Dohoda o zachování mlčenlivosti je poměrně běžným instrumentem používaným ve veřejných zakázkách na IT, a to ať už v podobě samostatné smlouvy (NDA) nebo doložky, která je součástí samotné smlouvy na plnění veřejné zakázky. Text níže odpovídá na nejčastější otázky, které nám veřejní zadavatelé a další klienti kladou ve vztahu k NDA, tedy jaké jsou způsoby použití NDA, jakým způsobem vymezit okruh důvěrných informací podléhajících mlčenlivosti dle NDA, jaké jsou vhodné instrumenty při porušení závazku zachovávat mlčenlivost a jaká je možná vymahatelnost dodržování NDA.
Způsoby použití NDA
Jak bylo naznačeno v úvodu tohoto článku, dohodu o mlčenlivosti lze rozeznávat ve dvou základních rovinách – jako samostatnou smlouvu (NDA) a jako součást ujednání ve smlouvě na realizaci veřejné zakázky. Tento příspěvek se bude zabývat první z uvedených variant, tedy NDA jako samostatnou smlouvou.
Účelem a předmětem NDA je především potřeba smluvních stran upravit si vzájemně práva a povinnosti nad rámec zákonného režimu, který upravuje obchodní tajemství a jinou mlčenlivost. NDA se proto uzavírají zejména s ohledem na povahu informací, které si smluvní strany vyměňují. K uzavírání NDA při realizaci veřejných zakázek v IT dochází především v případě povinnosti nebo objektivní potřeby utajit poskytnuté podklady a sdělení obdržená dodavatelem. NDA je možné a vhodné uzavírat buď před podpisem smlouvy na realizaci zakázky (Smlouva)1, nebo jako součást smluvní dokumentace podepisované spolu se Smlouvou, případně ve výjimečných případech po podpisu Smlouvy. Před podpisem Smlouvy lze uzavřít NDA například: (i) v případě prohlídky místa plnění2, pokud je místem plnění ICT infrastruktura (hardware) nebo IT prostředí (firmware a software), jejichž nastavení a povahu je nezbytné utajit (například z důvodu bezpečnosti informací3), nebo v případě poskytování vybraných částí zadávací dokumentace (interní předpisy, dokumentace SW), (ii) v rámci součinnosti před podpisem Smlouvy4, pokud se NDA týká informací, které jsou dodavateli předávány až před podpisem Smlouvy (například vysoce detailní informace o nastavení IT prostředí, které není vhodné poskytovat všem dodavatelům, a zároveň nemají vliv na potenciální okruh dodavatelů). Uzavírání NDA v rámci uzavírání Smlouvy je poměrně obvyklý jev, který nepotřebuje další prostor. Naopak uzavírání NDA po podpisu Smlouvy by s ohledem na povinnost transparentního zadávání mělo být zcela výjimečné. Je to možné například v případě, že v rámci plnění Smlouvy neměl mít dodavatel přístup k osobním údajům5, ale došlo k přístupu k osobním údajům, který je nezbytné a vhodné pomocí NDA vyřešit („čistým“ NDA ale rozhodně nelze nahradit smlouvu o zpracování osobních údajů). NDA je také, samozřejmě, možné uzavírat zcela mimo zadávání zakázky.
Další výhodou NDA je možnost prodloužit zákonný režim zachování mlčenlivosti, a to i po skončení vlastní Smlouvy. V současné době se na odborné půdě někdy stále ještě vedou debaty o tom, zda lze NDA platně uzavřít na neomezenou dobu a tím vyžadovat neomezenou důvěrnost informací. V této chvíli nelze v dané věci činit jednoznačné závěry, je však rozumné ji zohlednit vhodným způsobem v NDA pro případ, že by povinnost zachovávat důvěrnost po neomezenou dobu nebyla shledávána platnou (například stanovením minimální doby platnosti NDA na dobu určitou). Obecně je vhodné konstruovat NDA na dobu, po kterou mají důvěrné informace ještě vypovídající hodnotu a mohou tak poškodit toho, o jehož důvěrné informace se jedná. Pokud se třeba jedná o informace o konkrétních pravidlech bezpečnosti informací ve smyslu zákona o kybernetické bezpečnosti (ZKB)6, které se například vždy jednou za určité období mění, asi není zpravidla nezbytné uzavírat NDA na dobu delší, než je právě takové období, protože poté budou takové informace často již bezcenné (dané je však spíše otázkou věcnou a hodnotu a dobu trvání vypovídací hodnoty konkrétních informací je vždy nezbytné konzultovat s odborníkem a ve vztahu ke konkrétnímu systému).
