Подписанное соглашение о неразглашении без введённого режима коммерческой тайны само по себе охраняемой законом тайны не создаёт. Закон 98-ФЗ устроен так, что защита возникает не из подписи сотрудника, а из набора мер, принятых обладателем информации: часть 1 статьи 10 перечисляет пять таких мер, а часть 2 прямо говорит, что режим считается установленным после принятия всех из них. Пропуск любой одной обнуляет остальные.
Шестую меру обычно считают вместе с этими пятью, хотя формально она живёт в другой статье: работодатель обязан ознакомить работника под расписку с перечнем сведений и с установленным режимом и создать условия для его соблюдения — это статья 11. На практике именно расписка и оказывается тем, чего не хватает в папке, когда доходит до разговора о взыскании.
Ниже — шесть шагов с разделением на то, что оформляется документом, и то, что настраивается в системах; правила составления исполнимого перечня; вопрос грифа на электронных документах и выгрузках; отличие режима от поручения на обработку персональных данных; расчёт разовой части и того, что несут юристу. Материал написан инженерами и не заменяет консультацию юриста — он нужен для того, чтобы прийти к юристу с готовыми вводными, а не с вопросом «а что нам надо».
Шесть шагов: что документ, а что настройка
Половина шагов — бумага, половина — работа в системах. Компании обычно делают первую половину и останавливаются: положение написано, соглашения подписаны, а гриф на выгрузке из CRM не появляется, и журнала обращений нет. Формально режим при этом не введён.
| № | Мера | Где она живёт | Признак выполнения |
|---|---|---|---|
| 1 | Определить перечень сведений, составляющих коммерческую тайну | Документ: приложение к положению, утверждённое приказом | Перечень конкретный, по каждой позиции понятно, какой файл или отчёт под неё попадает |
| 2 | Ограничить доступ: установить порядок обращения с информацией и контроль за его соблюдением | Документ плюс настройка: положение и права в системах | Матрица доступа в системах совпадает с тем, что написано в положении |
| 3 | Вести учёт лиц, получивших доступ к информации или которым она передана | Журнал: кадровый и технический | Есть список с фамилиями и датами, он сходится со списком активных учётных записей |
| 4 | Урегулировать отношения с работниками по трудовым договорам и с контрагентами по гражданско-правовым | Документ: раздел в трудовом договоре, оговорка в договоре с контрагентом | В каждом действующем договоре с подрядчиком есть раздел о конфиденциальности с отсылкой к режиму |
| 5 | Наносить гриф «Коммерческая тайна» с указанием обладателя на носители и в реквизиты документов | Настройка: печатные формы, шаблоны, выгрузки | Гриф появляется автоматически при печати и экспорте, а не проставляется вручную |
| 6 | Ознакомить работника под расписку с перечнем и с режимом, создать условия для соблюдения | Документ: расписка в личном деле | На каждого допущенного сотрудника есть подписанная расписка с датой |
Закон при этом не требует героических мер. Часть 5 статьи 10 задаёт критерий разумной достаточности: меры признаются достаточными, если исключён доступ к информации без согласия обладателя и при этом обеспечена возможность работников использовать её без нарушения режима. Второе условие важнее, чем кажется: контур, в котором сотрудник не может делать свою работу, начинают обходить, и режим перестаёт существовать фактически, оставаясь на бумаге.
Схема-цепь из шести соединённых звеньев слева направо, каждое подписано номером и названием: 1 «Перечень сведений», 2 «Порядок обращения и контроль», 3 «Учёт лиц с доступом», 4 «Договоры с работниками и контрагентами», 5 «Гриф с указанием обладателя», 6 «Расписка об ознакомлении». Над звеньями 1, 4 и 6 подпись «документ», над звеньями 2, 3 и 5 — «настройка в системах». Справа от цепи блок «Режим установлен» с закрытым замком; ниже дублирующая цепь, где звено 5 разомкнуто, и блок «Режима нет» с открытым замком. Внизу подпись: «часть 2 статьи 10 — режим установлен после принятия всех мер». Чертёжный стиль, подписи по-русски.
Перечень: почему «вся информация о компании» обнуляет режим
Самая частая ошибка первого шага — написать перечень максимально широко, чтобы «ничего не упустить». Результат обратный: перечень, под который попадает всё, невозможно исполнить, а неисполняемый перечень в споре читается как отсутствие режима. Работающий перечень отвечает на один вопрос по каждой строке — какой конкретный файл, отчёт или раздел системы под неё попадает.
