2 dni temu
Odejście handlowca z eksportem CRM, przekazanie kodu źródłowego zewnętrznemu wykonawcy albo użycie niezatwierdzonego narzędzia AI do analizy dokumentów – każdy z tych scenariuszy może podważyć przewagę konkurencyjną spółki. Pytanie, jak chronić tajemnicę przedsiębiorstwa w firmie, nie sprowadza się więc do podpisania jednej umowy NDA. W sporze prawnym przedsiębiorca musi wykazać zarówno wartość informacji, jak i to, iż faktycznie traktował ją jako poufną.
Kiedy informacja jest tajemnicą przedsiębiorstwa?
Punktem wyjścia jest art. 11 ustawy o zwalczaniu nieuczciwej konkurencji. Tajemnicą przedsiębiorstwa są informacje techniczne, technologiczne, organizacyjne lub inne informacje mające wartość gospodarczą, które jako całość lub w szczególnym zestawieniu nie są powszechnie znane ani łatwo dostępne dla osób zwykle zajmujących się tego rodzaju informacjami. Przedsiębiorca musi też podjąć działania w celu utrzymania ich w poufności.
Definicja jest szersza niż katalog dokumentów opatrzonych klauzulą „poufne”. Ochroną mogą być objęte m.in. algorytmy, architektura systemu, baza klientów, model wyceny, warunki negocjowane z kontrahentami, roadmapa produktu, parametry emisji tokenów przed publikacją czy wyniki testów bezpieczeństwa. W firmach technologicznych szczególne znaczenie ma również zestawienie danych, które pojedynczo bywają jawne, ale razem ujawniają strategię lub sposób działania przedsiębiorstwa.
Nie każda istotna informacja spełni jednak te kryteria. Powszechnie dostępny cennik, wiedza zawodowa pracownika albo rozwiązanie możliwe do odtworzenia na podstawie legalnie nabytego produktu co do zasady nie stają się tajemnicą wyłącznie dlatego, iż firma tak je nazwała. Prawo nie służy do objęcia trwałą wyłącznością informacji, które nie są realnie chronione.
Jak chronić tajemnicę przedsiębiorstwa w firmie systemowo
Największym błędem jest budowanie ochrony wyłącznie po wystąpieniu wycieku. Wtedy często brakuje odpowiedzi na podstawowe pytania: co konkretnie było tajemnicą, kto miał dostęp i jakie zabezpieczenia obowiązywały. Skuteczny model zaczyna się od uporządkowania informacji, a nie od wzoru oświadczenia o poufności.
Ustal katalog informacji i ich właścicieli
Przedsiębiorstwo powinno zidentyfikować informacje o wartości gospodarczej oraz przypisać im właściciela biznesowego. Nie musi to oznaczać tworzenia rozbudowanej biurokracji. Wystarczająca może być przemyślana klasyfikacja obejmująca np. dane publiczne, wewnętrzne, poufne i ściśle poufne, połączona z jasną instrukcją postępowania.
Warto opisać, gdzie znajdują się najważniejsze zasoby: w repozytoriach kodu, CRM, wirtualnych pokojach danych, skrzynkach pocztowych, narzędziach do zarządzania projektami czy prywatnych urządzeniach. W praktyce właśnie rozproszenie informacji utrudnia później dochodzenie roszczeń. o ile członkowie zespołu mogą bez ograniczeń eksportować bazy lub kopiować dokumenty do prywatnych chmur, przedsiębiorcy będzie trudno przekonywać, iż zastosował rozsądne działania ochronne.
Ogranicz dostęp, a nie tylko deklaruj poufność
Dostęp powinien odpowiadać roli i aktualnym zadaniom danej osoby. Programista nie zawsze potrzebuje całej bazy klientów, a osoba z działu sprzedaży nie musi mieć dostępu do pełnej dokumentacji bezpieczeństwa produktu. Zasada minimalnych uprawnień ma znaczenie zarówno dla cyberbezpieczeństwa, jak i dla ochrony prawnej tajemnicy.
W systemach cyfrowych oznacza to w szczególności indywidualne konta, uwierzytelnianie wieloskładnikowe, rozdzielenie środowisk, okresowy przegląd uprawnień i rejestrowanie pobierania istotnych plików. Logi nie zapobiegają samodzielnie naruszeniu, ale mogą wykazać zakres dostępu i ułatwić zabezpieczenie dowodów.
Istotny jest także proces zakończenia współpracy. W dniu odejścia pracownika, współpracownika B2B lub członka organu należy odebrać dostępy, przejąć urządzenia i konta, potwierdzić zwrot nośników oraz przypomnieć o obowiązujących zobowiązaniach. Opóźnienie o kilka dni bywa wystarczające, aby doszło do nieodwracalnego skopiowania danych.
Zadbaj o umowy, ale nie oczekuj od nich wszystkiego
Umowa o poufności powinna precyzyjnie określać informacje chronione, cel ich przekazania, krąg uprawnionych odbiorców, zasady korzystania, okres obowiązywania oraz procedurę zwrotu lub usunięcia materiałów. Ogólny zapis o „zachowaniu wszelkich informacji w tajemnicy” może mieć ograniczoną użyteczność, zwłaszcza przy sporze o to, czy kontrahent rozumiał zakres obowiązków.
