Как ввести режим коммерческой тайны: пять обязательных мер

Мария Губина

Автор статьи, юрист (г. Курск)

Когда режим коммерческой тайны считается введённым

Режим коммерческой тайны считается установленным, только когда компания приняла все пять мер из части 1 статьи 10 закона № 98-ФЗ «О коммерческой тайне»: утвердила перечень сведений, ограничила к ним доступ и контролирует порядок, ведёт учёт допущенных, закрепила обязанности работников и контрагентов в договорах и ставит на документы гриф «Коммерческая тайна» со своими реквизитами. Не хватает одной меры — режима нет, а сведения по закону остаются просто внутренней информацией.

«Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, мер, указанных в части 1 настоящей статьи» (ч. 2 ст. 10 закона № 98-ФЗ).

Вводить режим закон не заставляет: решать, что закрывать и закрывать ли вообще, вправе сам обладатель сведений (ч. 1 ст. 4). Но права обладателя появляются только с момента, когда режим установлен по статье 10 (ч. 1 ст. 6.1). До этого уволить работника за разглашение тайны по подпункту «в» пункта 6 части 1 статьи 81 ТК не получится, потому что охраняемой законом тайны нет. А если утечка случилась из-за того, что работодатель сам не обеспечил режим, убытки с работника или бывшего сотрудника не возмещаются (ч. 5 ст. 11).

Дальше статья 10 разобрана по пунктам, в том порядке, в каком они стоят в законе. Для каждого — точная формулировка, документ, который её закрывает, и место, где компании спотыкаются.

Нажмите на схему, чтобы увеличитьЛистайте вбок; нажмите ещё раз, чтобы уменьшить

Пункт 1: перечень сведений, которые вы закрываете

Закон требует «определение перечня информации, составляющей коммерческую тайну». Слово «перечень» здесь буквальное. Нужен список конкретных категорий сведений, а не фраза «вся информация о деятельности общества».

Оформляют его приложением к положению о коммерческой тайне или отдельным приказом директора. Второй вариант удобнее, если перечень часто меняется: новую строку добавляют приказом, а положение не трогают.

Каждая строка должна проходить фильтр пункта 2 статьи 3 закона. Сведения имеют ценность потому, что их не знают посторонние, и у третьих лиц нет к ним свободного доступа на законном основании. Прайс, который висит на сайте, этот фильтр не пройдёт. Скидки, которые компания даёт отдельным оптовым покупателям и нигде не публикует, его пройти могут.

Так выглядят строки, которые суду легко соотнести с конкретным файлом:

• клиентская база в CRM: контакты лиц, принимающих решения, история заказов, согласованные цены;
• себестоимость по позициям ассортимента и наценка по каждой группе товаров;
• условия договоров с поставщиками, которые отличаются от публичных;
• технологические карты, рецептуры, результаты испытаний образцов;
• исходный код, архитектура программы, ключи и пароли к рабочим системам;
• планы выхода в новые регионы и коммерческие предложения до их отправки.

Типичная ошибка — перечень из двух десятков строк, который никто не сверял с реальными папками. Если в нём есть «финансовая отчётность», а бухгалтерская отчётность компании лежит в открытом государственном ресурсе, такая строка ослабляет весь документ: она показывает, что перечень составлен для галочки.

Индивидуальному предпринимателю без работников по трудовым договорам закон разрешает не составлять перечень и не вводить порядок доступа (ч. 3 ст. 10). У него остаются учёт, договоры с контрагентами и гриф.

Что закон запрещает объявлять коммерческой тайной?

Статья 5 закона перечисляет двенадцать групп сведений, в отношении которых режим коммерческой тайны «не может быть установлен». Для небольшой компании важны такие:

• учредительные документы, документы о внесении записей о компании или предпринимателе в государственные реестры, а также список лиц, которые действуют от имени компании без доверенности;
• лицензии и другие документы, дающие право вести деятельность;
• численность и состав работников, система оплаты труда, условия и охрана труда, травматизм, свободные вакансии;
• долги по зарплате и социальным выплатам;
• нарушения закона и факты привлечения к ответственности;
• пожарная безопасность, санитарно-эпидемиологическая обстановка, безопасность продуктов питания, экология.

