Ценная информация не становится коммерческой тайной сама по себе. Пока организация не выполнила конкретные действия, перечисленные в законе, защищаемых сведений у неё юридически нет — есть просто важные документы, за разглашение которых ни уволить, ни взыскать ущерб не получится.
Разберём, что именно требует 98-ФЗ, какие ошибки обесценивают режим и какую роль играет DLP-система.
Что может быть коммерческой тайной
Закон определяет информацию, составляющую коммерческую тайну, как сведения любого характера — производственные, технические, экономические, организационные, о результатах интеллектуальной деятельности в научно-технической сфере, о способах осуществления профессиональной деятельности, — которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых введён режим коммерческой тайны.
Три условия работают только вместе: ценность, неизвестность третьим лицам и введённый режим. Отсутствие любого из них означает, что коммерческой тайны нет.
Право относить информацию к коммерческой тайне и определять её перечень принадлежит обладателю. Но это право ограничено статьёй 5.
Что не может быть коммерческой тайной
Перечень закрытый — двенадцать позиций. Режим нельзя установить в отношении сведений:
- содержащихся в учредительных документах юридического лица и документах, подтверждающих внесение записей в государственные реестры;
- содержащихся в документах, дающих право на осуществление предпринимательской деятельности;
- о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими бюджетных средств;
- о состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, влияющих на безопасность производственных объектов и населения;
- о численности и составе работников, системе оплаты труда, условиях и охране труда, производственном травматизме, профессиональной заболеваемости и наличии свободных рабочих мест;
- о задолженности работодателей по выплате заработной платы и социальным выплатам;
- о нарушениях законодательства и фактах привлечения к ответственности за эти нарушения;
- об условиях конкурсов или аукционов по приватизации государственной и муниципальной собственности;
- о размерах и структуре доходов некоммерческих организаций, их имуществе, расходах, численности и оплате труда работников;
- о перечне лиц, имеющих право действовать без доверенности от имени юридического лица;
- обязательность раскрытия которых установлена другими федеральными законами;
- о состоянии окружающей среды — экологической информации.
Практический смысл: гриф «Коммерческая тайна» на документе о задолженности по зарплате или о результатах проверки трудовой инспекции юридической силы не имеет. Такие попытки в суде оборачиваются против самой организации — они показывают, что режим введён формально и без понимания закона.
Пять мер, без которых режима нет
Это ядро всей конструкции. Статья 10 перечисляет меры, которые обладатель информации обязан принять:
| Мера | Что конкретно нужно сделать |
|---|---|
| 1. Перечень | Определить перечень информации, составляющей коммерческую тайну |
| 2. Ограничение доступа | Установить порядок обращения с этой информацией и контроль за соблюдением такого порядка |
| 3. Учёт лиц | Вести учёт лиц, получивших доступ к информации, и лиц, которым она была предоставлена или передана |
| 4. Договоры | Урегулировать отношения по использованию информации с работниками — трудовыми договорами, с контрагентами — гражданско-правовыми |
| 5. Гриф | Нанести на материальные носители гриф «Коммерческая тайна» с указанием обладателя: для юрлиц — полное наименование и место нахождения |
И ключевая норма, ради которой всё это перечисляется: режим коммерческой тайны считается установленным после принятия всех пяти мер. Не части, не большинства — всех.
Отсюда следует, что «у нас есть положение о коммерческой тайне» — недостаточный ответ на вопрос, введён ли режим. Положение закрывает первую и отчасти вторую меру. Если нет учёта лиц с доступом, нет грифов на носителях или нет условий в договорах с подрядчиками, режим не установлен, и права обладателя не возникли.
Отдельно стоит отметить пункт 2: ограничение доступа включает не только установление порядка, но и контроль за его соблюдением. Порядок, который никто не проверяет, требование закона не выполняет.
