Комерційна таємниця: режим захисту конфіденційної інформації

Що є комерційною таємницею: три ознаки, а не одна

Поняття дає ст. 505 Цивільного кодексу (глава 46 «Право інтелектуальної власності на комерційну таємницю», ст. 505-508). Комерційною таємницею є інформація, яка одночасно відповідає трьом ознакам:

1. секретність — вона в цілому чи в певній формі та сукупності її складових є невідомою та не є легкодоступною для осіб, які звичайно мають справу з видом інформації, до якого вона належить;
2. комерційна цінність — у зв’язку з цією секретністю інформація має комерційну цінність;
3. вжиті заходи охорони — вона була предметом адекватних існуючим обставинам заходів щодо збереження її секретності, вжитих особою, яка законно контролює цю інформацію.

Усе практичне значення теми зосереджене в третій ознаці. Інформація не стає комерційною таємницею сама по собі — навіть якщо вона справді секретна й справді цінна. Вона стає нею лише тоді, коли власник вжив і може довести заходи щодо збереження її секретності. Якщо заходів не було, то в суді немає ні об’єкта захисту, ні порушення: є лише інформація, яку хтось вважав таємною.

Саме тому відповідь на найчастіше питання — «чи достатньо позначки "конфіденційно"» — негативна. Позначка є одним із заходів, але сама по собі не створює режиму.

Інші норми глави 46 ЦК:

• ст. 506 — майнові права на комерційну таємницю: право на використання, виключне право дозволяти використання, виключне право перешкоджати неправомірному розголошенню, збиранню або використанню. Ці права належать особі, яка правомірно визнала інформацію комерційною таємницею, якщо інше не встановлено договором;
• ст. 507 — обов’язок органів державної влади охороняти від недобросовісного комерційного використання інформацію, яка є комерційною таємницею і яка надана їм для отримання встановленого законом дозволу чи з іншою метою;
• ст. 508 — строк чинності права на комерційну таємницю обмежується строком існування сукупності ознак, передбачених ст. 505. Тобто право існує, поки інформація залишається секретною, цінною і охороняється. Щойно одна з ознак зникає — зникає і право. Патент має фіксований строк; комерційна таємниця може жити вічно або померти наступного тижня.

Окрема зміна, яку варто врахувати: після скасування Господарського кодексу 28 серпня 2025 року його статті про комерційну таємницю (зокрема ст. 36 і 162 ГК) більше не діють. Правового вакууму це не створило — норми ЦК і закону про недобросовісну конкуренцію перекривають те саме, — але всі внутрішні документи й договори, у яких комерційна таємниця обґрунтовувалася посиланням на ГК, тепер посилаються на неіснуючий акт. Їх треба переписати.

Контекст — практика корпоративного права.

Що комерційною таємницею бути не може

Частина 2 ст. 505 ЦК прямо виключає з-під режиму відомості, які за законом не можуть бути віднесені до комерційної таємниці. Відповідний перелік затверджений постановою Кабінету Міністрів України від 9 серпня 1993 року № 611. До нього входять, зокрема:

• установчі документи та документи, що дають право займатися підприємницькою діяльністю;
• інформація за всіма встановленими формами державної звітності;
• дані, необхідні для перевірки обчислення і сплати податків та інших обов’язкових платежів, а також документи про їх сплату;
• відомості про чисельність і склад працюючих, їхню заробітну плату в цілому та за професіями й посадами, а також наявність вільних робочих місць;
• документи про платоспроможність;
• інформація про забруднення навколишнього природного середовища, недотримання безпечних умов праці, реалізацію продукції, що завдає шкоди здоров’ю, та інші порушення законодавства і розміри заподіяних збитків;
• відомості про участь посадових осіб підприємства в інших організаціях, які займаються підприємницькою діяльністю;
• відомості, що згідно із законодавством підлягають оголошенню.

Практичний наслідок: положення про комерційну таємницю, яке «засекречує все», юридично нікчемне в тій частині, що торкається цього переліку. І навпаки — перелік не такий широкий, як здається: клієнтська база, умови договорів із контрагентами, ціноутворення, собівартість, технології, рецептури, алгоритми, маркетингові плани, дані про постачальників, внутрішня аналітика під режим цілком підпадають.

Варто розрізняти два поняття. Комерційна таємниця — це об’єкт права інтелектуальної власності з трьома ознаками ст. 505 ЦК. Конфіденційна інформація — ширше поняття: будь-яка інформація, доступ до якої обмежено її власником. Можна охороняти інформацію як конфіденційну за договором, не доводячи комерційної цінності, — але тоді й інструменти захисту будуть лише договірними, без апарату глави 46 ЦК і без складів недобросовісної конкуренції.

