Режим коммерческой тайны для малого бизнеса

Почему «просто NDA» не спасает

Типичная история: из отдела продаж уходит менеджер и забирает клиентскую базу. Директор достаёт подписанное соглашение о неразглашении, идёт к юристу и узнаёт неприятное. Соглашение есть, а режима коммерческой тайны в компании нет. Тогда и доказывать почти нечего.

Дело в том, как устроен закон. По 98-ФЗ «О коммерческой тайне» тайной считается не любая «внутренняя» информация, а сведения, в отношении которых обладатель ввёл режим конфиденциальности. Режим это не слово в договоре, а набор конкретных мер. Если их нет, суд вправе решить, что вы сами не считали информацию секретной, а значит, и требовать наказать того, кто её разгласил, не за что.

Второй момент: суды смотрят на практику, а не на количество бумаг. Если положение лежит в папке, а база выгружается любому менеджеру одним кликом и пересылается на личную почту, то при споре документы покажут лишь то, что вы знали о риске и ничего не сделали.

О том, что делать, когда сотрудник уже ушёл с базой, мы писали отдельно: менеджер уволился и унёс клиентскую базу. Здесь о том, как не доводить до такой ситуации.

Что можно и нельзя объявить коммерческой тайной

Прежде чем писать документы, нужно понять, что вы вообще защищаете. Информация должна иметь коммерческую ценность именно потому, что она неизвестна посторонним, и к ней не должно быть свободного законного доступа. Для малого бизнеса это обычно:

клиентская база с контактами и историей работы;
индивидуальные цены, скидки, условия по ключевым клиентам;
закупочные цены и условия поставщиков;
себестоимость и маржинальность;
технологии, рецептуры, чертежи, внутренние методики;
планы запуска продуктов и выхода на новые рынки.

Есть и список того, что засекретить нельзя (статья 5 закона). В него входят сведения из учредительных документов и реестров, лицензии и разрешения, данные о численности работников, системе оплаты труда и условиях труда, о задолженности по зарплате, о нарушениях закона и привлечении к ответственности, о лицах, которые вправе действовать без доверенности. Попытка закрыть такое только ослабит ваш режим: суд увидит, что перечень составлен «на все случаи».

Ещё одно замечание. Если в базе клиенты физические лица, это ещё и персональные данные, а их защита регулируется отдельно, по 152-ФЗ. Режим коммерческой тайны не заменяет эти требования, а дополняет их.

Пошаговый план: как ввести режим

Статья 10 закона описывает минимальный набор мер. Переведём его на язык практики.

Шаг 1. Составьте перечень сведений

Это основа всего. Не «вся информация о клиентах и финансах», а конкретно: «база контрагентов в CRM», «прайс-лист для партнёров», «калькуляция себестоимости по изделиям А и Б». Чем точнее формулировки, тем проще объяснить сотруднику и суду, что именно охраняется. Перечень утверждается приказом руководителя.

Шаг 2. Утвердите положение о коммерческой тайне

Это главный внутренний документ. О его содержании ниже, отдельным разделом.

Шаг 3. Определите, кто получает допуск

Принцип простой: доступ только тем, кому он нужен для работы. Составьте список должностей и сотрудников с допуском, закрепите приказом и ведите учёт. Закон требует учитывать лиц, которые получили доступ к информации или которым она передана. Практически это журнал или таблица: кто, к чему, с какой даты, на каком основании, когда доступ закрыт.

Шаг 4. Урегулируйте отношения с работниками

Работодатель обязан ознакомить сотрудника под подпись с перечнем сведений, составляющих тайну, с установленным режимом и с мерами ответственности за его нарушение, а также создать условия для соблюдения режима. Подпись на листе ознакомления нужна не для порядка. Без неё привлечь человека к ответственности за разглашение будет очень трудно. Условие о неразглашении охраняемой законом тайны включают и в трудовой договор или дополнительное соглашение.

Шаг 5. Оформите отношения с контрагентами

Подрядчики, агентства, внешние бухгалтеры, IT-аутсорсеры получают ваши данные не по трудовому, а по гражданско-правовому договору. В него включается условие о конфиденциальности или отдельное соглашение (NDA). Без него передача информации партнёру может быть истолкована как потеря режима.

Шаг 6. Нанесите гриф

На документы и другие материальные носители наносится гриф «Коммерческая тайна» с указанием обладателя: для организации это полное наименование и место нахождения, для ИП фамилия, имя, отчество и место жительства. Для файлов и баз данных гриф может быть в названии, в колонтитуле, в уведомлении при входе в систему. Главное, чтобы маркировка была реальной, а не декоративной.

Шаг 7. Подкрепите документы техническими мерами

Режим «работает», когда нарушить его сложно. Нужны персональные логины у каждого сотрудника, роли с разными правами, запрет на общие пароли, ограничение выгрузки базы, закрытые шкафы для бумажных документов, понятные правила работы с личной почтой и мессенджерами. Подробнее о техническом контуре см. в статье про защиту данных от утечек через сотрудников.

