参考案例重庆市某某软件职业培训学院诉毛某某知识产权合同纠纷案

一、案情速览

一名培训机构的员工跳槽前拷走了二十万条学生信息，机构报了案，双方签了一份和解协议：赔五十万，分期付。员工付了八万、转让了百分之十股权，剩下的没给。机构起诉要三十四万。

员工反诉说协议是被胁迫签的，要求撤销并退钱。机构说协议是真实意思表示，撤销之诉早过了除斥期间。

两审的结论完全相反。二审撤销一审判决，驳回机构的全部请求，还判机构返还八万和百分之十股权。理由是一条很少有人想到的线：这批「商业秘密」是二十万条在校学生的姓名电话，机构收集时未经本人同意。

二、裁判要点提炼

和解协议以解决争议为目的，争议法律关系本身具有不确定性，双方在签订时即应当预见到所确认的内容可能与真实状况不一致，并为此放弃对真实状况的追究。一方事后以约定事项与真实状态不符为由主张协议无效的，一般不予支持。

但和解协议仍受合同效力一般规则约束。争议法律关系损害社会公共利益或者违反法律、行政法规强制性规定的，和解协议无效。商业秘密涉及自然人个人信息、该信息系未经同意收集使用的，构成和解协议无效的事由。

三、赵律师点评

二十万条学生信息，和一份和解协议

毛某某曾在重庆某培训学院的信息部工作。

他的工作内容很具体：把市场部工作人员收集来的个人信息汇总，转换成公司统一的格式，录入公司的系统。

这些信息从哪来？判决书写得清楚：市场部工作人员通过发宣传单、巡展的方式，搜集在校学生的信息。收集的内容包括姓名、性别、电话号码、毕业院校，部分还包括即时通讯号码，但不包括居民身份证号码、会考号这些。

2014 年，毛某某的行为被发现。机构以他涉嫌侵犯商业秘密罪向公安机关报案，重庆市沙坪坝区公安分局立案侦查。

同年，双方签了一份《和解协议书》。

协议写得很详细，详细到有点危险。它载明：毛某某于 2014 年 6 月通过公司内部系统网站的导入界面，盗取机构约二十万条客户信息；涉及广安、泸州、达州、遂宁、合川等十个区域；盗取后通过邮件转交给了另一位周某。

约定赔偿五十万元，分期支付。

协议签订后，毛某某按约支付了八万元，并把他持有的重庆某教育咨询有限公司百分之十的股权办理了变更登记。

后面的事情，是协议没有按约履行。剩下的钱，毛某某没再给。

机构起诉，请求判令毛某某支付赔偿款三十四万元并给付利息损失。

毛某某答辩并反诉，提了两点：这份《和解协议书》是在机构以他涉嫌侵犯商业秘密罪向公安机关报案的情况下签的，属于受胁迫，请求撤销；机构应当返还他已经支付的赔偿款及利息。

机构的回应也很直接：协议是双方真实意思表示，不存在胁迫；而且撤销之诉已经超过法定的除斥期间。

一审，重庆市沙坪坝区人民法院，2017 年 5 月 3 日：判毛某某给付三十四万元，驳回机构的其他请求，驳回毛某某的反诉请求。

一审的思路很朴素：协议是你签的，钱是你欠的，胁迫没有证据，撤销也过期了，那就还钱。

二审，重庆市第一中级人民法院，2017 年 12 月 6 日，全部推翻：撤销一审判决，驳回机构的全部诉讼请求，判机构返还八万元、返还百分之十的股权，不能返还股权则返还八万元。

一份自己签了字、还部分履行了的和解协议，为什么会被判成一张废纸？

二审判决开头就把要解决的问题拆成了三个层次，这三层值得完整看一遍：

第一层，争议法律关系本身对和解协议的效力有没有影响；

第二层，如果产生影响，作为争议法律关系权利基础的商业秘密涉及自然人个人信息时，要不要考虑商业秘密与个人信息之间的权益冲突；

第三层，如果需要考虑冲突，能不能通过审查商业秘密的合法性来解决。

三层走完，答案是否定的。

第一层：和解协议，本来就是用来「不追问真相」的

二审首先给了和解协议一个定位，这段话写得很清楚，我几乎照抄：

对和解协议的双方当事人而言，缔结合同的目的在于解决争议。所以在双方形成和解这种合同法律关系之前，双方必然还存在一个争议法律关系。既然是有争议的法律关系，那么该争议法律关系本身即具有不确定性，双方正是为了排除这种不确定性，才在合同中对权利基础、行为性质、标的物数量等事项进行确认或者约定。

尤其是争议法律关系是侵权法律关系时，双方必然会对侵权法律关系中的权利基础进行确认，才可能有和解协议的签订。

双方在签订和解协议时，就应当考虑到双方所确认的内容可能与实际真实状况不一致，出于解决纠纷的目的，双方都放弃对真实状况的追究。

因此，和解协议确定或者约定的事项与真实状态不符的风险，是双方在签订时就已经或者应当预见的。在履行过程中，一方以约定事项与真实状态不符对和解协议效力提出异议的，一般不应得到支持。

