商业秘密：配方、客户名单、源代码，凭什么算秘密、怎么才算保密

一句话定义：商业秘密，是指不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息；三个条件——秘密性、价值性、保密性——必须同时具备，缺一个就不受保护，而「保密性」是实务中败诉最集中的那一环。

构成要件

商业秘密是知识产权里最特殊的一种权利：它不需要登记、不需要审查、没有期限，但它的成立完全依赖权利人自己的管理动作。 你可以有一份全世界最值钱的配方，只要没有采取保密措施，它在法律上就不是商业秘密。

一、客体范围：技术信息与经营信息，条文用「等商业信息」兜底。

《最高人民法院关于审理侵犯商业秘密民事案件适用法律若干问题的规定》第一条给了两份清单，实务中判断「这东西能不能当商业秘密保护」，先在这两份清单里找位置。

技术信息包括：与技术有关的结构、原料、组分、配方、材料、样品、样式、植物新品种繁殖材料、工艺、方法或其步骤、算法、数据、计算机程序及其有关文档等信息。

经营信息包括：与经营活动有关的创意、管理、销售、财务、计划、样本、招投标材料、客户信息、数据等信息。

客户信息被单独展开：包括客户的名称、地址、联系方式以及交易习惯、意向、内容等信息。这一句里的后半段是关键——「交易习惯、意向、内容」才是客户名单能成为商业秘密的原因，光有一份企业名录不行。

两份清单有三个特点值得注意：

第一，「数据」在两份清单里都出现了。 技术侧的数据（实验数据、测试数据、工艺参数）与经营侧的数据（用户画像、交易记录、价格策略）都能装进来。这是数据权益保护在商业秘密框架内的一条现实路径，也是《反不正当竞争法》第十三条之外的另一条线。

第二，「算法」明确在技术信息里。 推荐算法、定价算法、风控模型，只要满足三要件，可以作为商业秘密保护，不必申请专利、不必公开。这对互联网企业意义很大——申请专利意味着公开，而算法一旦公开就失去秘密性。

第三，「创意」「计划」也在经营信息里。 尚未实施的商业计划、正在酝酿的产品方向、投标前的报价策略，都可以是商业秘密。但「创意」的保护边界很窄：抽象的想法很难证明「不为公众所知悉」，必须落到具体的方案、参数、执行步骤上。

二、秘密性：不为公众所知悉，判断时点是「被诉侵权行为发生时」。

司法解释第三条给的表述是：权利人请求保护的信息在被诉侵权行为发生时不为所属领域的相关人员普遍知悉和容易获得的，应当认定为不为公众所知悉。

这一句里有三个技术点：

时点是「侵权行为发生时」，不是「研发完成时」，也不是「起诉时」。 这意味着：如果你的信息在侵权发生前已经公开，后来再「收回」也没用；如果侵权发生后才公开，不影响此前的侵权认定。举证时要特别注意时间线，很多案件输在「无法证明侵权发生时它还是秘密」。

主体是「所属领域的相关人员」，不是普通公众。 行业内人人皆知的东西不是秘密，但跨行业看很普通、在本行业里没人知道的东西，仍可能是秘密。判断基准是「本领域技术人员的普遍知悉程度」。

标准是「普遍知悉」加「容易获得」，两个条件并列。 公开渠道能查到，是容易获得；公开渠道查不到，但通过观察上市产品就能直接得出的，也是容易获得。后者是很多企业的盲区——产品一上市，结构、材料、简单组合就暴露了。

司法解释第四条列了五种「已为公众所知悉」的情形：

• 属于所属领域的一般常识或者行业惯例；
• 仅涉及产品的尺寸、结构、材料、部件的简单组合，所属领域相关人员通过观察上市产品即可直接获得；
• 已在公开出版物或者其他媒体上公开披露；
• 已通过公开的报告会、展览等方式公开；
• 所属领域相关人员从其他公开渠道可以获得。

但第四条第二款留了一扇门：将为公众所知悉的信息进行整理、改进、加工后形成的新信息，符合第三条规定的，应当认定该新信息不为公众所知悉。 这一款是「数据加工」「工艺优化」类案件的落脚点——原料是公开的，但你摸索出的配比、温度曲线、时间参数不公开，那部分仍是秘密。

三、价值性：具有商业价值，包括现实的与潜在的。

条文的表述只有「具有商业价值」五个字，没有限定金额门槛。 实务中的理解是：能够为权利人带来现实的或者潜在的经济利益，或者带来竞争优势。

三类容易被忽略的「有价值」：

第一，消极信息也有价值。 反复失败的实验数据、走过的弯路、被否掉的技术路线，能帮企业省下重复研发的成本，同样可能构成商业秘密。这一点在研发密集行业很有用，因为失败数据往往不被当作资产，管理上最容易漏。

