金杜知卓 | 企业建立和完善商业秘密管理制度的九条重要指引
笔者结合多年的商业秘密案件审判经验和案件代理经验，从九个方面总结出做好商业秘密管理的具体指引，希望能对企业商业秘密管理制度的建立和完善有所帮助。
摘要
商业秘密是一种诉讼主导型的知识产权，其权利保护范围的确定主要是在个案诉讼过程中实现的，这与专利、商标等需要主管部门审查授权的知识产权类型存在很大不同。这种诉讼主导型的特点，导致业界对商业秘密诉讼问题关注较多，而对于如何做好商业秘密管理，却甚少关注和讨论。或者即便有所讨论，也往往流于宏观，缺乏操作性。实际上，从企业的安全长远发展角度，事前的防范和管理，可能比发生侵权后进行诉讼维权更为重要。但鉴于商业秘密的独特性，不具备诉讼经验者可能很难提出真正有价值的意见和建议。笔者结合多年的商业秘密案件审判经验和案件代理经验，从九个方面总结出做好商业秘密管理的具体指引，希望能对企业商业秘密管理制度的建立和完善有所帮助。
一、引言
商业秘密作为一种非常重要而独特的知识产权[1]形式，近年来受到空前的关注和重视。在知识产权业界，讨论商业秘密保护的话题也一时成为热点。我国《反不正当竞争法》在2019年修订过程中，一个很重要的内容即是对商业秘密部分的修改，其一是扩展了侵害商业秘密行为的列举范围，其二是对侵害商业秘密民事案件的举证责任进行了重新安排，体现了降低权利人举证难度的立法安排，其三则是提高了法定赔偿上限数额，并引入惩罚性赔偿。此后，于2020年9月12日开始实施的《最高人民法院关于审理侵犯商业秘密民事案件适用法律若干问题的规定》（法释【2020】7号）（以下称《商业秘密民事司法解释》）是最高人民法院发布的第一个专门的审理商业秘密民事案件的司法解释，对人民法院在案件审理过程中如何认定商业秘密、如何确认和采信当事人证据、如何确定非公知性，以及保密措施的认定、赔偿数额的确定、惩罚性赔偿的适用等方面进行了具体的规定。2020年9月14日开始实施的《最高人民法院、最高人民检察院关于办理侵犯知识产权刑事案件具体应用法律若干问题的解释（三）》，虽总共只有十个条文，却有五个条文直接涉及了商业秘密问题。其中一个很重要的变化是降低了侵犯商业秘密罪的追责门槛，将原有司法解释中侵犯商业秘密罪的立案追诉数额从50万元降低到了30万元[2]。可以说，多年来广受诟病的对商业秘密保护不利的问题，起码从制度层面得到了一定的改善。
此外，从司法实践层面来看，最高人民法院在其所公布的2020年度十件技术类知识产权典型案例中，有两件即是侵犯技术秘密案件，占比很高。其中的“香兰素”技术秘密案【（2020）最高法知民终1667号】，最高人民法院做出了1.59亿元的侵权赔偿决定，是我国法院生效判决赔偿额最高的侵害商业秘密案件。在另一起“卡波”技术秘密案【（2019）最高法知民终562号】中，最高人民法院判决侵权人承担3000万元的赔偿。该案是最高人民法院做出的首例惩罚性赔偿案件。最高人民法院在充分考虑了被诉侵权行为的主观恶意程度、举证妨碍行为以及被诉侵权行为的持续时间、侵权规模等因素，最终确定了5倍的惩罚倍数，明确传递了加强知识产权司法保护尤其是商业秘密保护力度的强烈信号。
可以看出，无论是立法层面还是实际的司法层面，都体现出了对商业秘密保护的高度重视。商业秘密作为企业增强自身竞争优势的利器，其地位和重要性日益凸显。
二、商业秘密区别于其他知识产权的不同特点
但是，与专利、商标、著作权等可通过一定形式公示的显性知识产权不同，商业秘密在更大程度上有点像“鱼雷”和“核潜艇”，其隐形性特征更为鲜明和突出，具体表现在：
