商业秘密保护的方法创新与体系搭建

本文根据黄璞虑律师在「企业内控与反舞弊第五届行业峰会」分享内容整理而成
“如果企业不保护自己的商业秘密，没有人会替你保护”——这句话点出了商业秘密与其它知识产权最明显的区别就是既无处登记，也没有权利证书。其他知识产权不保护，会面临被侵权的可能；而企业不保护商业秘密，则后果更甚，很可能因为不满足商业秘密的基本构成要件，而根本不享有权利。既然商业秘密保护如此重要，而实务中对商业秘密的保护又困难重重，今天我们就来聊聊如何搭建商业秘密保护体系。
一、什么是商业秘密？
要成为商业秘密，首先要符合不为公众所知悉、具有商业价值、权利人采取了相应的保密措施这三个构成要件。
商业秘密分为两类，第一种是技术类商业秘密，比如煎饼果子的配方和制作工艺就可以是个商业秘密。分享一个真实案例，有个小伙子花了几千块钱去向老师傅学习煎饼果子的制作方法，签了保密协议保证不外传。学成数天之后，就在短视频平台发布了煎饼果子的详细制作过程，圈粉很多，被告后败诉。法院认定煎饼果子的制作流程和原材料组成份额是商业秘密。可以说大多数实用新型或者发明专利的技术方案，在没有申请专利的情况下（没有公开），如果对它采取了足够多的保密措施，都有可能成为一个商业秘密。
还有一种是经营类商业秘密，比如客户名单、合同交易价格、交易条件、服务方案、供应商名单等等。
二、商业秘密保护的体系化思路
根据实务经验总结统计，侵犯商业秘密的主要是两类人，一类是技术人员，对外发送技术资料，比如发送工艺流程、发送原材料组成份额，发送企业的原代码等；另外一类是销售人员拉走客户，或者采购人员拉走供应商等等。因此，我们接下来要分享的商业秘密保护手段就要从能克制上述两类人的角度出发：
前端防控
01、制度手段
在前端防控中，主要需要运用制度手段，包括密点确权、保护措施、流程设计、设置专管人员以及危机预案等等。这其中，危机预案制度最容易被忽略。实践中很多公司在发现员工有侵犯商业秘密的行为时，却因为不知道下一步该如何开展调查、进行人员访谈，而错失了调查的最佳时机，甚至会面临有利证据被销毁的可能。
我们以销售人员为例，在离职阶段，完善的危机预案需要企业建立一套严谨的离职流程，确认待离职的销售手上的全部客户已完成交接，并及时联系客户，告诉客户其他员工将继续为他提供相关服务，并告知即使销售离职也不影响企业继续为该客户提供服务的能力等等，且企业需要进行后续监控，关注客户状态；在日常管理中，也要定期进行客户回访，避免客户与个别销售人员自始至终都在单独联系交易，防止销售人员离职后轻易拉走客户，而被诉至法院后又抗辩称，公司丧失后续服务能力所以客户才继续选择自己，以此为由，把撬走客户伪装得有理有据。
02、技术手段
市场上常见的保护商业秘密的技术防控软件大致分为三个类型：阻断型、留痕型、报警型。
阻断型：即员工想发送文件或截屏，软件会阻断其相应的操作。譬如一旦员工截屏，想将屏幕内容对外发送，电脑就黑屏，让员工无法截取；或者员工打算使用私人邮箱对外发送文件，私人邮箱所在域名却已经提前被软件屏蔽等等。
留痕型：即员工的多数涉密操作，都会触发留痕机制，软件后台会暗中抓取屏幕，或对屏幕进行录像，或对员工的操作进行日志记录等保留员工涉密操作的痕迹。
报警型：通过设置阈值，比如将高度敏感性的文件内的参数、流程、工艺、材料这些内容，提取关键词，一份文档中的关键词越多，机密级别越高，然后根据员工对机密文件的风险操作进行报警。比如有位员工一天3小时之内，连续发送10份高度敏感文件，就会触发后台报警功能，将相关信息报给公司信息安全部门、内审监察或法务等相关人员。