Что должно быть в положении о коммерческой тайне

Хорошее положение короткое и конкретное. Обычно в нём есть:

цель и сфера действия, на кого распространяется;
ссылка на перечень сведений и порядок его пересмотра;
порядок допуска: кто решает, как оформляется и закрывается доступ;
правила обращения с носителями: бумага, файлы, облачные сервисы, мессенджеры, личные устройства;
порядок маркировки и учёта документов;
правила передачи информации внешним лицам и проверки таких запросов;
порядок действий при подозрении на утечку: кому сообщить, как фиксировать;
обязанности работников и ответственность за нарушение;
порядок выхода: что сотрудник сдаёт и подтверждает при увольнении.

Следите, чтобы текст описывал то, как вы действительно работаете. Если в положении написано «базы хранятся только на корпоративном сервере», а на деле все ведут таблицы в личных облаках, документ станет аргументом против вас.

NDA и обязательство о неразглашении: как составить, чтобы оно имело вес

NDA не заменяет режим, а встраивается в него. Чтобы соглашение не осталось формальностью, проверьте несколько вещей:

Предмет определён. В соглашении есть ссылка на перечень или чёткое описание категорий информации. Формулировка «любая информация, ставшая известной» слишком расплывчата.
Срок действия. Обязательства должны действовать и после окончания работы или договора, на понятный срок.
Запрещённые действия. Копирование, пересылка на личные адреса, фотографирование экрана, использование в интересах третьих лиц.
Порядок возврата и удаления. Что сотрудник или партнёр обязан вернуть и подтвердить при расставании.
Ответственность. Работник отвечает по трудовому законодательству, контрагент по гражданскому. Не переписывайте условия из интернета: размер санкций должен быть обоснованным и соответствовать закону.
Подпись и дата. Один экземпляр хранится у вас, а не «где-то в почте».

Отдельно о сотрудниках. Нельзя ограничить человека в праве работать на рынке лишь потому, что он знает ваших клиентов. Законно защищается конкретная информация, а не его опыт и навыки. Запреты, которые выходят за эти рамки, суд, скорее всего, не поддержит.

Почему режим превращается в формальность

Из практики малого бизнеса повторяются одни и те же ошибки:

положение скачано из интернета и не отражает реальные процессы;
перечень сведений слишком широкий или, наоборот, пустой;
сотрудники не подписывали лист ознакомления, либо подписали «пачкой» без объяснений;
допуски есть на бумаге, а в CRM у всех права администратора;
гриф нигде не стоит, учёта доступа нет;
при увольнении никто не проверяет, что человек сдал и что скопировал;
режим вводили один раз и ни разу не пересматривали, хотя компания выросла.

Простой тест: спросите случайного менеджера, какая информация в вашей компании является коммерческой тайной и куда её нельзя отправлять. Если он не ответит, режим существует только на бумаге.

Как собрать доказательства, чтобы они пригодились в споре

Если дело дойдёт до суда, вам понадобится показать три вещи: информация действительно была секретной, вы приняли меры охраны, и именно этот человек нарушил режим. Для этого заранее соберите и храните:

приказ о введении режима, перечень, положение;
листы ознакомления с подписями и датами;
журнал допусков и их закрытия;
трудовые договоры и NDA с условиями о тайне;
журналы доступа и выгрузок из систем, настроенные до инцидента, а не после;
акты и расписки о передаче носителей при увольнении.

Мониторинг сотрудников тоже должен быть законным: о правилах работы с корпоративными системами работников нужно предупредить, а границы контроля мы разбирали в статье про то, что разрешено законом при контроле сотрудников. Доказательства, добытые с нарушением закона, могут не только не помочь, но и навредить.

Как проверять, что режим живёт

Раз в полгода или год проходите по короткому списку: актуален ли перечень, соответствуют ли допуски должностям, закрыт ли доступ у уволенных, нет ли новых каналов, куда уходят данные (например, нейросети или личные мессенджеры). Такая проверка легко вписывается в общий аудит экономической безопасности. Новому сотруднику режим объясняют в первую неделю, а не при увольнении.

Когда стоит подключить специалистов

Базовый режим владелец вполне может запустить сам, если готов потратить время на перечень и дисциплину. Помощь нужна, когда информации много, когда в компании есть удалённые сотрудники и подрядчики, когда утечка уже подозревается или когда договоры и положения нужно привести в соответствие с реальными процессами. Тогда важно, чтобы документы писались под вашу компанию, а не копировались из шаблона.

СЭБ помогает разработать пакет документов: перечень сведений, положение, формы допусков и листов ознакомления, соглашения для сотрудников и контрагентов, регламент увольнения, а также согласовать их с техническими мерами защиты. Подробнее на странице разработки документации по безопасности. Результат зависит от того, насколько документы потом применяются в работе, поэтому мы всегда привязываем их к реальным процессам компании.

Источники

Материал носит информационный характер и не является юридической консультацией. Законодательство меняется: перед важными решениями сверяйтесь с актуальной редакцией законов.

Режим коммерческой тайны для малого бизнеса: как оформить, чтобы он работал