W relacjach z pracownikami należy uwzględnić przepisy prawa pracy, w tym obowiązek dbałości o dobro zakładu pracy i zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Z kolei umowa B2B wymaga wyraźnego, kontraktowego uregulowania poufności. Kara umowna może wzmacniać dyscyplinę kontraktową, ale nie zastępuje organizacyjnych i technicznych środków ochrony.
Nie należy też utożsamiać poufności z zakazem konkurencji. Były pracownik może wykorzystywać własne doświadczenie i umiejętności, choćby o ile zdobył je podczas zatrudnienia. Zakaz konkurencji po ustaniu stosunku pracy wymaga odrębnej podstawy i, w przypadku pracownika, wiąże się z obowiązkiem wypłaty odszkodowania. Zbyt szerokie ograniczenia są ryzykowne i nie powinny zastępować precyzyjnej ochrony konkretnych informacji.
Szczególne ryzyko: chmura, AI i kooperacja z dostawcami
Przedsiębiorcy coraz częściej przekazują dane dostawcom SaaS, firmom programistycznym, podmiotom audytującym i narzędziom generatywnej AI. W każdym z tych przypadków należy odróżnić kwestie ochrony danych osobowych od ochrony tajemnicy przedsiębiorstwa. Dokument może nie zawierać danych osobowych, a mimo to ujawniać model biznesowy, kod, marżę lub plan inwestycyjny.
Przed wdrożeniem narzędzia AI warto sprawdzić, czy dostawca wykorzystuje wprowadzane dane do trenowania modelu, gdzie dane są przetwarzane, czy administrator może wyłączyć taką funkcję oraz jakie reguły obowiązują po rozwiązaniu umowy. W wielu organizacjach rozsądnym rozwiązaniem jest lista zatwierdzonych narzędzi, zakaz wprowadzania określonych kategorii informacji do publicznych chatbotów oraz procedura anonimizacji promptów.
Podobnej staranności wymagają projekty outsourcingowe. Dostawca powinien otrzymać tylko te informacje, które są potrzebne do wykonania zlecenia, a umowa powinna obejmować również jego personel i podwykonawców. Przy transakcjach inwestycyjnych oraz due diligence szczególne znaczenie mają wirtualne pokoje danych, stopniowanie dostępu i zakaz masowego pobierania dokumentów.
Co zrobić, gdy doszło do ujawnienia?
Pierwsze godziny po wykryciu incydentu są ważniejsze niż rozbudowana korespondencja prawna. Należy zabezpieczyć dowody: logi, historię pobrań, wiadomości, kopie plików i informacje o urządzeniach. Równocześnie trzeba ograniczyć dalszy dostęp, zmienić poświadczenia, wstrzymać konta oraz ustalić, czy informacje trafiły do konkurenta, podwykonawcy lub publicznego repozytorium.
Dalsza strategia zależy od skali zdarzenia i relacji stron. Możliwe są wezwanie do zaprzestania naruszeń, żądanie zwrotu albo usunięcia nośników i kopii, a w razie potrzeby dochodzenie roszczeń cywilnych. Ustawa o zwalczaniu nieuczciwej konkurencji przewiduje m.in. żądanie zaniechania niedozwolonych działań, usunięcia ich skutków, naprawienia szkody czy wydania bezpodstawnie uzyskanych korzyści. W określonych przypadkach ujawnienie tajemnicy może mieć także konsekwencje karne.
Przed wystąpieniem na drogę sądową warto jednak ocenić cel biznesowy. Czasem priorytetem będzie szybkie odcięcie dostępu i ograniczenie rozpowszechniania informacji, a nie wieloletni spór o odszkodowanie. W sprawach pilnych znaczenie może mieć zabezpieczenie roszczenia, ale jego skuteczność zależy od dobrze udokumentowanego statusu informacji i realnego ryzyka naruszenia.
Tajemnica przedsiębiorstwa nie zastąpi innych praw
Tajemnica przedsiębiorstwa chroni poufność, ale nie daje monopolu na rozwiązanie znane publicznie. o ile kluczowym aktywem jest wynalazek możliwy do odtworzenia po wprowadzeniu produktu na rynek, warto rozważyć ochronę patentową. jeżeli przewaga wynika z utworu, bazy danych lub oprogramowania, konieczne jest również prawidłowe uregulowanie praw autorskich i praw do rezultatów prac twórców.
Wybór między zachowaniem rozwiązania w tajemnicy a jego zgłoszeniem do ochrony formalnej zawsze zależy od rodzaju technologii, kosztów, ryzyka odtworzenia i planów ekspansji. Dobra praktyka polega na podjęciu tej decyzji przed publikacją, prezentacją inwestorską albo udostępnieniem produktu szerokiemu gronu testerów.
Najbardziej wiarygodna ochrona powstaje wtedy, gdy zarząd, dział prawny, IT i właściciele procesów działają według wspólnej reguły: informację ujawniamy tylko wtedy, gdy wiemy komu, po co, w jakim zakresie i na jakich warunkach. To właśnie taka codzienna dyscyplina najczęściej przesądza, czy tajemnica przedsiębiorstwa pozostanie aktywem, a nie materiałem dowodowym po kryzysie.
