Nejvyšší soud se v rozsudku sp. zn. 21 Cdo 3349/2024 zabýval odpovědností vedoucího zaměstnance za škodu způsobenou phishingovým útokem. Vyjasnil především pravidla pro výklad pracovních pokynů a určení podílu jednotlivých zaměstnanců na náhradě vzniklé škody.
Spor vznikl mezi Českou poštou a jejím bývalým vedoucím zaměstnancem. Zaměstnanec obdržel e-mail, který se vydával za zprávu generálního ředitele a požadoval urgentní provedení zahraniční platby ve výši 47 000 eur. Přestože jej podřízená upozornila, že požadavek na provedení platby nesplňuje interní pravidla, přeposlal jí předmětný e-mail s textem „Jitko, prosím…“. Platba byla následně provedena. Později vyšlo najevo, že šlo o phishingový útok.
Soud prvního stupně nepovažoval formulaci „Jitko, prosím…“ za dostatečně určitý pokyn k provedení platby. Odvolací soud naopak s ohledem na předchozí komunikaci dospěl k závěru, že šlo o závazný pracovní pokyn, a rozdělil povinnost k náhradě škody mezi oba zaměstnance rovným dílem.
Stručný nebo zdánlivě neurčitý e-mail může představovat závazný pokyn
Nejvyšší soud potvrdil, že obsah pracovního pokynu nelze určovat pouze podle jeho doslovného znění. Je nutné přihlížet zejména k úmyslu osoby, která pokyn vydala, k významu, jaký mu mohl přikládat jeho adresát, k předchozí komunikaci, zavedené praxi i následnému jednání účastníků.
V pracovněprávních vztazích se navíc v případě, že je pokyn nejasný, uplatní výklad pro zaměstnance nejpříznivější.
Nejvyšší soud proto odmítl posuzovat slova „Jitko, prosím…“ izolovaně. V kontextu předchozích telefonátů, urgencí a e-mailové komunikace podle něj nešlo pouze o žádost, aby se podřízená věcí obecně zabývala, ale o pokyn k realizaci platby.
Jak se určuje podíl jednotlivých zaměstnanců na náhradě škody?
Pokud je za škodu odpovědných více zaměstnanců, každý hradí její poměrnou část podle míry, v jaké škodu zavinil. Nejvyšší soud zdůraznil, že míra zavinění nezahrnuje pouze jeho formu, například úmysl nebo nedbalost. Soud musí rovněž posoudit, jak významně konkrétní jednání každého zaměstnance přispělo ke vzniku celkové škody. Samotné vedoucí postavení automaticky neznamená vyšší odpovědnost. Rozhodující jsou konkrétní okolnosti případu.
Vedoucí zaměstnanec podřízenou ujistil, že s generálním ředitelem hovořil, rozptýlil její pochybnosti o nestandardní e-mailové adrese a vlastním pokynem prosadil realizaci platby. Jeho jednání proto mělo pro vznik škody podstatně větší význam než jednání podřízené zaměstnankyně.
Co si odnést z předmětného rozhodnutí?
Při posouzení odpovědnosti za škodu způsobenou phishingovým útokem není rozhodující pouze to, kdo platbu technicky zadal. Zkoumá se celý rozhodovací proces, komunikace mezi dotčenými zaměstnanci a význam jednání každého z nich pro vznik škody.
Pro zaměstnance je rozhodnutí připomínkou, že ani pokyn nadřízeného je nezbavuje povinnosti respektovat právní a interní předpisy. Pokyn, který je s těmito předpisy v rozporu, je zaměstnanec povinen odmítnout.
Zaměstnavatelé by proto měli mít nastavená jednoznačná interní pravidla pro provádění plateb. Stejně důležité je, aby zaměstnanci byli s těmito pravidly prokazatelně seznámeni a věděli, jak postupovat při podezření na podvod.
Mgr. Kristýna Smočková 10.08.2026