保密措施怎么做才算数：司法解释七项清单，逐条对照落地

一句话定义：法律对保密措施的要求不是「万无一失」，而是「在正常情况下足以防止泄露」；司法解释给了七项可以直接照做的动作，但七项不是打勾清单，而是要组合成一套能拿出证据的管理体系。

适用条件：什么叫「采取了相应保密措施」

一、标准只有一句，但含义有两层

《反不正当竞争法》第十条第四款给商业秘密下的定义是三个要件：不为公众所知悉、具有商业价值、经权利人采取相应保密措施。前两个是信息的属性，第三个是权利人的行为——这一条最容易失守，因为它是唯一需要权利人主动去做的事。

「相应」两个字怎么理解，《最高人民法院关于审理侵犯商业秘密民事案件适用法律若干问题的规定》第六条给了标准：「具有下列情形之一，在正常情况下足以防止商业秘密泄露的，人民法院应当认定权利人采取了相应保密措施。」

这句话有两层含义。

第一层，标准是「正常情况」，不是「极端情况」。 不要求你防住所有可能的泄露，只要求在正常的管理水平下，信息不会被随意获取。换句话说，法院看的不是「有没有被泄露」，而是「有没有设防」。

第二层，标准是「足以防止」，与信息的价值相匹配。 一份价值千万的配方，和一份普通的客户联系方式，要求的保密强度不同。信息越核心，措施越要严密；措施与价值明显不匹配的，法院可能认为「没有采取相应措施」。

二、七项措施逐条拆解

司法解释第六条列了七项，其中前六项是具体动作，第七项是兜底。逐条看，每一项都要回答三个问题：怎么做、留什么证据、常见怎么失败。

第一项，签订保密协议或者在合同中约定保密义务

怎么做。 三层覆盖：全体员工签劳动合同附保密条款或者单独的保密协议；外部合作方（供应商、经销商、代工厂、咨询机构）在合同里加保密条款；特殊场景（尽调、审计、参观、试用）签单独的保密承诺书。

留什么证据。 签字的协议原件、电子签署记录、签署时间、签署人身份信息。关键是「谁签了、什么时候签的、签的版本是哪一版」，三样缺一不可。

常见怎么失败。 只跟高管签，普通员工没签；协议是通用模板，没有明确保密信息的范围；签了但没给员工一份；员工离职后协议找不到了。最典型的一种失败是「事后补签」——侵权行为发生后，让员工补签一份落款日期提前的协议，这种证据一旦被识破，整个保密体系的可信度都会崩塌。

第二项，通过章程、培训、规章制度、书面告知等方式提出保密要求

怎么做。 员工手册里专章规定保密制度；入职培训有保密课程并签到；年度保密培训有记录；核心岗位有书面的保密告知书，列明具体哪些信息属于保密范围。

留什么证据。 员工手册的签收记录、培训签到表、培训课件、考试记录、告知书回执。证据的关键是「签收」两个字——制度挂在墙上不算，要有员工确认「已阅读并理解」的签字。

常见怎么失败。 制度是总部统一发的，分公司照搬但没有本地签收；培训做了但没有签到表；员工手册改版后没有重新签收。这一类失败在劳动密集型企业里特别常见，几十个员工的签字缺失，就足以让法院怀疑制度是否真正执行。

第三项，对涉密的厂房、车间等生产经营场所限制来访者或者进行区分管理

怎么做。 厂区设门禁、访客登记、参观路线限定；核心车间挂「非授权人员禁止入内」标识；不同区域用不同颜色的工牌区分权限；访客全程陪同。

留什么证据。 门禁记录、访客登记表、监控录像（保存期限要够）、区域标识照片、工牌样式与权限说明。

常见怎么失败。 门禁有但常年敞开；访客登记表是摆设，重要客户来了不登记；监控只保存七天，事发时已经覆盖。这一类措施的价值不在于「挡住人」，而在于「留下记录」——事后能证明「谁在什么时候进过哪里」。

第四项，以标记、分类、隔离、加密、封存、限制接触人员范围等方式对商业秘密及其载体进行区分管理

怎么做。 文件标密级（绝密、机密、秘密）；纸质文件专柜存放、借阅登记；电子文档加密、加水印、设置访问权限；核心资料与普通资料分开存储。

留什么证据。 密级标注的文件样本、借阅登记簿、加密系统截图、权限配置表、水印样本。

常见怎么失败。 全部文件都标「机密」，等于没有分级；加密只加在压缩包上，密码全员共享；权限配置是「所有人可读」。这一项最容易做成形式，也是最容易被法院识破的一项——如果所有文件都标绝密，法官会认为这个标注没有识别功能。

