企业商业秘密定密管理全流程拆解

很多企业认为的核心技术秘密，在法庭上可能只是"普通信息"。商业秘密定密到底怎么做？法院认定商业秘密看哪三样？本文用真实案例拆解企业定密管理全流程。

去年底，一个做化工的朋友找我吃饭，全程皱着眉头。

他们公司一个干了八年的技术副厂长跳槽去了竞争对手那边。人走了两个月后，他们发现对方开始生产一款跟他们主力产品几乎一模一样的配方。公司马上报案。

警察来了，第一个问题不是"损失多少"，而是——

"你们的配方做过定密吗？有保密措施记录吗？"

朋友愣了一下。他说配方肯定是秘密啊，全厂都知道不能往外说。警察又问：那书面定密记录呢？保密措施台账呢？谁有权接触配方的审批记录呢？

一个都拿不出来。案子拖了半年，最后不了了之。

我跟他说——你们公司的商业秘密，基本上是"裸奔"的。老板觉得是秘密，员工觉得是秘密，但在法律上，它就是一堆没有保护的普通信息。

定密到底是什么意思？

定密，全称是商业秘密的认定与密级确定。说得直白一点，就是你把企业里哪些东西算作商业秘密、什么级别、拿什么保护、谁有权限看——这一整套动作，白纸黑字地写下来。它包括密点识别、密级评定、措施匹配和书面留痕四个环节。缺了任何一个，后面出了事想维权，基本没戏。

华为海思案告诉我们什么？

我做企业保密咨询这些年，看过太多类似的翻车现场。大企业也有栽跟头的。华为海思诉尊湃那个案子，14个人被判了刑，很多人觉得是华为法务厉害。但你看判决书就知道，真正让这个案子打下来的，不是法务多厉害，是华为在定密这件事上，基本功扎实到可怕。

每一个技术密点都有书面记录。每一份保密措施都有台账。每一个接触过涉密信息的人，授权记录清清楚楚。上了法庭，你要什么证据我给你什么。

反过来看大多数企业呢？文件夹名字加个"机密"，入职签个保密协议，就觉得万事大吉了。你问他密点清单在哪，他指着一堆文件说"都在里面"。你问他具体哪些参数构成商业秘密，他说不上来。你问他保密措施记录，他翻出几张只有签名和日期的纸。

这种定密，上了法庭跟没有一样。

法院审商业秘密，就看三样东西

《反不正当竞争法》对商业秘密的定义很简单：不为公众所知悉、有商业价值、采取了相应保密措施。三句话。

但到了法院，法官不会问你"你觉得是不是秘密"，他看的是证据。

第一样：你的密点清单

不能笼统地说"我们的技术资料是商业秘密"。你得精确到"XX工序的温度控制参数在105到110度之间"。越具体越好。有个简单的检验标准：如果你写的东西，同行看了也不知道你具体在保护什么——那你就没写清楚。

密点清单就是商业秘密的具体内容和范围清单。每个密点要精确到具体参数、数据或工艺流程。不是一句话概括，是能拿出来给人逐条核对的东西。

第二样：你的保密措施记录

签保密协议是起点，不是终点。根据最高法关于侵犯商业秘密民事案件的司法解释，合理保密措施包括限定知悉范围、对涉密信息加密或加锁、在涉密载体上标注保密标志、签订保密协议、对涉密场所限制来访等。

关键不在于你做了什么，而在于你做的东西跟你的密级对不对得上。你定了"绝密"，结果全公司200个人都能随便看——法律上的评价就一句话：措施与密级不匹配，等于没做。

第三样：你的知悉范围管控

这是九成企业最烂的一环。多数公司只记录"谁能看"，从不记录"谁看了""什么时候权限回收了"。人离职了，系统账号还能登录。

离职员工继续访问公司系统获取资料然后带到新公司——这是最常见的泄密路径。有效的做法就一条：离职当天权限全部回收，HR、IT、保密部门三方确认，保留书面记录和系统日志。

