商业秘密举证责任：原告要证到什么程度，才轮到被告举证

一句话定义：商业秘密举证责任，是指在侵犯商业秘密的民事审判程序中，权利人先要用初步证据证明自己已对主张的信息采取保密措施、并合理表明该信息被侵犯，此后关于「该信息是否属于商业秘密」以及「被告是否存在侵权行为」的证明责任，转由涉嫌侵权人承担；这一规则写在反不正当竞争法第三十九条，是商业秘密案件里最实用、也最容易被误读的一条。

构成要件

商业秘密案件的核心困难，从来不是法律适用，而是举证。原告要证明的东西，恰恰是被告藏在手里的东西——配方在哪、代码怎么写的、客户名单被谁拷走了。如果按「谁主张谁举证」的普通规则走，原告几乎必输。第三十九条就是为了解决这个结构性失衡而设的。

一、先破一个误解：这不是「举证责任倒置」。

很多文章把第三十九条叫作「举证责任倒置」，这个说法不准确，而且会在庭上吃亏。

举证责任倒置，指的是法律直接把某一要件的证明责任分配给对方——比如环境污染案件里，加害人要对「不存在因果关系」举证。而第三十九条的结构是两步走的：原告必须先完成「初步证据」的举证，才触发被告的举证义务。换句话说，原告的门槛降低了，但没有降为零。

准确的说法是「提供证据责任的转移」——原告先推进到一定火候，球才到被告那边。如果原告连初步证据都拿不出来，被告什么都不用证，案子直接在原告这里结束。

这个区别的实际意义在于：很多原告以为「法律规定了举证责任转移，所以我只要起诉就行」，结果在第一次开庭就被驳回。初步证据这一关，必须认真准备。

二、第一款的转移：先打「是不是商业秘密」，再谈侵权。

第三十九条第一款的结构是：权利人提供初步证据，证明两件事——① 已经对所主张的商业秘密采取保密措施；② 合理表明商业秘密被侵犯——此后，涉嫌侵权人应当证明「权利人所主张的商业秘密不属于本法规定的商业秘密」。

注意这里转移的证明对象：是「是不是商业秘密」，不是「有没有侵权」。被告在这一步要做的是：证明这个信息已经公开、没有商业价值、或者原告根本没采取保密措施。这是对「权利基础」的攻击，不是对「行为」的抗辩。

这一步的实务意义很大。因为「是不是商业秘密」是原告全部请求的前提，一旦被推翻，后面的侵权认定、赔偿计算全部不需要审了。所以被告的第一反应永远是：先打掉商业秘密的属性。

三、第二款的转移：原告三选一，被告证「没干」。

第三十九条第二款的结构是：权利人提供初步证据合理表明商业秘密被侵犯，并且提供以下三种证据之一，涉嫌侵权人应当证明其不存在侵犯商业秘密的行为。

三种证据是：

第一种，「有证据表明涉嫌侵权人有渠道或者机会获取商业秘密，且其使用的信息与该商业秘密实质上相同」。这是最常用的一种，也就是「接触 + 实质相同」。证明两件事：他能拿到（前员工、供应商、合作方、共同研发人），他用的东西和你的一样（技术比对、字段比对、错误特征比对）。

「实质上相同」不是「完全一致」。改几个变量名、换一种写法、调整参数顺序，仍然可能构成实质相同。实务中常用的证明手法是找「错误特征」——原告自己的代码里有个笔误、有个多余的字段、有个不合逻辑的参数，被告的东西里也有同样的错误，这是极难解释的巧合，证明力非常强。

第二种，「有证据表明商业秘密已经被涉嫌侵权人披露、使用或者有被披露、使用的风险」。这一种不要求证明「渠道」，只要能证明「已经在被用」——比如被告的产品已经在售、技术方案已经公开申请专利、客户已经被挖走并成交。「有被披露、使用的风险」这一表述很宽，它把「尚未发生但迫在眉睫」的情形也包含了进来，对应的是行为保全的适用场景。

