知识产权 | 商业秘密小课堂第2课：商业秘密合规管理体系建设

涉密信息管理

商业秘密是指不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。

技术信息一般指与技术有关的结构、原料、组分、配方、材料、样品、样式、植物新品种繁殖材料、工艺、方法或其步骤、算法、数据、计算机程序及其有关文档等信息。

经营信息一般指与经营活动有关的创意、管理、销售、财务、计划、样本、招投标材料、客户信息、数据等信息。其中的客户信息包括客户的名称、地址、联系方式以及交易习惯、意向、内容等信息。

确认哪些是最终需要企业采取保密措施保密，哪些是无需作为商业秘密保护。商业秘密只有为企业带来价值或潜在价值才值得企业去投入成本采取合理的保密措施进行保护，评估商业秘密的经济价值可通过其与企业主营业务的关联程度、泄露后对于企业的影响、现阶段的市场地位、技术先进性及潜在的发展前景、研发成本、合同价格等来考虑。定期或不定期对技术信息、经营信息进行分析，遴选出商业秘密，实际的秘密点确认后，就要对秘密点进行分级，可将密级划分为核心级、重要级、一般级：

1．核心级：泄露会使企业的主营业务及核心利益遭受特别严重的损害；

2．重要级：泄露会使企业利益遭受严重损害；

3．一般级：泄露会使企业利益遭受损害。

秘密点保密等级不是一成不变的，企业要结合发展战略、秘密点被公开程度以及产品迭代等信息进行动态调整。

根据商业秘密的密级、生命周期、技术成熟度、潜在价值、市场需求等，确定商业秘密的保密期限。

根据商业秘密的内容和密级，明确规定开放接触相应商业秘密的范围、权限和前置条件，比如不同部门和级别的员工可以接触的信息范围，不同信息开放提供的审批条件等。

确定各级别商业秘密维护、变更、解密的机制和流程。

涉密人员管理

针对涉密人员建立全流程管理体系，覆盖员工入职、试用期、在职、离职各环节。

（一）入职管理

审核待录用的员工与原单位之间的保密约定、保密义务、保密内容及范围，核实是否违反前雇主的保密义务或竞业限制；招聘高管、核心涉密人员以及有直接竞争关系企业的员工时，保留背景调查、录用过程沟通等相关记录；核心涉密人员签署竞业限制协议；提醒待录用的员工不将原雇主的商业秘密带入企业进行使用或公开，并保留提醒或承诺的记录；签署劳动合同或协议时，条款设置考虑以下内容：商业秘密的内容和范围；遵守企业商业秘密管理机制的规定和义务、奖惩措施；试用期条款；约定因需要进行岗位调整的触发机制；接受企业对商业秘密的监督和检查；竞业限制及经济补偿。

（二）试用期管理

试用期不宜安排新员工直接参与企业重要机密会议或核心研发任务，设置新员工商业秘密的接触范围；开展保密培训，并保留记录。

（三）在职管理

根据岗位及工作内容建立涉密岗位/人员清单，当商业秘密、接触范围、岗位等繁盛变化时动态更新涉密岗位/人员清单；定期对涉密人员进行保密培训，并考核，保存相关记录；对岗位变动员工接触的商业秘密进行统计备案，必要时签署保密协议，清退原岗位保管和使用的涉密设备与载体等；定期对在职员工所从事的业务内容进行审核，或要求员工进行自查。

（四）离职管理

根据离职员工的涉密等级，提前设定脱密期并惊醒岗位调整，使其不再接触商业秘密；返还在职期间取得的商业秘密资料，登记涉密电脑、网络系统、电子邮件等信息化设备，解除绑定的个人手机号码等；与离职人员进行面谈，重申离职后的保密义务以及竞业限制条款，告知其泄密所导致的相关法律责任；必要时，核心涉密人员执行竞业限制协议；保留离职面谈、交接、协议等相关记录。

涉密设备与载体的管理

涉密设备与载体包括存储涉密信息的计算机、移动终端、服务器、硬盘、光盘、磁性介质、U盘、研发设备、生产设备以及纸质材料等设备与载体。

企业可对商业秘密载体的收发、传递、使用、复制、保存、维修以及销毁实施全生命周期管理。选择安全保密的特定场所或位置（物理隔离）保存涉密载体，有专人管理；涉密设备与载体设定加密系统、员工权限管理系统等，限制商业秘密存储、复制等操作；在涉密设备与载体的相关位置设置涉密提醒，必要时可使用隐藏式记号；涉密设备与载体的收发履行清点、编号、登记、签手等手续；涉密载体流转、复制时，履行审批、登记手续，复制加盖戳记并视同原件管理，确保载体使用完毕后及时回收；保留保存、收发、复制、传递、使用等过程记录。定期清查、核对涉密设备与载体；需外部人员维修的，制定专人全程现场监督；涉密设备与涉密载体的报废和销毁时，履行审批、清点、登记手续，确保销毁的涉密信息无法还原；保留保存、销毁等过程记录。

涉密区域管理

涉密区域可包括研发部门、财务部门、实验室、重要生产工作场所、涉密信息和涉密载体存放的地点等。可采取如下保护措施：

涉密区域与普通区域以明显警示标志隔离，并通过警报、安防、门禁等措施加强涉密区域的管理；限制使用具有录音、摄像、拍照、信息存储等功能的设备；建立保安系统及来访人员管理制度，明确来访人员的活动范围、行为限制等内容，保留访问记录；必要时，采取网络隔离阻断等。

最后，企业应提前制定商业秘密泄露或侵权的应急处置预案，建立紧急应对流程，确保能够将危害控制在最小范围内。企业在调查过程中发现商业秘密侵权线索时，应展开内部调查，确定商业秘密是否受到侵犯以及受侵犯的程度，并根据评估结果确定维权的途径和方案。