商业秘密合规对于企业而言具有双重意义——防范自身商业秘密泄露和防止侵犯他人商业秘密。通常来说，企业建立商业秘密保护机制的首要目标是防止自身商业秘密被侵犯，因而更加关注商业秘密泄露的风险。然而随着境内外商业秘密立法不断完善，执法不断强化，企业在商业活动中面临的侵犯他人商业秘密的风险也在不断扩大，特别是在部分发达国家赋予商业秘密以国家安全属性，将商业秘密作为工具抑制中国企业快速崛起的背景下，中国企业应对境外商业秘密执法和诉讼的压力进一步增大（关于美国近期颁布的商业秘密新法，请见《美国颁布新法：涉美商业秘密纠纷可能触发制裁风险》，点击蓝字标题跳转阅读）。面对新环境和新形势，中国企业要做到有效的商业秘密风险管控，需同时做好两个维度的合规，构建起二元结构的商业秘密合规体系，既要保护好自身商业秘密，防止商业秘密泄露，也要避免因员工不当行为或管理不善导致企业陷入商业秘密纠纷。
在上一篇中（请见《构建二元结构的商业秘密合规体系之一：企业如何保护自身商业秘密》，点击蓝字标题跳转阅读），我们聚焦于企业自身商业秘密保护的合规管理，从防范自身商业秘密泄露的角度讨论了商业秘密合规体系建设的重要性。本篇我们将视野转向商业秘密合规体系二元结构的另一个面向——企业如何防止侵犯他人商业秘密，结合方达团队代理中国企业成功应对境内外商业秘密侵权诉讼的有益经验，以及协助企业搭建商业秘密合规体系的丰富积累，以期为企业管控境内外商业秘密侵权风险提供参考。
一、商业秘密侵权风险管控的现实意义
近年来，境内外关于商业秘密保护的法规日臻完备、执法愈发活跃，商业秘密不合规行为对应的潜在经济损失与声誉损失风险也在逐渐上升。企业加强商业秘密侵权风险管控，既是保障企业持续健康发展的内在需要，也是降低外部法律风险的必然要求。
1.境内商业秘密侵权风险
在中国，乘着中美贸易协议的东风，商业秘密多层次法律保护体系不断完善，对商业秘密权利人的保护力度不断加强。法律层面，《反不正当竞争法》和《刑法》中的商业秘密条款分别于2019年、2021年修订，民事方面减轻了权利人的证明责任，刑事方面降低了侵权人的入罪门槛，民事赔偿以及行政和刑事处罚力度大幅提高。与此同时，商业秘密案件相关司法解释和规范性文件陆续出台，细化了商业秘密侵权行为要件的认定标准，完善了商业秘密的司法保护和行政执法程序。（下图展示了我国近年商业秘密保护法律制度的主要情况）
实践层面，企业因侵犯他人商业秘密面临高额索赔或处罚的案例也屡见不鲜，其中最为典型的是因聘用同类企业离职员工引发的商业秘密侵权风险。例如，在某高尔夫经营者侵害客户名单商业秘密案中[1]，高尔夫全球服务经营商A有5名员工离职后加入某体育投资公司B，其中3人在A任职期间有机会接触商业秘密。法院认为，虽然没有直接证据证明B侵犯了A的商业秘密，但考虑到B此前没有类似业务、明知3人能够接触A的商业秘密，且相关业务具有较高门槛，仍委派相关人员进行业务洽谈并最终获得该业务，说明其在经营中具有积极利用相关商业秘密的主观故意。最终，B公司及3名人员被判连带赔偿A公司704万元。在另一行政处罚案件[2]中，市监局认为新用人单位明知员工处于原用人单位的竞业限制期内，仍聘请其作为公司研发人员，且对员工通过不正当手段获取并使用原用人单位商业秘密的行为不加阻止和管控，属于侵犯原用人单位商业秘密，被罚款20万元。
2.境外商业秘密侵权风险
对于开展境外业务的企业而言，境外商业秘密侵权风险管控具有更为现实紧迫的意义。当前，商业秘密已成为国际竞争中用以限制其他企业发展的法律工具，在“私权”属性之外被赋予国家安全等特殊含义。自2018年美国司法部发起“中国行动计划”以来，针对中国企业及个人的商业秘密执法调查出现爆发式增长。美国联邦调查局曾在2022年5月表示其正在进行约2000个涉及中国窃取美国技术案件的调查活动[3]，该数量是2020年的两倍。此起彼伏的海外商业秘密诉讼执法，使得中国企业面临的境外商业秘密侵权风险陡增，中国企业近年间在美频繁遭遇商业秘密诉讼执法，商业秘密侵权已成为制约中国企业境外业务拓展的绊脚石。
以摩托罗拉诉海能达案为例，海能达因雇佣了摩托罗拉三名前工程师而被摩托罗拉提起商业秘密侵权之诉。摩托罗拉主张其前员工的侵权责任可以推定至现任雇主海能达，海能达生产与摩托罗拉相似的产品并使用相似源代码，构成对摩托罗拉商业秘密的侵权。最终海能达一审被判承担5.437亿美元的天价民事赔偿和 3,424.44万美元的高昂律师费，同时还因同一事件面临刑事诉讼。值得注意的是，该案中摩托罗拉主张的海能达窃取商业秘密的行为全部发生在美国境外，但法院认为其在美国销售、宣传、维修根据非法获得的商业秘密制造的产品的行为，构成“侵犯商业秘密的延伸”（in furtherance of the offence），以此确定了美国法院的管辖权。这是美国法院第一次在实践中确认了联邦《保护商业秘密法案》（Defend Trade Secrets Act，“DTSA”）的域外效力，鲜明地体现了DTSA长臂管辖的特点。