（一）商业秘密无需经过授权来确权，也没有相应的证书或出版物、发表的作品等权利证明形式。不同于商标、专利的取得需要经过行政主管部门的审查授权，商业秘密的取得完全依靠权利人自行完成并采取保密措施进行保护。甚至由于保密措施的采取，在无具体诉讼案件发生的时候，第三方和社会公众一般是不知道权利人拥有相应商业秘密的。
（二）商业秘密的权利保护范围存在一定的不稳定性，或称相对性，不能像专利等知识产权一样，产生绝对的排他效力或一定时空内的垄断效果。比如技术信息类的商业秘密，就不能排除他人通过“自行研发”取得相同的技术信息，也不能阻止他人通过“反向工程”方式获取产品中所蕴含的技术信息。
（三）商业秘密的存续并无法定的期限，其存续时间长短与保密措施是否得当息息相关，也一定程度上与技术的进步与发展相关联。理论上，一些秘方、配方类的商业秘密，如果权利人采取的保密措施得当，该商业秘密是可以一直存续下去的。
（四）一次失密，永久失密。商业秘密最为核心和基础的即是其秘密性，或称非公知性。其他的如价值性，保密性则完全是建立在商业秘密具备非公知性的基础上的，如商业秘密遭到泄漏，失去了秘密性，商业秘密即不存在。这一过程是不可逆的，商业秘密一旦泄密，即永久失去了其作为商业秘密存在和保护的价值基础，不论这种泄密是合法还是非法的，是权利人自己泄漏的还是他人泄漏的。
三、做好商业秘密管理的九个方面指引
如前所述，商业秘密的重要性和地位日益凸显。但商业秘密与商标、专利、版权等又有很大的区别，企业的一般法务人员，或专门进行商标、专利等管理的知识产权专员，由于对商业秘密相对来说比较陌生，在缺乏专业性指导的情况下，很难完全做好商业秘密管理。笔者结合自己的实务经验，从若干诉讼案件中，总结出一些比较重要的指引，从建章立制、源头梳理、保密措施、入口过滤、出口统一、内部建档、培训宣讲、定期排查、及时回收等九大方面，提出做好商业秘密管理的具体措施和办法，希望能对企业打造和完善自己的商业秘密管理体系有所帮助。
具体的指引如下：
（一）建章立制
这可能是都知道很重要但往往又最容易被忽略的一个方面。“凡事预则立，不预则废”，建章立制看起来比较宏观或务虚，但实际上却是很实在的一个举措。实践中，相当多的大型企业都有自己一整套的知识产权管理制度。从宏观层面的知识产权战略规划，到微观层面的操作步骤、岗位职责等，基本都有所涉及并能落到实处。
笔者的建议是，企业最好能建立自己的知识产权战略委员会，或在企业的战略委员会内部设立相关的知识产权专业委员会，负责制定知识产权战略或发展规划等。
在实际执行层面则建立知识产权管理部门（最好与法务部门平行），并且在知识产权管理部门内部设立专门的商业秘密管理部门或人员，负责制定并实施商业秘密管理制度。
在具体的制度层面，企业最好能针对自身实际情况，制定自己的《专利管理制度》、《著作权管理制度》、《商标和品牌管理制度》、《商业秘密管理制度》等。在必要的情况下，企业可以聘请外部专业人员对相关制度进行评估和优化，使其符合法律法规的要求，并尽量符合企业的实际情况，具备可操作性。
（二）源头梳理
商业秘密本质上是信息的集合。我国《反不正当竞争法》（2019年）第九条第四款规定：“本法所称的商业秘密，是指不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。”《商业秘密民事司法解释》第一条[3]，指明了技术秘密和经营秘密的具体表现形式。
通常，企业在经营活动过程中，会产生和积累各种各样的信息。一些企业，尤其是科技型企业，随着研发投入的增加，其所产生和积累的信息甚至是海量的。在此情况下，作为管理者，应该具备前瞻性的眼光，及时对相关信息进行梳理和分类，以便为下一步的管理、赋权、运用和维权打下较为坚实的基础。
