ADVOLAW · Защита бизнеса · Правовой анализ
Утечка технологии, клиентской базы или условий предстоящей сделки может привести к потере заказов, трудовому спору и уголовному делу. Возможность защитить компанию зависит от того, какие сведения переданы, как был установлен режим их охраны и чем подтверждаются действия конкретного лица.
В статье разобраны требования к коммерческой тайне, ответственность по статье 183 УК РФ, судебная практика об отправке файлов на личную почту, пределы контроля работников и порядок действий после обнаружения утечки.
Адвокат, управляющий партнёр ADVOLAW. Практика с 2006 года.
Что необходимо учитывать руководителю
Правовой режим должен существовать до нарушения. Соглашение о неразглашении само по себе не подтверждает выполнение всех требований к коммерческой тайне.
Увольнение и уголовная ответственность имеют разные основания. Вывод трудового суда об отправке файла на личную почту нельзя автоматически переносить на квалификацию по статье 183 УК РФ.
Система контроля также должна работать законно. DLP помогает обнаружить передачу данных, однако правомерность мониторинга и достоверность его результатов требуют самостоятельной проверки.
При утечке персональных данных действуют отдельные сроки. Если возникла обязанность уведомить Роскомнадзор, 24 и 72 часа исчисляются от одного момента выявления инцидента.
Состав взыскиваемых потерь зависит от ответчика. Для обычного работника, руководителя организации, бывшего работника и контрагента применяются разные правила.
Первое управленческое решение — установить, какая информация затронута и какое действие необходимо пресечь. Одновременно сохраняют доказательства, проверяют обязанности по уведомлению и определяют основания требований к участникам инцидента.
Какие сведения можно защитить
Промышленный шпионаж — используемое в деловой практике обозначение незаконного получения и использования ценной информации. Самостоятельного состава преступления с таким названием в УК РФ нет. Квалификация зависит от предмета посягательства, способа доступа, статуса лица и совершённых действий.
Для коммерческой тайны необходимо установить ценность сведений вследствие их неизвестности третьим лицам, отсутствие свободного доступа на законном основании и введение предусмотренного законом режима. В компании такими сведениями могут быть непубличные технологические параметры, закупочные условия, расчёты рентабельности, структура скидок или информация о переговорах.
Клиентская база требует оценки по содержанию. Перечень общедоступных названий компаний существенно отличается от массива с историей заказов, индивидуальными ценами, контактами ответственных сотрудников и условиями продления договоров. В споре нужно показать, какая именно непубличная информация была получена и почему она обладала коммерческой ценностью. Персональные данные в таком массиве подлежат самостоятельной защите.
Что нельзя объявить коммерческой тайной
Статья 5 Закона № 98-ФЗ исключает из этого режима, в частности, сведения о системе оплаты и условиях труда, задолженности по заработной плате, нарушениях законодательства и фактах привлечения к ответственности, а также экологическую информацию. Гриф на документе не изменяет установленный законом статус этих сведений.
При этом отсутствие коммерческой тайны не означает разрешения свободно распространять персональные данные работников или иные охраняемые законом сведения, содержащиеся в том же документе.
Коммерческая тайна, ноу-хау и договорная конфиденциальность
Секрет производства — ноу-хау — представляет собой самостоятельный объект интеллектуальных прав. По статье 1465 ГК РФ его охрана предполагает разумные меры конфиденциальности; введение режима коммерческой тайны является одним из способов их реализации. Поэтому отсутствие отдельного положения о коммерческой тайне ещё не решает вопрос о наличии права на ноу-хау.
Соглашение о конфиденциальности может защищать непубличную информацию в отношениях сторон. Но договорное обозначение сведений как конфиденциальных само по себе не превращает их в коммерческую тайну для любого трудового или уголовного спора. Сначала необходимо определить основание защиты, затем — условия его применения.
Граница с законным исследованием открытых источников
Анализ общедоступных реестров, судебных актов, закупок и публикаций конкурента сам по себе не является промышленным шпионажем. Значение имеют законность источника и способа получения информации. Обход ограничений доступа, подкуп работника и использование незаконно полученных баз требуют иной правовой оценки. Публичное размещение персональных данных также не означает безусловного разрешения на любую их дальнейшую обработку.
