Как защитить коммерческую тайну в IT-разработке
Когда бизнес обращается к IT-компании для создания программного обеспечения, одна из задач разработчика – обеспечить защиту коммерческой тайны заказчика. Компания выстраивает процессы хранения конфиденциальной информации, чтобы не допустить случайной или преднамеренной утечки различных секретов производства (ноу-хау), интеллектуальных прав. Рассмотрим, какие меры принимают компании для безопасной работы с конфиденциальной информацией и максимального снижения рисков.
3 условия соблюдения коммерческой тайны
Для начала рассмотрим, что входит в понятие «информационной безопасности» при разработке IT-продуктов. В первую очередь, это процесс предотвращения несанкционированного доступа, использования, раскрытия и уничтожения информации.
При разработке программного продукта IT-компания должна защищать конфиденциальные данные, полученные от заказчика, от случайного или преднамеренного разглашения.
Перечень конфиденциальных сведений определен в Указе Президента РФ от 6 марта 1997 г. N 188 "Об утверждении перечня сведений конфиденциального характера". В частности, он включает в себя коммерческую тайну. Режим коммерческой тайны позволяет её правообладателю увеличить доходы, сохранить положение на рынке или получить иную коммерческую выгоду.
В силу положений п. 2 ст. 3 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне», для установления в отношении информации режима коммерческой тайны необходимо соблюсти три условия:
- информация должна иметь действительную или потенциальную коммерческую ценность в виду неизвестности третьим лицам;
- к ней должен быть ограничен доступ третьих лиц;
- правообладатель должен ввести в отношении неё режим коммерческой тайны.
Несоблюдение хотя бы одного из условий может привести к необратимым последствиям для правообладателя и лишить его возможности защитить свои права в судебном порядке в случае разглашения коммерческой тайны.
Пример: дело №А56-72074/2014, в ходе рассмотрения которого суд отказал во взыскании штрафа 10 миллионов рублей за нарушение условий конфиденциальности. Причина заключалась в том, что правообладатель не доказал факт нарушения режима коммерческой тайны из-за отсутствия в заключенном сторонами соглашении о конфиденциальности перечня конкретных сведений, в отношении которых может быть установлен режим коммерческой тайны.
Вопрос о введении режима коммерческой тайны – ключевой с точки зрения обеспечения информационной безопасности.
Как правообладатель может защитить коммерческую тайну
Рассмотрим, какие действия может предпринять правообладатель для защиты своих данных.
1) Определить перечень информации, которая имеет действительную или потенциальную коммерческую ценность.
Для этого компания может составить локальный акт, например, Положение о коммерческой тайне. Такой документ содержит:
список сведений, составляющих коммерческую тайну;
- меры по защите указанных сведений;
ответственных должностных лиц;
- правила доступа к коммерческой тайне и её хранения;
- ответственность за разглашение коммерческой тайны.
2) Ограничить доступ к коммерческой тайне, установив порядок обращения с ней и обеспечив контроль за соблюдением установленного порядка.
Возможные меры:
разработка дополнительных инструкций по работе с коммерческой тайной;
- внедрение системы доступов и паролей.
3) Вести учет лиц, получивших доступ к коммерческой тайне.
Один из простых способов – вести журнал регистрации, в котором сотрудники расписываются и подтверждают свое ознакомление с тем, что получают доступ к сведениям конфиденциального характера.
- Другой возможный путь – отслеживать вход, логирование сотрудников, скачивание информации в IT-системах, содержащих коммерческую тайну работодателя.
4) Урегулировать отношения по использованию коммерческой тайны своими работниками и контрагентами.
Порядок использования сотрудниками коммерческой тайны можно закрепить в трудовом договоре либо в отдельном Соглашении о неразглашении. При этом нужно прописать перечень информации, составляющей коммерческую тайну, и срок неразглашения, распространяющийся как на период исполнения трудовых обязанностей, так и после увольнения.
