Vážný úraz na stroji při selhání bezpečnostního systému z důvodu softwarové chyby

Při posuzování výše uvedené situace je nutno zabřednout do právního rámce odpovědnosti provozovatele a výrobce. Vždy při provozu strojních zařízení dochází ke střetu několika druhů odpovědností, správněprávní (možná sankce od SUIP), pracovněprávní (náhrada škody zaměstnanci) a trestněprávní (odpovědnost konkrétní osoby nebo osob za nedbalostní ublížení na zdraví. 

Povinnosti provozovatele stroje podle zákona č. 309/2006 Sb., o zajištění dalších podmínek bezpečnosti a ochrany zdraví při práci

Tady je základem pro konstatování porušení předpisů ze strany OIP obvykle ustanovení § 4 výše uvedeného zákona. Toto ustanovení ukládá zaměstnavateli povinnost mj. zajistit, aby stroje byly vybaveny ochrannými zařízeními, která chrání život a zdraví zaměstnance a aby byly pravidelně a řádně udržovány, kontrolovány a revidovány. Prováděcím právním předpisem je nařízení vlády č. 378/2001 Sb., které stanovuje konkrétní požadavky na bezpečný provoz a používání strojů. Provozovatel je povinen provádět kontrolu zařízení v rozsahu a lhůtách stanovených průvodní dokumentací (návodem od výrobce). Pokud však tento návod specifický test SW chyby neobsahuje, vyvstává otázka, zda lze po provozovateli spravedlivě požadovat, aby takovou chybu odhalil.

Odpovědnost za pracovní úraz podle pracovního práva

V rovině náhrady škody (odškodnění zaměstnance) je situace pro provozovatele stroje (zaměstnavatele) nejpřísnější. Zaměstnavatel totiž odpovídá za škodu vzniklou pracovním úrazem, i když dodržel všechny povinnosti vyplývající z předpisů k zajištění BOZP (má tzv. objektivní odpovědnost), zde se zavinění nezkoumá. I v případě, že je chyba jednoznačně na straně výrobce (špatný SW), zaměstnavatel musí primárně odškodnit zaměstnance a následně může uplatňovat regresní nárok vůči výrobci stroje podle občanského zákoníku za vadu výrobku. Zde se nabízí argumentace tzv. skrytou vadou a nedostatkem v návodu od výrobce. Hlavním bodem obhajoby provozovatele v rovině správního trestání (pokuta od OIP) a zejména v rovině trestní odpovědnosti je absence zavinění a tzv. nemožnost předvídat vzniklý stav ze strany provozovatele. Ze strany provozovatele přeci platí tzv. princip legitimního očekávání a role návodu (tzv. předpokládá se spolehlivost a bezpečnost stroje a správnost návodu od výrobce). Výrobce stroje je při uvádění výrobku na trh (označení CE) povinen provést posouzení rizik a validaci bezpečnostního software, například podle norem: 

• ČSN EN ISO 13849-1 Bezpečnost strojních zařízení - Bezpečnostní části ovládacích systémů - Část 1: Obecné zásady pro konstrukci
• ČSN EN ISO 13849-2 Bezpečnost strojních zařízení - Bezpečnostní části ovládacích systémů - Část 2: Ověřování platnosti

Návod k používání od výrobce musí obsahovat pokyny pro údržbu a zkoušení, které zajistí bezpečnost stroje po celou dobu jeho životnosti.

Dále upozorňuji na další zásady, které platí: 

• Pokud výrobce nestanovil postup, jak specifickou funkci SW otestovat, provozovatel, který striktně postupuje podle návodu, jedná v dobré víře, že dotčený stroj je bezpečný. 
• V právu existuje princip, že nikdo nemůže být nucen k plnění, které je objektivně nemožné (impossibilium nulla obligatio est). Pokud tedy neexistovala technická cesta, jak bug SW standardními prostředky odhalit, nelze absenci jeho odhalení klást k tíži provozovatele jako zaviněné porušení povinnosti. 