Vymezení rozsahu důvěrných informací
Vymezení rozsahu informací, na které se má NDA vztahovat, by mělo být vždy na úvaze v konkrétních případech. Rozhodně nelze doporučit zcela obecné NDA, které by se používalo na všechny případy, jelikož takové NDA by mohlo být vnímáno jako nepřiměřené7. Naopak je vhodnější, pokud je NDA napsáno tak, aby obsahovalo výčet informací, na které se vztahuje mlčenlivost a aby takový výčet byl upravován vždy na konkrétní případ.
Podrobnější specifikace důvěrných informací je velmi významná v případě, že NDA zavazuje zadavatele i dodavatele, což je velmi běžnou praxí. Nezřídka se totiž stává, že je okruh důvěrných informací vymezen příliš široce. Například pokud dodavatel vytvoří pro zadavatele IT systém a udělí mu licenci k jeho užití a k provádění změn takového IT systému i prostřednictvím třetích osob a v NDA je uvedeno, že za důvěrné informace se považuje i „zdrojový kód IT systému a jakékoliv dokumenty, které si smluvní strany vzájemně poskytnou“, může se zadavatel nepřímo dostat do tzv. „vendor–lock-in“. Vytvoří se tím totiž teoreticky situace, kdy sice zadavatel má právo k IT systému a právo jej měnit prostřednictvím jiného poskytovatele, ale jelikož je zdrojový kód důvěrnou informací podléhající mlčenlivosti dle NDA, nemůže jej po právu předat novému poskytovateli k dalšímu vývoji, jelikož by tak porušil NDA. Zároveň jelikož se mlčenlivost dle vzorového příkladu výše vztahuje i na jakékoliv dokumenty, vztahuje se tím například i na dokumentaci k IT systému, uživatelské příručky, manuály a další dokumenty, které by naopak zadavatel zpravidla potřeboval distribuovat svým dodavatelům. V takovém případě je vhodné v NDA lépe specifikovat samotný okruh důvěrných informací uvedením výjimky, že povinnost zachovávat mlčenlivost se nevztahuje na případ, kdy zadavatel využije oprávnění nabytá v rámci Smlouvy (například licence a jiná podobná oprávnění). Podobné výjimky by zadavatel měl stanovit pro případy (i) povinnosti poskytnout informace dle zákona o svobodném přístupu k informacím8, (ii) zveřejnění dle zákona o registru smluv9, (iii) kontroly nebo dohledu orgánů státní správy10, (iv) využití nabytých oprávnění (viz výše), nebo (v) předání informací odborným poradcům nebo administrátorům zakázky, jsou-li takoví.
V neposlední řadě si dovolíme ve vztahu k rozsahu důvěrných informací uvést, že nepovažujeme za zcela vhodné využívat ve vztahu k důvěrným informacím zadavatele definici anebo odkaz na úpravu obchodního tajemství11. S uvedenými odkazy se příležitostně setkáváme právě v případech, kdy NDA není upraveno na potřeby konkrétní zakázky. Samotná aplikace ustanovení o obchodním tajemství na zadavatele veřejné zakázky, který není podnikatelem, je velmi problematická. Nehledě na to, že obchodní tajemství představuje pouze část informací, o kterých je vhodné nebo obvyklé zachovávat mlčenlivost,12 jak jsme naznačili již výše. Ve vztahu k důvěrným informacím dodavatele je naopak takový odkaz v pořádku, ovšem právě při vědomí toho, že obchodní tajemství není všeobjímajícím pojmem.
Vhodné instrumenty při porušení NDA
Bez utvrzení nebo zajištění pro případ porušení má NDA v praxi spíše proklamačně-psychologický charakter než povahu skutečně vymahatelné povinnosti. NDA může být pro případy jejího porušení utvrzena či zajištěna smluvní pokutou, bankovní zárukou, zádržným, závdavkem13, pojištěním, jistotou14 (zástava nebo ručení), nebo jiným vhodným způsobem. Každý z výše uvedených instrumentů má své pro a proti, nicméně mají všechny společné jednu věc – jejich hodnota či peněžité vyjádření by mělo zohledňovat výši škody, která může vzniknout porušením NDA a hodnotu plnění ze Smlouvy. Pokud by byl požadavek na utvrzení nebo zajištění příliš vysoký/přísný, může se opět jednat o nepřiměřený požadavek na dodavatele.