源头梳理的过程，实际上也是一个信息的拣选和加工的过程。企业在经营过程中所产生的信息，肯定不是所有信息都是有价值的，因此需要将一些明显无价值的信息予以剔除，只保留有价值的信息。判断信息是否有价值，需要结合企业的研发方向、本领域的技术热点、发展趋势、企业的主营业务、企业的短板等诸多因素进行综合判断。当然，这一工作单纯依靠法务部门或知识产权管理部门是不可能完成的，需要相关部门比如研发部门、生产部门、IT部门、安全部门甚至财务部门、销售部门等互相配合，协力完成。
对于经拣选后有用的信息，再进行分门别类的甄别。在此过程中，首先要观察哪些信息是已经有了合适的知识产权保护形式的，如是否已进行了专利申请，或已经取得了专利授权；是否已进行了相应的版权登记（可进行版权登记的信息包括计算机程序、文字作品、书法、动漫形象等美术作品、短视频等视听作品、摄影作品等）；是否申请了商标注册并已获授权。
对于尚未有合适权利保护形式的信息，可根据一定的标准，划分出哪些适合进行版权保护，哪些适合进行商标保护，哪些适合进行专利保护，哪些适合作为商业秘密进行保护。对于拟作为商业秘密进行保护的信息，再进行相应的检索分析等工作，以确定其是否符合商业秘密的秘密性（非公知性）的要求，才能最终确定是否作为商业秘密予以保护。
（三）保密措施
作为诉讼中证据意义上的保密措施与企业完善商业秘密管理制度意义上的保密措施是不同的，因为两者所追求的目标和出发点不同。在诉讼案件中，对于保密措施的要求不是太高，一般来说，只要能达到合理保护商业秘密的程度即可。但是，作为一种防范和管理手段，从最大限度排除商业秘密泄密的角度，保密措施则是需要尽可能的多样和完备，以免侵权后果的发生。
通常，企业所采取的保密措施可以是以下几种方式：
1、合约方式：签订保密协议或在协议中加入保密条款，这是最为常见的保密措施。需要注意的是，与竞业限制条款的签订主体一般限于企业的高级管理人员不同，商业秘密的保密协议或保密条款的签订主体可以是企业中的任何人。
2、物理方式：《商业秘密民事司法解释》第六条（三）项[4]和第（四）项[5]所列举的方式，即为物理隔离的保密措施。实践中，物理隔离的方式还有更多，比如对存放商业秘密载体的区域和空间，进行单独施划。对于存放商业秘密载体的房间上锁、悬挂警示牌、贴警示标语等，都是有效的保密措施。
3、赋权方式：对于需要使用计算机网络系统或数据库的相应人员，要做好权限分配，什么级别的人可以进入系统，什么级别的人能进入专用的房间和区域，对于特别的信息，什么级别的人可以接触，什么级别的人可以查阅、复制，要有明确的权限划分。
4、电子方式：最为常见的电子保密手段比如对电脑或其他电子设备设定密码，或制定相应的密码规则，要求员工定期进行密码更换。或者对于存放涉密信息的电子区域进行分区，规定对相应信息只能浏览不能复制等。确需复制的，则需要通过专用的通道进行，并进行相应的审批程序，后台要能查阅相应的复制记录。
（四）入口过滤
实践证明，员工跳槽是引发商业秘密侵权纠纷最为常见的情形。可以说，大多数的商业秘密案件都与此有关，或是由此引起。
我国《反不正当竞争法》第九条第（三）项规定：第三人明知或者应知商业秘密权利人的员工、前员工或者其他单位、个人实施本条第一款所列违法行为，仍获取、披露、使用或者允许他人使用该商业秘密的，视为侵犯商业秘密。
根据该规定，企业如果在明知或应知新加盟的员工不当获取并使用了他人商业秘密的情况下，仍然将该商业秘密用于经营活动中，则有可能与该员工一起承担侵犯商业秘密的法律责任。
因此，企业在引入新员工尤其是研发人才的时候，一定要做好入口管理，要求其承诺不侵害原单位的商业秘密。如因不当获取或使用原单位商业秘密导致新入职单位发生侵权损害赔偿后果的，由其对现单位的损失进行赔偿。