第二，阶段性成果也有价值。 不要求已经投产、已经盈利，只要在研发或者经营过程中能带来竞争优势即可。

第三，价值不需要很大。 没有「最低价值门槛」的规定，但价值大小会直接影响赔偿数额与刑事立案——刑事上「情节严重」有损失数额或者违法所得数额的门槛，行政上罚款档次也与情节挂钩。

四、保密性：采取「相应」的保密措施，这是最关键也最容易输的一环。

条文用的是「相应」而不是「严格」「完善」「万无一失」。 这意味着法律不要求你把秘密守成铁桶，只要求你有可识别的、与秘密价值相匹配的保密动作。

司法解释第五条给了五个判断因素：商业秘密及其载体的性质、商业秘密的商业价值、保密措施的可识别程度、保密措施与商业秘密的对应程度、权利人的保密意愿。

注意「可识别程度」与「对应程度」这两个词：保密措施要让接触者知道「这是秘密」（可识别），也要针对这份秘密本身（对应）。把全公司的文件都标成「机密」，等于没有标识——这是实务中最常见的无效保密。

司法解释第六条进一步列了七种「在正常情况下足以防止商业秘密泄露」的措施，构成一份可以直接照做的清单：

1. 签订保密协议或者在合同中约定保密义务；
2. 通过章程、培训、规章制度、书面告知等方式，对能够接触、获取商业秘密的员工、前员工、供应商、客户、来访者等提出保密要求；
3. 对涉密的厂房、车间等生产经营场所限制来访者或者进行区分管理；
4. 以标记、分类、隔离、加密、封存、限制能够接触或者获取的人员范围等方式，对商业秘密及其载体进行区分和管理；
5. 对能够接触、获取商业秘密的计算机设备、电子设备、网络设备、存储设备、软件等，采取禁止或者限制使用、访问、存储、复制等措施；
6. 要求离职员工登记、返还、清除、销毁其接触或者获取的商业秘密及其载体，继续承担保密义务；
7. 采取其他合理保密措施。

这七项不是「必须全做」，而是「做了就大概率被认定」。小微企业的最低配置是三样：一份签了的保密协议、一份有签收记录的保密制度、一个能查的权限台账。中大型企业要加上：文档分级与标识、设备与账号管控、离职面谈与载体清点、对外合作的保密条款。

注意第六项里的「前员工」——保密义务不因离职而终止，这一点在员工跳槽类案件中经常被忽略。但要注意区分：保密义务是法定的、无期限的（直到信息公开）；竞业限制是约定的、有期限的（最长二年）且有补偿，两者不能混为一谈。

五、客户名单的特别规则：长期交易关系本身不够。

司法解释第二条讲了两件事，都很硬。

第一件：「当事人仅以与特定客户保持长期稳定交易关系为由，主张该特定客户属于商业秘密的，人民法院不予支持。」 也就是说，「这个客户跟我做了十年生意」不是理由，你必须证明这份客户信息里有别人不容易拿到的深度内容——具体的联系人、决策链、交易习惯、价格敏感度、采购周期、特殊要求、历史争议。

第二件：「客户基于对员工个人的信赖而与该员工所在单位进行交易，该员工离职后，能够证明客户自愿选择与该员工或者该员工所在的新单位进行交易的，人民法院应当认定该员工没有采用不正当手段获取权利人的商业秘密。」 这叫「信赖关系抗辩」，是跳槽类案件中员工一方最有效的抗辩之一。

两条合起来的意思是：客户名单能不能保护，取决于「客户是认公司还是认人」以及「名单里有没有非公开的深度信息」。典型裁判思路见客户名单与发票能否构成商业秘密案。

六、反向工程与自行研发：合法的获取方式。

司法解释第十四条规定：通过自行开发研制或者反向工程获得被诉侵权信息的，应当认定不属于侵犯商业秘密行为。 反向工程的定义是：通过技术手段对从公开渠道取得的产品进行拆卸、测绘、分析等而获得该产品的有关技术信息。