第五项，对计算机设备、电子设备、网络设备、存储设备、软件等采取禁止或者限制使用、访问、存储、复制等措施

怎么做。 办公电脑禁止使用私人优盘（或只允许公司配发的加密盘）；重要系统按岗位分配账号，一人一号；禁止把工作文件上传到个人网盘；离职前进行数据清查；核心系统有操作日志。

留什么证据。 设备管理制度、账号权限清单、操作日志、终端安全管理系统的记录、离职清查表。

常见怎么失败。 制度有，但技术上没落地（比如制度禁止用优盘，实际没有任何技术限制）；账号共享（一个部门共用一个账号）；日志只保留一个月。这一项是数字时代最重要的一项，因为绝大多数商业秘密泄露是通过电子方式完成的。「制度上禁止」和「技术上限制」是两回事，法院更信后者。

第六项，要求离职员工登记、返还、清除、销毁其接触或者获取的商业秘密及其载体，继续承担保密义务

怎么做。 离职清单里列明「返还全部纸质资料、删除个人设备上的公司文件、交回加密盘」；离职面谈有保密提醒；离职后发书面保密提醒函；核心岗位约定离职后的保密义务期限。

留什么证据。 离职交接单（有本人签字）、设备归还记录、数据清除确认书、离职后的保密提醒函及送达凭证。

常见怎么失败。 交接单只写「工作交接完毕」，没有具体列明资料和载体；员工说「我都删了」，没有核验；离职后没有任何书面提醒。这一项在跳槽型侵权案件里几乎是决定性的——如果离职时没有做过数据清查，事后很难证明对方带走了什么。

第七项，采取其他合理保密措施的

兜底条款。 前六项没覆盖的做法，只要在正常情况下足以防止泄露，都可以算。常见的包括：核心配方拆分成多段，不同人只知道其中一段（俗称「分段知情」）；关键工艺参数只在少数人之间口头传递，不留书面记录；对外宣传时对关键技术细节作模糊处理。

三、七项不是打勾，是组合

这是本篇最要紧的一句话。 很多企业的做法是「七项都做了」——签了协议、发了手册、装了门禁、标了密级、配了账号、办了离职。但如果逐项追问证据，往往发现每一项都只有形式、没有痕迹。

法院判断的核心不是「做了几项」，而是「这些措施组合起来，能不能形成一个让普通人无法随意获取的闭环」。一个反例：某公司七项全做，但核心配方就贴在生产车间的墙上，任何进车间的人都能拍照——这种情况下，「门禁」「密级」「协议」全部失效，因为最关键的那一环是敞开的。

所以正确的做法是先找出「最薄弱的那一环」，而不是把七项平均用力。 具体方法是问三个问题：

问题一，谁知道这个秘密？ 列出全部知情人员，包括在职、离职、外部合作方。名单之外的任何人能不能接触到？ 如果能，这里就是漏洞。

问题二，秘密存放在哪里？ 纸质在哪、电子在哪、有没有备份、备份谁管。任何一个存放点没有权限控制，这里就是漏洞。

问题三，秘密怎么流转？ 从产生到使用到归档，中间经过哪些人、哪些系统。任何一个环节没有留痕，这里就是漏洞。

三个问题回答完，薄弱环节自然浮现。把资源集中投在薄弱环节上，比平均撒胡椒面有效得多。

法条依据

与相邻概念的区别

与商业秘密的区别。 那一篇讲三要件——秘密性、价值性、保密性；本篇只讲第三个要件「保密性」怎么落地。三要件里，秘密性和价值性是信息的客观属性，只有保密性是需要主动作为的。

与商业秘密举证责任的区别。 那一篇讲的是诉讼中谁先举证、举证到什么程度；本篇讲的是在诉讼之前该做什么，才能让举证变得容易。顺序上是先有措施、后有举证——没有措施，举证阶段再努力也没用。

与保密协议的区别。 保密协议是七项措施里的第一项，是其中一项，不是全部。只签协议不做其他措施，是实务中最常见的失败模式——协议能证明「有约定」，但证明不了「有防护」。

与竞业限制的区别。 竞业限制约束的是员工离职后的就业范围，依据是劳动合同法第二十三条、二十四条，要支付补偿金；保密义务约束的是信息使用，不需要支付补偿，且没有期限限制（只要信息还是秘密）。两者可以并行，但不能互相替代——签了竞业限制不等于做了保密措施，做了保密措施也不等于可以限制就业。