第三种，「有其他证据表明商业秘密被涉嫌侵权人侵犯」。这是兜底项，给法院留了空间，也给了原告组合证据的可能。

三选一，满足一项即可，不需要三项都证。这一点经常被忽略，有些代理人在庭上把三种情形全讲一遍，反而显得没有重点。

四、原告的第一步：把「保密措施」证扎实。

保密措施是原告举证的起点，也是败诉率最高的一个环节。很多企业有保密制度，但拿不出证据；有保密协议，但签的是模板，没有针对具体信息。

最高法院关于审理侵犯商业秘密民事案件的司法解释第六条，列举了人民法院应当认定权利人采取了相应保密措施的七种情形，这份清单可以直接当作自查表用：

第一，签订保密协议或者在合同中约定保密义务。注意是「约定保密义务」，不是「签了一份名为保密协议的文件」——协议里要能对应到具体的信息范围。

第二，通过章程、培训、规章制度、书面告知等方式，对能够接触、获取商业秘密的员工、前员工、供应商、客户、来访者等提出保密要求。这一项的关键是「留痕」——培训签到表、制度签收单、入职告知书，比制度文本本身更重要。

第三，对涉密的厂房、车间等生产经营场所限制来访者或者进行区分管理。门禁记录、访客登记、区域标识，都是证据。

第四，以标记、分类、隔离、加密、封存、限制能够接触或者获取的人员范围等方式，对商业秘密及其载体进行区分和管理。文件标「机密」、系统设权限、资料分柜存放，都属于这一类。

第五，对能够接触、获取商业秘密的计算机设备、电子设备、网络设备、存储设备、软件等，采取禁止或者限制使用、访问、存储、复制等措施。这一项在技术类案件里最常用——代码仓库的权限分级、禁止外接存储、操作日志留存。

第六，要求离职员工登记、返还、清除、销毁其接触或者获取的商业秘密及其载体，继续承担保密义务。离职交接单是这一项的核心证据，很多企业做了交接但没有书面记录，等于没做。

第七，采取其他合理保密措施的情形。兜底项。

七项不必全部具备，但要有「相应的」保密措施——标准是：在正常情况下，足以让接触者知道这是秘密、并且知道不能外传。一个从来没有被标记、没有权限管理、没有保密告知的文件，很难被认定为「采取了保密措施」。

五、被告的两条反证路径。

路径一，打掉「商业秘密」的属性。三个方向：已为公众所知悉、没有商业价值、权利人未采取保密措施。其中「已为公众所知悉」最常见，具体形态包括：该信息在所属领域属于一般常识或者行业惯例；该信息仅涉及产品的尺寸、结构、材料、部件的简单组合，进入市场后相关公众通过观察产品即可直接获得；该信息已经在公开出版物或者其他媒体上公开披露；该信息已通过公开的报告会、展览等方式公开；该信息从其他公开渠道可以获得。

要注意的是「加工后新信息」的问题——如果被告只是把公开信息做了简单的拼凑、变换，不能主张「新信息」；但如果确实形成了实质性的新成果，可能构成新的商业秘密。这条界线不在「改了多少」，在「有没有产生新的、非显而易见的商业价值」。

路径二，证明「不存在侵权行为」。四个方向：合法来源（独立开发、合法受让、合法许可）、反向工程、善意取得、没有接触可能。

反向工程有三道限制，必须说清楚：一是必须通过公开渠道取得产品（买来的、市场上流通的），不能是偷来的、骗来的；二是必须自己实施拆解、测绘、分析，不能委托掌握了对方商业秘密的人来做；三是合同或者法律明确禁止反向工程的，不能以反向工程为由抗辩。

六、举证妨碍：原告的另一条路。

如果关键证据在被告手里，原告拿不到，可以申请法院责令被告提交。被告无正当理由拒不提交，法院可以推定原告的主张成立。这一条在商业秘密案件里非常好用——源代码、配方、客户名单，都在被告的服务器或者保险柜里。

申请时要注意两点：一是要具体，说明需要什么文件、为什么在对方手里、能证明什么，笼统写「请求对方提交全部技术资料」不会获准；二是要提前，在举证期限内提出，不要等到开庭当天。

七、刑民差异，别混着用。

民事案件的证明标准是「高度可能性」，刑事是「排除合理怀疑」。同一个事实，民事可能认定侵权，刑事可能不立案。

而且两者的举证结构不同：民事有第三十九条的转移规则，刑事没有——刑事侦查有侦查权，公诉机关可以调取证据，所以不需要靠举证责任转移来平衡。实务中常见的情况是：民事胜诉了，拿着民事判决去报案，公安仍要求补充证据。这不是民事判决没用，而是两套标准不同。

法条依据

与相邻概念的区别

与商业秘密的区别。那一篇讲的是「什么样的信息受保护」——三要件、保密措施、客户名单的特殊规则。这一篇讲的是「在法庭上怎么证明」。一个是实体，一个是程序。实务中的顺序是：先用实体规则判断有没有胜诉可能，再用程序规则设计举证方案。反过来做，很容易在举证上白费力气。

