合规视角下的企业商业秘密管理

商业秘密作为重要知识产权类型，与企业经营发展密切关联。近年来，史上判赔数额最高的香兰素技术被盗用案、富士康员工泄露3D数据图案、大疆前员工泄露公司源代码等商业秘密侵权案件频发，给相关企业造成了无法挽回的重大损失。随着我国《民法典》第123条对商业秘密权利的明确，我国《反不正当竞争法》第32条对商业秘密权利人举证义务的减轻，以及最高人民法院《关于审理侵犯商业秘密民事案件适用法律若干问题的规定》的颁布，国内商业秘密立法已然处于逐步完善阶段，商业秘密保护必将成为企业经营管理的重要关卡。然而，部分企业仍怀有侥幸心理，让商业秘密处于裸奔状态，未进行法律层面的有效确权，只在发生侵权事件或诉讼时才开始“补牢”。由此可见，管理和规范商业秘密风险，已成为企业合规管理的重要板块，关系到企业尤其是技术型公司的存亡。

本文通过梳理相关法条及司法判例，参照上海市闵行区人民检察院近日发布的《企业商业秘密合规管理指引》（下称“《指引》”），拟从企业合规视角出发，分析商业秘密识别及保护措施，为企业商业秘密合规管理提出实务建议。

一、商业秘密的识别

商业秘密是指不为公众所知悉，能为权利人带来经济利益，具有实用性并经权利人采取保密措施的技术信息和经营信息等商业信息。其中，技术信息主要包括与技术有关的结构、原料、组分、配方、材料、样品、样式、工艺、方法或其步骤、算法、数据、计算机程序及其有关文档等信息；经营信息主要指与经营活动有关的创意、管理、销售、财务、计划、样本、招投标材料、客户信息、数据等信息。

从上述商业秘密的定义可知，商业秘密的识别与认定主要应从其三大特性予以考量，即价值性、秘密性、保密性。

不为公众所知悉，也即秘密性判定，一般指该信息须同时满足以下两个条件：不为其所属领域相关人员众所周知以及普遍知悉；容易获得。但是，如果该信息是所属领域相关人员普遍知悉或者容易获得的，就不属于商业秘密。如在北京零极中盛科技有限公司（下称“零极公司”）、周洋等侵害技术秘密纠纷案件中[1]，最高人民法院认为，不特定公众可以与原审法院现场勘验相同的方式拆解观察零极公司产品，对无法直接观察的元器件参数、元器件间的连接关系，可以使用数字电桥、数显卡尺、万用表测量获得。涉案技术信息系通过去除覆胶、拆解，使用常规仪器测量可以获得的技术信息，为其所属领域的相关人员容易获得，因此不属于商业秘密的保护范围。

保密性，指的是权利人针对该信息采取了严密的保密措施，在正常情况下足以防止商业秘密泄露。保密措施的方式是多种多样的，例如制定保密规则，向员工提出保密要求，与员工签订保密协议，对涉密信息采取加密、加锁、加保密提示、限定知悉范围、控制接触人群等。其次，保密措施应当与商业秘密的商业价值、独立获取难度等因素“相匹配”，限定在一个合理限度之内。虽然对于保密措施的认定，司法实务层面现呈现从严到宽的趋势与倾向，但笔者在此也想强调，企业商业秘密合规管理中，采取的保密措施不能脱离技术秘密的载体，否则很可能遭到否定性认定。如在济南思克测试技术有限公司（下称“思克公司”）与济南兰光机电技术有限公司侵害技术秘密一案中[2]，最高人民法院认为，因涉案技术秘密在物理上脱离其载体，即技术秘密载体GTR-7001气体透过率测试仪产品在市场流通，故思克公司主张采取的“对内保密措施”因与其主张保护的涉案技术秘密不具有对应性，不属于反不正当竞争法规定的“相应保密措施”。

商业秘密的第三个特性，即价值性。它是指该信息能给权利人带来商业价值。首先，具有商业价值，是指该信息能够给经营者带来经济利益或者竞争优势。其次，具有商业价值的信息，可以是能够带来直接的、现实的经济利益或者竞争优势的信息。在这一点上，虽然2017年修订的我国《反不正当竞争法》取消了对于商业秘密带来经济利益和实用性的表述，但也并不意味任何与公司有关的商业信息都具有价值性。在北京健康有益科技有限公司与关某侵害商业秘密纠纷案中[3]，一、二审法院均认为，针对具有商业价值这一构成要件而言，涉案员工的工资仅为个别月份或是试用期的临时数额，而非整个员工工资体系，健康有益公司未提交证据证明涉案信息的价值性，亦未能对涉案信息的价值进行合理的说明，故根据在案证据尚不足以证明涉案信息具有商业价值，能为权利人带来直接利益或竞争优势。因此，根据在案证据不能证明该工资情况构成受《反不正当竞争法》保护的“商业秘密”。

综合商业秘密上述三大特性，企业对于生产经营过程中产生的各类技术及经营信息，应参照以上标准，及时识别商业秘密，施以合理且适当的管理举措与保护措施。

二、商业秘密的评定

从上述分析可知，商业秘密在企业生产经营过程中不断产生，也随着企业发展发生迭代更新，对于商业秘密的保护，可参照《指引》中明确的以下方式进行：

（一）评定遴选。企业应定期或不定期组织商业秘密的评定工作，对经营活动中产生的技术信息和经营信息进行分析，遴选出涉密信息，并对员工掌握的隐性知识进行梳理使其转化成显性知识。

