工作中经常会遇到一个灵魂拷问：这个东西到底算不算商业秘密？客户列表算不算？项目方案算不算？开会时随口说的一句话算不算？
法律说起来好像很简单，《反不正当竞争法》第九条明确规定，商业秘密需要同时满足三个要件：非公知性、具有商业价值、经权利人采取保密措施。三个条件缺一不可，这就是业内常说的"三要件判断法"。
但落到实操中，每一个要件都有坑。
首要个要件：非公知性。这个信息的核心在于"不为公众所知悉"。注意，不是"没人知道"，而是"不能从公开渠道直接获取"。比如你的产品说明书，客户、同行甚至竞争对手都能在官网上看到，那就谈不上非公知性。但如果产品说明书背后有一份精细的工艺参数和材料配比，外面根本查不到，这部分就具备非公知性。
判断非公知性有一条很实用的标准：如果一个人想获得这个信息，他需要付出多少努力。网上能搜到的，算公开。花几天时间调研能搞到的，也不算秘密。但花三个月、走十几个人的关系网络、甚至要通过不正当手段才能拿到的，大概率符合非公知性。
第二个要件：商业价值。这个要件经常被误解。很多人觉得"有价值"必须直接变成钱，其实不是。法律规定，商业价值既包括"现实价值"也包括"潜在价值"。
举个例子：某公司研发了一款新配方，还没来得及上市，配方被人盗走了。这个配方还没赚到一分钱，但它有没有商业价值？肯定有。研发投入的时间、资金、人力，以及上市后可能产生的收益，都是价值。所以"还没卖钱"不等于"没有价值"。
还有一个容易被忽视的点：负面信息也可能有价值。比如某批产品测试后发现一个缺陷，这个测试数据如果是保密的，它的泄露同样会带来商业损失。这类信息的价值在于"不让竞争对手知道你有问题"。
第三个要件：保密措施。这是企业定密和商业秘密保护体系中实操性较强的部分。简单说，就是权利人在客观上采取了合理、可识别的保护行为。
什么算合理的保密措施？法院通常从七个维度来考察：物理隔离（比如涉密区域门禁）、电子防护（权限控制、加密）、制度约束（保密制度、保密协议文本）、人员管理（涉密人员管理等）、信息标识（文件标密级）、记录留存（访问日志、出入记录）、技术保护（水印、防截屏等）。
三个要件里，保密措施往往是企业在维权时被发现短板较多的环节。很多企业说"我们有保密制度"，但拿来一看，制度是五年前写的，现在组织结构、业务范围、人员流动情况全变了，制度却一次都没更新过。这样的保密制度在法庭上的分量会大打折扣。
用一句话总结三要件判断法：你的信息外面找不到、对你有用、你确实在保护它。三个条件都成立，才算法律意义上的商业秘密。
有些企业跑来问我们，说"我什么都没签、什么都没标，我的信息算不算商业秘密"。实话实说，法律保护的是有保护措施的秘密。你连个保密通知都没发过、连个权限控制都没设过，泄密之后去法院，对方律师上来一问"你采取了什么保密措施"，你就很难回答。所以三要件判断法的意义，不仅仅在于"判断"，更在于"倒逼"企业把每一个要件做到位。保密措施做到位了，商业秘密保护体系才算真正立得住。
常见问题解答
问：公司内部的普通工作流程和会议纪要算商业秘密吗？
答：要看具体情况。如果这个工作流程包含了不对外公开的特定的操作方法、成本数据、审批权限等内容，并且公司在内部有明确的标注和管理规定，那就可能构成商业秘密。但如果只是一份普通的日常会议记录，内容没有商业价值或者可以从公开信息中推导出来，就不太可能被认定为商业秘密。建议对有价值的流程和纪要，主动标注密级并进行权限管理。
问：竞争对手通过拆解我们的产品反向推导出配方或结构，算不算侵犯商业秘密？
答：这是一个常见的法律边界问题。通过合法渠道获得产品后进行的反向工程，在多数国家的法律框架下是允许的。如果你的产品已经公开销售，竞争对手通过购买产品后进行拆解分析，这个行为本身通常不被认定为侵犯商业秘密。但如果对方通过收买你的员工、破解你的保护措施、或者违反保密协议来获取信息，那就是违法的。所以如果你担心反向工程，建议在产品设计和制造工艺层面加上技术保护措施，同时与接触关键技术的核心人员签订严格的保密协议。
问：技术信息还是商业信息，哪个更容易被法院认定为商业秘密？
答：从司法实践来看，技术信息比商业信息更容易被认定为商业秘密，因为技术信息通常更容易满足"非公知性"要件——研发记录、测试数据、技术参数等可以清晰地证明信息的获取难度。而商业信息如客户名单，往往争议较大，因为法院会考察客户名单的深度——只是简单的行业黄页还是经过了长期跟踪和分析的深度客户画像。后者才具备非公知性。所以两类信息都应该做企业定密，但技术信息要注重过程证据的留存，商业信息则要注重信息深度和专用性的证明。