Закон также задаёт критерий разумной достаточности мер: доступ посторонних без согласия обладателя исключён, а работники и контрагенты при этом могут пользоваться информацией и передавать её без нарушения режима. То есть защита не должна парализовать работу — это тоже требование.
Работа с сотрудниками
Статья 11 устанавливает обязанности работодателя. Он должен:
- ознакомить работника под расписку с перечнем информации, составляющей коммерческую тайну, — если доступ нужен для исполнения трудовых обязанностей;
- ознакомить под расписку с установленным режимом коммерческой тайны и с мерами ответственности за его нарушение;
- создать работнику условия для соблюдения режима.
Обязанности работника сформулированы симметрично: соблюдать режим, не разглашать информацию и не использовать её в личных целях в течение всего срока действия режима, в том числе после прекращения трудового договора, возместить убытки при виновном разглашении и передать работодателю материальные носители при увольнении.
Последний пункт на практике игнорируют чаще всего. Процедура увольнения редко включает возврат носителей, а через полгода выясняется, что копия базы уехала вместе с бывшим сотрудником.
Норма, о которой стоит знать заранее
В той же статье 11 есть часть, которая разворачивает ситуацию против работодателя: убытки не возмещаются, если разглашение произошло вследствие несоблюдения работодателем мер по обеспечению режима коммерческой тайны.
То есть организация, которая ввела режим на бумаге, но не обеспечила его соблюдение на практике, рискует остаться без возмещения даже при доказанном разглашении. Формальное введение режима не работает не только потому, что его оспорят, но и потому, что закон прямо связывает право на возмещение с реальным выполнением мер.
Есть и обратная гарантия для работника: он вправе обжаловать в суде незаконное установление режима в отношении информации, к которой получил доступ по работе. Попытка засекретить всё подряд создаёт основание для такого обжалования.
Ответственность за разглашение
Разглашением закон считает действие или бездействие, в результате которого информация в любой форме — устной, письменной, с использованием технических средств — становится известной третьим лицам без согласия обладателя либо вопреки трудовому или гражданско-правовому договору.
Виды ответственности:
- дисциплинарная — вплоть до увольнения за разглашение охраняемой законом тайны, ставшей известной в связи с исполнением трудовых обязанностей;
- материальная — возмещение убытков, причинённых разглашением, в том числе от лица, уже прекратившего трудовые отношения, если разглашение произошло в течение срока действия режима;
- административная и уголовная — по соответствующим нормам КоАП и Уголовного кодекса за незаконное получение и разглашение сведений, составляющих коммерческую тайну.
Для руководителя организации закон требует отдельно прописывать в трудовом договоре обязанности по охране конфиденциальности и ответственность за них.
Как DLP помогает защищать коммерческую тайну
Закон прямо предусматривает применение технических средств: наряду с обязательными мерами обладатель информации вправе применять средства и методы технической защиты конфиденциальности, а также другие меры, не противоречащие законодательству.
Ниже — сопоставление требований закона с тем, что делает система контроля действий персонала.
| Мера 98-ФЗ | Что требует закон | Что делает DLP |
|---|---|---|
| 2. Ограничение доступа | Установить порядок обращения и контроль за его соблюдением | Фиксирует фактические действия с защищаемыми документами: кто открыл, скопировал, отправил, распечатал. Порядок на бумаге превращается в проверяемый |
| 3. Учёт лиц с доступом | Вести учёт получивших доступ и тех, кому информация передана | Показывает реальный доступ вместо задекларированного: кто на самом деле работал с документом, включая тех, кого нет в списке |
| 4. Отношения с работниками и контрагентами | Урегулировать использование информации договорами | Контролирует соблюдение договорных условий на практике, в том числе действия подрядчиков с доступом к системам |
| 5. Гриф на носителях | Нанести гриф «Коммерческая тайна» с указанием обладателя | Для электронных документов — маркировка файлов и контроль вывода помеченных документов за пределы разрешённого контура |
Первую меру — определение перечня — система не выполняет: это управленческое решение. Но помогает его подготовить, показывая, где защищаемые сведения фактически хранятся.
