Коммерческая тайна: как защитить клиентскую базу

Что произошло в реальном деле

Компания занималась оптовыми поставками. Ключевой менеджер по продажам уволился и через две недели начал работать у конкурента. В первые два месяца несколько крупных клиентов компании перешли к конкуренту — общий ущерб составил около 5 миллионов рублей за год.

Компания обратилась к нам с вопросом: можно ли что-то сделать?

Мы изучили документы и обнаружили, что режим коммерческой тайны не был надлежащим образом введён. Это сделало судебную защиту практически невозможной. Сейчас мы ввели правильный режим — следующий уход сотрудника будет уже другим.

Что такое режим коммерческой тайны

Федеральный закон № 98-ФЗ «О коммерческой тайне» устанавливает: информация защищается как коммерческая тайна только при соблюдении обязательных условий.

Пять обязательных элементов (ст. 10 закона № 98-ФЗ):

Перечень сведений, составляющих коммерческую тайну. Должен быть утверждён приказом руководителя: клиентская база, ценовая политика, условия договоров, технологии и пр.
Ограничение доступа. Установлен порядок обращения с информацией и контроль за его соблюдением — доступ должен быть ограничен только теми сотрудниками, которым информация необходима для работы.
Учёт лиц, получивших доступ. Ведётся отдельный реестр или журнал, кто и когда получил доступ к информации или кому она передавалась, — это самостоятельное требование закона, а не то же самое, что ограничение доступа из пункта 2.
Договорное регулирование. Отношения по использованию информации урегулированы договорами — с работниками (трудовой договор с условием о неразглашении, отдельное соглашение NDA) и с контрагентами (гражданско-правовые договоры).
Гриф «Коммерческая тайна». Все носители с соответствующей информацией (документы, файлы) помечены грифом с указанием обладателя информации.

Без любого из этих пяти элементов суд откажет в защите — режим либо введён полностью, либо не введён вообще.

Второй рубеж защиты: право на базу данных

Режим коммерческой тайны — не единственный инструмент, и если он введён с ошибками, это ещё не значит, что база беззащитна. Ст. 1333–1336 ГК РФ дают изготовителю базы данных отдельное исключительное право — извлекать из базы материалы и использовать их, безо всякой связи с секретностью. Оно возникает автоматически у того, кто организовал создание базы, если на её формирование и ведение потрачены существенные финансовые, материальные или организационные ресурсы. П. 2 ст. 1334 ГК РФ вводит презумпцию: если в базе не менее 10 000 самостоятельных информационных элементов (по сути — карточек клиентов и связанных с ними записей), существенность затрат предполагается сама собой, доказывать инвестиции отдельно не нужно.

Это право защищает от извлечения и использования существенной части базы даже тогда, когда NDA не подписывался или режим тайны введён с нарушением одного из пяти элементов, — второй, независимый уровень защиты, о котором почти никогда не вспоминают, выстраивая всё вокруг одной коммерческой тайны.

Что происходит при нарушении коммерческой тайны

Если режим правильно оформлен, работодатель вправе:

Взыскать убытки в судебном порядке. Убытки доказываются через потерю конкретных контрактов, снижение выручки за период после ухода сотрудника.

Потребовать изъятия информации. Суд вправе обязать нарушителя уничтожить незаконно полученные данные.

Привлечь к уголовной ответственности. Статья 183 УК РФ предусматривает до 4 лет лишения свободы за незаконное разглашение сведений, составляющих коммерческую тайну (санкции ужесточены Федеральным законом от 24.06.2025 № 175-ФЗ).

Пожаловаться в ФАС на недобросовестную конкуренцию. Если бывший сотрудник использует украденную базу, уже работая на конкурента или сам им став, ст. 14.7 закона № 135-ФЗ «О защите конкуренции» отдельно запрещает недобросовестную конкуренцию через незаконное получение, использование или разглашение информации, охраняемой как тайна, — в том числе полученной из-за нарушения договора (NDA) лицом, обязанным её не разглашать. Жалоба в ФАС — самостоятельный канал давления на конкурента, параллельный гражданскому иску и уголовному делу против самого сотрудника, а не замена им.