- Строка привязана к носителю, а не к теме. Не «сведения о клиентах», а «выгрузка контактов и истории сделок из CRM», «реестр действующих договоров с ценами», «файл себестоимости по номенклатуре». По такой формулировке администратор понимает, где ставить ограничение и куда подставлять гриф.
- У строки есть владелец. Фамилия руководителя, который решает, кому эти сведения нужны для работы. Без владельца доступ выдаётся по принципу «попросили — дали», и третья мера превращается в формальность.
- Строка не противоречит закону. Статья 5 закона 98-ФЗ отдельно называет сведения, которые коммерческой тайной быть не могут в принципе. Включение их в перечень не делает их тайной, зато ставит под сомнение весь документ.
- Перечень пересматривается. Раз в год и при появлении новой системы. Строка про отчёт, которого больше не существует, и отсутствие строки про новую базу знаний — обычный результат двух лет без ревизии.
| Что нельзя отнести к коммерческой тайне | Почему это важно на практике |
|---|---|
| Сведения из учредительных документов и документов о регистрации юридического лица | Контрагент вправе их запросить, и отказ со ссылкой на режим выглядит как злоупотребление |
| Численность и состав работников, система оплаты труда, условия труда, наличие свободных рабочих мест | Это самая частая незаконная строка в перечнях: запретить сотрудникам обсуждать зарплату режимом нельзя |
| Задолженность работодателя по выплате заработной платы и по социальным выплатам | Попытка закрыть эту информацию режимом обычно и становится поводом для проверки самого режима |
| Нарушения законодательства и факты привлечения к ответственности за них | Строка в перечне про «сведения о проверках» неисполнима и ослабляет остальной документ |
| Перечень лиц, имеющих право действовать от имени юридического лица без доверенности | Сведения публичные по своей природе; их включение обесценивает перечень целиком |
Гриф и учёт лиц: две меры, которые делаются в системах
Пятая мера в законе описана предметно: гриф «Коммерческая тайна» наносится на материальные носители или включается в состав реквизитов документов, и рядом обязательно указывается обладатель — для юридического лица это полное наименование и место нахождения. Одно слово «Конфиденциально» в углу требования не закрывает.
На бумаге это решается штампом, на электронных документах — настройкой, и именно здесь мера обычно проваливается. Подставлять гриф вручную никто не будет: если строка появляется руками, через месяц она перестаёт появляться. Поэтому реквизиты обладателя добавляются один раз в шаблоны — в печатные формы учётной системы, в шаблоны договоров и коммерческих предложений, в колонтитул выгрузок из CRM и в лист любого экспорта в таблицу. Это работа на несколько часов администратора и она делается тем же движением, что и настройка разграничения прав сотрудников в системе.
Нарисованный (не скриншот) лист выгрузки из CRM в виде таблицы с обезличенными строками. В верхнем колонтитуле крупно: «Коммерческая тайна», ниже строка «Обладатель: полное наименование организации, место нахождения». В нижнем колонтитуле мелким шрифтом: «Выгрузил: фамилия и инициалы, дата и время, 640 строк». По диагонали через таблицу бледный водяной знак с той же фамилией. Слева выноска к колонтитулу с подписью «подставляется шаблоном, а не руками», справа выноска к нижней строке с подписью «эта же строка попадает в журнал учёта». Чертёжный стиль, подписи по-русски.
Третья мера — учёт лиц, получивших доступ, — существует в двух видах, и нужны оба. Кадровый учёт: список сотрудников, допущенных к перечню, с датами допуска и отзыва, подписанными расписками. Технический учёт: журнал обращений к тем самым файлам и выгрузкам, чтобы список фамилий на бумаге совпадал со списком тех, кто реально открывал данные. Расхождение между этими двумя списками — обычная находка первой же ревизии, и закрывается она тем же способом, что и остальные забытые доступы: квартальной сверкой учётных записей.
- Кто открывал перечисленные в перечне выгрузки и отчёты — с датой, временем и объёмом. Это же событие с порогом «больше 200 строк или больше трёх медиан по роли за 30 дней» стоит в списке того, на что система обязана позвать человека.
- Кому сведения передавались наружу — контрагенту, аудитору, банку. Здесь учёт ведётся не системой, а руками: одна строка в журнале с датой, основанием и реквизитами получателя.
- Кто и когда допуск потерял. Отзыв фиксируется той же строкой, что и выдача. Без даты отзыва журнал через год перестаёт что-либо доказывать.