（二）分级管理。企业应对商业秘密进行分级管理，根据商业秘密的秘密性、价值性以及泄露会使企业经济利益造成的损害程度，可将密级分为核心商业秘密、重要商业秘密、一般商业秘密三级。企业应根据不同密级采取相应的保密措施，突出重点，确保核心商业秘密的安全。

（三）衡量保密周期。企业应根据商业秘密的密级以及商业秘密的生命周期、技术成熟程度、潜在价值、市场需求等因素，确定商业秘密的保密周期。可以预见时限的以年、月、日计算，不可以预见时限的应定为“长期”或者“公布前”。

（四）显著标识。企业商业秘密的密级和保密期限一经确定，应在商业秘密载体上做出明显标志。

（五）确定保密措施。企业应根据自身所属的行业类型以及商业秘密的特点，采取合理有效的保密措施，包括订立保密协议、建立保密制度、采用保密技术、设置保密设施或装置等。保密措施应当具体明确，能够使相关人员清楚了解到商业秘密的范围、种类、保密期限、保密方法以及泄密责任等。

三、商业秘密的合规管理

商业秘密合规管理旨在通过对商业秘密的识别、评定、保护、预警与防范，保障企业知识产权利益。现从内部管理和外部管理两个角度，提出以下五个方面的合规管理建议：

（一）设立商业秘密合规管理部门。企业应根据经营规模，设置商业秘密合规管理部门或者岗位统一管理商业秘密。商业秘密合规管理部门或岗位应当吸纳法律、研发、经营、财务、人事等部门的相关人员。商业秘密合规管理部门或岗位负责组织开展商业秘密的评定、确定和调整商业秘密的范围、制定和更新商业秘密保密制度、开展商业秘密日常管理、组织保密教育培训和保密检查、查处泄密事件等工作。

（二）健全保密制度与保密手册。企业应编制与保密措施适应，与《保密协议》和《劳动合同》中保密义务相辅相成的保密制度，并注意向全体员工公开公示保密制度的内容，保障保密制度员工具有法律约束力。保密手册的内容一般应包括商业秘密的管理范围和管理流程；各业务环节（研发、生产、销售、采购等）的管理要求；涉密载体、场所、人员、办公设备的管理要求等。

（三）保障员工入职、在职、离职阶段保密管理。企业在新员工入职时，应与新员工签署保密协议，约定保密范围和保密期限、双方权责和违约责任等内容。对于新入职的高级管理人员、高级技术人员以及其他知悉核心、重要商业秘密的人员，企业还应与其签署竞业限制协议，约定竞业限制的范围、地域、生效条件、期限、违约责任及经济补偿等。企业在员工在职期间，应根据涉密岗位及各部门的工作内容建立涉密人员清单，并定期更新。同时应督促岗位变动的员工做好保密材料交接工作，对员工重新划分涉密类别与层级，及时做好涉密接触权限的调整。企业在员工离职时，应进行离职面谈，告知员工负有的保密义务，以及其他约定或法定的注意事项。同时对离职员工的电脑及涉密载体进行盘点清查，督促其交接涉密信息、返还或按要求销毁涉密载体，必要时也可要求员工签署离职后的保密承诺书，或视情评估是否需要与离职员工签署竞业限制协议。

（四）加强商业秘密载体及涉密空间监控。企业应对商业秘密载体的制作、传递、使用、保存、销毁实施全流程管理，并设立涉密载体记录台账，妥善留存相关信息。企业应通过警报、门禁等措施加强对涉密区域的空间管理，设置明显的警示标志，限定访问权限；同时建立外来访问人员管理制度，登记来访人员的身份、活动范围、访问时间等。此外，针对以技术开发、设计为主营业务的企业，还建议对技术人员适用的办公系统进行加密管理，保障涉密信息仅可在办公系统内使用，并设定复制、修改权限。

（五）追踪商业秘密的外部流通。企业在对外开展采购、销售、委托制造开发等业务活动中，应注意将涉密信息予以加码处理或采取签订书面保密协议的方式降低泄密风险，并在业务开展过程中注意泄密信息的使用、流转情况。在对外开展技术合作开发或委托技术开发过程中，应与对方签订保密协议，明确商业秘密的归属、商业秘密争议处理方式及责任承担等内容。企业在参加对外交流会、展览会，进行广告宣传的过程中，应注意将涉密材料显著标识、指定专门人员负责涉密材料的交接返还，必要时可签订保密协议。

商业秘密合规管理是企业合规管理体系中的重要组成部分，完备的商业秘密保护体系可为企业知识产权保驾护航，稳定获取经济利益。一旦企业商业秘密遭到泄露或侵犯，除通过本文所述保密措施及合规管理手段积极收集证据外，还可请求法院采取保全措施，及时止损；必要时也可以寻求刑事救济，通过配合公安机关调查，最大程度维护自身权益。

[1] 参见最高人民法院民事判决书，（2021）最高法知民终1302号

[2] 参见最高人民法院民事判决书，（2020）最高法知民终538号

[3] 参见北京市知识产权法院民事判决书，（2020）京73民终356号