Як запровадити режим: що має бути на папері

Режим комерційної таємниці — це комплект документів і фактичних дій. Нижче мінімум, який витримує перевірку в суді.

1. Наказ про запровадження режиму комерційної таємниці — з датою, з якої режим діє.
2. Положення про комерційну таємницю — основний документ. У ньому: що саме належить до таємниці, хто має доступ і в якому обсязі, порядок надання та припинення доступу, правила роботи з носіями, правила передачі третім особам, порядок маркування, відповідальність.
3. Перелік відомостей, що становлять комерційну таємницю — конкретний, а не «усе про діяльність компанії». Розмитий перелік у суді не працює: потрібно показати, що саме порушник розголосив.
4. Перелік осіб, допущених до таємниці, і підписи цих осіб про ознайомлення з Положенням.
5. Маркування носіїв — позначка «Комерційна таємниця» на документах, файлах, папках, у назвах каналів.
6. Технічні та організаційні заходи: розмежування прав доступу в системах, журналювання доступу, окремі облікові записи, шифрування, заборона експорту баз, обмеження зовнішніх носіїв, політика роботи з особистими пристроями.
7. Умови в трудових договорах і посадових інструкціях — обов’язок не розголошувати, конкретний і перелічений.
8. Процедура припинення доступу при звільненні: відключення акаунтів, повернення носіїв, акт передачі, нагадування про зобов’язання.
9. Умови про конфіденційність у договорах із контрагентами — включно з правом на аудит і обов’язками щодо субпідрядників.

Принцип «адекватності обставинам» зі ст. 505 ЦК означає, що від малої компанії не вимагають корпоративної системи DLP. Але він же означає, що заходи мають бути пропорційні цінності інформації: якщо компанія заявляє мільйонні збитки від розголошення клієнтської бази, а база лежала у відкритій таблиці, доступній усім працівникам, суд оцінить це саме так, як воно виглядає.

Ще одна деталь, яку пропускають: дата запровадження режиму важлива. Якщо працівник отримав доступ до інформації до того, як режим було запроваджено й він із ним ознайомлений, довести порушення щодо нього значно складніше.

Договори та NDA: що насправді дає угода про нерозголошення

NDA (non-disclosure agreement) в українському праві — це звичайний договір, а не окремий поіменований вид. Його чинність і сила залежать від змісту.

Що має бути в NDA, щоб він працював

• Конкретний предмет. Не «вся інформація, отримана в межах співпраці», а визначені категорії з прикладами й правилом маркування. Невизначений предмет — перша причина, через яку NDA не спрацьовує.
• Строк дії зобов’язання — і він має переживати припинення основного договору. Типово 3-5 років після закінчення співпраці; для технологій і рецептур — довше.
• Винятки: інформація, яка стала публічною не з вини сторони; яка була відома до розкриття; яка розкривається на вимогу закону або органу. Без винятків умова виглядає недобросовісною й легше оспорюється.
• Коло осіб, яким можна розкривати (працівники, консультанти, аудитори) з обов’язком покласти на них такі самі зобов’язання.
• Доля інформації після завершення: повернути, знищити, підтвердити знищення.
• Відповідальність. Для контрагентів-юридичних осіб і ФОП — неустойка в конкретному розмірі плюс право на відшкодування збитків. Для працівників — див. наступний розділ, бо там працює інша логіка.
• Застосовне право й порядок вирішення спорів, особливо якщо друга сторона іноземна.

Про що часто забувають

NDA зазвичай підписують із новими контрагентами, а найбільший ризик — у вже наявних відносинах: підрядники, фрилансери, бухгалтерський сервіс, маркетингове агентство, розробники, які мають доступ до бази. Інвентаризація того, хто сьогодні фактично бачить вашу інформацію, зазвичай дає довший список, ніж очікується.

Також варто перевірити власні договори на дзеркальність: якщо ви передаєте дані клієнта своєму субпідряднику, умови його NDA мають бути не слабшими за ті, які ви взяли на себе перед клієнтом. Загальні правила роботи з договірною базою — у матеріалі про договірну роботу, а якщо йдеться про персональні дані, додається окремий режим — див. GDPR і персональні дані.

Межі відповідальності працівника: чому неустойка не працює

Це найважливіше і найменш відоме обмеження всієї теми. Якщо ви підписали з працівником NDA з неустойкою «500 000 грн за кожен випадок розголошення», стягнути цю суму з нього, найімовірніше, не вдасться.

