Информация, несомненно, является одним из наиболее ценных и в то же время уязвимых активов любой компании. Чем меньшее количество людей имеет к ней доступ, тем большей ценностью обладает информация. В попытке обеспечить надлежащую защиту данных от каких-либо угроз компаниям следует предпринимать все необходимые меры, которые позволят обеспечить их целостность и секретность. Одна из ключевых целей в этой связи –предотвращение несанкционированного доступа и незаконного разглашения информации нынешними или бывшими сотрудниками.
Конфиденциальная информация и коммерческая тайна
Среди информации, используемой компаниями в своей деятельности, защите подлежит только информация с ограниченным доступом. Как правило, такая информация относится либо к конфиденциальной информации, либо к коммерческой тайне.
В соответствии с законом, конфиденциальной является информация о физическом лице (персональные данные), а также информация, доступ к которой ограничен физическим или юридическим лицом и которая может распространяться по желанию (согласию) соответствующего лица в определенном им порядке и на установленных им условиях . Украинское законодательство также определяет перечень данных, которые не могут рассматриваться как информация с ограниченным доступом, например, сведения о состоянии окружающей среды, качестве продуктов питания и бытовых товаров, авариях и обстоятельствах непреодолимой силы, здравоохранении и уровне жизни, а также о других вопросах, представляющих общественный интерес.
Что касается коммерческой тайны, в соответствии с законодательством Украины, такая информация не должна быть известной и легкодоступной, но в то же время должна иметь коммерческую ценность и быть предметом адекватных существующим обстоятельствам мер по сохранению ее секретности, предпринятых лицом, законно обладающим такой информацией. Постановлением Кабинета Министров "О перечне сведений, не составляющих коммерческой тайны" ("Постановление") установлен перечень информации, которая не может составлять коммерческую тайну. Такие сведения, среди прочего, включают: информацию, касающуюся отчетности, и данные, необходимые для проверки исчисления и уплаты налогов и других обязательных платежей; сведения о численности и составе работников, их заработной плате, а также наличии вакансий; документы о платежеспособности.
Данный перечень целесообразно принимать во внимание при определении информации, которую компания собирается отнести к коммерческой тайне. Дополнительным аргументом в пользу этого может также выступать отсутствие какого-либо официального толкования, а также стабильной и последовательной судебной практики по данному вопросу.
Несколько слов об ответственности сотрудника (бывшего сотрудника)
Будучи схожими по своей природе, конфиденциальная информация и коммерческая тайна обладают также и рядом отличительных признаков, главный из которых касается ответственности за возможные правонарушения. Если оставить в стороне законодательство в области персональных данных, то уровень правовой защиты коммерческой тайны выше по сравнению с конфиденциальной информацией, а разглашение первой может повлечь более серьезную юридическую ответственность, а именно:
• Дисциплинарная ответственность. Нарушение внутренних правил и положений работодателя, регулирующих режим конфиденциальной информации и коммерческой тайны, можно считать дисциплинарным нарушением.
• Материальная ответственность. Как правило, материальная ответственность сотрудника за ущерб, причиненный работодателю, ограничена среднемесячной заработной платой такого сотрудника. Однако, если работодатель сможет доказать, что ущерб был причинен, когда работник не находился на работе, возможно привлечение такого сотрудника к полной материальной ответственности.
• Гражданско-правовая ответственность. Максимальный уровень такой ответственности украинским законодательством не предусмотрен и может быть установлен в соответствующем гражданско-правовом договоре. На практике при определении уровня ответственности суды учитывают размер фактического ущерба, который должен быть надлежащим образом обоснован и доказан.
• Административная ответственность. Бывшие сотрудники могут быть привлечены к административной ответственности за недобросовестную конкуренцию. В этом случае необходимо доказать, что разглашение конфиденциальной информации или коммерческой тайны было намеренным и имело целью причинение ущерба деловой репутации или имуществу бывшего работодателя.
• Уголовная ответственность. Незаконное получение и /или использование коммерческой тайны и/или умышленное разглашение коммерческой тайны (если эти действия нанесли значительный ущерб) может быть основанием для привлечения нарушителя к уголовной ответственности. Ответственность нарушителя может выражаться в виде штрафа (до 136 000 гривен) или даже в виде лишения права занимать определенные должности или заниматься определенной деятельностью (на срок до 3 лет).
Применение того или иного вида ответственности во многом зависит от того, насколько хорошо выстроены юридические механизмы информационной безопасности, а также от наличия доказательств причинно-следственной связи между разглашением конфиденциальной информации и коммерческой тайны и наступившими последствиями в виде конкретного подтвержденного ущерба.
Базовые юридические механизмы информационной безопасности
Для повышения уровня защиты конфиденциальной информации и коммерческой тайны от угрозы несанкционированного разглашения со стороны собственных сотрудников (бывших сотрудников) работодатель должен разработать и установить правовой режим, включающий все необходимые и применимые юридические механизмы защиты таких данных, а также предусмотреть пути предотвращения и возмещения возможного ущерба, в частности:
1. Принятие внутреннего документа (документов), регулирующего режим конфиденциальной информации и коммерческой тайны
В этом документе, которым может быть, например, положение (политика) о режиме конфиденциальной информации и коммерческой тайны, работодатель должен, среди прочего:
• Определить перечень сведений, относящихся к конфиденциальной информации и коммерческой тайне. При определении такого перечня целесообразно учитывать ограничения, предусмотренные Постановлением. Что касается информации, которая не может быть отнесена к коммерческой тайне, закон позволяет распространять на такую информацию режим конфиденциальной информации.
