Подписанный NDA полезен, но сам по себе не делает любую информацию коммерческой тайной и не создаёт исключительное право на общеизвестную идею. Защита начинается с предмета: что именно неизвестно третьим лицам, почему это имеет коммерческую ценность и какими разумными действиями владелец ограничивает доступ. Если пароль общий для всего отдела, клиентская база выгружается без журнала, а документ опубликован на сайте, строгое слово «конфиденциально» в договоре мало поможет.
Три разных основания защиты
Договор о конфиденциальности создаёт обязательства сторон относительно определённых сведений: не раскрывать, использовать только для согласованной цели, ограничивать копирование и доступ. Коммерческая тайна по Закону № 98-ФЗ — установленный обладателем режим, для которого предусмотрены конкретные меры. Секрет производства, или ноу-хау, по ст. 1465 ГК РФ — сведения любого характера о результатах интеллектуальной деятельности и способах профессиональной деятельности, имеющие действительную или потенциальную коммерческую ценность вследствие неизвестности третьим лицам, к которым нет свободного законного доступа и относительно которых обладатель принимает разумные меры конфиденциальности. Эти основания могут пересекаться, но не подменяют друг друга. ГК РФ, ст. 1465–1467, Закон № 98-ФЗ, ст. 3, 10.
После изменений, действующих с 1 октября 2014 года, для признания информации ноу-хау не обязательно во всех случаях вводить именно формальный режим коммерческой тайны; возможны иные разумные меры. Но если компания заявляет, что режим по Закону № 98-ФЗ введён, она должна доказать выполнение его требований. Практический смысл различия не в возможности ничего не делать, а в том, что суд исследует реальную защищённость сведений и применимое основание. Пленум ВС РФ № 10, п. 143–145.
Отраслевой опыт работника, общедоступные факты и разрешённые законом сведения не превращаются в монополию бывшего работодателя. Статья 5 Закона № 98-ФЗ исключает ряд категорий из коммерческой тайны, в том числе сведения о задолженности работодателя по зарплате и условиям труда в предусмотренной нормой части, о нарушениях законодательства и привлечении к ответственности. Режим нельзя использовать для сокрытия обязательных раскрытий перед компетентными органами. Персональные данные требуют самостоятельного правового основания обработки; коммерческая тайна не заменяет его.
Как ввести работающий режим
Определите перечень защищаемых сведений с достаточной точностью: версия алгоритма, техническая документация, непубличная ценовая модель, конкретные разделы клиентской базы. Установите порядок доступа и обращения, ведите учёт допущенных лиц, урегулируйте отношения с работниками и контрагентами, маркируйте носители и документы указанием «Коммерческая тайна» и обладателя с предусмотренными законом реквизитами. Это пять обязательных групп мер из ст. 10 Закона № 98-ФЗ, а не выбор любых двух. Для ИП без работников действует исключение ч. 3 ст. 10: он не обязан выполнять меры из п. 1 и 2 ч. 1 и трудовую часть п. 4; нельзя переносить корпоративный перечень обязанностей на него без этой оговорки. Дополнительные технические меры соотносятся с ценностью и риском информации.
Для цифровой среды перечень связывается с каталогами и версиями, а доступ — с именованными учётными записями. Установите двухфакторную аутентификацию, ролевые права, журналы доступа и выгрузок, процедуру согласования внешнего обмена и резервное хранение. Договоритесь, какие внешние облака, AI-сервисы и подрядчики допустимы: загрузка секрета в сервис с иными условиями использования может подорвать конфиденциальность и нарушить договор. Техническая мера полезна тогда, когда можно показать её действовавшие настройки и реальные события, а не только план внедрения.
Сотрудника надо под расписку ознакомить с перечнем сведений, режимом и ответственностью и создать необходимые условия его соблюдения. Если работодатель этих условий не обеспечил, ст. 11 Закона № 98-ФЗ предусматривает значимое ограничение взыскания убытков в указанных ею случаях. Обязанности и материальная ответственность работника оцениваются с учётом трудового законодательства; гражданский шаблон NDA с произвольным штрафом нельзя без проверки переносить в трудовой договор. У подрядчика и его субподрядчиков должны быть письменные пределы доступа и использования, ответственность за привлечённых лиц и порядок возврата материалов. Закон № 98-ФЗ, ст. 10–11, 14.