但这一条有三道限制：

第一，产品必须从公开渠道取得。 通过不正当手段拿到的样品，做反向工程也洗不白。

第二，合同可以排除。 如果购买时签了禁止反向工程的条款（常见于设备、软件许可），违反约定做反向工程，可能构成违约，虽然不构成侵犯商业秘密。

第三，先侵权后反向工程不行。 司法解释明确：「被诉侵权人以不正当手段获取权利人的商业秘密后，又以反向工程为由主张未侵犯商业秘密的，人民法院不予支持。」

法条依据

与相邻概念的区别

一、与专利的区别：公开换保护，还是不公开自己守。

专利是「公开换保护」：把技术方案完整公开，换取最长二十年的排他权，到期后任何人可用。商业秘密是「不公开自己守」：不公开、不登记、无期限，但一旦公开就永久失去，且不能阻止别人独立研发或者反向工程。

选择的分水岭是「能不能反向工程」：容易被拆解、测绘、分析出来的技术（机械结构、外观构造、简单配方），申请专利更稳，因为产品一上市秘密就守不住；难以反向工程的技术（工艺参数、催化剂配方、算法权重），走商业秘密更划算，因为可以无限期持有。

两者可以并用，但要小心：专利申请文件里写的内容，自申请日起就丧失秘密性；用商业秘密保护核心参数、用专利保护外围结构是常见组合。

二、与著作权的区别：保护「信息」还是保护「表达」。

著作权保护的是表达形式，不保护思想、方法、原理。商业秘密保护的恰恰是信息内容本身——配方就是配方，参数就是参数，换一种写法照样是同一个秘密。

软件是最典型的交叉领域：源代码可以作为文字作品受著作权保护，同时可以作为技术信息受商业秘密保护。两条路的取证难度完全不同：著作权侵权要比对表达的实质性相似，商业秘密侵权只要证明「接触 + 实质相同」就可能转移举证责任。具体规则见计算机软件著作权词条。

三、与竞业限制的区别：法定义务与约定义务。

保密义务是法定的：不管有没有约定，知悉商业秘密的人都不得披露、使用（反法第十条第一款第三项的前提是有保密义务或者权利人的保密要求，这个义务可以来源于法律规定、合同约定或者职业伦理）。没有期限，直到信息公开为止，且不需要支付对价。

竞业限制是约定的：必须签协议、必须支付补偿、最长二年、范围要合理，超出合理范围或者不给补偿的，条款可能无效或者员工可以解除。

两者保护的东西不同：保密义务保护「秘密本身」，禁止的是披露与使用；竞业限制保护「竞争利益」，禁止的是入职竞品。所以「员工去了竞品但没用秘密」，违反的可能是竞业限制而不是商业秘密；「员工没去竞品但把配方发给了朋友」，违反的是保密义务。

四、与员工「个人知识、经验、技能」的区别：这是跳槽案件的第一道关。

员工在工作中积累的通用知识、行业经验、操作技能，属于劳动者人格的一部分，不属于用人单位。这条界线划在哪里，决定了大量跳槽案件的胜负。

实务中的判断方法是看「可分离性」：这项能力离开这家公司还能不能用——能用，属于个人技能；只能在特定公司的特定岗位上用，且依赖该公司特有的信息，更可能属于商业秘密。

举证上，企业要证明的是「员工带走的是具体信息，不是抽象能力」：带走了客户名单的具体联系方式与交易条件，是信息；记住了「这个客户喜欢压价」这种经验，很难主张。

五、与国家秘密的区别：一套完全不同的规则。

国家秘密依《保守国家秘密法》确定，有密级、有定密程序、有期限，泄露可能构成犯罪，保护主体是国家。商业秘密依反法确定，保护主体是企业，救济途径是民事、行政、刑事。

两者可能重合：涉及国防、尖端技术的企业秘密，可能同时是国家秘密。此时优先适用国家秘密的规定，且不能以「这是商业秘密」为由拒绝监管部门的查阅。

实操指引

一、企业侧：把「保密」做成可举证的五个动作。

动作一，先盘点，再分级。 把公司里「别人知道了会吃亏」的信息列成清单，按价值分三级（核心、重要、一般），每一级对应不同的访问权限与审批流程。盘点要落到具体载体：哪份文档、哪个系统、哪台设备、哪个人的电脑。没有清单的保密体系，在法庭上说不清「你到底保护了什么」。

动作二，让秘密「可识别」。 文档加水印与密级标识、样品加编号、图纸加借阅登记、系统加权限分组。目标是让每一个接触到的人一眼知道「这是秘密」，而不是靠口头交代。这是司法解释第五条「可识别程度」的落地方式。

动作三，把义务写进纸面并留签收记录。 劳动合同里的保密条款、单独的保密协议、员工手册的签收页、供应商与客户合同里的保密条款。签收记录比条款本身更重要——没签收的制度，员工可以说「我不知道」。