• Установить уровни доступа для конкретных категорий сотрудников. Каждому сотруднику должен быть предоставлен доступ только к той информации, которая необходима ему для выполнения своих индивидуальных трудовых обязанностей.
• Предусмотреть общие обязанности сотрудников. Таким образом сотрудники будут знать об основных правилах работодателя в области защиты конфиденциальной информации и коммерческой тайны.
• Закрепить основные технические и организационные механизмы (процедуры) в области защиты и обработки конфиденциальной информации и коммерческой тайны. Организационные механизмы, в частности, определят критерии, условия и порядок присвоения статуса коммерческой тайны или конфиденциальной информации отдельным видам сведений, а также установят правила хранения, передачи и удаления такой информации.
Затем важно удостовериться в том, что каждый сотрудник в необходимом объеме был ознакомлен с соответствующими документами под подпись. Для этого работодатель должен: 1) предоставить копии таких документов каждому сотруднику и персонально разъяснить ему права и обязанности; 2) определить и разъяснить, к какой информации и в каком объеме данный сотрудник будет иметь доступ; 3) формально уведомить сотрудника об ответственности за нарушение режима конфиденциальной информации и коммерческой тайны.
2. Создание департамента (или назначение должностного лица), ответственного за защиту конфиденциальной информации и коммерческой тайны
В целях достижения эффективной реализации установленных правил целесообразно создать в компании специализированное подразделение (департамент) или назначить сотрудника, ответственного за защиту конфиденциальной информации и коммерческой тайны. Такие сотрудники должны иметь соответствующую квалификацию и пройти обязательное обучение тому, как осуществлять надлежащий контроль над соблюдением режима конфиденциальной информации и коммерческой тайны. Одним из вариантов может быть возложение вышеуказанных функций на одно из существующих подразделений компании, например, службу безопасности и/или IT-отдел.
3. Включение отдельных положений о защите конфиденциальной информации и коммерческой тайны в трудовые договоры (контракты) или заключение соответствующих дополнительных соглашений
Эти положения можно рассматривать как дополнительный рычаг воздействия на сотрудников в отношении соблюдения установленного правового режима конфиденциальной информации и коммерческой тайны. Кроме того, они являются и механизмом установления трудовых обязанностей сотрудника и, соответственно, уведомлением об ответственности за их нарушение. Если конкретный сотрудник принадлежит к категории, с которой возможно заключение особой формы трудового договора — трудового контракта, есть смысл рассмотреть возможность включения дополнительного положения, устанавливающего, что любое нарушение режима конфиденциальной информации и коммерческой тайны может быть основанием для увольнения.
Кроме того, стоит разработать и включить отдельные положения в трудовые договоры (контракты) с соответствующими сотрудниками, предусматривающие, что исключительные имущественные права интеллектуальной собственности на объекты права интеллектуальной собственности, составляющие коммерческую тайну и созданные сотрудником при выполнении трудовых обязанностей, принадлежат работодателю.
4. Заключение отдельных соглашений о неразглашении коммерческой тайны и конфиденциальной информации.
Кроме укрепления информационной безопасности в отношениях с действующими сотрудниками, соглашения о неразглашении конфиденциальной информации и коммерческой тайны могут служить неплохим механизмом защиты от злоупотреблений со стороны бывших сотрудников.
Работодатели довольно часто хотят, чтобы обязательства о неразглашении конфиденциальной информации и коммерческой тайны, а также ответственность за разглашение такой информации продолжали действовать после прекращения трудовых отношений, и с этой целью включают соответствующие положения в трудовые договоры (контракты). Однако реализация этих положений на практике представляется сомнительной. Основная причина кроется в том, что при включении в трудовой договор такие положения становятся предметом украинского трудового законодательства, а прекращение трудового договора влечет прекращение всех его положений.
В то же время отдельные соглашения о неразглашении конфиденциальной информации и коммерческой тайны не должны быть предметом украинского трудового права. Следовательно, есть основания полагать, что они могут сохранять силу после прекращения трудовых отношений.
В заключение
Как правило, процесс обеспечения конфиденциальности/секретности действительно важной информации может быть довольно сложным и трудоемким, а для обеспечения его эффективности требуются постоянные усилия и значительные средства. В частности, требуется осуществлять постоянный контроль над надлежащей защитой конфиденциальной информации и коммерческой тайны от распространения. Тем не менее, нет никаких сомнений в том, что результаты стоят этих усилий.
Использование описанных в этой публикации подходов (например, заключение с сотрудниками отдельного соглашения о неразглашении конфиденциальной информации и коммерческой тайны), а также других юридических механизмов может позволить компании построить правовую основу для защиты конфиденциальной информации и коммерческой тайны и, как следствие, помочь предотвратить возможный ущерб.