Обратная сторона: обязанность уведомить Роскомнадзор

Здесь важно не только то, что компания вправе сделать, но и то, что она обязана сделать сама. Клиентская база почти всегда содержит персональные данные — имена, телефоны, почту контактных лиц контрагентов. Если эти данные ушли к третьим лицам вместе с уволившимся сотрудником, компания как оператор персональных данных обязана уведомить Роскомнадзор об утечке в течение 24 часов с момента обнаружения (ст. 21 закона № 152-ФЗ), а по итогам внутреннего расследования — представить его результаты в течение 72 часов. Не имеет значения, что данные украл сотрудник, а не хакер: обязанность уведомить возникает при любой неправомерной передаче персональных данных третьим лицам, независимо от того, как именно она произошла. Молчание здесь — отдельное нарушение, никак не связанное с виной сотрудника.

Практические меры

Техническая защита: ограничение прав на копирование и скачивание файлов (DLP-системы), логирование действий с клиентской базой.

Договорная защита: помимо NDA — иногда пытаются добавить запрет на переход к конкуренту на несколько месяцев после увольнения (non-compete). Отдельного института non-compete в российском праве нет, и включить прямой запрет в сам трудовой договор нельзя — это противоречит ст. 9 ТК РФ. Практика судов здесь противоречивая, а не последовательно смягчающаяся: в одном деле суд признал допустимым отдельное от трудового договора гражданско-правовое соглашение с выплатой компенсации за период неконкуренции, но в другом — признал недействительным условие о запрете переманивания сотрудников без всякой компенсации. Рабочий вывод: голый запрет в трудовом договоре не устоит почти наверняка; шанс есть только у отдельного оплачиваемого гражданско-правового соглашения — и то без гарантий.

Процессуальная защита: при уходе сотрудника — немедленный акт приёма-передачи, проверка устройств, фиксация факта ухода к конкуренту.

Часто задаваемые вопросы

Какие сведения можно отнести к коммерческой тайне? Любые сведения, имеющие коммерческую ценность в силу неизвестности третьим лицам: клиентские базы, технологии, ценовая политика, условия договоров, стратегические планы. Перечень утверждается приказом руководителя.

Что грозит сотруднику за разглашение коммерческой тайны? По ст. 183 УК РФ — штраф до 1 млн рублей или лишение свободы до 4 лет (от 3 до 7 лет при тяжких последствиях). Гражданская ответственность: возмещение убытков в полном объёме, включая упущенную выгоду.

Как правильно ввести режим коммерческой тайны? По ст. 10 ФЗ № 98-ФЗ необходимо: (1) утвердить перечень сведений; (2) ввести ограниченный режим доступа; (3) вести учёт лиц, получивших доступ; (4) урегулировать отношения по использованию информации договорами с работниками и контрагентами; (5) проставить гриф «Коммерческая тайна» на носителях. Без любого из этих пяти элементов суд откажет в защите.

Законен ли в России запрет работать у конкурентов? Прямого запрета в трудовом договоре суд почти наверняка не поддержит — это противоречит ст. 9 ТК РФ. Отдельное оплачиваемое гражданско-правовое соглашение о неконкуренции суды иногда признают, но практика непоследовательна, и однозначной гарантии нет.

Обязана ли компания сообщать об утечке клиентской базы, если данные украл сотрудник, а не хакер? Да. Обязанность уведомить Роскомнадзор в течение 24 часов и представить результаты расследования в течение 72 часов (ст. 21 закона № 152-ФЗ) возникает при любой неправомерной передаче персональных данных третьим лицам — источник утечки на эту обязанность не влияет.