动作四，管住出口。 离职面谈必谈三件事：返还载体、清除个人设备上的资料、书面重申保密义务。技术侧要加两件事：离职当日的账号停用与权限回收、邮件与外发记录的抽查。这三件事的记录，就是日后主张「我已采取措施」的证据。

动作五，对外合作先签保密协议再谈事。 洽谈阶段就要签，不要等签约时补。协议要写清四件事：保密信息的范围、使用目的限制、保密期限（建议写「至信息公开为止」）、违约与赔偿。可以直接用商业秘密保护协议范本；体系化的建设参考商业秘密保护体系建设咨询合同；涉及跨境合作或者外籍员工的，还要在协议里叠加跨境提供、境外访问权限与法律适用的专门条款。

二、维权侧：三步证明法。

第一步，证明「我有一项商业秘密」。 三要件逐一举证：秘密性（研发记录、形成时间、未公开的证明）、价值性（投入成本、收益数据、竞争优势说明）、保密性（制度、协议、签收、权限记录、标识照片）。

第二步，证明「对方接触过」。 员工离职清单、系统访问日志、邮件记录、会议记录、合作洽谈记录。接触的证明不需要直接证据，间接证据链足够——「他有权限 + 他在离职前批量下载」就能说明问题。

第三步，证明「实质相同」。 把双方的信息做比对，重点是「相同点是否无法用独立研发解释」。这一步可以触发举证责任转移：权利人提供初步证据证明「对方有渠道或者机会获取，且使用的信息与商业秘密实质上相同」，涉嫌侵权人就要证明自己不存在侵权行为（反法第三十九条）。

三、被指控方：四条有效抗辩。

抗辩一，不构成商业秘密。 打三要件中最弱的一环，通常是保密性（对方没采取相应措施）或者秘密性（信息已公开、属于行业常识）。

抗辩二，合法来源。 自行研发（有研发记录）、反向工程（有拆卸测绘记录）、合法受让或者许可（有合同）、客户自愿（信赖关系抗辩）。

抗辩三，没有接触、没有实质相同。 这时候拼的是技术比对的细致程度，建议早做独立鉴定。

抗辩四，已过诉讼时效或者不构成「使用」。 注意司法解释第九条把「使用」解释得很宽：直接使用、修改改进后使用、根据商业秘密调整优化生产经营活动，都算使用。所以「我没照抄，我只是参考了一下」通常站不住。

四、时间线与证据保全。

商业秘密案件的证据极易灭失：对方一收到风声就删库、格式化、换设备。所以第一动作往往是证据保全，而不是发函。保全的形式包括：公证购买、公证浏览、诉前证据保全（向法院申请）、诉前行为保全（责令停止）。申请书的写法可参照证据保全申请书模板。

劳动仲裁与民事侵权可以并行：员工违反保密义务，既可以按劳动争议处理，也可以按侵权起诉，但同一损失不能重复获赔。选择哪条路，取决于你想要什么——想要快，走劳动；想要赔得多、想要禁令，走侵权。

常见问题

公司没跟我签保密协议，我还需要保密吗？

需要。 反法第十条第一款第三项的表述是「违反保密义务或者违反权利人有关保守商业秘密的要求」，「保密义务」不只来源于合同，还可以来源于法律规定、公司章程、岗位职责、职业伦理。公司发过保密制度、你签收过员工手册、你的岗位本身就涉及核心信息，都可能构成保密义务。 但对企业来说，没有书面协议，举证难度会显著上升——这也是为什么第一件事永远是签协议。

我们只有三个人的小公司，做保密措施是不是太夸张？

不夸张，但要「相称」。 法律要求的是「相应」的保密措施，与秘密的价值、企业的规模相匹配。三个人的公司，一份签了的保密协议、一个加了密码的共享盘、一份标了「机密」的配方文档，就足以构成「相应」。反过来，几十亿营收的企业只用一份模板协议，可能被认定措施不足。判断标准不是「做了多少」，而是「够不够让接触者知道这是秘密、够不够防止正常泄露」。

客户名单到底怎么才能算商业秘密？

要有「别人拿不到」的深度信息。 单纯的名称、地址、电话名录，通常被认为可以从公开渠道获得，不构成商业秘密。能构成的是：具体联系人及其决策权限、历史成交价格与折扣区间、采购周期与库存节奏、特殊技术或者包装要求、过往争议与解决方式、尚未公开的采购计划。另外要证明你采取了保密措施（比如客户名单存在加密系统里、只有销售总监能看）。「客户跟我做了十年」这句话本身没有用，这是司法解释第二条明确否定的。