Как установить режим коммерческой тайны
Для организации статья 10 Закона № 98-ФЗ предусматривает пять обязательных мер. Режим считается установленным после их принятия. Для индивидуального предпринимателя без работников законом предусмотрено специальное исключение в отношении мер, регулирующих трудовые отношения.
1. Определить перечень сведений
Перечень должен позволять сопоставить конкретный файл или набор данных с защищаемой категорией. Укажите, например, состав закрытой части CRM, технические параметры производства или виды непубличных расчётов. Сохраняйте версии перечня и даты их введения.
2. Ограничить доступ и установить порядок обращения
Определите, кто вправе просматривать, выгружать, копировать и передавать сведения. Зафиксируйте разрешённые каналы, порядок согласования исключений и контроль соблюдения правил. Фактические права в системах должны соответствовать этим решениям.
3. Учитывать лиц, получивших доступ
Учёт должен охватывать работников и лиц, которым сведения предоставлены или переданы. Для этого могут использоваться реестры доступа, согласования, акты передачи и системные журналы. Важно сохранять возможность установить получателя и объём предоставленной информации.
4. Урегулировать отношения с работниками и контрагентами
Обязанности работников закрепляют в трудовых отношениях, обязанности контрагентов — в гражданско-правовых договорах. Для внешнего исполнителя следует определить цель использования информации, допустимых получателей, привлечение субподрядчиков, уведомление об инциденте и прекращение доступа.
5. Маркировать носители и документы
На материальные носители и в реквизиты документов, включая электронные, наносят гриф «Коммерческая тайна» с указанием обладателя. Для юридического лица нужны полное наименование и место нахождения; для ИП — фамилия, имя, отчество и место жительства. Обозначения «внутренний документ» или «конфиденциально» не воспроизводят установленный законом гриф.
Дополнительно работодатель обязан ознакомить работника под расписку с перечнем сведений, режимом и мерами ответственности, а также создать условия для соблюдения правил. Эти обязанности установлены статьёй 11 Закона № 98-ФЗ. Если утверждённый порядок требует корпоративного хранилища, работнику необходимо предоставить доступ к такому хранилищу.
Проверка на конкретном документе. Возьмите один действительно ценный файл и восстановите его историю: кто обладатель информации, в какую категорию перечня он входит, как промаркирован, кто имел доступ, когда эти лица ознакомились с правилами и куда разрешалось передавать файл. Пробел в этой истории указывает на конкретную задачу для исправления.
Утверждение документов после обнаружения утечки защищает последующее обращение со сведениями. Оно не устанавливает режим задним числом. Для уже произошедшего события необходимо отдельно проверить договорные обязательства, интеллектуальные права, режим персональных данных и другие применимые основания защиты.
Статья 183 УК РФ: основания и пределы ответственности
Статья 183 УК РФ охватывает коммерческую, налоговую и банковскую тайну. Для налоговой и банковской тайны действуют специальные законодательные основания охраны: их возникновение не зависит от выполнения компанией пяти мер режима коммерческой тайны.
| Часть статьи | Деяние и признаки | Предусмотренные наказания |
|---|---|---|
| Часть 1 | Незаконное собирание тайны: похищение документов, обман, шантаж, принуждение, подкуп, угрозы или иной незаконный способ. | Штраф до 500 тыс. руб. либо доход за период до года; исправительные работы до года; принудительные работы или лишение свободы до двух лет. |
| Часть 2 | Незаконное разглашение или использование без согласия владельца лицом, которому сведения доверены либо стали известны по службе или работе. | Штраф до 1 млн руб. либо доход за период до двух лет с лишением права занимать определённые должности или заниматься определённой деятельностью до трёх лет; исправительные работы до двух лет; принудительные работы или лишение свободы до четырёх лет. |
| Часть 3 | Квалифицирующие признаки: группа по предварительному сговору или организованная группа, крупный ущерб либо корыстная заинтересованность. | Принудительные работы до пяти лет с лишением права занимать определённые должности или заниматься определённой деятельностью до трёх лет; либо лишение свободы от двух до пяти лет со штрафом до 5 млн руб. или доходом за период до пяти лет либо без штрафа. |
| Часть 4 | Деяния по частям 2 или 3, повлёкшие тяжкие последствия. | Принудительные работы до пяти лет; либо лишение свободы от трёх до семи лет со штрафом от 1 до 5 млн руб. или доходом за период от года до пяти лет либо без штрафа. |
Крупный ущерб для статьи 183 УК РФ — сумма, превышающая 3,5 млн рублей, согласно примечанию к статье 170.2 УК РФ. Однако крупный ущерб является только одним из альтернативных признаков части 3. Отсутствие ущерба в такой сумме само по себе не исключает уголовную ответственность. Тяжкие последствия по части 4 требуют самостоятельного обоснования и не сводятся к этому денежному порогу.