Причина — трудове законодавство. За ст. 132 КЗпП за шкоду, заподіяну роботодавцю при виконанні трудових обов’язків, працівники несуть матеріальну відповідальність у розмірі прямої дійсної шкоди, але не більше свого середнього місячного заробітку. Відповідальність понад середній місячний заробіток допускається лише у випадках, зазначених у законодавстві.

І далі — ключове: якщо пряма дійсна шкода перевищує середній місячний заробіток працівника, з нього стягується лише сума, що дорівнює середньому місячному заробітку, а решта шкоди не покривається.

Повна матеріальна відповідальність (ст. 134 КЗпП) настає лише у визначених законом випадках. А договір про повну індивідуальну матеріальну відповідальність за ст. 135-1 КЗпП можна укласти тільки за одночасної наявності двох умов:

• посада або робота працівника входить до затвердженого Переліку посад і робіт, із якими можуть укладатися такі договори;
• трудова функція працівника безпосередньо пов’язана з прийманням, зберіганням, обробкою, продажем, перевезенням або застосуванням у процесі виробництва переданих йому цінностей.

Отже з розробником, аналітиком, менеджером із продажів або маркетологом такий договір укласти не можна: їхні функції до Переліку не входять. Формальна наявність посади в Переліку теж не достатня, якщо фактичний зміст трудової функції не включає перелічених обов’язків.

Що тоді працює

• Стягнення збитків із третьої особи — конкурента, який отримав і використав інформацію. Тут діє не КЗпП, а загальні правила відшкодування шкоди й склади недобросовісної конкуренції, а розмір не обмежений середнім заробітком.
• Дисциплінарна відповідальність і звільнення — найшвидший реальний наслідок для працівника.
• Цивільно-правовий договір замість трудового там, де відносини справді цивільно-правові: підрядник, ФОП, консультант відповідає за договором без обмежень КЗпП. Але підміняти трудові відносини цивільно-правовими лише для цього — окремий ризик.
• Договір про неконкуренцію в режимі Дія Сіті — див. наступний розділ.
• Технічні обмеження доступу — найдешевший і найдієвіший інструмент: інформація, яку працівник не може скопіювати, не потребує стягнення.

Висновок прагматичний: NDA з працівником має сенс передусім як доказ режиму й обізнаності (третя ознака ст. 505 ЦК) і як підстава для дисциплінарних наслідків, а не як фінансовий інструмент. Фінансові санкції реально працюють щодо контрагентів, а не щодо штатних працівників.

Неконкуренція: де вона законна

Загальна проблема: Конституція гарантує право на працю, і умова трудового договору, яка забороняє працівникові після звільнення працювати за фахом, у звичайному режимі є вкрай уразливою. Тому «non-compete» в українському трудовому праві довго залишався побажанням.

Виняток створив режим Дія Сіті. Закон «Про стимулювання розвитку цифрової економіки в Україні» від 15 липня 2021 року № 1667-IX прямо передбачає договір про утримання фахівцем від вчинення конкурентних дій щодо резидента Дія Сіті. Сторонами є резидент Дія Сіті та фахівець — працівник, гіг-спеціаліст або ФОП.

Істотні умови такого договору:

• строк зобов’язання, який припиняється не пізніше спливу 12 місяців з дня припинення трудових, цивільно-правових чи господарсько-правових відносин;
• територія, на яку поширюється зобов’язання;
• вичерпний перелік видів діяльності, що вважаються конкуруючою діяльністю, та/або осіб, які її здійснюють;
• матеріальні блага, які фахівець отримує у відплату за зобов’язання утримуватися від конкурентних дій.

Остання умова принципова: неконкуренція без компенсації не працює. Договір може забороняти укладення трудових договорів, гіг-контрактів або інших договорів з особами, які здійснюють аналогічну діяльність, а також здійснення конкуруючої діяльності як ФОП.

Для компаній поза режимом Дія Сіті практичний висновок такий: умову про неконкуренцію можна включити, але її слід будувати на компенсації й розумних межах за строком, територією та видами діяльності — саме так, як це зроблено в законі для Дія Сіті. Без компенсації така умова найімовірніше не буде виконана. Для топменеджменту ці умови зазвичай ув’язують із контрактом — див. матеріал про трудові відносини з топменеджментом.

Відповідальність за розголошення

Відповідальність багаторівнева, і найсильніший рівень — не той, про який думають першим.