与侵犯商业秘密的区别。那一篇讲四种行为怎么认定、主体怎么分层、违约责任与侵权责任怎么选。这一篇只解决一个问题：谁该证什么。两篇要一起看——因为举证责任的分担，取决于你主张的是哪一种行为。主张「违反保密义务」的，重点在保密协议与接触事实；主张「以不正当手段获取」的，重点在手段的不正当性。

与举证责任的区别。举证责任是民事诉讼的通用制度——谁主张谁举证，特定情形下倒置或者转移。第三十九条是它在商业秘密领域的特别规定。特别规定优先适用，但不能脱离一般规则理解——比如「初步证据」要达到什么程度，仍然要回到民事证据的一般标准。

与举证责任分配的区别。分配解决的是「谁该证」，第三十九条解决的是「什么时候换人证」。前者是静态的，后者是动态的。理解这一点，就能明白为什么原告不能一上来就要求被告举证——分配规则没有变，变的是推进的顺序。

与举证妨碍的区别。举证妨碍是「证据在对方手里却拒不提交」时的处理规则，它的适用前提是「有证据证明对方持有」。第三十九条是「法律直接规定由对方证」，不需要先证明对方持有。两条路的区别在门槛：第三十九条门槛低但只能解决特定要件；举证妨碍门槛高但可以解决任何证据问题。

实操指引

一、原告：起诉前的六项准备。

第一项，把「秘密点」写清楚。这是全部举证的前提。不能笼统说「我们的技术方案被抄了」，要具体到：哪几个技术参数、哪一段代码逻辑、哪几个客户的交易习惯。秘密点越具体，后面的保密措施、实质相同、损失计算才有落点。实务中最常见的败诉原因，就是秘密点写得太宽，法院无从比对。

第二项，把保密措施的证据整理成册。按七项清单逐项对照：有保密协议吗？有培训记录吗？有权限管理吗？有密级标记吗？有离职交接单吗？每一项配一份证据，缺的项要能解释为什么不需要。这一册是原告的地基，务必在起诉前做完。

第三项，固定「接触」的证据。前员工的劳动合同、岗位职责、系统权限记录、离职时间；合作方的保密协议、交付记录、往来邮件；供应商的供货清单、验厂记录。证明「他能拿到」，是第二款第一种情形的第一半。

第四项，做「实质相同」的技术比对。找专业机构做鉴定，或者自己做一份逐项对照表。重点找三类特征：相同的错误、相同的特殊结构、相同的非必要参数。比对报告要能让法官看懂，不要堆砌术语。

第五项，评估要不要申请行为保全。如果对方产品已经在售、客户正在被挖走，等判决下来损失已经无法挽回。这时候可以申请责令停止相关行为，同时申请证据保全，把对方服务器里的东西先固定下来。证据保全的申请材料，可以参考证据保全申请书。

第六项，考虑要不要先发函。发函有两个作用：一是固定「对方明知」的事实，为后续主张故意侵权、惩罚性赔偿做准备；二是争取和解，避免诉讼成本。函件要写明秘密点范围、要求停止的行为、答复期限，不要写成情绪化的指责。

二、被告：被诉之后的四步应对。

第一步，先审「是不是商业秘密」。查公开性：这个技术有没有在专利文献、论文、行业标准里出现过？查保密性：原告有没有真的采取保密措施，还是只有一纸模板协议？查价值性：这个信息有没有实际带来竞争优势，还是行业里人人皆知？这一步成功了，后面全部不用打。

第二步，再查「有没有接触」。如果对方拿不出接触证据，第二款第一种情形就不成立。人员流动是最常见的接触渠道，但「曾经是同事」不等于「接触过这个秘密点」，要看岗位、权限、参与项目。

第三步，准备「独立来源」的证据。自主研发的，拿出研发记录、代码提交日志、设计文档、第三方委托开发合同；反向工程的，拿出购买凭证、拆解记录、分析报告；合法受让的，拿出转让合同、许可协议。这些证据的共同要求是：时间上要早于对方的接触，内容上要能对应到被诉的技术点。

第四步，注意举证时限。第三十九条的转移不是无限的——法院会给一个举证期限，逾期提交要说明理由。实务中被告最常见的失误是：把「不存在侵权」的证据留到二审才提，结果被认定为逾期证据。