Что изменилось с 5 июля 2025 года
Федеральный закон от 24 июня 2025 года № 175-ФЗ установил нижние пределы лишения свободы: два года по части 3 и три года по части 4. По части 3 штраф исключён как самостоятельное основное наказание. По части 4 самостоятельного штрафа не было и до поправок; закон изменил пределы лишения свободы и предусмотрел возможность дополнительного штрафа.
В обеих частях сохранены принудительные работы и прямо предусмотрена возможность лишения свободы без дополнительного штрафа. Поэтому вывод об обязательном реальном лишении свободы или обязательном штрафе неверен. Более строгая редакция не применяется к ранее совершённым деяниям с обратной силой; при оценке события необходимо установить время его совершения.
Что необходимо доказать по конкретному событию
Для уголовно-правовой оценки существенны содержание охраняемых сведений, действовавший режим, способ их получения, полномочия лица, отсутствие согласия владельца, конкретные действия и умысел. Для квалифицированных составов дополнительно устанавливают соответствующие признаки: сговор, корыстную заинтересованность, ущерб или тяжкие последствия.
Неосторожная ошибка, нарушение внутренней инструкции и умышленная передача сведений конкуренту требуют разной оценки. Срабатывание DLP либо сам факт увольнения не подтверждают всю совокупность признаков преступления.
При неправомерном доступе к компьютерной информации дополнительно проверяют основания применения статьи 272 УК РФ, а при незаконно полученной компьютерной информации с персональными данными — статьи 272.1 УК РФ. Наличие нескольких режимов охраны требует проверки соотношения норм; механически перечислять все статьи в заявлении недостаточно.
Отправка файлов на личную почту и увольнение: что подтверждает практика
Подпункт «в» пункта 6 части 1 статьи 81 ТК РФ предусматривает увольнение за разглашение охраняемой законом тайны, ставшей известной в связи с исполнением трудовых обязанностей. По пункту 43 постановления Пленума Верховного Суда РФ от 17 марта 2004 года № 2 работодатель должен доказать охраняемый статус сведений, их получение в связи с работой и обязанность работника не разглашать информацию.
Увольнение признано законным: дело ООО «Гротекс»
В определении Третьего кассационного суда общей юрисдикции от 15 июня 2026 года № 88-10469/2026 рассмотрена передача работником конфиденциальных файлов во внешнее личное хранилище и на личную электронную почту. Увольнение оставлено в силе.
В этом деле суд счёл существенным создание условий для неконтролируемого распространения информации, независимо от доказанности ознакомления с ней третьих лиц. При этом работодатель установил режим, предусмотрел запрет передачи на личную почту, ознакомил работника с правилами, доказал действие, соблюл процедуру и обосновал выбор взыскания.
Увольнение отменено: значение обстоятельств проступка
В определении Пятого кассационного суда общей юрисдикции от 25 мая 2023 года № 88-4285/2023 оставлено в силе восстановление работника. Суды оценили как доказанность оснований увольнения, так и выбор наиболее строгого взыскания, в том числе отсутствие у работника прежних дисциплинарных взысканий.
Из этих дел следует практический вывод: работодатель должен подтвердить всю совокупность обстоятельств конкретного нарушения. Ни формула «отправил себе — значит не разгласил», ни формула «внешняя копия — значит увольнение законно» не дают надёжного ответа для каждого спора. Позиция по трудовому делу также не заменяет доказывание состава преступления.
Как соблюдать дисциплинарную процедуру
Сопоставить доказательства с действовавшими правилами. Нужны конкретные файлы, события передачи, режим на дату события, ознакомление работника, его полномочия и возможное разрешение на использование внешнего канала.