Строка «система премирования» или «положение об оплате труда» в перечне не создаёт тайны. Хуже того, взыскание за «разглашение» таких сведений работник сможет оспорить: часть 8 статьи 11 прямо даёт ему право обжаловать в суде незаконное установление режима. Оклад конкретного человека — другое дело: это его персональные данные, и защищают их правила о персональных данных, а не перечень коммерческой тайны.

Отдельно сказано, что режим нельзя использовать вопреки правам и законным интересам других лиц, здоровью и нравственности (ч. 6 ст. 10). А сведения о выбросах относятся к экологической информации (п. 12 ст. 5), данные о несчастных случаях на производстве — к показателям производственного травматизма (п. 5 ст. 5), так что засекретить их не выйдет никакой формулировкой.

Пункт 2: доступ ограничен, и за этим кто-то следит

Второй пункт состоит из двух половин: ограничить доступ «путем установления порядка обращения с этой информацией» и вести «контроль за соблюдением такого порядка». Первую половину закрывает положение о коммерческой тайне. Вторую — человек, который отвечает за режим, и его реальные действия.

В положении записывают, где хранятся сведения из перечня, кто и как открывает к ним доступ, можно ли копировать файлы и выносить бумаги из офиса, чем пересылать документы контрагентам, что делать при утере носителя. Основой может служить положение о коммерческой тайне: в конструкторе перечень выбирается приложением или текстом внутри документа, а запреты на копирование, вынос носителей, сторонние флешки и чужие программы включаются отдельными вопросами. Утверждают положение приказом директора.

Положение о коммерческой тайнеПодготовьте порядок работы с охраняемыми сведениями.Шаблон

Контроль — это то, о чём забывают. Приказом назначают ответственного: заместителя директора, офис-менеджера, системного администратора. Он открывает и закрывает доступ, сверяет права в папках и CRM со списком допущенных, разбирает нарушения.

Самая частая дыра — общий сетевой диск, где папка «Клиенты» открыта всем. На бумаге порядок есть, по факту доступ получает любой новичок в первый день. По части 5 статьи 10 меры разумно достаточны, когда доступ любых лиц без согласия обладателя исключён, а работники и контрагенты при этом могут пользоваться сведениями без нарушения режима. Открытая всем папка первому условию не отвечает, и спор о разглашении компания рискует проиграть на этом месте.

Шифрование, DLP-системы, журналы входа закон оставляет на выбор обладателя (ч. 4 ст. 10). Покупать их не обязательно. Но раздельные права на папки настраиваются без специальных программ и закрывают пункт честнее любого приказа.

Пункт 3: учёт тех, кто видел сведения

Третья мера — «учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана». То есть учитываются две группы: свои работники и внешние получатели.

Форму учёта закон не задаёт. Подойдёт журнал на бумаге или таблица, если положение называет её официальным журналом и определяет, кто её ведёт. В строке журнала стоит отразить:

1. фамилию, имя, должность допущенного;
2. к каким пунктам перечня он допущен, а не «ко всей коммерческой тайне»;
3. основание: трудовые обязанности или его согласие, если работа с тайной в обязанности не входит;
4. дату допуска и дату, когда доступ закрыт;
5. подпись допущенного или ссылку на лист ознакомления.

Для контрагентов ведут реестр переданных материалов. Передача по закону — это передача сведений, зафиксированных на материальном носителе, по договору и на его условиях (п. 6 ст. 3). Поэтому каждую передачу удобно подтверждать актом: какой файл или папка, в каком виде, кому, дата.

Где ошибаются: журнал заводят в день, когда обнаружили утечку, и заполняют задним числом. Даты допуска в таком журнале не совпадают с датами приказов и логами системы, и суд это увидит. Вторая ошибка — не закрыть доступ при переводе: менеджер ушёл из продаж в закупки, а права на CRM остались.

Пункт 4: трудовые и гражданско-правовые договоры

Закон говорит о «регулировании отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров». Одного положения для этой меры мало: закон отдельно называет трудовой договор, значит, условие о тайне должно войти в него самого или в соглашение к нему.