入口过滤的另一个方面，则是企业在引入新的技术时，无论是接受转让、获得许可，还是以技术入资入股，都要做好相关的风险排查或尽职调查，以免因引入技术引发相应的诉讼。
（五）出口统一
出口统一是指企业对外输送的信息应做到统一归口管理。做好外输信息的统一归口管理，对于保持商业秘密的秘密性和保密性是非常重要的一个环节，也是实践中比较容易被忽略的一个环节。
实践中，有的企业由于不是太重视信息的出口统一管理，将本应保密的信息进行了公开的发布、发表，使商业秘密因公开而导致失去秘密性，十分可惜。因此，企业在商业秘密管理过程中，除了要做好日常的保密工作外，在对外进行信息输送的过程中，也特别需要做好筛选工作，防止主动泄密。
科技型企业的研发人员往往会有进行演讲、讲座、发言，或发表专业论文的需要，而这些有可能会造成对商业秘密的泄露。对此，企业需要安排相应的部门或人员做好信息的统一归口管理。
具体操作上，可以对相关人员拟发表的职务作品进行事先审查，对工作人员拟参加的外部会议做好提示，拟发言的主要内容应经过知识产权部门尤其是商业秘密管理专员的事先审核，向合作单位发送的研发资料等，要通过指定人员、指定途径传送；对于委托他人定制的设备等，对于图纸、部件的尺寸、关键参数等重要信息要通过特殊方式交接，并在承揽合同中明确保密要求、违约责任等。
外输信息的统一归口管理还有另一个比较重要的方面，即在拟提起商业秘密诉讼或正在进行商业秘密诉讼的过程中，也要注意做好保密工作，以防二次泄密。比如在跟律师、鉴定人员等专业人员进行相关证据材料或其他资料的交接过程中，应该要求对方签订保密协议或出具书面保密承诺，另外也要注意需要安排专人传送或通过专门渠道传送。
（六）内部建档
商业秘密本质上是一系列能给企业带来相关竞争优势的信息或信息的集合。除了加工整理外，对信息的保管也是非常重要的，在某种程度上甚至可以说是一个重中之重的工作。实践中，许多企业因为不重视或不善于进行信息整理归档，导致信息无意中的泄露，从而失去了商业秘密，或者在发现侵权行为拟提起诉讼时，却发现无法提供理想的载体，只能眼睁睁地看着侵权行为发生而无能为力。
根据《商业秘密民事司法解释》第一条所规定的商业秘密的具体表现形式，我们可以将常见的一些商业秘密的载体分为以下几种类型：
一是有实物形式或以实物作为载体的技术秘密，如原料、材料、样品、植物新品种繁殖材料等需要进行实体或实物保管的。
二是方法或工艺类的技术秘密，如与技术有关的结构、组分、配方、工艺、方法或其步骤等技术信息，或与经营活动有关的创意、管理、销售、财务、计划、样本、招投标材料、客户信息、数据等经营信息。这类信息既可以图纸、报告、报表、角本等纸质实体存放，也可进行电子化后进行保存。
三是纯粹电子化的，如与计算机或互联网技术相关的算法、数据、计算机程序及其文档等。
相应地，我们也可以针对不同类型的商业秘密，采取妥善的归档管理方式，并采取保密措施。特别地，我们还要注意的是，一些科研或实验数据，即便是失败的数据，也要进行收集整理，因为这些也是有价值的，并可作为商业秘密进行保护。
（七）培训宣讲
培训宣讲是提升全员商业秘密保护意识的重要手段。在制定了完善的商业秘密管理制度、采取了相应的保密措施的基础上，定期或不定期地进行培训和宣传，使工作人员尤其是研发人员了解什么是商业秘密、与商业秘密有关的法律法规和司法解释、商业秘密的价值、侵害商业秘密的法律后果等，有利于杜绝或减少商业秘密侵权行为的发生。
（八）隐患排查
排查的重点可以是以下几个方面：
一是保密措施的排查。要定期或不定期检查各类保密措施是否存在漏洞，是否存在泄密风险，是否与企业发展的方向和速度相匹配，以及是否需要进行相应的更新和加入新的保密措施等。