Затребовать письменное объяснение. Если по истечении двух рабочих дней оно не предоставлено, составляют акт. Работнику следует обозначить событие, по которому требуется объяснение, чтобы он мог изложить свою позицию.
Проверить сроки и ограничения увольнения. По общему правилу взыскание применяют не позднее месяца со дня обнаружения и шести месяцев со дня совершения проступка, с предусмотренными законом исключениями. Отдельно проверяют отпуск, временную нетрудоспособность и специальные гарантии работника.
Обосновать меру и оформить приказ. Учитывают тяжесть проступка, обстоятельства, предшествующее поведение и отношение к труду. За одно нарушение допустимо одно дисциплинарное взыскание. Приказ объявляют под роспись в течение трёх рабочих дней со дня издания, не считая отсутствия работника.
Процедурные сроки установлены статьёй 193 ТК РФ. Внутреннее расследование само по себе не продлевает месячный срок. Если оснований для увольнения недостаточно, оценивают возможность замечания или выговора при наличии доказанного дисциплинарного проступка.
Локальные правила не должны препятствовать законному обращению в суд и государственные органы. Для такого раскрытия оценивают правовое основание, компетенцию адресата и необходимый объём сведений; документы с тайной передают с использованием предусмотренных процедур защиты.
Контроль корпоративных данных: DLP, личные устройства и ИИ-сервисы
DLP — система предотвращения утечек данных — позволяет контролировать передачу информации по заданным правилам. Правовое основание обработки, её цели и объём должны быть определены до применения контроля. Для данных работников применяются, в частности, статья 86 ТК РФ и требования Закона № 152-ФЗ.
Цель и каналы контроля. Опишите защищаемые сведения, корпоративную почту, устройства, хранилища и операции, которые подлежат проверке. Различайте регистрацию события, анализ содержимого и блокирование передачи.
Осведомлённость работников. Ознакомьте их под роспись с правилами обработки данных и использования корпоративных ресурсов. Название программного продукта само по себе не объясняет объём контроля; работнику должны быть понятны контролируемые действия и действующие ограничения.
Соразмерность и доступ к результатам. Установите сроки хранения, круг допущенных лиц, основания просмотра содержимого и учёт действий администраторов. Наличие корпоративного устройства не даёт безусловного права читать любую личную переписку.
Проверка результата человеком. Перед кадровым решением исследуйте первичные данные, объяснения работника и возможные ошибки настройки. Статья 86 ТК РФ запрещает основывать затрагивающее интересы работника решение исключительно на данных, полученных в результате автоматизированной обработки или электронного получения.
Личное устройство работника
При использовании личного устройства для работы необходимо определить границы обработки служебных данных. Практическая мера — отдельный рабочий профиль или управляемая корпоративная среда, позволяющая прекратить доступ и удалить служебные копии без вмешательства в личные файлы. Согласие работника не отменяет требования о законной цели и неизбыточности обработки.
Если такое разделение обеспечить нельзя, компании следует предоставить корпоративное устройство либо исключить обработку соответствующих сведений на личном устройстве. Доступ работодателя к личному аккаунту нельзя обосновать одним лишь наличием в нём рабочего файла.
Передача документов во внешнюю нейросеть
Загрузка договора, исходного кода или выгрузки CRM в ИИ-сервис требует проверки тех же обстоятельств, что и передача внешнему исполнителю: кто получает доступ, на каком основании, для какой цели и как долго хранит сведения. Рабочая цель запроса не означает, что использование конкретного сервиса разрешено обладателем информации.
До допуска сервиса определяют разрешённые категории данных, условия поставщика, хранение запросов и ответов, доступ его сотрудников и привлечённых лиц, использование материалов для обучения, порядок удаления и обработку персональных данных. Условие о неиспользовании данных для обучения модели не решает остальные вопросы конфиденциальности.
В правилах следует охватить также автоматические расшифровки встреч, помощников для работы с почтой и программные интеграции. Они могут передавать содержание документов без отдельной ручной загрузки. Это рекомендация по организации защиты на основе общих требований законодательства, а не указание на существование специального состава «утечка через ИИ».
