Аудит и ответственность

Аудит режима коммерческой тайны — правовая проверка документов и фактических процессов компании, связанных с определением, хранением, использованием и передачей конфиденциальной информации.

Задача аудита — установить, действительно ли в отношении соответствующих сведений создан и поддерживается режим коммерческой тайны, а также определить, сможет ли компания подтвердить это при возникновении трудового, гражданско-правового или иного спора.

В ходе проверки необходимо сопоставить утвержденные документы с тем, как информация используется на практике. В частности, анализируется:

• какие сведения компания отнесла к коммерческой тайне;
• соответствуют ли эти сведения установленным законодательством требованиям;
• не включена ли в перечень информация, которая не может составлять коммерческую тайну;
• определен ли порядок доступа к охраняемым сведениям;
• ведется ли учет лиц, которым предоставлен доступ;
• назначены ли работники, ответственные за обеспечение конфиденциальности;
• оформлены ли отношения с работниками, имеющими доступ к коммерческой тайне;
• урегулирована ли передача информации контрагентам;
• соответствует ли фактическая работа с документами и информационными системами утвержденным правилам.

Проверка режима особенно актуальна при изменении бизнес-процессов, состава работников, используемых информационных систем или порядка взаимодействия с внешними исполнителями.

Аудит может потребоваться, если:

• режим коммерческой тайны был установлен несколько лет назад и документы не обновлялись;
• изменилась организационная структура компании;
• появились новые подразделения или категории работников с доступом к информации;
• компания перешла на новые корпоративные системы или облачные сервисы;
• конфиденциальная информация регулярно передается подрядчикам и консультантам;
• изменился перечень технологий, клиентов, финансовых или коммерческих данных, требующих защиты;
• работник с доступом к важной информации увольняется или переходит к конкуренту;
• выявлена утечка или подозрение на неправомерное использование сведений;
• компания готовится к спору и необходимо оценить доказательства наличия режима коммерческой тайны.

По результатам проверки определяется, какие документы и процедуры соответствуют требованиям, какие нуждаются в корректировке и какие меры необходимо внедрить дополнительно.

Нарушение установленного режима коммерческой тайны может повлечь разные виды правовых последствий. Их применение зависит от статуса нарушителя, обстоятельств получения и разглашения сведений, условий договора, характера нарушения и причиненного вреда.

Для работников возможны последствия, предусмотренные трудовым законодательством. Если работник имел доступ к коммерческой тайне и разгласил охраняемые сведения, при наличии установленных законом условий это может рассматриваться как основание для применения мер дисциплинарной ответственности, включая прекращение трудовых отношений по соответствующему основанию.

При этом для применения ответственности необходимо иметь возможность подтвердить, в частности:

• что соответствующие сведения действительно составляли коммерческую тайну;
• что в отношении них был установлен режим коммерческой тайны;
• что работнику был предоставлен доступ к этим сведениям;
• что работник был ознакомлен с установленным режимом и обязанностями по сохранению конфиденциальности;
• что имело место разглашение или иное нарушение установленного порядка;
• связь действий конкретного лица с выявленным нарушением.

Верховный Суд разъясняет, что разглашением могут признаваться действия или бездействие работника, в результате которых сведения, составляющие коммерческую тайну, становятся известны третьим лицам без согласия владельца или иного законного основания.

Если нарушение причинило компании имущественные потери, отдельно оцениваются основания для взыскания причиненного ущерба или убытков с учетом характера отношений с нарушителем и требований соответствующего законодательства.

В отношении контрагентов последствия нарушения конфиденциальности могут определяться законодательством и заключенным договором. Поэтому в NDA и основных договорах необходимо точно устанавливать состав передаваемой информации, допустимые цели использования, круг лиц с доступом, срок сохранения конфиденциальности и последствия нарушения.

В зависимости от конкретных обстоятельств незаконное получение, использование или разглашение коммерческой тайны также может повлечь административную либо уголовную ответственность, если деяние содержит признаки соответствующего правонарушения или преступления.