При соблюдении правообладателем данной меры, факт разглашения коммерческой тайны является законным основанием для увольнения сотрудника по пп. «в» п. 6 ч. 1 ст. 81 Трудового кодекса Российской Федерации.
Пример: при рассмотрении дела №02-0878/2019 в Кузьминском районном суде г. Москвы работодателю удалось доказать факт нарушения сотрудником условий конфиденциальности.
Также важно защитить коммерческую тайну от её разглашения контрагентами. Для этого компания в своих договорах может определить как перечень сведений, составляющих коммерческую тайну, порядок обращения с ними и ответственность контрагента.
5) Нанести на материальные носители, содержащие коммерческую тайну, гриф «Коммерческая тайна».
Правообладатель может указывать в своих договорах и документах гриф о секретности их содержания в формулировке, указанной в Федеральном законе от 29.07.2004 № 98-ФЗ «О коммерческой тайне».
Аналогичную формулировку целесообразно включить в подпись сотрудника в электронной почте, например: «Настоящее сообщение, направленное по электронной почте, содержит конфиденциальную информацию ООО «___» (ИНН компании, юридический адрес компании). Несанкционированное раскрытие или использование содержащейся в нем информации представляет собой правонарушение и влечет за собой установленную законом ответственность. Если Вы не являетесь тем получателем, которому это сообщение было предназначено, просим Вас незамедлительно информировать об этом отправителя и удалить полученное сообщение».
Принятие вышеназванных мер в совокупности позволит правообладателю коммерческой тайны снизить риск наступления неблагоприятных последствий от её несанкционированного использования и распространения, а равно не допустить нарушение своих прав и законных интересов.
3 совета по защите коммерческой тайны для разработчиков
Поскольку IT-компания работает с конфиденциальной информацией заказчика, она обязана охранять его коммерческую тайну в том же объеме, что и свою собственную, и именно на её стороне возникают риски утечки или хищения. Неисполнение указанной обязанности может неизбежно привести к привлечению компанию-разработчика IT-продуктов к гражданско-правовой ответственности.
Недопущение разглашения конфиденциальной информации заказчика зависит от степени выполнения IT-компанией вышеназванных мер по защите коммерческой тайны своими сотрудниками, а также принятием дополнительных мер.
- В качестве одной из дополнительных мер по защите IT-компанией коммерческой тайны заказчиков можно предложить, прежде всего, использование сотрудниками только корпоративных электронных почтовых адресов, и передачу конфиденциальной информации между сотрудниками по каналам связи, имеющим необходимую степень защиты.
- Предлагаем также установить системы логинов и паролей для входа в информационные ресурсы и системы заказчиков и технически отслеживать факты скачивания сотрудниками информации, к которой им предоставлен доступ. Указанные сведения должны быть зафиксированы в единой системе, позволяющей ответственному за информационную безопасность сотруднику IT-компании анализировать и выявлять факты несанкционированного доступа или хищения конфиденциальной информации и принимать соответствующие меры реагирования.
- Не будет лишним, как нам видится, также проведение периодических тренингов и обучений с сотрудниками на тему использования информации, составляющей коммерческую тайну заказчиков.
В некоторых случаях работодатели используют программы для отслеживания деятельности сотрудников на рабочем месте. Однако, мы такие меры не поддерживаем и не рекомендуем, так как они могут влиять на мотивацию.
Принимая меры, описанные выше, IT-компании могут снизить риски разглашения конфиденциальной информации своими сотрудниками. При этом меры должны сопровождаться контролем за соблюдением режима коммерческой тайны в отношении информации заказчиков и её постоянным аудитом.
Выводы
Обеспечение информационной безопасности компании – длительный и трудоемкий процесс, требующий как оформления внутренних документов со своими сотрудниками, так и корректировки условий сотрудничества с контрагентами. Однако, благодаря ему компания может защитить себя в будущем от претензий и споров, связанных с незаконным использованием и разглашением конфиденциальной информации.