Контроль каналов: что именно нужно закрыть
Разглашением закон считает действие или бездействие, в результате которого информация становится известной третьим лицам в любой форме, в том числе с использованием технических средств. Формулировка широкая, и каналов, через которые это происходит, больше, чем обычно учитывают при настройке.
Почта. Отправка документов под грифом на личный адрес или внешнему получателю. Контролируется содержимое писем и вложений, а не только факт отправки.
Съёмные носители. Копирование на флешку, внешний диск, подключение смартфона как накопителя. Здесь работают блокировка портов, белые списки устройств и теневое копирование того, что было записано.
Мессенджеры и облака. Канал, который при настройке закрывают последним, а используют для выноса данных чаще остальных. Включая корпоративные мессенджеры — доступ к ним есть у подрядчиков.
Печать. Распечатать и вынести — способ, против которого бессильны сетевые средства. Контроль печати с анализом содержимого документа и видимая маркировка на распечатках закрывают этот канал.
Буфер обмена и снимки экрана. Скопировать фрагмент и вставить в стороннее окно, сфотографировать экран. Для документов с грифом это обходной путь вокруг любых файловых ограничений.
ИИ-сервисы. Вставить кусок договора или выгрузку в чат-бот — действие, которое сотрудник не воспринимает как разглашение, но результат тот же: сведения ушли третьему лицу.
Маркировка документов
Отдельная задача, прямо вытекающая из пятой меры. На бумажном носителе гриф ставится штампом, а для электронного документа нужен технический эквивалент.
Что это даёт на практике:
- метка следует за документом — при копировании, переименовании, изменении формата;
- правила срабатывают по метке, а не по имени файла или папке хранения: помеченный документ нельзя отправить вовне независимо от того, откуда его открыли;
- видимые водяные знаки при печати и на снимках экрана — и напоминание сотруднику, и след, позволяющий установить источник утечки.
Доказательная база
Задача, которая возникает уже при разбирательстве. Чтобы подтвердить разглашение, нужен не отдельный факт, а последовательность: открыл документ с грифом, скопировал фрагмент в буфер, вставил в окно мессенджера, отправил вложение на внешний адрес — с отметками времени и привязкой к учётной записи.
Именно здесь выясняется, достаточна ли была глубина хранения журналов: разглашение обнаруживают обычно не в день события, а когда сведения всплывают у конкурента. Подробнее о требованиях к материалам — в отдельном материале о расследовании инцидентов и сборе доказательной базы.
Стоит помнить и обратную сторону: сам контроль сотрудников требует оформления — локальные нормативные акты, ознакомление под подпись до начала контроля, запрет использования корпоративных ресурсов в личных целях. Материалы, собранные до ознакомления работника, оспариваются в первую очередь.
Типичные ошибки
- Режим введён частично. Есть положение, нет учёта лиц с доступом или грифов. Режим не установлен.
- Перечень размытый. Формулировка «вся информация о деятельности компании» оспаривается так же успешно, как отсутствие перечня. Перечень должен позволять определить, относится ли конкретный документ к защищаемым сведениям.
- В перечень включено то, что включать нельзя. Численность работников, задолженность по зарплате, сведения о нарушениях законодательства — из статьи 5.
- Нет ознакомления под расписку. Устное предупреждение или рассылка по почте требование закона не выполняют.
- Договоры с контрагентами без условий о конфиденциальности. Четвёртая мера касается не только работников.
- Режим есть, контроля нет. Самая дорогая ошибка: она не только оставляет организацию без доказательств, но и подпадает под норму о несоблюдении работодателем мер.
Примечания
Материал носит информационный характер и не заменяет юридическую консультацию. Формулировки приведены по 98-ФЗ в действующей редакции; состав документов и порядок введения режима стоит согласовать с юристом — судебная практика по спорам о разглашении неоднородна.
