za bezpečnost souhry musí vycházet z konkrétní kontroly, odborné role a předvídatelnosti rizika.

Příčina má podobu sítě

Příčinná souvislost se často popisuje jako řetězec. Určité jednání vedlo k následku a bez něj by škoda nevznikla. U propojených systémů může být každá součást nezbytnou podmínkou, ale žádná sama o sobě k újmě nestačí. Příčina má síťovou podobu. Výsledek vzniká z časování, výměny dat a střetu různých cílů. V modelovém případě jde o úsporu energie, rychlost expedice a požární bezpečnost.

Faktická účast na následku ještě neurčuje právní odpovědnost. Je třeba najít porušenou povinnost nebo objektivní odpovědnost stanovenou zákonem. Dodavatel mohl splnit vlastní specifikaci, ale nedostatečně popsat omezení. Integrátor mohl správně propojit rozhraní, avšak opomenout zkoušku rizikových interakcí. Provozovatel mohl dodržet návod, ale současně jako jediný znal skutečnou hustotu skladu a provozní změny.

Pokud se na vzniku škody právně relevantně podílelo více osob, může české právo založit jejich společnou a nerozdílnou odpovědnost. Solidarita však nevzniká pouze proto, že všechny působily v jednom technologickém ekosystému. U každého subjektu je třeba doložit jeho účast, právní důvod odpovědnosti a vztah ke škodlivému následku. Síťová příčina proto nemůže nahradit právní podmínky. Může však změnit způsob, jakým jsou zjišťovány.

Kdo ovládá architekturu souhry

Povinnosti jsou rozděleny mezi poskytovatele, zavádějící subjekty a další aktéry. Tyto povinnosti mohou pomoci určit, kdo měl určité riziko zachytit. Jejich splnění však samo nevylučuje soukromoprávní odpovědnost. Veřejnoprávní bezpečnostní pravidla a náhrada újmy sledují odlišné cíle.

Zvláštní roli má integrátor. Nemusí být výrobcem žádné komponenty. Přesto rozhoduje, které systémy budou sdílet data a který výstup dostane přednost. Určuje také postup při konfliktu jejich cílů. Pokud vytvoří architekturu celku, bývá nejblíže riziku, které v jednotlivé součásti nebylo patrné. Jeho odpovědnost však nemůže stát jen na označení „integrátor“. Musí vycházet z reálné kontroly nad vazbami a z možnosti nebezpečnou interakci rozpoznat.

Další díl odpovědnosti může nést dodavatel. Pokud systém nabízí jako bezpečně kombinovatelný, musí sdělit známá omezení a počítat s běžnými způsoby propojení. Provozovatel odpovídá za konkrétní kontext, změny nastavení a ignorovaná varování. Role se mohou překrývat. Rozdělení odpovědnosti proto musí sledovat kontrolu nad rozhraním, daty, aktualizacemi a provozním cílem. Pouhé vlastnictví komponenty nestačí.

Odpovědnost za architekturu a důkazní stopu

Pro tento typ případů lze jako autorskou pomůcku použít pojem odpovědnosti za architekturu souhry. Nejde o nový zákonný druh objektivní odpovědnosti. Pojem pomáhá hledat povinnost péče tam, kde škodu vytvořilo především propojení technologií. Otázka pak nezní, kdo napsal poslední chybný řádek kódu. Zní, kdo navrhl nebo udržoval vztahy, ve kterých se bezpečné výstupy změnily v nebezpečný celek.

Význam mají zejména tři okolnosti. První je možnost ovlivnit rozhraní a pravidla přednosti. Druhou představuje přístup k údajům o společném provozu. Třetí je schopnost riziko omezit, například změnou nastavení nebo zastavením systému. Ekonomický prospěch může posouzení doplnit, sám však odpovědnost nezakládá. Pokud jsou rozhodující prvky rozděleny mezi více osob, je třeba zkoumat jejich konkrétní podíl a případný regres.

Propojené systémy potřebují také propojenou důkazní stopu. Důležité jsou časově sladěné logy, verze modelů, změny konfigurace a předané výstupy. Každý žalovaný jinak předloží jen vlastní výsek události. Smlouvy mezi dodavateli mohou upravit technickou spolupráci a vnitřní vypořádání. Neměly by však vytvořit důkazní prázdno pro poškozeného, který do systému neviděl a jeho rizika nemohl ovlivnit.

Závěr

Škoda vzniklá souhrou více systémů není nevysvětlitelnou náhodou jen proto, že žádná součást samostatně neporušila svou specifikaci. Bezpečnost složeného řešení je jinou vlastností než technická správnost jeho dílů. Soud proto nemůže skončit u oddělených posudků každé komponenty.

Rozhodující je rozdělení právně významné kontroly. Dodavatel odpovídá za vlastnosti a známá omezení své komponenty. Integrátor může odpovídat za architekturu vazeb. Provozovatel nese odpovědnost za konkrétní použití a změny prostředí. Společná odpovědnost přichází v úvahu jen tehdy, jsou-li splněny její zákonné podmínky.

Někdy neselže žádný jednotlivý systém. Selže posouzení jejich společného provozu. Odpovědnost pak nemá být hledána podle toho, kdo je nejsnáze žalovatelný. Má následovat subjekt, který měl povinnost souhru prověřit, mohl ji ovlivnit a mohl riziku rozumně zabránit.

Oba autoři článku jsou státní zaměstnanci Finanční správy ČR. Shora uvedený text je vyjádřením soukromého názoru autorů, který se nemusí shodovat s právním názorem Finanční správy ČR, a tedy nemůže založit (nebo změnit) případnou správní praxi v dané oblasti.