Захист ділової інформації: комерційна таємниця, доступи й відповідальність за витік
Менеджер, який переходить до конкурента з клієнтською базою, колишній підрядник із вашими цінами, фотографія внутрішньої схеми у месенджері - це звичайні сценарії витоку, і їх можна передбачити. Однак юридично «захистити таємницю» можна лише ту інформацію, яку компанія визнала такою і оточила конкретними заходами. Нижче - що саме каже закон і що з цього випливає для власника малого бізнесу.
Що закон вважає комерційною таємницею
Стаття 505 Цивільного кодексу називає комерційною таємницею інформацію, яка одночасно відповідає чотирьом ознакам:
- вона секретна в тому розумінні, що в цілому чи в певній формі та сукупності складових невідома і не є легкодоступною для осіб, які звичайно мають справу з таким видом інформації;
- через це вона має комерційну цінність;
- вона була предметом заходів щодо збереження секретності, адекватних існуючим обставинам;
- ці заходи вжила особа, яка законно контролює інформацію.
Це можуть бути відомості технічного, організаційного, комерційного, виробничого та іншого характеру, крім тих, які за законом не можуть бути віднесені до комерційної таємниці. Звідси практичний висновок: якщо клієнтська база лежить у спільній таблиці з відкритим посиланням, на захист за статтею 505 розраховувати важко, бо третя і четверта ознаки не виконані.
Господарський кодекс у статті 36 уточнює, що склад і обсяг відомостей, які становлять комерційну таємницю, і спосіб їх захисту визначає сам суб’єкт господарювання відповідно до закону. Там же визначено, що таке неправомірне збирання, розголошення (ознайомлення іншої особи без згоди уповноваженої особи з відомостями, довіреними у встановленому порядку або відомими у зв’язку зі службовими обов’язками), схиляння до розголошення та неправомірне використання, а винні несуть відповідальність за законом.
Майнові права інтелектуальної власності на комерційну таємницю належать особі, яка правомірно визначила інформацію такою (стаття 506 ЦКУ), а їх строк обмежується існуванням ознак таємниці (стаття 508). Простіше: охорона діє, поки ви справді зберігаєте секретність.
Як оформити режим комерційної таємниці
Закон не вимагає реєстрації, але вимагає заходів. Мінімальний набір для невеликої компанії:
- Перелік. Наказ директора зі списком відомостей, які ви вважаєте комерційною таємницею: клієнтська база, закупівельні ціни, собівартість, технологічні карти, умови договорів з ключовими контрагентами. Список має бути конкретним, а не «вся інформація компанії».
- Обмеження доступу. Кожен співробітник бачить лише те, що потрібно для його роботи. Для файлів і систем - окремі облікові записи, паролі, двофакторна автентифікація, вимкнений експорт бази там, де він не потрібен.
- Письмові зобов’язання. Додаток до трудового договору або окрема підписка про нерозголошення. Для контрагентів і підрядників - договір про конфіденційність (NDA). Статтею 628 ЦКУ зміст договору визначається за розсудом сторін, тож умови можна прописати докладно: що вважається конфіденційним, строк зобов’язання, відповідальність за порушення.
- Позначення. Документи й файли, що містять таємницю, позначайте (наприклад, «Комерційна таємниця») і зберігайте окремо.
- Звільнення. У день припинення співпраці відкличте доступи, поверніть техніку й документи, оформіть це актом.
Умовний приклад для компанії з десятьма співробітниками:
| Відомості | Хто має доступ | Захід |
|---|---|---|
| Клієнтська база в CRM | Менеджери з продажу, власник | Особисті акаунти, експорт вимкнено, журнал дій |
| Закупівельні ціни | Власник, бухгалтер, закупівельник | Окрема папка з обмеженим доступом |
| Технологічні карти | Технолог, власник | Доступ за паролем, без пересилання поштою |
| Фінансова звітність | Власник, бухгалтер | Окремий обліковий запис, двофакторна автентифікація |
Персональні дані клієнтів і працівників
Клієнтська база це ще й масив персональних даних. За статтею 24 закону про захист персональних даних володільці, розпорядники й треті особи зобов’язані забезпечити захист цих даних від випадкових втрати або знищення, незаконної обробки та незаконного доступу, а фізичні особи - підприємці особисто забезпечують захист даних, якими володіють. Тож захисні заходи, описані вище, одночасно виконують і вимогу цього закону. Витік бази клієнтів - проблема і для комерційної таємниці, і для персональних даних.
Відповідальність за розголошення
Законодавство передбачає кілька рівнів.
Дисциплінарна. За статтею 147 КЗпП до працівника можна застосувати догану або звільнення. Перед цим згідно зі статтею 149 потрібно зажадати письмові пояснення, врахувати тяжкість проступку, завдану шкоду й обставини, а стягнення оформити наказом, з яким працівника знайомлять під розписку. Саме тому в трудовому договорі чи правилах внутрішнього розпорядку має бути прямо написано, що розголошення комерційної таємниці є порушенням.
Цивільно-правова. Власник таємниці має виключне право перешкоджати її неправомірному розголошенню, збиранню або використанню (стаття 506 ЦКУ), тобто може вимагати припинення порушення в суді.
Кримінальна. Стаття 232 Кримінального кодексу передбачає покарання за умисне розголошення комерційної таємниці без згоди її власника особою, якій вона відома у зв’язку з професійною чи службовою діяльністю, якщо воно вчинене з корисливих чи інших особистих мотивів і завдало істотної шкоди суб’єкту господарської діяльності. Стаття 231 стосується незаконного збирання відомостей з метою розголошення чи використання. Обидві вимагають умислу й істотної шкоди, тому докази цінності інформації та розміру збитків потрібно готувати заздалегідь.
Якщо витік стався
- Одразу відкличте доступи підозрюваного і змініть паролі до спільних систем.
- Збережіть докази: журнали входів, листування, знімки екрана, список файлів, які відкривали чи вивантажували.
- Отримайте від працівника письмові пояснення.
- Оцініть збитки в грошах: втрачені замовлення, витрати на відновлення.
- Зверніться до юриста, який вирішить, чи варто йти до суду чи правоохоронців.
Перший крок на цьому тижні: випишіть п’ять-десять видів відомостей, які для вашого бізнесу справді цінні, і поруч - хто має до них доступ. Зайвих людей зі списку приберіть, а для решти підготуйте підписки про нерозголошення.