Статья 57 ТК прямо допускает дополнительное условие «о неразглашении охраняемой законом тайны». Новому сотруднику его включают в трудовой договор: в трудовом договоре раздел о конфиденциальности предлагает вариант «Полный режим коммерческой тайны». С теми, кто уже работает, подписывают дополнительное соглашение к трудовому договору. Формулировка может быть короткой, главное — ссылка на положение и перечень:

Пункт трудового договора «Обязанности работника»: «Работник соблюдает режим коммерческой тайны, установленный Положением о коммерческой тайне от __.__.2026, не разглашает сведения, включённые в Перечень информации, составляющей коммерческую тайну, и не использует их в личных целях в течение всего срока действия режима, в том числе после прекращения настоящего договора; при прекращении договора передаёт Работодателю все носители с такими сведениями».

Тем, у кого особый доступ, удобнее дать отдельный документ — соглашение о конфиденциальности с сотрудником. Что в него включить, подробно разобрано в статье «Что включить в соглашение о конфиденциальности с сотрудником», здесь повторять не будем.

С директором правило жёстче. Его трудовой договор обязан содержать обязанности по охране конфиденциальности и ответственность за неё (ч. 6 ст. 11). Как это оформить, описано в статье о трудовом договоре с директором ООО.

Подрядчики, консультанты, самозанятые — это контрагенты, а не работники. Статья 11 и Трудовой кодекс на них не распространяются, поэтому их обязанности, срок хранения тайны и ответственность целиком держатся на договоре. Для этого подходит соглашение о конфиденциальности (NDA) или раздел о конфиденциальности в основном договоре.

Что работодатель должен самому работнику

Пока внимание приковано к обязанностям сотрудника, легко пропустить, что статья 11 начинается с обязанностей работодателя. Их три, и каждую придётся доказывать документом:

• ознакомить под расписку с перечнем сведений каждого, кому доступ нужен для работы;
• ознакомить под расписку с самим режимом и с мерами ответственности за его нарушение;
• создать условия, чтобы режим можно было соблюдать.

Два первых пункта — это два разных ознакомления. Подпись в листе «с положением ознакомлен» без упоминания перечня и ответственности оставляет вопрос: а знал ли человек, какие именно сведения закрыты? Лучше одна строка, где перечислены все три документа: положение, перечень, раздел об ответственности. Новичка знакомят до подписания трудового договора (ч. 3 ст. 68 ТК).

Третий пункт звучит общо, но в споре он конкретен. Если от бухгалтера требуют не выносить документы, а запирающегося шкафа у него нет, если от менеджера требуют не пересылать файлы на личную почту, а рабочей почты на телефоне нет, — работодатель сам создал условия для нарушения.

Если работа с тайной не входит в трудовые обязанности человека, доступ ему открывают только с его согласия (ч. 2 ст. 11). Отказался — принуждать нельзя, нужно искать другого исполнителя.

Пункт 5: гриф «Коммерческая тайна» с реквизитами

Последняя мера самая формальная и потому чаще других выполняется наполовину. Закон требует нанести на носители или включить в реквизиты документов гриф «Коммерческая тайна» и указать обладателя. Для организации это полное наименование и место нахождения, для предпринимателя — фамилия, имя, отчество и место жительства.

Колонтитул документа компании: «Коммерческая тайна. Общество с ограниченной ответственностью «Ромашка», место нахождения: г. Тверь».

Колонтитул документа предпринимателя: «Коммерческая тайна. Индивидуальный предприниматель Соколова Анна Викторовна, место жительства: г. Тверь, ул. Советская, д. 5, кв. 12».

Гриф «Конфиденциально», «Для служебного пользования» или «Не для распространения» этот пункт не закрывает: слова в законе заданы точно. Не закрывает его и гриф без названия компании.

Где ставить гриф на электронных документах, закон не уточняет. Надёжнее всего, когда гриф есть в самом файле: в колонтитуле шаблона, на титульной странице выгрузки, в первой строке таблицы. Пометка только на папке теряется, как только файл скопировали или отправили письмом.

И обратная ошибка. Гриф на документе, который компания сама рассылает всем потенциальным клиентам, тайны не создаёт: сведения уже общедоступны, а значит, не проходят фильтр статьи 3.

Пять мер в одной таблице: какой документ и чья подпись

Если собрать сказанное вместе, режим держится на шести-семи документах. Их состав и подписи удобно проверить по таблице.

Индивидуальный предприниматель без работников из этой таблицы оставляет три строки: учёт, договоры с контрагентами и гриф.

Чем рискует работник, если режим введён?