• Состав коммерческой тайны — проверяем перечень охраняемых сведений, его актуальность и соответствие требованиям законодательства.
• Локальные документы — анализируем положение о коммерческой тайне, приказы, инструкции, перечни и другие внутренние документы.
• Доступ работников — проверяем, кому предоставлена информация, как оформлен доступ и ведется ли учет соответствующих лиц.
• Трудовые документы — анализируем трудовые договоры, контракты, обязательства о неразглашении и документы об ознакомлении работников.
• Работу с контрагентами — проверяем NDA, условия о конфиденциальности и порядок предоставления информации внешним получателям.
• Электронные системы — анализируем правовые правила работы с корпоративной почтой, облачными сервисами, внутренними базами и иными информационными ресурсами.
• Хранение и передача информации — проверяем обращение с бумажными и электронными носителями, копирование, выгрузку, передачу и уничтожение материалов.
• Прекращение доступа — оцениваем порядок действий при переводе и увольнении работников, прекращении договоров с подрядчиками и изменении полномочий.
• Готовность к инциденту — проверяем, можно ли установить источник утечки, сохранить доказательства и оперативно ограничить дальнейшее распространение сведений.

Конкретный объем работы определяется с учетом структуры компании, состава охраняемой информации, количества работников и контрагентов, действующих документов и выявленных рисков и может включать:

• анализ действующего режима коммерческой тайны;
• проверку перечня сведений, составляющих коммерческую тайну;
• выявление сведений, которые не могут охраняться в таком режиме;
• проверку положения о коммерческой тайне;
• анализ приказов, инструкций и других локальных документов;
• проверку назначения ответственных работников;
• анализ порядка предоставления доступа к конфиденциальной информации;
• проверку учета лиц, получивших доступ;
• анализ трудовых договоров и контрактов;
• проверку обязательств работников о неразглашении;
• анализ документов об ознакомлении работников с режимом;
• проверку NDA и условий о конфиденциальности в договорах;
• анализ порядка передачи сведений подрядчикам и консультантам;
• проверку правил хранения бумажных и электронных носителей;
• анализ порядка доступа к корпоративным системам и облачным хранилищам;
• проверку порядка прекращения доступа при увольнении работников;
• анализ порядка возврата и уничтожения конфиденциальных материалов;
• выявление расхождений между локальными документами и фактическими процессами;
• оценку рисков привлечения работников или контрагентов к ответственности;
• анализ обстоятельств предполагаемой утечки или разглашения;
• оценку имеющихся доказательств нарушения;
• подготовку рекомендаций по устранению выявленных недостатков;
• корректировку действующих документов;
• разработку новых локальных и договорных документов;
• подготовку правовой позиции при нарушении режима коммерческой тайны;
• подготовку требований о прекращении нарушения и возмещении причиненных убытков при наличии оснований.

1. Определяем объем аудита
   Уточняем состав охраняемой информации, структуру компании, круг работников и контрагентов с доступом и перечень действующих внутренних документов.
2. Проверяем документы и фактические процессы
   Анализируем установленный режим, порядок доступа, трудовые и договорные документы и сопоставляем их с реальной практикой хранения, использования и передачи информации.
3. Выявляем правовые и организационные риски
   Определяем отсутствующие документы, несоответствия, неконтролируемые доступы и другие обстоятельства, которые могут затруднить защиту коммерческой тайны или применение ответственности при нарушении.
4. Корректируем систему защиты
   Подготавливаем или обновляем положение, приказы, обязательства работников, NDA и другие документы и определяем необходимые изменения в порядке доступа и обращения с информацией.
5. Оцениваем ответственность и действия при нарушении
   Если утечка или разглашение уже произошли, анализируем обстоятельства и доказательства, определяем применимые меры в отношении работника, контрагента или другого лица и подготавливаем правовую позицию для дальнейшей защиты интересов компании.