Что делать после обнаружения утечки
Действия по прекращению доступа, сохранению доказательств и правовой оценке выполняются одновременно. Ниже приведён рекомендуемый порядок организации работы. Установленные законом сроки отдельно указаны для уведомления Роскомнадзора.
Немедленно: ограничить распространение и зафиксировать событие
Назначьте ответственного за координацию. Зафиксируйте время обнаружения, источник сообщения, затронутые системы и уже известные факты. Ограничьте скомпрометированные учётные записи, внешние ссылки и токены, сохраняя сведения о выполненных действиях.
Технический специалист определяет безопасную последовательность изоляции, копирования и восстановления. Не следует без оценки последствий удалять аккаунты, переустанавливать систему или уничтожать журналы: эти действия могут лишить компанию сведений о способе и участниках передачи. Приоритет прекращения продолжающейся утечки сохраняется.
В ходе первичной проверки: сформировать доказательственную основу
| Что требуется установить | Какие материалы нужны | Чего обычно недостаточно |
|---|---|---|
| Предмет охраны | Копия переданного файла, версия перечня тайны, маркировка, сведения об обладателе и коммерческой ценности. | Общего утверждения, что вся информация компании конфиденциальна. |
| Доступ и обязанность | Трудовой или гражданско-правовой договор, ознакомление с правилами, согласования и история прав доступа. | Подписанного после события соглашения или одной текущей матрицы прав. |
| Действие и исполнитель | Исходные журналы почты, хранилища и DLP, данные о сессии и устройстве, маршрут передачи, объяснения. | Имени пользователя в интерфейсе: необходимо исключить общий доступ и компрометацию учётной записи. |
| Целостность материалов | Протокол получения копий, время и часовой пояс, контрольные суммы, сведения о лицах, работавших с носителями. | Скриншота отчёта без исходных данных и объяснения способа их получения. |
| Последствия и размер требований | Договоры, первичные документы, расчёты, подтверждение расходов и причинной связи. | Оценки потерь руководителем без документов или простого совпадения утечки и ухода клиента. |
Контрольная сумма подтверждает совпадение копий и помогает выявить последующее изменение файла. Она сама по себе не доказывает, кто создал исходный материал и законно ли его получили. Достоверность устанавливается совокупностью сведений; при необходимости привлекают специалиста, заявляют ходатайство об экспертизе или обеспечении доказательств.
В течение 24 и 72 часов: уведомить Роскомнадзор, если возникла обязанность
По части 3.1 статьи 21 Закона № 152-ФЗ уведомление требуется при установлении неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, повлекших нарушение прав их субъектов.
В течение 24 часов: сведения об инциденте, предполагаемых причинах и вреде, принятых мерах и уполномоченном контактном лице.
В течение 72 часов: результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если они установлены.
Оба срока начинаются с момента выявления инцидента. Закон учитывает его выявление оператором, уполномоченным органом либо иным заинтересованным лицом. Вторые 72 часа не отсчитываются от отправки первого уведомления. Ожидание окончательного заключения специалиста не переносит установленный срок; в сообщении отделяют подтверждённые факты от предварительных сведений.
Сам по себе инцидент исключительно с коммерческой тайной не создаёт обязанности уведомлять Роскомнадзор по этой норме. Необходимо проверить наличие персональных данных и предусмотренных законом обстоятельств. Договорные и специальные отраслевые обязанности по уведомлению оцениваются отдельно.
За неуведомление или несвоевременное уведомление о таком инциденте часть 11 статьи 13.11 КоАП РФ предусматривает для юридического лица штраф от 1 до 3 млн рублей. Это самостоятельное нарушение, которое следует отличать от ответственности за неправомерную передачу данных.
После первичной оценки: определить требования и адресатов
Решите, нужны ли заявление о преступлении, дисциплинарная процедура, претензия получателю информации, обращение в антимонопольный орган или судебная защита. В заявлении о преступлении изложите проверяемые факты, предмет охраны, способ получения или передачи и приложенные доказательства. Окончательную квалификацию осуществляют уполномоченные органы.
Предложение добровольно прекратить использование сведений или возместить потери не следует превращать в требование денег под угрозой уголовного преследования. При подготовке судебных материалов отдельно решают вопрос о защите содержащейся в них тайны, включая рассмотрение дела в закрытом заседании при наличии оснований.
