Pracownik odszedł do konkurencji z bazą danych klientów

Ramy decyzyjne: co z tego, co wyciekło, w ogóle podlega ochronie

Nie wszystko, co handlowiec zabrał ze sobą, jest chronione prawnie. Ramy decyzyjne mają trzy warstwy, a w każdej z nich pozycja firmy jest inna.

Pierwszą warstwę stanowią informacje mające charakter tajemnicy przedsiębiorstwa. Należą tu lista klientów z warunkami handlowymi, kalkulacje, marże, ceny dostawców czy dokumentacja techniczna. Są one jednak chronione tylko wtedy, gdy mają znaczenie konkurencyjne, wartość majątkową, nie są powszechnie dostępne i firma faktycznie utrzymuje je w poufności. Ostatni warunek wyklucza większą część tego, co firmy uważają za swoją tajemnicę. Swobodnie dostępny dysk współdzielony znacznie osłabia możliwość wykazania poufności, choć sam w sobie nie przesądza automatycznie o tym, że ochrona nie powstała.

Drugą warstwę stanowią dane osobowe klientów i osób kontaktowych. Ich wyniesienie to odrębny problem, ponieważ firma jako administrator odpowiada za to, kto miał dostęp do danych i jak został on zakończony. Obok sporu z byłym pracownikiem musi więc zająć się także własnymi obowiązkami, a obie sprawy toczą się równolegle.

Trzecią warstwę stanowią wiedza i doświadczenie pracownika. Te może on zabrać ze sobą, a próba zakazania mu tego jest bezwartościowa. Nie jest jednak tak, że informacja przestaje być chroniona tylko dlatego, że pracownik ją zapamiętał — decydujący jest charakter informacji i sposób jej wykorzystania, a nie to, czy wyciekła na pendrivie. Ogólna znajomość rynku pozostaje przy pracowniku, natomiast konkretna niejawna marża klienta czy model cenowy mogą podlegać ochronie.

Przy decyzji, czy wchodzić w spór, kluczowe jest więc jedno pytanie: czy potrafimy wykazać, że chodziło o dane, które chroniliśmy, i co z nimi zrobiono? Ogólne podejrzenie, że były pracownik kontaktuje się z naszymi klientami, nie wystarczy. O ustawieniu ochrony danych piszemy także w artykule Ochrona prawna zbiorów danych jako tajemnicy przedsiębiorstwa.

Postępowanie krok po kroku

Pierwszy tydzień po odejściu decyduje o tym, czy firma będzie miała w ręku dowody, czy tylko wrażenia.

Pierwszym krokiem jest zabezpieczenie śladów cyfrowych, zanim zostaną nadpisane. Logi dostępu do CRM, historia eksportów, wysłana poczta, podłączenia dysków zewnętrznych. Większość systemów przechowuje te dane tylko przez ograniczony czas, dlatego tego kroku nie można odkładać do chwili, aż firma zdecyduje, czy chce prowadzić spór.

Drugim krokiem jest zabezpieczenie urządzeń. Laptopa i telefonu nie przekazuje się dalej ani od razu nie reinstaluje, lecz archiwizuje w stanie, w jakim zostały zwrócone, a z ich przejęcia sporządza się protokół. Protokół powinien obejmować także to, czego na urządzeniu brakowało, czyli usunięte foldery lub wylogowane konta.

Trzecim krokiem jest ustalenie, co konkretnie brakuje lub zostało pobrane. Nie ogólnie „baza danych klientów”, lecz konkretny plik, data, godzina i zakres. Sąd i strona przeciwna operują konkretnymi liczbami, a ogólne twierdzenie o wyniesionej bazie nie obroni się nawet w negocjacjach ugodowych.

Czwartym krokiem jest pisemne wezwanie. Zawiera ono oznaczenie informacji, o które chodzi, wezwanie do powstrzymania się od ich wykorzystywania, do ich usunięcia oraz do pisemnego potwierdzenia, że nie pozostały żadne kopie. Wezwanie wysyła się zarówno byłemu pracownikowi, jak i jego nowemu pracodawcy. Ten zwykle reaguje szybciej niż sam pracownik, ponieważ ryzyko ponosi cała jego firma.