Статья 14 закона называет четыре вида ответственности: дисциплинарную, гражданско-правовую, административную и уголовную. Для работника они складываются так.

1. Увольнение по подпункту «в» пункта 6 части 1 статьи 81 ТК: разглашение охраняемой законом тайны, которая стала известна в связи с работой, — грубое нарушение, хватает одного раза. Порядок общий для взысканий (ст. 193 ТК): письменное объяснение с двумя рабочими днями на ответ, не позднее месяца со дня обнаружения проступка и шести месяцев со дня его совершения.
2. Материальная ответственность. Действующий работник отвечает за прямой действительный ущерб, упущенная выгода с него не взыскивается (ст. 238 ТК). Зато за разглашение тайны этот ущерб возмещается в полном размере в случаях, которые предусмотрены ТК и другими федеральными законами (п. 7 ч. 1 ст. 243 ТК). Для коммерческой тайны такой закон есть: работник обязан возместить работодателю убытки, если виновен в разглашении (п. 3 ч. 3 ст. 11 закона № 98-ФЗ), а взыскивают с него по правилам ТК прямой действительный ущерб, но уже в полном размере. Отдельный договор о полной материальной ответственности для этого не нужен: он касается вверенных ценностей, а не информации.
3. Бывший сотрудник отвечает за убытки, если разгласил сведения, пока действовал режим (ч. 4 ст. 11). Для него режим не кончается с увольнением.
4. Административный штраф по статье 13.14 КоАП: для гражданина от 5 000 до 10 000 рублей, для должностного лица от 40 000 до 50 000 рублей. Если конкурент получил сведения без согласия обладателя, например от бывшего работника, и использует их, это недобросовестная конкуренция (ст. 14.7 закона о защите конкуренции), и компанию-конкурента штрафуют по части 1 статьи 14.33 КоАП: от 100 000 до 500 000 рублей.

Уголовная ответственность наступает по статье 183 УК: незаконное разглашение или использование тайны, доверенной или ставшей известной по работе, наказывается по части 2 штрафом до 1 000 000 рублей или лишением свободы на срок до четырёх лет, а при крупном ущербе, корыстной заинтересованности или сговоре группы лиц (ч. 3) — лишением свободы на срок от двух до пяти лет.

Всё это работает только при выполненных пяти пунктах. Работник, которого не ознакомили с перечнем, или компания без журнала допуска дают защите готовый довод: тайны не было или её не охраняли.

Ноу-хау держится на том же режиме

Технология, рецептура, способ настройки оборудования могут быть не только коммерческой тайной, но и секретом производства по статье 1465 ГК. Это уже результат интеллектуальной деятельности, на который у компании есть исключительное право. Условие похожее: обладатель «принимает разумные меры для соблюдения их конфиденциальности, в том числе путем введения режима коммерческой тайны». Режим здесь назван одним из способов, а не единственным, но на практике доказать разумность мер проще всего именно им.

Отсюда практический вывод для производства и IT. Ноу-хау стоит отдельной строкой внести в перечень и описать в документе, который хранится по правилам положения. Тогда компания сможет передавать его по лицензионному договору и требовать защиты как правообладатель.

Исключительное право на ноу-хау живёт ровно столько, сколько сохраняется конфиденциальность (ст. 1467 ГК). Сведения утекли и стали общедоступными — право прекращается у всех, и никакой суд его не вернёт. Остаётся только взыскивать убытки с того, кто допустил утечку.

Автор статьи: Мария Губина

Источники

• Ст. 3 закона № 98-ФЗ «О коммерческой тайне». Основные понятия
• Ст. 5 закона № 98-ФЗ. Сведения, которые не могут составлять коммерческую тайну
• Ст. 10 закона № 98-ФЗ. Охрана конфиденциальности информации
• Ст. 11 закона № 98-ФЗ. Охрана конфиденциальности в рамках трудовых отношений
• Ст. 14 закона № 98-ФЗ. Ответственность за нарушение закона
• Ст. 81 ТК РФ. Расторжение трудового договора по инициативе работодателя
• Ст. 243 ТК РФ. Случаи полной материальной ответственности
• Ст. 13.14 КоАП РФ. Разглашение информации с ограниченным доступом
• Ст. 1465 ГК РФ. Секрет производства (ноу-хау)
• Статья 232 ТК РФ. Материальная ответственность сторон трудового договора