这段话的意思是：和解协议自带一个功能——把「真相」这件事搁置。

为什么？因为如果和解之后还能回头查「当初到底侵没侵权」，那和解就白做了。打官司本来就是为了不打了，签完再打一次，和解制度就没意义。

所以第一层，毛某某「商业秘密不具备构成要件」这个抗辩，被驳回了。

他想说的是：机构那批信息，根本不算商业秘密，因为它是公开收集的、没有采取保密措施、价值性也不够。既然不算商业秘密，那我就没侵权；既然没侵权，那五十万赔偿的基础就没了。

二审的回应是：这个说法，在一般情况下一律不成立。

这是第一个转折点。到这里，毛某某是输的。

但判决接着写了一句「但是」——

和解协议作为一种民事合同，其效力的认定仍需受合同效力一般规则的约束。若和解协议损害社会公共利益或者违反法律、行政法规强制性规定，仍应当认定为无效。

因为和解协议是针对争议法律关系而订立的，如果和解协议的签订以认可争议法律关系为前提，那么争议法律关系损害社会公共利益或者违反法律、行政法规强制性规定的，必然会影响和解协议的效力。

判决举了两个例子：以赌债、违禁品买卖为对象的和解协议，应当认定无效，否则违法行为就会借助和解协议的外衣合法化。

这一句是整篇判决的枢纽。

它的逻辑是：和解协议能搁置「事实真不真」，但不能搁置「这件事本身合不合法」。

打个比方：两个人打架，一方赔钱，签和解，事后不能再纠缠「到底谁先动的手」。但如果两个人是合伙开设赌场，事后签一份「利润分配和解协议」，这份和解是无效的——因为它把一个违法的关系固定下来了。

区别在哪？在于争议的法律关系本身，是合法的还是违法的。

于是问题就变成了：机构与毛某某之间那个「侵犯商业秘密」的法律关系，本身合不合法。

这就进到第二层。

第二层：这批「秘密」里，装着二十万个人的名字和电话

第二层的追问很特别：商业秘密和个人信息，本来是两回事，为什么会撞在一起。

判决书的分析是这样：

客户信息、潜在客户信息是现代商业竞争的重要一环，尤其在互联网时代，快速、全面掌握客户信息成为商业竞争取胜的关键因素之一。但这些信息包括了自然人个人信息，与自然人人身、财产密切相关，具有人身属性。

但是在商业秘密相关的案件中，双方当事人通常是利用商业秘密的经营者，自然人并未参与到案件中来，其可能根本就无从知晓有人搜集或者使用了其个人信息。尤其在互联网时代，部分自然人个人信息的搜集和使用相对隐蔽，只有在商业秘密纠纷案件中，这些搜集和使用情况才被披露出来。

这段话点出了一个结构性的问题：在商业秘密案件里，被收集信息的那些人，根本不在法庭上。

他们不知道自己的信息被收集了，不知道被转卖了几手，也不知道两家公司正在为这批信息打官司、争一个五十万的和解协议。

判决接着说：

尽管商业秘密纠纷和商业秘密与自然人个人信息权益冲突纠纷是两个不同的法律关系，但如果在商业秘密相关纠纷案件中仅考虑法律规定的商业秘密构成要件，不考虑商业秘密是否包括自然人个人信息，而依靠自然人另案维权的话，可能导致规范搜集、使用个人信息的难度较大——因为经营者搜集和使用个人信息的数量通常较大，而知晓个人信息被经营者搜集和使用后、向经营者主张权利的自然人必定是少数，且举证相对困难。

因此，如果商业秘密涉及自然人个人信息，平衡自然人个人信息权益以及商业秘密权益，是必须要考虑的问题。

这段说理的分量，比它看起来的重。

它实际上是在说：法院不能假装看不见。

如果法院只看「这批信息符不符合商业秘密的三个要件」，那么结论会是：客户名单、联系方式、交易习惯，只要不为公众所知悉、有商业价值、采取了保密措施，就是商业秘密。机构被盗，员工该赔。

但这样一来，机构收集这二十万条信息的过程——有没有征得学生同意，有没有告知用途，有没有超出必要范围——就永远不会被审查。

而这个过程，恰恰是信息被收集的那些学生，唯一可能被侵害的地方。

判决用一句很克制的话做了结论：平衡是必须考虑的。

那怎么平衡？进到第三层。

第三层：不合法的秘密，还能不能算「权利」

第三层要回答的是一个很尖锐的问题：合法性，是不是商业秘密受保护的前提。

判决书的处理是绕了一圈才回答的。

先看现行法。反不正当竞争法、刑法对商业秘密的定义，都是「不为公众所知悉、能为权利人带来经济利益、具有实用性并经权利人采取保密措施的技术信息和经营信息」。这个定义里，没有「合法性」这三个字。

也就是说，从字面上看，法律没有要求商业秘密必须是合法取得的。

那是不是说，违法收集来的信息，也能当商业秘密保护？

判决没有直接这么讲，它换了个角度：回到和解协议。

前面已经确立了一条规则：和解协议如果以违法的法律关系为基础，就无效。那么本案这个「侵犯商业秘密」的法律关系，基础违法不违法，取决于那批信息是不是违法收集的。

而违法收集的认定依据，是当时民法总则第一百一十一条——自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