Технические и организационные действия подробнее разобраны в материале ADVOLAW «Кибератака: что делать в первые 24 часа».
Какие потери можно взыскать и с кого
Критичны статус ответчика, момент нарушения, характер его обязанностей и основание требования. Нельзя объединять все последствия утечки в одну сумму и одинаково предъявлять её работнику, директору и получившей данные компании.
Обычный работник: материальная ответственность по ТК РФ
По статье 238 ТК РФ работник возмещает прямой действительный ущерб; неполученные доходы в рамках этой ответственности не взыскиваются. Полная материальная ответственность означает возмещение всего доказанного прямого ущерба, а не включение в него упущенной выгоды.
Пункт 7 части 1 статьи 243 ТК РФ предусматривает полную ответственность за разглашение охраняемой законом тайны в случаях, установленных федеральными законами. Работодатель должен подтвердить применимость этого основания, противоправность, вину, причинную связь и размер ущерба. Дополнительно соблюдается порядок проверки и взыскания по трудовому законодательству.
Договорной штраф за нарушение трудовой обязанности не становится законным из-за включения в отдельное соглашение о неразглашении. Самостоятельное гражданско-правовое основание требования, если оно имеется, нужно обосновывать отдельно; переименование трудового обязательства не изменяет его природу.
Руководитель организации: специальное правило об убытках
Часть 7 статьи 11 Закона № 98-ФЗ предусматривает возмещение руководителем организации убытков, причинённых его виновными действиями в связи с нарушением законодательства о коммерческой тайне. Их определяют по гражданскому законодательству. Поэтому возможность взыскания доказанной упущенной выгоды здесь нельзя исключать общей ссылкой на статью 238 ТК РФ.
Правило касается руководителя организации. Должностное наименование «финансовый директор», «технический директор» или «руководитель отдела» само по себе не подтверждает такой статус. Необходимо исследовать полномочия лица и основание предъявляемого требования.
Бывший работник: значение имеет момент разглашения
Обязанность соблюдать коммерческую тайну сохраняется в течение действия режима, в том числе после прекращения трудового договора. Часть 4 статьи 11 Закона № 98-ФЗ прямо предусматривает требование об убытках к бывшему работнику при разглашении в этот период.
Следует различать нарушение, совершённое во время работы и обнаруженное после увольнения, и самостоятельное разглашение после прекращения трудовых отношений. При оценке состава убытков проверяют момент и характер действия, сохранение режима, содержание обязательств и возможное нарушение права на ноу-хау. Сам факт увольнения не позволяет автоматически перевести трудовое требование в гражданско-правовое и взыскать дополнительные суммы.
Контрагент: убытки и договорная неустойка
В гражданско-правовом договоре можно согласовать неустойку за определённое нарушение конфиденциальности. Для взыскания самой неустойки по статье 330 ГК РФ не требуется доказывать убытки, но необходимы доказательства обязательства, нарушения и наступления предусмотренного договором основания.
Нужно определить, что считается нарушением: использование вне согласованной цели, передача постороннему лицу, предоставление доступа субподрядчику без разрешения или неисполнение обязанности вернуть материалы. Отдельно устанавливают соотношение неустойки и убытков. По статье 333 ГК РФ явно несоразмерная неустойка может быть уменьшена; при нарушении предпринимателем требуется его заявление, а снижение договорной неустойки допускается при установленных законом условиях.
Конкурент, получивший и использующий сведения
При наличии признаков недобросовестной конкуренции рассматривают обращение в ФАС по статье 14.7 Закона № 135-ФЗ. Норма охватывает, в частности, использование тайны конкурента, полученной от лица, которое имело доступ в силу служебных обязанностей. Нужно подтвердить охраняемый характер информации, конкурентные отношения и конкретное противоправное поведение. При наличии условий возможны также судебные требования о пресечении нарушения и возмещении убытков.
Расчёт требований следует готовить отдельно от отчёта об инциденте. По каждой сумме указывают правовое основание, документ, необходимость расхода и причинную связь. Стоимость модернизации всей системы безопасности, прогноз будущих продаж или назначенный компании административный штраф нельзя автоматически переложить на работника.