Tedy například pokud se NDA týká konkrétních informací o pravidlech pro bezpečnost informací informačního systému kritické informační infrastruktury15, jejichž vyzrazení by mohlo způsobit výpadek daného systému na několik dnů, je nutné brát na zřetel právě dané období výpadku a škodu, která tím může reálně vzniknout. Zároveň pokud je ve Smlouvě limitace výše náhrady škody, je vhodné brát v potaz i takové smluvní limity. V neposlední řadě je pro určení výše anebo způsobu utvrzení nebo zajištění vhodné mít na paměti hodnotu plnění, tedy kolik dodavatel za splnění Smlouvy dostane zaplaceno. Pokud jde o Smlouvu, kde hodnota plnění je 1 milion Kč a smluvní pokuta za nedodržení NDA 10 milionů Kč, pak to může jednak odrazovat dodavatele od podávání nabídek, jednak vzbuzovat právě otázky ve vztahu k přiměřenosti.
Všechny výše uvedené aspekty je třeba zohlednit a jejich vzájemným posouzením dospět v konkrétním případě ke konkrétnímu vhodnému způsobu zajištění a utvrzení NDA. Nelze paušálně tvrdit, že poměr částek uvedený v příkladu výše je špatně, k takovým případům jistě docházet může, nicméně je otázkou, zdali to neodradí potenciální dodavatele. Ve vztahu ke smluvní pokutě je vhodné dále uvést, že v případě sporu o výši smluvní pokuty může soud v souladu s tzv. moderačním právem soudu snížit, a to až do výše skutečně vzniklé škody16. Moderační právo soudu je tedy nezbytné brát nejméně ve vztahu ke smluvní pokutě v potaz při volení vhodného způsobu utvrzení a zajištění NDA.
Uvedené způsoby utvrzení anebo zajištění lze vzájemně kombinovat tak, aby bylo možné dosáhnout efektivního pokrytí případné škody. Například lze za porušení NDA stanovit smluvní pokutu a v případě vzniku škody z porušení NDA mít s dodavatelem vedle pokuty sjednanou povinnost udržovat pojištění v konkrétní výši. Pak lze v závislosti na textaci smlouvy vymáhat zaplacení smluvní pokuty a vedle toho uplatnit škodu u dodavatelovy pojišťovny17. Poměrně obvyklou a oblíbenou kombinací je u veřejných zadavatelů kombinace bankovní záruky a pojištění. Pojištění a bankovní záruka jsou ovšem relativně drahé instrumenty, jejichž sjednání s bankou a udržování v platnosti je nákladné, a tudíž se spíše nehodí pro menší projekty, například takové, které lze realizovat jako zakázky malého rozsahu (VZMR)18.
Vymahatelnost dodržování NDA
Vymahatelnost dodržování NDA souvisí úzce se zvolenými způsoby utvrzení a zajištění uvedenými výše a prokázáním toho, že došlo k porušení NDA. Prokázání toho, že došlo k porušení NDA je problematické a vždy záleží na konkrétních okolnostech. Zároveň je třeba rozlišovat odpovědnost za porušení NDA, tedy konkrétní smluvní povinnosti v NDA, a vymáhání náhrady újmy za porušení NDA (nad rámec porušení smluvní povinnosti je u újmy nebytné dále dokázat, že újma vznikla v důsledku jednání dodavatele).
Pokud se NDA vztahovala na informace, které byly poskytnuty pouze jednomu dodavateli a unikly na veřejnost (například správci databáze unikly osobní údaje uložené v databázi na internet kvůli porušení povinnosti přenášet data zabezpečeným přenosem), je situace s prokázáním porušení NDA relativně jednoduchá. Ještě jednodušší je prokazování v případě, že byly informace předány na hmotném médiu, například USB disku (pokud existuje protokol o předání, který obsahuje popis obsahu), který byl nalezen a zneužit. To jsou však relativně jednoznačné případy. Navíc pokud jde o situaci, kdy na základě více NDA byly poskytnuty stejné informace různým dodavatelům, pak může být situace velmi komplikovaná. Nicméně i v takových situacích lze dodržování NDA vymáhat, ovšem jedná se spíše o věcnou stránku věci. Níže uvedené tipy platí jak pro dokazování porušení NDA, tak pro vymáhání náhrady újmy.