Piątym krokiem jest ocena, czy wyniesione dane zawierają dane osobowe klientów lub osób kontaktowych. Jeżeli chodzi o naruszenie ochrony danych, które może powodować ryzyko dla osób, których dane dotyczą, firmie jako administratorowi biegnie termin na zgłoszenie organowi nadzorczemu – bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od chwili, gdy się o nim dowiedziała. Dokumentować trzeba przy tym każdy incydent, także ten niezgłaszany. W firmach objętych przepisami o cyberbezpieczeństwie może obok tego powstać odrębny obowiązek zgłoszenia.

Szóstym krokiem jest decyzja o dalszym postępowaniu: ugoda z pisemnym zobowiązaniem, zabezpieczenie tymczasowe tam, gdzie grozi bezpośrednia szkoda, albo pozew z tytułu nieuczciwej konkurencji.

Siódmym krokiem jest korekta własnych ustawień: przegląd uprawnień dostępu, ograniczenie masowych eksportów, klauzule poufności w umowach o pracę i odebranie dostępów w dniu zakończenia współpracy. Ten krok firmy odkładają najczęściej, a przecież decyduje on o tym, jak skończy się następne odejście.

Co jest standardem rynkowym, a co sygnałem ostrzegawczym

W firmach, które mają to opanowane, standardem jest, że wrażliwe dokumenty są oznaczone jako poufne i dostęp do nich ma tylko ten, kto go potrzebuje, a masowy eksport z CRM jest albo zakazany, albo rejestrowany i zatwierdzany.

Standardem jest także to, że warunki handlowe kluczowych klientów zna więcej osób niż jeden handlowiec i że firma prowadzi je w systemie, a nie w jego notatkach.

Standardem jest również pisemne zobowiązanie do zachowania poufności w umowie o pracę, a w przypadku partnerów odrębną umową; jej kształtowi poświęcamy artykuł Wzór NDA z komentarzem prawnika.

Sygnały ostrzegawcze można rozpoznać, zanim pracownik odejdzie. Pierwszym jest handlowiec, który długotrwale prowadzi własną ewidencję klientów poza firmowym systemem, ponieważ wtedy firma nie ma kontroli nad tym, co on ma w ręku. Drugim jest wzrost liczby eksportów i pobrań w okresie, gdy pracownik złożył lub przygotowuje wypowiedzenie.

Trzecim sygnałem jest sytuacja, w której relacji z kluczowymi klientami nie zna nikt poza jednym handlowcem. Zapobiega się temu dzieleniem się kontaktami w zespole, a nie regulacją prawną. Powiązanym narzędziem jest zakaz konkurencji, któremu poświęcamy artykuł Klauzula konkurencyjna w stosunkach handlowych.

Gdzie przebiega granica prawna

Ustawa daje firmie silne narzędzia, ale uzależnia je od tego, czy sama chroniła swoje informacje.

Podstawą jest definicja. Zgodnie z § 504 czeskiej ustawy Kodeks cywilny (ustawa nr 89/2012 Sb., dalej „KC”) tajemnicę przedsiębiorstwa stanowią mające znaczenie konkurencyjne, możliwe do określenia, posiadające wartość majątkową i w danych kręgach handlowych powszechnie niedostępne fakty, które są związane z przedsiębiorstwem i których właściciel we własnym interesie w odpowiedni sposób zapewnia ich poufność. Ostatni warunek jest w praktyce decydujący i ocenia się go według całościowego systemu ochrony: ograniczenia dostępu, uwierzytelniania, wewnętrznych regulaminów, umownej poufności i rejestrowania aktywności. Sam napis „poufne” nie wystarczy, a z kolei swobodnie dostępny plik trudno obronić jako utrzymywany w tajemnicy.

Samo zachowanie określa § 2985 KC. Naruszeniem tajemnicy przedsiębiorstwa jest działanie, poprzez które ktoś bezprawnie przekazuje innej osobie, udostępnia lub wykorzystuje dla siebie bądź dla innego tajemnicę przedsiębiorstwa, która może zostać wykorzystana w konkurencji i o której dowiedział się, ponieważ została mu powierzona lub stała się dla niego dostępna na podstawie jego stosunku pracy lub innego stosunku z konkurentem. Na własną odpowiedzialność może się więc narazić także nowy pracodawca, zwłaszcza jeśli wie lub z uwagi na okoliczności powinien wiedzieć, że wykorzystuje tajemnicę przedsiębiorstwa uzyskaną bezprawnie.