但是这些技术防控软件在实战中，具有两类问题。第一，企业的内审、监察等人员，甚至是IT并不完全清楚公司保密软件的具体情况及功能，目前市场上的防控软件大多功能复杂、模块众多，有的还会不定时升级，导致公司相关人员并不完全了解软件的各项功能和最佳运用方法，致使发生泄密后，通过防控软件搜寻关键证据变得非常困难，甚至会遗漏重要证据；第二，运用技术手段时，采取普适性策略，对所有员工都不加区分、一视同仁，不论是什么样的员工，对其电脑的所有敏感信息处理行为，进行阻断或报警，导致工作负担加大，报警频繁，但是效果有限，反而让信息安全或内控部门的人员被大量无效报警信息所麻痹，遗漏了真正有用的信息。
03、意识防控
大多数企业安排商业秘密保护培训都是不区分对象的全员培训，但我们都知道，针对不同对象的培训侧重点应有所不同，例如企业该如何搭建商业秘密保护体系、泄密人员通常是如何窃密及怎么被发现的、如何对高危人员进行管理，就不适合“被管理”的普通员工来听讲；针对企业高管应该让他们了解在商业秘密保护领域目前法律上的漏洞、实践中的困难等等。因此，企业更应该进行专门针对高管及保密人员的培训，至少要对他们进行泄密人员画像培训。
什么是泄密人员画像？比如，可以以商业间谍想要快速完成任务并减少审查时间的心理，来判定技术人员外泄技术材料更可能出现在哪些时间段，什么样的人更有可能是商业间谍；又比如抱团离职的销售拉走客户前会做哪些准备，拉走客户使用的策略和话术通常有哪些，会有哪些蛛丝马迹流露出来，让企业可以判断这个销售有拉走客户的嫌疑，这些就是商业秘密涉嫌侵权行为和侵权人的画像。
知道了该从哪些方面来进行前段防控，我们要来解决商业秘密该保护到何种程度的问题。需要明确的是，商业秘密保护没有完全标准化的东西。根据企业的实际情况可以将商业秘密保护的方案大致上分为三种：一是半标准化半定制化修改的小体量保护方案；二是完全定制化、全面的大体量保护；三是针对已经做过不少商业秘密保护建设的企业在发展过程中及时查漏补缺的补丁保护方案。
中端调查
这一部分将在之后其他同事的分享中详细展开，在此先不赘述。但我想提示一点，电子取证、人员访谈和关联关系调查是互相联系的，不能割裂来看。不仅要收公司曾经下发给对象的办公电脑、工作手机等具有信息的物品，也要进行人员访谈，与泄密者及他的相关领导，和其他关联关系人进行谈话，可以获取或确认更多信息。
后端维权
在后端维权方面没有一种方法是完美的，每个方法都有它的优势和弱点，具体来看：
刑事诉讼：大多数企业的诉求是认定侵权，从而杀一儆百减少未来被其他侵权人再次侵权的可能，而刑事手段威慑力强、惩罚最重，商业秘密案件最高能判处10年有期徒刑。但是刑事案件的立案标准高，同时企业也需要承担更高的证明责任。
民事诉讼：不要求有精确计算的损害金额，所有的知识产权民事诉讼包括商业秘密诉讼，都可以进行法定赔偿。知识产权法院甚至有技术调查官，能够辅助处理一些技术性上的问题，所以民事诉讼的立案成本低。但民事诉讼的调查取证手段欠缺威慑力和强制性，可能关键的侵权信息、侵权线索无法获得，这是民事诉讼的一个缺陷。
行政打击：除了上述两个常见手段，市监局可以发动行政打击，甚至可以先行政再民事，发动双重打击。但该手段也有相应的发动条件和要求，并非所有的企业面对的案情，都能满足这些要求。
劳动仲裁：如果说上述三种是常见的进攻手段，那劳动仲裁在商业秘密案件中就经常扮演防御手段。即在被开除员工提出企业违法解除劳动关系时，企业以员工侵害商业秘密为由，证明解除劳动关系的正当性。除了防御，企业有时也主动通过劳动仲裁来追究员工侵害商业秘密的责任，也就是进攻，但劳动仲裁对于商业秘密损失认定的计算十分严格，在获赔方面要多做事先的法律安排，才能在案件中得到更多支持。
三、结语
商业秘密的保护，需要做好前中后三个方面：前端防控要做到制度、技术、意识相结合；中端调查要做到电子取证、访谈、关联关系调查相结合；后端维权要根据具体案情在刑事、民事、行政、劳动四种维权路径中作出适合案情的选择。前中后三方面都做好了，企业的商业秘密保护工作才称得上成体系成建制。对于商业秘密保护的方法创新与体系搭建，仍需要更多探索与研究。如何帮助企业完善商业秘密保护制度，如何利用大数据、人工智能突破技术壁垒，在未来我们都应持续关注。
特别鸣谢：孙千喻