Pokud se NDA vztahuje na data uložená v IT systému, ke kterému má přístup více dodavatelů, je vhodné disponovat monitorovacím systémem, který by zaznamenával přístupy jednotlivých osob k jednotlivým datům (logování a výstupem je log) a to na úrovni spolehlivého elektronického systému19 (u záznamů spolehlivého elektronického systému se předpokládá jejich správnost, je zde tedy obecně obrácené důkazní břemeno). Pokud dochází k předávání důvěrných informací prostřednictvím konkrétních souborů, lze takové soubory označit kryptografickým hašem (série znaků a čísel specifická pro konkrétní soubor), který může být nápomocný při určování konkrétního adresáta informace. Jednotlivá věcná opatření je vhodné probrat s odborníkem v oblasti.
U jednotlivých instrumentů utvrzení a zajištění je postup vymáhání velmi podobný, tedy u smluvní pokuty je možné vymáhat zaplacení pokuty, u zádržného je možné zadržet část odměny za provádění Smlouvy nebo jiné částky dle znění NDA, u bankovní záruky lze uplatnit u vystavitele bankovní záruky (banky) atp. Navíc je vhodné přímo ve Smlouvě myslet na to, že zejména smluvní pokuta a ručení jsou instrumenty, které je nezbytné nejprve uplatnit u dodavatele a následně je na dodavateli/ručiteli vymáhat. Na rozdíl například od zástavy, jistoty nebo zádržného, které v podstatě zajišťují to, že si zadavatel ponechá určité finanční prostředky dodavatele u sebe pro případ porušení NDA, v případě smluvní pokuty nemá zadavatel zpravidla v dispozici žádné finanční prostředky dodavatele. Následná vymahatelnost takových prostředků je potom problematická (zakládání „prázdných schránek“ na plnění konkrétních zakázek, přesun aktiv jinam apod.). Jelikož tedy půjde primárně o peníze, nabízí se možnost si v NDA nebo Smlouvě ujednat předchozí souhlas dodavatele se započtením pohledávek ze zajištění a utvrzení na pohledávku dodavatele na zaplacení odměny za plnění Smlouvy. Dále je vhodné kombinovat NDA se samotnou Smlouvou tak, aby měl zadavatel vždy k dispozici aktiva dodavatele, na kterých může případně zhojit (započíst) svoje nároky za porušení NDA. Jako vhodné se jeví například postupné vyplácení odměny (tj. u SLA – smluv na podporu IT systému – vyplácení odměny za poskytování služeb na měsíční bázi apod.), vyplacení určité části odměny až po provedení protokolární likvidace důvěrných informací, nebo právě držení bankovní záruky po dobu, po kterou je to vzhledem k NDA vhodné.
Shrnutí
NDA jsou právními instrumenty, které mají své opodstatnění ve všech fázích zadávacího řízení a jsou vhodné zejména tam, kde jsou zvýšené nároky na zachování mlčenlivosti o důvěrných informacích. Jednotlivá NDA je nezbytné připravovat a upravovat případ od případu tak, aby definice důvěrných informací co nejvíce přiléhala na daný případ. K zajištění efektivního dodržování NDA je vhodné jej opatřit pro případ porušení některým z utvrzovacích nebo zajišťovacích instrumentů. K vymáhání porušení NDA je nejvhodnější mít dostatečně nastaveny věcná pravidla pro předávání důvěrných informací.
Článek byl publikován v časopise Veřejné zakázky v praxi –
https://www.forum-media.cz/produkty/verejne-zakazky-v-praxi
JUDr. Samuel Král, advokát HAVEL & PARTNERS s.r.o., advokátní kancelář
Mgr. Bc. Štěpán Štarha, advokát a partner HAVEL & PARTNERS s.r.o., advokátní kancelář
JUDr. Csaba Csorba, advokát HAVEL & PARTNERS s.r.o., advokátní kancelář