Trestněprávní hledisko (nedbalost) 

V trestním řízení je nutno prokázat zavinění, v oblasti BOZP nejčastěji ve formě nedbalosti. Pro naplnění skutkové podstaty trestného činu (například ublížení na zdraví z nedbalosti) by muselo být prokázáno, že osoba odpovědná za provoz dotčeného stroje věděla o riziku (vědomá nedbalost) nebo měla a mohla o něm vědět (nevědomá nedbalost). A pokud například soudní znalec potvrdí, že chyba SW byla detekovatelná pouze při specifické kombinaci parametrů, kterou návod od výrobce nepředpokládá a běžná praxe nevyžaduje, argument o možnosti vědět se tím významně oslabuje. V takovém případě by pak odpovědnost měla směřovat k výrobci stroje nebo k programátoru SW (bezpečnostního systému).

Zaměstnavatel má po úrazu povinnost objasnit příčina a okolnosti vzniku události. V tomto případě je klíčové, jednak buď: 

• Znalecké posouzení - tedy zajistit nezávislý znalecký posudek, který identifikuje chybu v kódu bezpečnostního relé a potvrdí, že tato chyba nebyla detekovatelná postupy uvedenými v návodu. 
• Prověrky BOZP - doložit, že provozovatel prováděl pravidelné roční prověrky BOZP na všech pracovištích a zařízeních. 
• Revize a kontroly - předložit záznamy o kontrolách podle nařízení vlády č. 378/2001 Sb., které prokazují, že provozovatel nezanedbal žádné povinnosti. 

I když právní předpisy kladou na provozovatele vysoké nároky, judikatura v obecných případech často pracuje s konceptem "míry opatrnosti, kterou lze spravedlivě požadovat". Takže, pokud se jedná o jednotlivé druhy odpovědnosti, pak u odškodnění postiženého zaměstnance je míra zavinění provozovatele nulová, ale platí tzv. objektivní odpovědnost, tzv., že postiženého zaměstnance odškodní a následně to bude vymáhat po výrobci stroje. Co se týká správního deliktu (možná pokuta od OIP), lze argumentovat splněním všech povinností podle návodu od výrobce. A konečně v případě trestní odpovědnosti (za nedbalostní trestní čin), je možnost obrany provozovatele značná, pokud se vyskytla tzv. skrytá vada a návod o této možné vadě mlčel. Zde platí, že argumentace chybějícím postupem testování v návodu je v dané situaci zcela legitimní a klíčová. Provozovatel přece není tvůrcem bezpečnostní logiky a nemůže nést odpovědnost za vnitřní vady komponent nebo jejich systémového programování, pokud tyto vady nevykazovaly vnější známky poruchy během předepsaných kontrol. A na úplný závěr doporučuji v případném soudním sporu nebo trestním řízení trvat na vypracování znaleckého nebo revizního znaleckého posudku zaměřeného na "předvídatelnost" dané SW chyby z pohledu uživatele (provozovatele).

CHECKLIST

1. Okamžitá reakce po úrazu

• Zajistit první pomoc, přivolat ZZS, případně HZS, zajistit místo úrazu.
• Ohlásit pracovní úraz dle § 105 zákoníku práce, příp. Policii ČR, pokud nasvědčuje spáchání trestného činu.
• Zajistit, aby nedošlo k dalšímu ohrožení (odstavení stroje, zablokování nebezpečné funkce).

2. Dokumentace a technické zajištění

• Zajistit technický stav stroje „ve stavu po úrazu“ (nepřepisovat logy, archivovat dokumentaci bezpečnostního systému, černé skříňky, diagnostiku).
• Pořídit fotodokumentaci, záznamy o poloze světelného závěsu, nastavení parametrů, režimů, uživatelských nastavení.
• Vyžádat si kompletní průvodní dokumentaci od výrobce (prohlášení o shodě, posouzení rizik, návod k použití, projekt bezpečnostního systému).

3. Právní rámec povinností provozovatele

• Zkontrolovat plnění ustanovení § 4 zákona č. 309/2006 Sb. – výbava ochrannými zařízeními, údržba, kontroly, revize, organizace práce.
• Prověřit, zda byly prováděny kontroly/revize dle nařízení vlády č. 378/2001 Sb. / následných předpisů a v rozsahu stanoveném návodem.
• Doložit prověrky BOZP, školení, místní provozní bezpečnostní předpisy a jejich faktické dodržování.

4. Role návodu a „skrytá vada“ SW

• Ověřit, jaké testovací postupy a periodické zkoušky bezpečnostních funkcí (světelný závěs) návod obsahuje a jak byly v praxi plněny.
• Vyhodnotit, zda specifický scénář, při němž selhala detekce, byl předvídán či předvídatelný návodem nebo běžnou praxí; pokud ne, připravit argumentaci „skryté vady“ a principu legitimního očekávání.
• Zaznamenat, že provozovatel neměl nástroje ani pokyn k provedení testu, který by vadu SW mohl odhalit standardními prostředky.