实操指引

一、按信息分级，不按部门分级

最常见的错误是按部门划保密范围——研发部全部保密、销售部全部不保密。这种划法有两个问题：研发部也有公开信息，销售部也有核心客户名单。

正确的做法是按信息本身分级。 建议分三级：

一级（核心）：配方、工艺参数、源代码、核心算法、未公开的财务数据。措施要求：分段知情、加密存储、访问留痕、离职清查、专项协议。

二级（重要）：客户名单、供应商价格、合同条款、销售策略、未上市产品计划。措施要求：权限控制、标密、离职提醒、保密条款。

三级（一般）：内部管理制度、一般性经营数据。措施要求：常规保密条款即可。

分级之后要做一件事：把每一级的「载体清单」列出来。 哪份文件、哪个系统、哪台设备、哪个柜子。没有载体清单，保密措施就无法落地到具体动作。

二、把「制度」变成「痕迹」

制度的价值不在于写得多好，而在于能不能拿出执行记录。 建议按季度做一次「保密自查」，留四类痕迹：

第一类，签署痕迹。 新入职员工的保密协议、年度保密承诺书、外部合作方的保密条款。做成一张表，谁签了、什么时候签、签的哪一版。

第二类，培训痕迹。 培训通知、签到表、课件、考试卷。尤其是核心岗位的专项培训，要有针对性内容，不能只是通用课件。

第三类，权限痕迹。 系统账号清单、权限变更记录、离职账号注销记录。这一类的证明力最强，因为它有系统时间戳，不容易伪造。

第四类，检查痕迹。 门禁记录抽查、涉密文件借阅登记、终端安全检查记录。检查本身不产生价值，检查记录才产生价值。

三、离职环节：四个动作一个都不能少

离职是商业秘密泄露的最高发环节，也是保密体系最容易断链的地方。四个动作：

动作一，交接清单要具体。 不能写「工作交接完毕」，要写「交回客户名单打印件三份、交回加密优盘一个、删除个人电脑中的项目文件夹、退出共享系统账号」。每项后面有签字。

动作二，设备与数据清查要留证。 收回电脑、手机、优盘；检查个人网盘、邮箱是否有公司文件；核心岗位可以做数据恢复检查。清查结果写成书面记录。

动作三，离职面谈要提保密。 明确告知保密义务的期限、范围、违反的后果，让本人签字确认。这一份签字在后续诉讼中是关键证据。

动作四，离职后要有书面提醒。 离职后一个月内发一封保密提醒函，重申义务。这封函的意义在于「持续主张权利」，也能在诉讼中证明企业一直在管理。

四、外部合作方：把保密条款写进合同

供应商、经销商、代工厂、咨询公司、审计机构，都是泄密的常见渠道。合同里要有四句话：

第一句，定义保密信息。 不要写「一切与本公司有关的资料」，要列举：技术图纸、配方、客户名单、价格表、销售数据。

第二句，限定使用目的。 「仅用于履行本合同之目的，不得用于其他任何用途」。

第三句，约定期限与返还。 「合同终止后十日内返还或销毁全部保密信息，并出具书面确认」。

第四句，约定违约金。 违约金的作用不是赔偿，是降低举证难度——约定了违约金，就不必证明实际损失。

这四句话写进合同，比签一份单独的保密协议更有效，因为它和主合同的履行绑在一起，对方违约的成本更高。合同范本可以参考保密协议范本。

五、被侵权之后：先补措施，再谈追责

发现泄露后，第一件事不是起诉，是止损和补证。 具体五步：

第一步，控制扩散。 立即修改密码、注销账号、收回权限、通知合作方停止使用。

第二步，固定证据。 对泄密页面做公证；对内部系统日志做镜像备份；对离职员工的设备做数据恢复。这一步要找专业技术机构，自己操作容易破坏证据。

第三步，内部排查。 谁能接触到、最后一次访问是什么时候、有没有异常下载记录。排查结果要形成书面报告，将来可以作为证据。

第四步，发函。 向侵权方发律师函，要求停止使用、返还资料、删除副本。函件本身也是证据，能证明企业及时主张了权利。

第五步，评估诉讼。 诉讼的关键是证明「我采取了保密措施」和「对方以不正当手段获取或者违反义务」。前者的证据就是本篇讲的七项措施的执行记录；后者的证据要靠日志、聊天记录、证人证言。 完整的诉讼思路，前面已经对照过。

常见问题

我们公司就十几个人，也需要搞这么复杂的制度吗？

需要，但可以简化。 小公司的优势是人际信任，劣势是一旦有人背叛，损失往往是致命的。简化版的三件事就够用：一是全员签保密协议，明确列出哪些是保密信息；二是核心资料放在老板或者技术负责人控制的设备上，设密码、不共享；三是离职时办一个简单的交接，签字确认资料已交回。三件事的总成本不超过几千块，但能把「没有采取保密措施」这个致命缺陷补上。 实务中大量小微企业败诉，不是因为信息不重要，而是因为拿不出任何保密措施的证据。

员工签了保密协议，但公司没给他一份，协议有效吗？

有效，但举证会麻烦。 保密协议是双方签字即生效，公司没给员工一份不影响效力。问题在于诉讼时，员工可能主张「我没见过这份协议」「签字不是我签的」。 这时候公司要拿出原件、做笔迹鉴定，成本很高。正确做法是签两份、各持一份，或者在协议上写明「乙方已收到本协议副本一份」并由员工签字。 电子签署的话，保留签署日志和实名认证记录。