Что согласовать в NDA
Опишите сведения либо способ их индивидуализации, цель раскрытия, круг допускаемых сотрудников и консультантов, запрет использования вне цели, меры защиты, порядок согласования передачи, сроки уведомления об инциденте, исключения для уже известных и независимо разработанных сведений, действия по законному требованию органа. Обязательство должно позволять получателю понять, что защищено, а суду — отличить секрет от всего остального бизнеса.
Разделите срок договора и срок обязанностей по сохранению конкретных сведений. Для ноу-хау исключительное право действует, пока сохраняется конфиденциальность; её утрата прекращает право у всех правообладателей по ст. 1467. При отчуждении ноу-хау передающий сохраняет обязанность конфиденциальности до прекращения права; при лицензии действуют специальные обязанности ст. 1469. Если срок лицензии ноу-хау не указан, от неё можно отказаться, предупредив другую сторону не позднее чем за шесть месяцев, если договор не установил более длительный срок. После прекращения лицензии сохраняется обязанность конфиденциальности до прекращения исключительного права. ГК РФ, ст. 1467–1469.
Передача секретной информации не всегда означает передачу права её коммерчески использовать. Для ноу-хау отдельно определите отчуждение или лицензию, способы и пределы. Лицо, независимо и добросовестно получившее те же сведения, может иметь самостоятельное исключительное право по ст. 1466; NDA не запрещает всему миру независимо прийти к тому же решению.
Сотрудник уходит, администратор меняется
До последнего рабочего дня составьте реестр ресурсов, назначьте нового владельца корпоративных аккаунтов, передайте ключи через защищённый канал, сохраните журналы, отзовите лишние токены и проверьте резервное восстановление. Не вписывайте пароли в акт, который разошлют всем. Акт должен подтверждать перечень переданных полномочий и успешную проверку доступа. Отдельно закрепите возврат/удаление копий с разрешённых личных устройств в законных пределах; нельзя изымать посторонние личные данные под видом защиты базы.
Исключительное право на служебный секрет производства по ст. 1470 связывается с трудовыми обязанностями или конкретным заданием работодателя. Это отличается от конструкции служебного произведения по ст. 1295, и различие важно для поручения вне обычных функций работника. Обязанность сохранять конфиденциальность продолжается до прекращения права на секрет в установленном законом порядке. Тот, кто ссылается на служебность и передачу работодателю, должен показать реальные обязанности, задание, содержание сведений и меры защиты. ГК РФ, ст. 1470.
Если утечка уже произошла
Ограничьте доступ и сохраните доказательства в согласованном порядке: журналы, версии, отправки, адресатов, права пользователя на дату события, подписанные ознакомления и документы об ущербе. Не меняйте исходные журналы ради красивой хронологии. Определите, что осталось секретным, что действительно стало доступным неопределённому кругу и какие меры ещё могут остановить распространение. Не всякая передача одному связанному обязанностью лицу означает окончательную потерю конфиденциальности, но вывод требует фактов.
В требовании к нарушителю назовите конкретные сведения и незаконный способ получения, раскрытия либо использования. По ст. 1472 ГК РФ основной денежный способ защиты ноу-хау — возмещение убытков; стандартные 10 тысяч — 10 миллионов за произведение сюда автоматически не переносятся. По договору возможны согласованные требования с учётом их действительности и применимого режима, но надо доказать основание, причинную связь и размер там, где они требуются. Отдельно оцените срочный запрет распространения и режим исследования секретных материалов в суде, чтобы само доказывание не расширило утечку.
Практика и её предел. Пленум ВС № 10, п. 143–144, отличает разумные меры сохранения секрета от обязательного формального режима. Пункт 145 поясняет, что отвечать за разглашение может любое нарушившее лицо, в том числе публично-правовое образование, чей орган или должностное лицо разгласили полученную информацию. Из этой позиции не следует охрана любой идеи, помеченной NDA: неизвестность, ценность, отсутствие свободного доступа и фактические меры остаются предметом доказывания. Если компания не может назвать содержание секрета, ссылку на общий договор конфиденциальности нельзя считать завершённым доказательством исключительного права. Полный акт.
Для внедрения используйте форму режима и NDA вместе с актом передачи доступов. Они работают только после заполнения конкретного перечня и фактического исполнения мер; подпись под пустой таблицей не заменяет организацию защиты.
Если клиентская база содержит данные людей, режим секрета дополняется распределением ролей по 152-ФЗ, сроками хранения и уничтожением. Утечка такой базы требует параллельной процедуры уведомления и расследования инцидента.