五个最常见的坑

都是我在企业里反复见到的。

第一个坑：口头定密。开会时领导说"这个要保密"，大家点头。出了事翻记录——没有。法庭上，没有书面记录就是没定过密。

第二个坑：台账太粗。台账上写"技术秘密"，像个文件夹名。法官要的是具体内容、载体在哪里、凭什么定这个级——这些全没有。

第三个坑：措施和密级不配。密级定得高，措施做得松。"绝密"级内容没有访问控制、没有加密、没有物理隔离。法律上直接判定为未采取合理措施。

第四个坑：只管进不管出。授权的时候一套流程走得很认真，权限回收的时候没人管。离职的、调岗的、合作结束的外部方——他们的访问权限还在系统里挂着。

第五个坑：一次定终身。产品迭代了两代，定密清单还是最初那一版。该升级密级的不升，该解密的不解。定密不是一次性的，它是活的管理过程。建议至少每年全面复审一次，新产品定型时、合作结束时、人事变动时触发即时评估。

六个字：先判断，后留痕

这些年我给客户的建议浓缩成六个字——先判断，后留痕。

先判断：这信息算不算商业秘密？具体是什么？什么级别？谁该知道、谁不该知道？

后留痕：上面这些判断和决策，全部写下来、批下来、存下来。不在脑子里，在能拿出来给人看的地方。

一个标准的定密管理流程可以参考这六步走：

1. 密点识别——各部门梳理本岗位涉密信息，形成初步密点清单
2. 密级评定——按影响程度分核心、重要、内部三级
3. 书面定密——每项密点出独立的《定密审批表》，含具体内容、载体、密级、定密依据
4. 措施匹配——根据密级匹配访问控制、加密、物理隔离等措施
5. 知悉授权——逐人审批授权范围，记录授权理由和期限
6. 动态复审——每年至少一次全面复审，重大变更即时调整

看着简单，但如果你让公司每个涉密岗位都走一遍，你会发现——绝大多数企业连第一步"密点识别"都做不全。

常见问题

Q: 商业秘密和专利有什么区别，企业怎么选？

商业秘密保护的是未公开的技术或经营信息，没有期限限制，但维权门槛高——你得先证明你确实有秘密、确实保护了。专利权保护的是公开后的技术方案，有固定保护期，但维权门槛相对低。

简单判断：技术信息如果不容易被别人反向工程搞明白，你又想长期独占，走商业秘密。如果技术容易反向工程，或者你需要通过公开换取排他权，走专利。

Q: 员工跳槽带走技术资料，企业该怎么应急？

先固定证据——保留离职员工的系统操作日志、文件访问和下载记录。然后查竞业限制协议是否在有效期。接下来向新公司发律师函要求停止侵权。同时向公安机关报案或向法院提起商业秘密侵权诉讼。维权成败的关键不在律师水平，在你有没有完整的定密记录、保密台账和权限管控记录。

Q: 刑法对侵犯商业秘密怎么处罚？

《刑法》第二百一十九条：侵犯商业秘密罪，情节严重的，处三年以下有期徒刑，并处或单处罚金；情节特别严重的，三年以上十年以下有期徒刑，并处罚金。修正案十一之后，"情节严重"取代了"造成重大损失"——不只算账面亏损，还看侵权手段、作案次数、是否利用职务便利。还有第二百一十九条之一：为境外机构窃取、刺探、收买、非法提供商业秘密的，独立成罪，量刑更重。

Q: 客户名单算商业秘密吗？

如果满足三个条件——不为公众所知悉、有商业价值、采取了保密措施——客户名单可以构成商业秘密。但前提是：名单里得有深度信息，比如交易习惯、需求特点、价格承受力，不能只是公开渠道能查到的基本联系方式。还要建立客户信息分级管控，不同级别员工访问不同范围，系统里留访问日志。

Q: 中小企业做商业秘密保护要花多少钱？

不用想得太复杂。从三个最小动作开始：①把现有技术资料梳理成初步密点清单；②核心岗位签保密协议和竞业限制；③建立最基本的涉密权限管理——谁接触谁签字，离职即回收。这套最低配置一到两周就能做完，花费在一到三万元区间，远低于一次泄密造成的损失。

最后说一句

很多人觉得泄密最多赔钱。等你的核心技术变成了别人工厂里的产品，你连告都告不赢的时候，你就知道定密有多重要了。

别让"我以为保住了"变成"原来没保住"。

北京企密安信息安全技术有限公司 · 专注企业保密管理
培训咨询：010-87562232 / px@baomiwang.com
公众号：Qi-Mi-An | www.baomiwang.com