二是对人员工作状态的排查。可定期向研发团队或业务部门负责人了解其团队人员的工作状态，及时了解并掌握是否有拟离职人员。如发现工作人员有离职动向，要及时向主管领导进行汇报，并对拟离职人员的工作任务及早进行调整。在确有必要的情况下，还应及早采取相应的监控措施，并固定相应证据。
三是对侵权信息的排查。侵权信息的来源，一般是互联网等公开渠道，或相关的商品实物等。发现侵权信息后，要及时与企业的研发人员共同进行分析研判。在必要的时候，应及早引入律师等专业人员参与，并及时固定相关证据。
（九）交接回收
交接回收是指，在有员工尤其是核心研发人员离职时，企业的知识产权管理人员或商业秘密管理人员，应及时指导相关人员与其做好工作交接，并对其工作中所使用的设备、工具等做好回收工作。
特别地，知识产权管理专员或商业秘密管理专员应向交接人员明确，对于离职员工在工作中所积累的相关代码、模块、图纸、文档、数据、客户信息等，应分门别类做好交接登记。交接的同时要做好查验，及时核查是否存在隐匿、不正常的大量复制、格式化、私自对外传输等行为。
对于离职人员交回的电脑、移动存储设备、专用工具等，在回收登记时应及时指令专业人员进行查验，以确认是否存在删改、清除、复制、格式化等不正常行为。如发现有可疑行为时，应及时聘请专业机构做好数据恢复等工作。在必要的时候，及时申请公证机构固定相应的证据，为后期诉讼维权做好准备工作。
总之，随着市场竞争的日益加剧，商业秘密越来越成为企业增强自身竞争优势的重要资产，在一些特殊情况下，甚至成为企业的核心资产。但相对而言，商业秘密也更依赖企业自身的保护，做好商业秘密的管理，对于企业来说十分必要。本文所述的相关指引，只是从常规意义上为企业的商业秘密管理指明方向。实践中，还需要企业结合自身情况，择其要者予以重点关注，并丰富和发展自己的管理制度。
注释：
[1] 将商业秘密作为知识产权的一种，可能会导致一些学者的批评，认为商业秘密不是知识产权的客体。但本文主要着眼于实务领域，不欲做学术讨论。在实践中，对于规范商业秘密的反不正当竞争法系知识产权法之一部分，业界并无分歧。TRIPS协议也将商业秘密作为知识产权之客体进行规定。更重要的是，我国《民法典》第一百二十三条知识产权及其客体中也明确将商业秘密作为知识产权之客体进行规定，因此从实务角度，商业秘密系知识产权之一种，应无疑义。
[2]最高人民检察院、公安部于2010年5月7日发布的《关于经济犯罪案件追诉标准的规定》中规定侵犯商业秘密，涉嫌下列情形的应予以追诉：1.给商业秘密的权利人造成损失数额在50万元以上的；2.因侵犯商业秘密违法所得数额在50万元以上的；3.致使商业秘密权利人破产的；4.其他给商业秘密权利人造成重大损失的情形。
[3] 《商业秘密民事司法解释》第一条：与技术有关的结构、原料、组分、配方、材料、样品、样式、植物新品种繁殖材料、工艺、方法或其步骤、算法、数据、计算机程序及其有关文档等信息，人民法院可以认定构成反不正当竞争法第九条第四款所称的技术信息。与经营活动有关的创意、管理、销售、财务、计划、样本、招投标材料、客户信息、数据等信息，人民法院可以认定构成反不正当竞争法第九条第四款所称的经营信息。
[4] 《商业秘密民事司法解释》第六条第（三）项：对涉密的厂房、车间等生产经营场所限制来访者或者进行区分管理的。
[5] 《商业秘密民事司法解释》第六条第（四）项：以标记、分类、隔离、加密、封存、限制能够接触或者获取的人员范围等方式，对商业秘密及其载体进行区分和管理的。
联系作者
宋旭东
金杜律师事务所
知识产权部 高级顾问
songxudong@cn.kwm.com
往期热文