合規視角下的企業商業祕密管理

商業祕密作爲重要知識產權類型，與企業經營發展密切關聯。近年來，史上判賠數額最高的香蘭素技術被盜用案、富士康員工泄露3D數據圖案、大疆前員工泄露公司源代碼等商業祕密侵權案件頻發，給相關企業造成了無法挽回的重大損失。隨着我國《民法典》第123條對商業祕密權利的明確，我國《反不正當競爭法》第32條對商業祕密權利人舉證義務的減輕，以及最高人民法院《關於審理侵犯商業祕密民事案件適用法律若幹問題的規定》的頒佈，國內商業祕密立法已然處於逐步完善階段，商業祕密保護必將成爲企業經營管理的重要關卡。然而，部分企業仍懷有僥倖心理，讓商業祕密處於裸奔狀態，未進行法律層面的有效確權，只在發生侵權事件或訴訟時纔開始“補牢”。由此可見，管理和規範商業祕密風險，已成爲企業合規管理的重要板塊，關係到企業尤其是技術型公司的存亡。

本文通過梳理相關法條及司法判例，參照上海市閔行區人民檢察院近日發佈的《企業商業祕密合規管理指引》（下稱“《指引》”），擬從企業合規視角出發，分析商業祕密識別及保護措施，爲企業商業祕密合規管理提出實務建議。

一、商業祕密的識別

商業祕密是指不爲公衆所知悉，能爲權利人帶來經濟利益，具有實用性並經權利人採取保密措施的技術信息和經營信息等商業信息。其中，技術信息主要包括與技術有關的結構、原料、組分、配方、材料、樣品、樣式、工藝、方法或其步驟、算法、數據、計算機程序及其有關文檔等信息；經營信息主要指與經營活動有關的創意、管理、銷售、財務、計劃、樣本、招投標材料、客戶信息、數據等信息。

從上述商業祕密的定義可知，商業祕密的識別與認定主要應從其三大特性予以考量，即價值性、祕密性、保密性。

不爲公衆所知悉，也即祕密性判定，一般指該信息須同時滿足以下兩個條件：不爲其所屬領域相關人員衆所周知以及普遍知悉；容易獲得。但是，如果該信息是所屬領域相關人員普遍知悉或者容易獲得的，就不屬於商業祕密。如在北京零極中盛科技有限公司（下稱“零極公司”）、周洋等侵害技術祕密糾紛案件中[1]，最高人民法院認爲，不特定公衆可以與原審法院現場勘驗相同的方式拆解觀察零極公司產品，對無法直接觀察的元器件參數、元器件間的連接關係，可以使用數字電橋、數顯卡尺、萬用表測量獲得。涉案技術信息系通過去除覆膠、拆解，使用常規儀器測量可以獲得的技術信息，爲其所屬領域的相關人員容易獲得，因此不屬於商業祕密的保護範圍。

保密性，指的是權利人針對該信息採取了嚴密的保密措施，在正常情況下足以防止商業祕密泄露。保密措施的方式是多種多樣的，例如制定保密規則，向員工提出保密要求，與員工簽訂保密協議，對涉密信息採取加密、加鎖、加保密提示、限定知悉範圍、控制接觸人羣等。其次，保密措施應當與商業祕密的商業價值、獨立獲取難度等因素“相匹配”，限定在一個合理限度之內。雖然對於保密措施的認定，司法實務層面現呈現從嚴到寬的趨勢與傾向，但筆者在此也想強調，企業商業祕密合規管理中，採取的保密措施不能脫離技術祕密的載體，否則很可能遭到否定性認定。如在濟南思克測試技術有限公司（下稱“思克公司”）與濟南蘭光機電技術有限公司侵害技術祕密一案中[2]，最高人民法院認爲，因涉案技術祕密在物理上脫離其載體，即技術祕密載體GTR-7001氣體透過率測試儀產品在市場流通，故思克公司主張採取的“對內保密措施”因與其主張保護的涉案技術祕密不具有對應性，不屬於反不正當競爭法規定的“相應保密措施”。

商業祕密的第三個特性，即價值性。它是指該信息能給權利人帶來商業價值。首先，具有商業價值，是指該信息能夠給經營者帶來經濟利益或者競爭優勢。其次，具有商業價值的信息，可以是能夠帶來直接的、現實的經濟利益或者競爭優勢的信息。在這一點上，雖然2017年修訂的我國《反不正當競爭法》取消了對於商業祕密帶來經濟利益和實用性的表述，但也並不意味任何與公司有關的商業信息都具有價值性。在北京健康有益科技有限公司與關某侵害商業祕密糾紛案中[3]，一、二審法院均認爲，針對具有商業價值這一構成要件而言，涉案員工的工資僅爲個別月份或是試用期的臨時數額，而非整個員工工資體系，健康有益公司未提交證據證明涉案信息的價值性，亦未能對涉案信息的價值進行合理的說明，故根據在案證據尚不足以證明涉案信息具有商業價值，能爲權利人帶來直接利益或競爭優勢。因此，根據在案證據不能證明該工資情況構成受《反不正當競爭法》保護的“商業祕密”。

綜合商業祕密上述三大特性，企業對於生產經營過程中產生的各類技術及經營信息，應參照以上標準，及時識別商業祕密，施以合理且適當的管理舉措與保護措施。

二、商業祕密的評定

從上述分析可知，商業祕密在企業生產經營過程中不斷產生，也隨着企業發展發生迭代更新，對於商業祕密的保護，可參照《指引》中明確的以下方式進行：

（一）評定遴選。企業應定期或不定期組織商業祕密的評定工作，對經營活動中產生的技術信息和經營信息進行分析，遴選出涉密信息，並對員工掌握的隱性知識進行梳理使其轉化成顯性知識。