5. Pracovněprávní odpovědnost (odškodnění zaměstnance)

• Připravit podklady k odškodnění dle zákoníku práce (pracovní úraz, objektivní odpovědnost zaměstnavatele.
• Uvědomit si, že vůči zaměstnanci nese primární odpovědnost zaměstnavatel, bez ohledu na vinu výrobce, a současně si připravit podklady pro případný regres vůči výrobci za vadu výrobku.

6. Správní delikt (OIP / SUIP)

• Doložit OIP splnění všech povinností dle § 4 zákona č. 309/2006 Sb. a prováděcích nařízení vlády (kontroly, revize, školení, postupy dle návodu).
• Opřít obhajobu o fakt, že provozovatel jednal v souladu s návodem, úrovní techniky a běžnou praxí a že konkrétní SW bug nebylo možné odhalit standardním testováním.
• Navrhnout doplnění dokumentace výrobcem (úprava návodu, dodatečné testy) a případná technická opatření jako nápravné kroky.

7. Trestněprávní rovina (nedbalost)

• Identifikovat osoby, kterým byla svěřena odpovědnost za BOZP a provoz stroje (statutární zástupce, vedoucí zaměstnanec, technik BOZP, technolog, údržba).
• Posoudit, zda tyto osoby mohly „vědět“ nebo „měly a mohly vědět“ o riziku konkrétní SW chyby; opřít se o znalecký posudek k předvídatelnosti a detekovatelnosti chyby.
• V případě zahájení trestního řízení trvat na znaleckém (popř. revizním) posudku zaměřeném na předvídatelnost a technickou možnost odhalení chyby z pohledu provozovatele, nikoli tvůrce SW.

8. Znalecký posudek a technická analýza

• Zadat znalecký posudek v oboru strojní/elektro bezpečnost – analýza kódu bezpečnostního relé, logů, ověření funkce proti normám (ČSN EN ISO 13849-1/-2)
• Nechat posoudit, zda výrobce řádně provedl analýzu rizik a validaci bezpečnostních funkcí, a zda návod poskytuje dostatečné pokyny k testování a údržbě.
• Zajistit, aby posudek výslovně hodnotil předvídatelnost a detekovatelnost chyby standardními prostředky dostupnými provozovateli.

9. Vztah k výrobci a regres

• Oznámit výrobci výskyt bezpečnostní vady, požadovat technické vysvětlení, nápravné opatření (FW update, změna logiky, doplnění návodu) a spolupráci.
• Zvážit uplatnění nároků z odpovědnosti za vadný výrobek (občanskoprávně), případně regres pojistitele zaměstnavatele po výrobci.
• Prověřit, zda výrobce plnil své povinnosti při posouzení shody (CE, dokumentace, návod, analýza rizik) a zda se nejedná o systémový problém i u dalších strojů.

10. Interní nápravná a preventivní opatření

• Aktualizovat interní postupy testování bezpečnostních funkcí, případně rozšířit akceptační a periodické testy (v mezích technické a provozní možnosti).
• Revidovat školení obsluhy a údržby, upozornit na zjištěné riziko a specifické provozní stavy, které se mají předcházet či zvlášť kontrolovat.
• Nastavit systém evidence incidentů a skoronehod, aby se podobná skrytá rizika zachytila dříve než při vážném úrazu.

Zdroje (použité právní předpisy, normy)

• Zákon č. 262/2006 Sb., zákoník práce, v platném znění
• Zákon č. 309/2006 Sb., o zajištění dalších podmínek bezpečnosti a ochrany zdraví při práci, v platném znění
• Zákon č. 40/2009 Sb., trestní zákoník, v platném znění
• Nařízení vlády č. 378/2001 Sb., kterým se stanoví bližší požadavky na bezpečný provoz a používání strojů, technických zařízení, přístrojů a nářadí
• ČSN EN ISO 13849-1 Bezpečnost strojních zařízení - Bezpečnostní části ovládacích systémů - Část 1: Obecné zásady pro konstrukci
• ČSN EN ISO 13849-2 Bezpečnost strojních zařízení - Bezpečnostní části ovládacích systémů - Část 2: Ověřování platnosti