只做了门禁和监控，没签保密协议，算采取保密措施吗？

可能算，但要看信息类型。 司法解释第六条列的是「具有下列情形之一」，不是要求全部具备——理论上，仅凭第三项（场所限制）也可能被认定采取了措施。但实务中，法院会看措施与信息的匹配度：如果主张的是车间里的工艺秘密，门禁加监控加区域标识，可能够了；如果主张的是客户名单，客户名单存在销售人员的手机里，门禁对手机里的信息毫无作用，就不够。判断标准始终是那一句：在正常情况下足以防止泄露。

公司电脑装了监控软件，员工说侵犯隐私，怎么办？

制度先行的前提下，工作设备上的合理监控一般不构成侵权。 关键在三点：一是事先告知（员工手册或者单独的告知书里写明公司会对工作设备进行安全监控）；二是范围限定（只监控工作相关的文件操作、外发行为，不监控私人聊天、私人邮件）；三是目的正当（为了信息安全，不是为了窥探隐私）。三点做到，监控记录在诉讼中可以用；做不到，可能反过来被员工主张侵犯个人信息权益。 这一块的边界在《个人信息保护法》里有详细规定，企业做员工监控前应当先做一次合规评估。

技术图纸被离职员工拷走了，但公司没做数据清查，还能告赢吗？

能告，但难度大。 需要绕开「没做清查」这个弱点，走另外两条路：一是证明图纸本身有保密措施（加密、权限、标密、水印），二是证明对方有接触和使用的证据（新公司的产品与图纸高度相似、对方电脑里有残留文件、有证人证明其拷贝）。举证责任在特定条件下可以转移——权利人证明「有保密措施」且「合理表明被侵犯」后，涉嫌侵权人应当证明其不存在侵权行为。但这个转移不是自动的，前提仍然是权利人先完成初步举证。 具体规则前面已经讲过，这里不再重复。

保密措施要花很多钱吗，有没有低成本的方案？

有，而且低成本方案往往更实用。 五个几乎不花钱的动作：一是把保密条款写进现有合同（改模板，零成本）；二是给文件标密级（在页眉加一行字）；三是给核心文件加打开密码（办公软件自带功能）；四是离职时让员工签一张交接确认单（一张纸）；五是每年做一次保密提醒邮件（十分钟）。这五件事做完，基本的保密体系就有了。 花钱的是门禁系统、终端安全管理软件、数据防泄漏系统，这些是规模化之后的升级项，不是起步项。

保密措施做了，但没有书面记录，诉讼时怎么证明？

靠三类替代证据。 一是系统记录（门禁日志、账号登录日志、文件访问日志），这些有系统时间戳，证明力强；二是第三方证据（公证处的公证、合作方的确认函、行业协会的证明）；三是证人证言（在职员工、离职员工、外部合作方的陈述），但证人证言的证明力弱，需要与其他证据印证。最忌讳的是让员工事后补签文件——一旦被识破，整个证据体系都会失去可信度。如果确实什么都没有，策略上应当转向「证明对方以不正当手段获取」，而不是死磕「我做了保密措施」。

客户名单到底算不算商业秘密？

看它是不是「深度信息」。 单纯的名字加电话，法院一般不认为是商业秘密——因为这类信息可以从公开渠道获取，没有秘密性。能构成商业秘密的客户名单，通常包含：交易习惯、价格底线、采购周期、决策人偏好、特殊需求、历史交易记录。这些信息是长期积累的结果，竞争对手无法轻易获得，才具备秘密性。 司法解释明确，客户基于对员工的个人信赖而自愿选择与其交易的，不构成侵权——这条「信赖关系抗辩」是员工跳槽案件里最常用的抗辩，企业要有心理准备。 完整的分析可以回看前面那一篇，实务操作可以看客户名单被带走的维权路径。

公司被收购或者合并，保密措施要重新做吗？

要重新确认，不能想当然。 主体变更后，原来的保密协议是否继续有效、员工是否知情、系统权限是否调整，都要重新处理。三件事：一是向全体员工书面通知主体变更，明确保密义务由新主体承继；二是重新签署或者补充签署协议；三是系统账号、门禁权限按新架构重设。常见的问题是被收购方的员工认为「换了老板，老协议不算了」，这时候如果没有书面通知和重新确认，诉讼中会很被动。另外，并购尽调本身也是泄密高发环节——尽调资料要有单独的保密安排，接触范围要限定，尽调结束后要确认销毁。竞业与保密在员工端的证据准备，可以对照竞业限制与服务期证据清单；情节严重的泄露行为，可能触及侵犯商业秘密罪，那就是另一条线了。