Britansko vrhovno sodišče je v primeru WM Morrison Supermarkets plc (Appellant) v Various Claimants (Respondents)[1] obravnavalo odgovornost delodajalca za kršitve obveznosti njegovih zaposlenih, ki jih določa britanski Zakon o varstvu podatkov iz leta 1998 (v nadaljevanju DPA).
Pritožnik upravlja verigo supermarketov in je v svoji skupini za notranjo revizijo zaposlil g. Skeltona, ki je bil med drugim zadolžen za posredovanje podatkov o plačah vseh pritožnikovih zaposlenih zunanjim revizorjem. Skelton je to storil, a je ob tem tudi zase naredil in shranil kopijo podatkov. To datoteko s podatki je naložil na javno dostopno spletno mesto za skupno rabo datotek in jo nato anonimno poslal trem časopisom v Veliki Britaniji. Pretvarjal se je, da je zaskrbljen posameznik, ki je datoteko po naključju našel na spletu. Čeprav teh podatkov niso objavili, je eden izmed časopisov opozoril pritožnika, ki je takoj ukrepal, da bi podatke odstranil z interneta in zaščitil svoje zaposlene, tudi z opozorilom policije. Skelton je bil kmalu aretiran ter obsojen na zaporno kazen.
Nekateri prizadeti zaposleni so posledično vložili tožbo zoper pritožnika zaradi kršitve obveznosti v okviru DPA, zlorabe zasebnih podatkov in zlorabe zaupanja. Sodnik na prvi stopnji je zavrnil pritožnikovo trditev, da odgovornost pritožnika za ravnanje zaposlenih ne pride v poštev zaradi vsebine DPA in njene podlage v direktivi EU ter presojal, kot je to potrebno skladno z ustaljeno sodno prakso[2], torej ali je Skelton ravnal v okviru delovnih obveznosti. Sodnik je odločil, da je Skelton ravnal med svojo zaposlitvijo, in ne izven delovnih nalog, ter da je pritožnik odgovoren kot delodajalec za ravnanje svojega delavca. Pritožnik se je pritožil na Višje sodišče ter nato še na Vrhovno.
Primarno vprašanje pred Vrhovnim sodiščem je torej bilo, ali je pritožnik zares odgovoren za ravnanje Skeltona, svojega zaposlenega. Pri tem so skladno z britansko sodno prakso upoštevali test “tesne povezave”, in sicer ali je bilo protipravno ravnanje tako tesno povezano z dejanji, za katere je bil delavec v okviru svoje zaposlitve pooblaščen, da se pošteno in pravilno šteje, da je delavec kršitev storil med običajnim potekom svojega dela in torej zanjo v razmerju do tretjih oseb odgovarja delodajalec. Pomembno je torej bilo, katere funkcije ali “področje dejavnosti” je delodajalec zaupal zaposlenemu. Nato je moralo sodišče presoditi, ali je obstajala zadostna povezava med položajem, na katerem je bil zaposlen, in njegovim protipravnim ravnanjem, da bi bilo upravičeno, da je delodajalec odgovoren po načelu socialne pravičnosti.
Vrhovno sodišče je zaključilo, da sta prvostopenjski sodnik in Višje sodišče v več pogledih napačno razumela načela, ki urejajo odgovornost delodajalca za ravnanje svojih zaposlenih. Sklenilo je, da spletno razkritje podatkov ni bilo del Skeltonovega “področja dejavnosti”, saj to ni bilo dejanje, za katerega je bil pooblaščen. Ob tem je še dodalo, da zgolj časovna ali vzročna povezanost z delom ni odločilna glede na test tesne povezave ter da je zelo pomembno, ali je Skelton deloval na področju svojega delodajalca v okviru svoje zaposlitve ali iz povsem osebnih razlogov.
Glede na to je Vrhovno sodišče odločilo, da v tem primeru pritožnik kot delodajalec ni odgovoren. Skelton je bil sicer pooblaščen, da je revizorjem posredoval podatke o plačah, vendar njegovo protipravno razkritje podatkov ni bilo tako tesno povezano s to nalogo, da bi se lahko pošteno in pravilno štelo, da jo je Skelton storil med običajnim opravljanjem svojega dela. Dejstvo, da mu je zaposlitev dala možnost, da stori nezakonito dejanje, ne zadostuje za odgovornost delodajalca. Delodajalec ni odgovoren, če je delavec zasledoval nek zasebni interes.
Drugo pomembno vprašanje pred Sodiščem je bilo, ali DPA izključuje odgovornost delodajalca za protipravna ravnanja delavcev. Vrhovno sodišče je menilo, da ni prepričljiv pritožnikov argument, da je odgovornost izključena. Nalaganje odgovornosti zaposlenemu, kot odgovornemu za določene procese obdelav podatkov, kot je Skelton, ni v neskladju s soobstojem delodajalčeve odgovornosti v common law sistemu. Irelevantno je, da je odgovornost zaposlenega za delodajalčeve podatke krivdna, saj skladno z DPA temelji na pomanjkljivi razumni skrbnosti, medtem ko delodajalčeva odgovornost za ravnanje zaposlenega ne zahteva nobenega dokaza o krivdi. Po mnenju britanskega vrhovnega sodišča tudi ni pomembno, da lahko odgovornost zaposlenega nastane po zakonu.
[1] WM Morrison Supermarkets plc (Appellant) v Various Claimants (Respondents) [2020] UKSC 12 z dne 1. 4. 2020.
[2] Sodba lorda Toulsona v zadevi Mohamud proti WM Morrison Supermarkets plc [2016] UKSC 11; Odločitev Hiše lordov v Dubai Aluminium Co Ltd proti Salaamu [2003] 2 AC 366.
Pripravila Katarina Emeršič Polić