判决说：该法虽未明确规定自然人个人信息的搜集、使用程序，但各界对于搜集、使用自然人个人信息需经其同意已经取得共识。

这句话用词很谨慎——「已经取得共识」，不是「法律明确规定」。因为当时个人信息保护法还没有出台。

但共识本身，就是判断违法性的依据。

然后是本案的事实：机构收集这二十万条信息，是市场部工作人员通过发传单、巡展的方式，从在校高中毕业生那里收集的姓名、性别、电话、毕业院校。有没有征得同意，卷宗里没有体现。

更要紧的是二审的一个细节：毛某某在二审中举证证明，重庆市公安局沙坪坝区分局已立案侦查重庆某培训学院侵犯公民个人信息一案。

也就是说，机构自己，也成了被侦查的对象。

这个证据一出，天平的倾斜就很明显了。

结论：和解协议所依据的争议法律关系，其权利基础存在合法性问题，协议无效。

无效的后果，按合同无效的一般规则处理：机构返还毛某某已经支付的八万元，返还已经变更登记的百分之十股权，不能返还股权则折价八万元返还。

机构的本诉请求，全部驳回。

一审判三十四万，二审判零，还要倒赔十六万（八万现金加八万股权折价）。

差额五十万。

私了之前，先看看自己手里那件事干净不干净

这个案子对企业的提示，比对律师的提示更直接。

很多企业在遇到员工带走客户、带走数据的时候，第一反应是报案，第二反应是私了。私了的协议里，通常会写一段「事实确认」：双方确认，某某于某年某月，通过何种方式，取走了多少条信息，涉及哪些区域，造成了多少损失。

这段写得很细，是为了固定证据、防止对方反悔。

但它同时也是风险。

因为一旦这段「事实确认」里涉及的内容本身违法，整份协议就会被连根拔起——不是部分无效，是全部无效。本案就是这样：机构本来是要三十四万，最后倒赔十六万。

所以和解之前，有一份自查清单：

第一，这个「权利」本身是怎么来的？

客户名单、供应商名录、价格表、技术图纸，这些东西的来源要干净。如果来源里有「从竞争对手那里挖来的」「从网上爬的」「员工离职带出来的」，那它作为商业秘密的基础就是脆的。

第二，里面有没有别人的个人信息？

客户名单里通常有姓名、电话、职位、偏好。这些是个人信息。收集的时候有没有告知、有没有同意、有没有超出必要范围，要能说清楚。个人信息保护法施行之后，这一条从「共识」变成了「法定义务」，标准更高了。

第三，有没有可能构成其他违法？

比如侵犯公民个人信息罪、非法获取计算机信息系统数据罪。本案机构自己也被立案侦查，就是这个道理。一旦对方掌握了这个把柄，和解协议不但保不住，还可能反过来成为对自己不利的证据。

第四，协议里的「事实确认」写多细合适？

这一点是实务经验，判决书没有涉及，属于推论：

写得越细，固定得越牢，但也越容易被抓住把柄。稳妥的做法是只写「双方对某某事项存在争议」，不写「双方确认某某实施了某某行为」。争议是状态描述，行为是定性描述。前者几乎不可能被推翻，后者一旦被证伪，整份协议就悬了。

第五，保密条款不能用来掩盖违法。

本案还有一个细节值得注意：机构与毛某某签协议时，是在刑事案件已经立案的背景下。用一份民事和解去换刑事谅解，这种做法本身不违法，但如果和解的内容是「用钱买下不追究」，而基础的违法行为还在继续，那这份协议就站在很薄的地上。

最后说一句最朴素的道理。

和解协议是一把很好用的锁。它能锁住纠纷，能锁住时间，能锁住对方反悔的嘴。

但它锁不住事实。

事实如果是脏的，锁越紧，味道越难散。

这个案子最耐人寻味的地方，是两审都把「和解协议」这四个字看得很重，但看的方向完全相反。

一审看到的是：协议签了，钱付了一部分，那就按协议办。

二审看到的是：协议签了没错，但协议背后那个东西，是二十万个高中毕业生的姓名和电话，是发传单、巡展时一条一条抄下来的，没有人问过他们同不同意。

一审处理的是一个合同纠纷，二审处理的是一个合同纠纷里藏着的信息权益问题。

后者更难，但它更接近事情的全貌。

对做企业的来说，这个案子像一记提醒：你手里最值钱的那些「客户资源」，可能是你最脆弱的环节。它既是你的商业秘密，也是别人的个人信息。这两重身份同时存在，你不能只用前一个身份去打官司。

对普通人来说，这个案子还有另一层意义。

那二十万个学生，从头到尾没有出现在任何一份判决书里。他们不知道自己的名字和电话曾经是一份五十万和解协议的标的，也不知道有一家法院，替他们问了一句「这些人同意了吗」。

判决书里没有他们的名字，但那句话是替他们说的。