Что проверить до следующего инцидента
Руководителю следует поручить совместную проверку юристам, кадровой службе и специалистам по информационной безопасности. Её результатом должны стать конкретные решения о доступе, передаче данных и ответственности исполнителей.
Критичные сведения. Определены обладатель, непубличное содержание, применимый режим и фактические места хранения. Для нескольких компаний группы проверено основание взаимного доступа.
Внешняя передача. Для облаков, подрядчиков, ИИ-сервисов и интеграций известны получатели, цели, договорные условия и допустимый состав данных. Исключения из запретов согласуются и фиксируются.
Перевод и увольнение. Изменение прав, завершение сессий, отзыв ключей и внешних ссылок, возврат носителей согласованы с кадровыми действиями. Учётная запись не удаляется до сохранения необходимых доказательств.
Реагирование. Назначены ответственные, определены способы фиксации инцидента и отправки уведомлений. Подтверждения их направления сохраняются вместе с материалами проверки.
Как организационную меру целесообразно повторять проверку после внедрения новой системы, смены подрядчика, изменения состава защищаемой информации или существенного инцидента. Единой обязательной ежегодной проверки коммерческой тайны Закон № 98-ФЗ не устанавливает; периодичность определяют с учётом рисков и специальных требований, если они применимы.
Качество защиты проверяется возможностью подтвердить режим конкретных сведений, обязанности конкретного лица и обстоятельства конкретного действия. Именно эти доказательства определяют перспективу требований компании.
Вопросы и ответы
Можно ли защитить клиентскую базу как коммерческую тайну?
Да, если её содержание отвечает установленным законом признакам и введён режим охраны. Необходимо выделить непубличные сведения: историю заказов, индивидуальные условия, скидки и другие данные, обладающие коммерческой ценностью. Наличие общедоступных сведений в базе требует оценки её состава; персональные данные защищаются дополнительно.
Достаточно ли соглашения о неразглашении?
Для подтверждения режима коммерческой тайны организации необходимо выполнить все пять мер статьи 10 Закона № 98-ФЗ. Соглашение закрепляет обязательства, но не заменяет перечень сведений, ограничение и учёт доступа, правила обращения и маркировку. Договорная защита конфиденциальной информации оценивается самостоятельно.
Можно ли уволить за отправку рабочего файла себе?
Это возможно при наличии предусмотренного законом основания и доказательств. Нужно установить охраняемый характер сведений, обязанности работника, обстоятельства передачи, соблюдение процедуры и соразмерность взыскания. Определение Третьего КСОЮ от 15 июня 2026 года № 88-10469/2026 не устанавливает автоматического правила для любой пересылки.
Разрешена ли загрузка рабочих документов в нейросеть?
Ответ зависит от содержания документов, прав на них, разрешения обладателя информации, условий сервиса и требований к персональным данным. Рабочая цель запроса сама по себе не разрешает внешнюю передачу. В компании следует определить допустимые сервисы, категории сведений и порядок согласования.
Можно ли обратиться в полицию без установленного размера ущерба?
Да, при наличии фактов, указывающих на признаки преступления. Крупный ущерб не является обязательным условием для всех составов статьи 183 УК РФ. В заявлении следует описать предмет охраны, способ получения или передачи и доказательства; окончательная квалификация относится к полномочиям уполномоченных органов.
Сохраняется ли обязанность неразглашения после увольнения?
Да, в течение действия режима коммерческой тайны. Для требования о возмещении потерь необходимо установить время нарушения и применимое основание ответственности. Нарушение во время работы и самостоятельное разглашение после увольнения требуют раздельной оценки.
Можно ли взыскать упущенную выгоду от утечки?
С обычного работника в рамках материальной ответственности по ТК РФ — нет. Для руководителя организации действует специальная норма части 7 статьи 11 Закона № 98-ФЗ. Требования к бывшему работнику, контрагенту или конкуренту зависят от самостоятельного правового основания и доказанности убытков.
Когда направлять второе уведомление Роскомнадзору?
Если возникла обязанность по части 3.1 статьи 21 Закона № 152-ФЗ, результаты внутреннего расследования сообщают в течение 72 часов с момента выявления инцидента. Этот срок не начинается заново после первичного уведомления, для которого установлены 24 часа.