Roszczenia wymienia § 2988 KC. Osoba, której prawo zostało zagrożone lub naruszone nieuczciwą konkurencją, może żądać, aby sprawca nieuczciwej konkurencji powstrzymał się od niej lub usunął stan niezgodny z prawem, a ponadto stosownego zadośćuczynienia, odszkodowania i wydania bezpodstawnego wzbogacenia. Roszczenie o zaniechanie jest kluczowe, ponieważ zmierza do powstrzymania dalszego wykorzystywania informacji. Sam wniesiony pozew niczego jednak nie zatrzyma, a jeśli konieczna jest interwencja przed wydaniem orzeczenia co do istoty sprawy, w grę wchodzi zabezpieczenie tymczasowe. Zgodnie z § 5a czeskiej ustawy nr 221/2006 Sb. obowiązuje ponadto, że jeżeli sprawca wiedział o naruszeniu tajemnicy przedsiębiorstwa, sąd może ustalić odszkodowanie i zadośćuczynienie ryczałtowo według zwykłej opłaty licencyjnej.

W czasie trwania stosunku pracy pomocny jest § 304 ZP, zgodnie z którym pracownicy mogą obok swojego zatrudnienia wykonywać działalność zarobkową zgodną z przedmiotem działalności pracodawcy wyłącznie za uprzednią pisemną zgodą pracodawcy.

Dla okresu po ustaniu stosunku pracy obowiązuje szczególny reżim, a ogólna regulacja klauzul konkurencyjnych z KC nie ma zastosowania do pracowników. Zgodnie z § 310 ZP pracownik może zobowiązać się, że najdłużej przez okres jednego roku powstrzyma się od działalności zarobkowej zgodnej z przedmiotem działalności pracodawcy lub od działalności o charakterze konkurencyjnym. Częścią klauzuli musi być zobowiązanie pracodawcy do wypłaty za każdy miesiąc jej obowiązywania stosownego odszkodowania pieniężnego w wysokości co najmniej połowy przeciętnego miesięcznego wynagrodzenia, a klauzula musi mieć formę pisemną. Można ją zawrzeć tylko tam, gdzie jest to słusznie uzasadnione z uwagi na charakter uzyskanych informacji i wiedzy.

Uwaga także na sposób zabezpieczania dowodów. Zgodnie z § 316 ZP pracodawca może w odpowiednim zakresie kontrolować, czy pracownik nie wykorzystuje narzędzi pracy do celów osobistych, ale naruszać jego prywatność poprzez kontrolę poczty elektronicznej może wyłącznie z ważnego powodu wynikającego ze szczególnego charakteru swojej działalności, i nawet wtedy musi z wyprzedzeniem poinformować pracownika o zakresie i sposobie kontroli.

Odrębną drogę oferuje ochrona bazy danych. Zgodnie z § 88a czeskiej ustawy o prawie autorskim producentowi bazy danych przysługuje prawo szczególne, jeżeli jej sporządzenie wymagało istotnego nakładu, i to niezależnie od ochrony prawnoautorskiej. W przypadku masowo wyeksportowanego CRM jest to druga podstawa prawna obok tajemnicy przedsiębiorstwa.

Podsumowanie końcowe

O wyniku sporu o know-how decyduje się dwukrotnie. Po raz pierwszy przy ustalaniu uprawnień dostępu, po raz drugi w pierwszym tygodniu po odejściu pracownika, gdy zabezpiecza się dowody. Kto opanuje oba etapy, ma pozycję, w której strona przeciwna zwykle woli zawrzeć ugodę niż prowadzić spór.

Granicy prawnej nie da się obejść sformułowaniem w umowie. Chronione jest to, co firma sama utrzymywała w poufności, pracownikowi nie można zakazać korzystania z własnego doświadczenia, a ograniczyć go po odejściu można tylko klauzulą konkurencyjną zgodnie z ZP, czyli najwyżej na rok i za odszkodowaniem pieniężnym. Kancelaria adwokacka ARROWS prowadzi takie spory w ramach usługi Spory handlowe i sądowe i jest ubezpieczona od odpowiedzialności zawodowej z limitem 350 000 000 CZK (ok. 14,4 mln EUR). Prosimy o kontakt pod adresem konsultacja@arws.cz.