Подрядчики: режим и поручение — два разных документа
На контрагента режим распространяется через гражданско-правовой договор — это прямо названо в четвёртой мере. Практически это раздел о конфиденциальности в договоре подряда или оказания услуг: ссылка на введённый у вас режим, перечень передаваемых сведений, обязанность вернуть или уничтожить их по окончании работ и порядок подтверждения уничтожения. Тот же акт об уничтожении копий, который закрывает чек-лист закрытия проекта, здесь работает и на режим тоже.
Это два документа про разные предметы. Оговорка о коммерческой тайне защищает ваши сведения — базу, цены, себестоимость. Поручение на обработку персональных данных регулирует то, что подрядчик делает с данными ваших клиентов и сотрудников, и требуется законом отдельно, независимо от того, введён у вас режим или нет. Их постоянно путают и подписывают только один из двух; какие пункты обязаны быть в поручении, разобрано в материале про поручение обработки данных подрядчику.
Сколько стоит ввести режим и что нести юристу
Модель: компания на 40 человек, пять рабочих систем, один подрядчик на поддержке. Ставки — руководитель направления 1 800 ₽/час, штатный юрист 1 400 ₽/час, администратор 1 200 ₽/час, сотрудник кадровой службы 700 ₽/час.
Поддержание дешевле введения: ежегодный пересмотр перечня — 4 часа руководителя, ревизия допусков и сверка списков — 4 часа администратора, итого 12 000 ₽ в год. Это меньше, чем один час работы юрфирмы по спору, и на порядок меньше, чем контур из согласований на каждую выгрузку, который в отделе на восемь менеджеров даёт 349 920 ₽ чистого трения в год — расчёт приведён в материале про защиту клиентской базы от увода.
Столбчатая диаграмма с накоплением: один столбец «Введение режима — 31 100 ₽» с четырьмя подписанными сегментами: перечень 7 200 ₽, документы юриста 8 400 ₽, настройка систем 12 000 ₽, ознакомление под расписку 3 500 ₽. Рядом пунктирная надстройка «+9 600…18 600 ₽, если юрист внешний». Справа отдельный низкий столбец «Поддержание — 12 000 ₽ в год» с двумя сегментами: пересмотр перечня 7 200 ₽, ревизия допусков 4 800 ₽. Ось — рубли. Чертёжный стиль, подписи по-русски.
К юристу имеет смысл идти не с вопросом, а с четырьмя готовыми вещами. Первое — черновик перечня, собранный по строкам с владельцами. Второе — список систем и матрица доступа к ним, чтобы вторая мера в положении описывала реальность, а не пожелание. Третье — список действующих договоров с подрядчиками, в которые нужно внести оговорку. Четвёртое — список сотрудников, которых предстоит ознакомить под расписку, с указанием, кому какие строки перечня нужны для работы. С этим пакетом работа юриста укладывается в те самые 4–6 часов; без него первые три часа уходят на выяснение того, что вы и так знаете.
Когда режим вводить не надо
Режим — инструмент, а не обязанность: закон не требует его вводить. Есть ситуации, в которых 31 100 ₽ и шесть шагов не окупятся ничем.
- Компания из трёх-пяти человек, где все и так знают всё. Ограничить доступ внутри такой команды невозможно физически, а вторая мера без ограничения доступа не выполняется. Здесь работает другое: разделение аккаунтов, двухфакторная аутентификация и порядок при увольнении.
- Ценности в информации нет. Если каталог публичный, цены на сайте, а клиентская база — это те же компании, что и у пяти конкурентов, защищать нечего. Режим ради режима создаёт только обязанности и повод для спора с сотрудниками.
- Ограничения будут обходить. Если работа объективно требует выгрузок, а порядок обращения этого не предусматривает, сотрудники начнут пересылать файлы на личную почту — и появится не защита, а зафиксированное нарушение режима в каждом втором рабочем дне. Сначала процесс, потом ограничения.
- Некому вести. У режима должен быть человек с фамилией, который ведёт перечень, журнал и расписки. Если такого человека нет, через полгода документы разойдутся с реальностью, и в споре это сработает против вас сильнее, чем отсутствие режима вообще.
И отдельно про ожидания. Введённый режим не делает утечку невозможной — он делает её доказуемой и даёт основание для требований. Менеджер, который каждый день звонит своим клиентам, помнит их без всякой выгрузки, и режим на память не распространяется. Реалистичная цель шести шагов — снять массовость и получить документально подтверждённое основание, а не построить непроходимый контур.
Режим коммерческой тайны существует не в положении, а в совпадении: то, что написано в перечне, должно совпадать с правами в системах и со списком расписок в личных делах.