Недобросовісна конкуренція

Глава 4 Закону «Про захист від недобросовісної конкуренції» від 7 червня 1996 року № 236/96-ВР визначає чотири самостійні склади:

• ст. 16. Неправомірне збирання — добування протиправним способом відомостей, що становлять комерційну таємницю, якщо це завдало чи могло завдати шкоди суб’єкту господарювання;
• ст. 17. Розголошення — ознайомлення іншої особи без дозволу уповноваженої особи з такими відомостями особою, якій вони були довірені або стали відомі у зв’язку з виконанням відповідних обов’язків, якщо це завдало чи могло завдати шкоди;
• ст. 18. Схилення до розголошення — спонукання особи, якій відомості були довірені, до їх розкриття, якщо це завдало чи могло завдати шкоди;
• ст. 19. Неправомірне використання — впровадження у виробництво або врахування під час планування чи здійснення діяльності без дозволу уповноваженої особи.

Зверніть увагу на формулювання «завдало чи могло завдати шкоди»: доводити фактичні збитки для встановлення порушення не обов’язково — достатньо можливості шкоди. Це найнижчий поріг доказування з усіх доступних шляхів.

Справи розглядає Антимонопольний комітет України. Штраф обчислюється від доходу (виручки) від реалізації продукції за останній звітний рік, а якщо доходу немає або відповідач на вимогу АМКУ не надав відомостей про його розмір — штраф накладається у розмірі до десяти тисяч неоподатковуваних мінімумів доходів громадян, тобто до 170 000 грн. Для компанії з обігом цей шлях нерідко болючіший за судовий позов.

Адміністративна відповідальність

Стаття 164-3 КУпАП «Недобросовісна конкуренція» встановлює відповідальність за отримання, використання, розголошення комерційної таємниці, а також іншої конфіденційної інформації з метою заподіяння шкоди діловій репутації або майну іншого підприємця.

Кримінальна відповідальність

Кримінальний кодекс містить два склади:

• ст. 231 — незаконне збирання з метою використання або використання відомостей, що становлять комерційну або банківську таємницю;
• ст. 232 — розголошення комерційної, банківської таємниці або професійної таємниці на ринках капіталу та організованих товарних ринках.

На практиці кримінальний шлях у таких справах рідкісний: він вимагає доведення умислу, мети використання та істотної шкоди, і підприємства зазвичай обирають або антимонопольний, або цивільний маршрут. Зважаючи, що редакції цих статей змінювалися, конкретну санкцію варто звіряти з чинним текстом Кодексу на дату звернення.

Цивільний шлях

На підставі виключного права перешкоджати неправомірному розголошенню, збиранню або використанню (ст. 506 ЦК) можна вимагати припинення дій, заборони використання і відшкодування збитків. Тут розмір не обмежений, але тягар доказування збитків повністю на позивачі — і саме це робить такі позови складними.

Як довести порушення

Доказування в таких справах будується з чотирьох елементів, і жоден не можна пропустити.

1. Що саме було комерційною таємницею. Положення, перелік, наказ, маркування, підписи про ознайомлення — усе з датами, які передують порушенню. Якщо режим запроваджено після інциденту, справа майже напевно втрачена.
2. Що порушник мав доступ. Журнали доступу в системах, права в CRM, вивантаження, листування, акти передачі, перелік допущених осіб.
3. Що відбулася передача або використання. Логи експорту й надсилання, копії листів, дані з корпоративної пошти та месенджерів, свідчення, поява вашої інформації у конкурента — ідентичні тексти, однакові переліки клієнтів, збіги в унікальних помилках і «маркерах».
4. Шкода або можливість шкоди. Для складів недобросовісної конкуренції достатньо можливості шкоди; для стягнення збитків потрібен розрахунок — втрачений дохід за конкретними клієнтами, витрати на розробку, падіння виручки з прив’язкою до події.

Практичні прийоми, які реально допомагають:

• «Маркери» в базах даних — унікальні фіктивні записи, поява яких у конкурента доводить джерело витоку;
• фіксація стану систем на дату інциденту: виписки з логів, засвідчені скриншоти, акти;
• негайне відключення доступу та акт про це — щоб обсяг витоку не зростав і був зафіксований;
• комп’ютерно-технічна експертиза службових пристроїв, якщо вони належать компанії;
• запит до АМКУ — як інструмент, який дає Комітету повноваження витребувати документи, недоступні вам напряму.

І найголовніше в цій темі: вся робота робиться заздалегідь. Комерційна таємниця — єдиний об’єкт інтелектуальної власності, який виникає не з реєстрації, а з ваших власних дій, і зникає, щойно ці дії припиняються. Компанія без режиму не має чого захищати юридично, навіть якщо фактично в неї вкрали найцінніше.