（二）分級管理。企業應對商業祕密進行分級管理，根據商業祕密的祕密性、價值性以及泄露會使企業經濟利益造成的損害程度，可將密級分爲核心商業祕密、重要商業祕密、一般商業祕密三級。企業應根據不同密級採取相應的保密措施，突出重點，確保核心商業祕密的安全。

（三）衡量保密週期。企業應根據商業祕密的密級以及商業祕密的生命週期、技術成熟程度、潛在價值、市場需求等因素，確定商業祕密的保密週期。可以預見時限的以年、月、日計算，不可以預見時限的應定爲“長期”或者“公佈前”。

（四）顯著標識。企業商業祕密的密級和保密期限一經確定，應在商業祕密載體上做出明顯標誌。

（五）確定保密措施。企業應根據自身所屬的行業類型以及商業祕密的特點，採取合理有效的保密措施，包括訂立保密協議、建立保密制度、採用保密技術、設置保密設施或裝置等。保密措施應當具體明確，能夠使相關人員清楚瞭解到商業祕密的範圍、種類、保密期限、保密方法以及泄密責任等。

三、商業祕密的合規管理

商業祕密合規管理旨在通過對商業祕密的識別、評定、保護、預警與防範，保障企業知識產權利益。現從內部管理和外部管理兩個角度，提出以下五個方面的合規管理建議：

（一）設立商業祕密合規管理部門。企業應根據經營規模，設置商業祕密合規管理部門或者崗位統一管理商業祕密。商業祕密合規管理部門或崗位應當吸納法律、研發、經營、財務、人事等部門的相關人員。商業祕密合規管理部門或崗位負責組織開展商業祕密的評定、確定和調整商業祕密的範圍、制定和更新商業祕密保密制度、開展商業祕密日常管理、組織保密教育培訓和保密檢查、查處泄密事件等工作。

（二）健全保密制度與保密手冊。企業應編制與保密措施適應，與《保密協議》和《勞動合同》中保密義務相輔相成的保密制度，並注意向全體員工公開公示保密制度的內容，保障保密制度員工具有法律約束力。保密手冊的內容一般應包括商業祕密的管理範圍和管理流程；各業務環節（研發、生產、銷售、採購等）的管理要求；涉密載體、場所、人員、辦公設備的管理要求等。

（三）保障員工入職、在職、離職階段保密管理。企業在新員工入職時，應與新員工簽署保密協議，約定保密範圍和保密期限、雙方權責和違約責任等內容。對於新入職的高級管理人員、高級技術人員以及其他知悉核心、重要商業祕密的人員，企業還應與其簽署競業限制協議，約定競業限制的範圍、地域、生效條件、期限、違約責任及經濟補償等。企業在員工在職期間，應根據涉密崗位及各部門的工作內容建立涉密人員清單，並定期更新。同時應督促崗位變動的員工做好保密材料交接工作，對員工重新劃分涉密類別與層級，及時做好涉密接觸權限的調整。企業在員工離職時，應進行離職面談，告知員工負有的保密義務，以及其他約定或法定的注意事項。同時對離職員工的電腦及涉密載體進行盤點清查，督促其交接涉密信息、返還或按要求銷燬涉密載體，必要時也可要求員工簽署離職後的保密承諾書，或視情評估是否需要與離職員工簽署競業限制協議。

（四）加強商業祕密載體及涉密空間監控。企業應對商業祕密載體的製作、傳遞、使用、保存、銷燬實施全流程管理，並設立涉密載體記錄臺賬，妥善留存相關信息。企業應通過警報、門禁等措施加強對涉密區域的空間管理，設置明顯的警示標誌，限定訪問權限；同時建立外來訪問人員管理制度，登記來訪人員的身份、活動範圍、訪問時間等。此外，針對以技術開發、設計爲主營業務的企業，還建議對技術人員適用的辦公系統進行加密管理，保障涉密信息僅可在辦公系統內使用，並設定複製、修改權限。

（五）追蹤商業祕密的外部流通。企業在對外開展採購、銷售、委託製造開發等業務活動中，應注意將涉密信息予以加碼處理或採取簽訂書面保密協議的方式降低泄密風險，並在業務開展過程中注意泄密信息的使用、流轉情況。在對外開展技術合作開發或委託技術開發過程中，應與對方簽訂保密協議，明確商業祕密的歸屬、商業祕密爭議處理方式及責任承擔等內容。企業在參加對外交流會、展覽會，進行廣告宣傳的過程中，應注意將涉密材料顯著標識、指定專門人員負責涉密材料的交接返還，必要時可簽訂保密協議。

商業祕密合規管理是企業合規管理體系中的重要組成部分，完備的商業祕密保護體系可爲企業知識產權保駕護航，穩定獲取經濟利益。一旦企業商業祕密遭到泄露或侵犯，除通過本文所述保密措施及合規管理手段積極收集證據外，還可請求法院採取保全措施，及時止損；必要時也可以尋求刑事救濟，通過配合公安機關調查，最大程度維護自身權益。

[1] 參見最高人民法院民事判決書，（2021）最高法知民終1302號

[2] 參見最高人民法院民事判決書，（2020）最高法知民終538號

[3] 參見北京市知識產權法院民事判決書，（2020）京73民終356號