三、保密协议怎么签才有用。

模板化的保密协议，在庭上几乎没有价值。有效的保密协议要解决三个问题。

问题一，保密范围写什么。不能写「公司一切商业秘密」，要写具体类别——技术类的源代码、算法、参数、图纸；经营类的客户名单、报价策略、采购渠道、成本结构。写得越具体，越容易被认定为「采取了相应保密措施」。协议的基本结构可以参考保密协议，但要根据自己的业务补充附件。

问题二，保密义务怎么落到操作层面。协议之外，还要有：密级标记规则、权限审批流程、离职交接清单、外部交流的审批要求。协议是「说了」，制度是「做了」，两者都要有。

问题三，离职环节怎么管。离职交接单上要有三行：已归还全部涉密载体、已清除个人设备中的公司资料、已知悉继续保密的义务。这三行签字，是日后诉讼中最有用的一页纸。

四、客户名单案件的特殊性。

客户名单是商业秘密案件里败诉率最高的类型。原因很简单：客户名单容易被认为是「公开信息」——公司名字在网上能查到、联系人在行业群里都有。

法院的态度是：仅仅汇集公开渠道可以获得的客户名称、地址、联系方式，不构成商业秘密；但如果包含了「长期交易形成的特殊需求、交易习惯、价格底线、决策链条」等深度信息，就可能构成。换句话说，值钱的不是「客户是谁」，是「这个客户怎么做」。

所以这类案件的举证重点是：这份名单里有哪些信息是公开渠道拿不到的、这些信息是怎么积累起来的、被告的使用方式是否体现了对这些信息的掌握。一个可以参考的实例是客户名单与发票是否构成商业秘密的裁判案例。

常见问题

我们有保密协议，也做了权限管理，起诉时还需要证明什么？

还需要证明两件事：秘密点和侵权事实。 保密措施只是第一关。 第二关是「秘密点具体是什么、为什么它不是公开信息」，第三关是「对方怎么拿到的、用在了哪里」。 三关都过，才轮到被告举证。

员工离职后去了竞争对手那里，能不能直接起诉？

不能只凭「跳槽」起诉。 还需要三个事实：他接触过具体的秘密点、新单位使用了相同的信息、两者之间有时间上的接续。 单纯的人员流动是市场常态，法律保护的是商业秘密，不是「不许员工离职」。 如果签了竞业限制协议，可以另案主张违约，但那属于劳动法路径，与商业秘密是两条线。

被告说他是「自主研发」的，法院会信吗？

要看证据，不看陈述。 自主研发需要完整的研发过程记录——立项文件、设计文档、代码提交历史、测试记录、第三方委托合同。 如果这些东西是诉讼开始后才「补」出来的，时间戳会暴露问题。 实务中的经验是：真正自主研发的企业，研发记录是自然形成的、散落在各个系统里的；临时编造的记录，往往过于整齐、时间过于集中。

举证责任转到被告之后，被告不提证据会怎样？

可能承担不利后果。 第三十九条的表述是「应当证明」，被告不证或者证据不足的，法院可以认定原告的主张成立。 但要注意，这不是自动败诉——被告还可以从「原告的初步证据不足」这个角度抗辩，也就是回过头去打原告的地基。

我们只是「使用」了这个信息，不是「获取」，也会被追责吗？

会。 第三十九条第二款第一种情形针对的就是「使用」——只要「其使用的信息与该商业秘密实质上相同」，加上有渠道或者机会获取，就可以推定。 「使用」在司法解释里包括三个层次：直接使用、修改改进后使用、据此调整优化后使用。 换个说法：不是原样照抄才算使用。

这类案件的举证责任规则，和一般民事案件差这么多，合理吗？

合理，因为信息不对称是结构性的。 商业秘密的特点就是「权利人知道、侵权人知道、法院不知道」，如果坚持「谁主张谁举证」的完整证明，等于让权利人证明一个只有对方才掌握的事实。 第三十九条的设计思路是：让离证据更近的一方承担举证义务。 这与举证责任分配的一般原理是一致的，不是对原告的特别优待。

判决之后，保密义务还在吗？

在。 判决解决的是「停止侵害 + 赔偿」，不改变信息本身的秘密属性。 只要信息仍然符合三要件，保密义务就持续存在。 这一点在调解协议里要写清楚，否则对方可能认为「赔了钱就两清了」。 知识产权领域的其他规则，收在知识产权分类下； 举证责任的一般原理与分配规则，可以回看前面关于举证责任的那一节。