员工离职后去了竞品，能直接起诉侵犯商业秘密吗？

不能直接起诉，要先看有没有「带走具体信息」。 仅仅入职竞品，不构成侵犯商业秘密（那可能违反竞业限制，属于另一条线）。要起诉，至少要有三样东西：他接触过特定商业秘密的证据、新单位使用了实质相同信息的证据、该信息符合三要件的证据。实务中最常见的情形是：离职前批量下载、转发到个人邮箱、用手机拍照图纸——这些行为本身就能构成「以不正当手段获取」，不必等到对方投产。

反向工程合法，那我们买竞品回来拆解研究，是不是绝对安全？

三条限制要避开。 一是来源要合法（公开渠道购买，保留购买凭证）；二是不能违反约定（购买时签了禁止反向工程的条款，做了可能构成违约）；三是不能先侵权后补做（先拿到秘密再做反向工程，法院不认）。另外注意：软件的反向工程还受著作权法约束，《计算机软件保护条例》对「为了学习和研究软件内含的设计思想和原理」有例外，但超出这个范围就可能同时侵犯著作权。

把秘密存到员工个人手机、个人网盘，还算采取保密措施了吗？

很难算，甚至是反证。 「相应保密措施」要求对载体进行管控（司法解释第六条第五项、第六项）。允许或者默许员工把核心资料存在个人设备上，等于失去对载体的控制，一旦发生泄露，连「信息是什么、有没有被改过」都说不清。正确做法是：公司统一设备或者受管设备、禁用个人网盘、离职时清点。

技术秘密被侵犯，损失怎么算？

四条路径，按顺序试。 一是权利人的实际损失（研发成本、销量减少、价格侵蚀）；二是侵权人的获利（对方因此省下的研发费用、因此获得的订单利润）；三是许可使用费的合理倍数（有可比许可时）；四是法定赔偿，反法第二十二条第四款规定，违反第七条、第十条且实际损失、侵权获利难以确定的，法院可以判给五百万元以下的赔偿。故意侵犯商业秘密且情节严重的，还可以按确定数额的一倍以上五倍以下适用惩罚性赔偿。赔偿计算的具体方法是先算损失、再比获利、最后兜底法定赔偿，逐层往下走。

把秘密申请了专利，还能再主张商业秘密吗？

申请文件公开的部分不能，未公开的部分可以。 专利申请文件自公开日起，其中记载的技术方案丧失秘密性。但申请文件通常只写必要技术特征，实际的工艺参数、最佳配比、生产诀窍往往不写进去——这部分仍然是商业秘密。所以「申请了专利就完全放弃商业秘密」和「申请专利不影响商业秘密」两种说法都不准确，要看具体公开了什么。

供应商、客户泄露了我们的秘密，能追责吗？

能，两条依据。 一是合同法上的违约责任（保密条款）；二是反法第十条第一款第三项（违反保密义务披露、使用）。注意第二款：「经营者以外的其他自然人、法人和非法人组织实施前款所列违法行为的，视为侵犯商业秘密」——主体不限于经营者，供应商、客户、离职员工个人都能成为侵权主体。如果对方明知是别人的秘密仍然获取、使用，第三款也会把它拉进来。

保密协议里写「违约金一百万」，有效吗？

可能有效，但法院可以调整。 违约金条款属于约定，原则上尊重；但如果对方主张过高，法院会按实际损失、过错程度、预期利益等因素酌减。更稳的写法是「赔偿实际损失 + 约定损失计算方法」，而不是一个孤立的数字。另外注意：保密义务本身不需要支付对价，所以「没给保密费，保密条款无效」的说法不成立（这一点与竞业限制相反）。

发现秘密被泄露，第一件事做什么？

先保全，再发函。 顺序反了，证据就没了。具体动作：① 对内封存日志、冻结账号、保存原始载体；② 对外做公证（网页、聊天记录、展会、店铺）；③ 评估是否需要诉前禁令（对方正在大规模生产销售时，禁令比赔偿更值钱）；④ 再发律师函或者启动诉讼。如果涉及刑事，可以向公安机关报案，刑事立案后的侦查手段（搜查、扣押、电子数据提取）是民事程序拿不到的。报案与民事索赔可以并行，但要注意刑事程序中的陈述会成为民事案件的证据，措辞要一致。维权路径的整体梳理见客户名单被带走、技术图纸被拷走：商业秘密怎么保住；员工作为被告时的应对，见员工泄露公司商业秘密，公司能索赔吗。