中国企业在美可能面临四类商业秘密诉讼和执法调查。一是根据DTSA及各州商业秘密保护法规，美国司法部或商业秘密权利人可以对侵权人提起商业秘密民事诉讼，侵权人可能面临禁令、损害赔偿、惩罚性赔偿等法律后果。二是根据《经济间谍法》（Economic Espionage Act），美国司法部可以针对窃取商业秘密的企业和/或个人（如企业高管）提起刑事诉讼，罪名包括窃取商业秘密罪和经济间谍罪，企业可能面临没收违法所得和/或高额罚金，个人可能面临罚款和/或最高15年的监禁。三是根据《1930年关税法》（Tariff Act of 1930）第337节，美国国际贸易委员会可以对企业发起337调查，侵权产品可能被禁止进入美国市场或禁止在美国境内进行广告宣传、销售或维修等商业活动。此外，美国近日刚刚发布《2022年保护美国知识产权法案》（Protecting American Intellectual Property Act），进一步将制裁措施纳入商业秘密保护工具箱，外国人窃取美国人商业秘密，可能面临被列入实体清单、资产冻结等一系列制裁后果（关于美国最新出台的《2022年保护美国知识产权法案》，请见方达专业解读《美国颁布新法：涉美商业秘密纠纷可能触发制裁风险》）。
二、商业秘密侵权重点风险场景
根据我们的经验，企业通常在以下三类场景中存在较高的商业秘密侵权风险：1.聘用同类企业的离职员工；2.技术引进及合作；3.投资并购。
1. 聘用同类企业离职员工
企业因商业秘密侵权被诉的最常见原因是聘用同类企业（特别是竞争对手）离职员工从事类似工作。我们服务过的客户中就存在不少因引进竞争对手员工或跳槽员工过程中的不当行为，导致企业陷入境内外商业秘密纠纷的情况。例如，一家新能源领域的上市公司曾因聘用其美国竞争对手的员工，被竞争对手在包括美国在内的多个国家提起窃取商业秘密之诉。而我们服务过的另一宗案件更为戏剧化，A公司与其竞争对手B公司的主要产品市场均在海外，B公司先是在美国对A公司提起专利侵权诉讼，通过该案的证据开示程序发现A公司员工（B公司前员工）电脑存储了B公司标有“confidential”的多份文件，B公司进而据此在中国和美国分别对A发起了商业秘密侵权诉讼。
对于聘用同类企业离职员工的情况，若离职员工在新单位的工作中使用了原单位的商业秘密，新单位可能与离职员工构成共同侵权。值得注意的是，即使企业没有主动积极地招揽相关员工，甚至不知道所聘用员工存在不当获取或使用原单位商业秘密的情况，如果企业对于侵权行为应尽而未尽注意义务，仍然可能构成共同侵权。前述海能达案即为例证，三名摩托罗拉前工程师秘密下载了摩托罗拉超过7,000份包含商业秘密的文件，相关人员在海能达从事的岗位及职责与摩托罗拉类似，极有可能在海能达工作中使用相关商业秘密，摩托罗拉主张海能达明知三人的原岗位和职责可能获取摩托罗拉的商业秘密，仍指示或允许其在开发相关产品时使用相关信息，构成侵犯商业秘密。同时，实践中若企业仅能证明其曾要求员工签署不携带和使用原单位商业秘密的承诺这一项措施，法院往往难以支持其已尽合理注意义务的抗辩。
当然，离职员工引发的商业秘密案件中，现雇主不必然被认定为共同侵权人。但即便如此，企业也极有可能作为第三人卷入案件当中，承担随之而来的诉讼成本和潜在风险。
2.技术引进及合作
技术引进和合作也是企业发生商业秘密侵权风险的重要场景。企业之间在开展技术合作时，与技术有关的商业秘密不可避免会披露给合作对象，如果对于商业秘密的范围、使用条件等条款缺乏合理约定，可能产生非法披露和使用合作对象商业秘密的风险。
在鲁西化工与戴维/陶氏的商业秘密纠纷仲裁案中，鲁西化工为建设某项目与戴维/陶氏进行磋商，磋商过程中签署了保密协议，最终鲁西化工因对方报价过高未与其合作。项目建成后，戴维/陶氏以鲁西化工项目装置使用其保密技术信息为由，在斯德哥尔摩商会仲裁机构对鲁西化工提起仲裁。由于协议约定的保密信息定义宽泛，导致即使是鲁西化工从公有领域或第三方合法获取的信息，如果包含了保密内容，在使用或披露前也需获得戴维/陶氏的书面同意。最终仲裁机构裁决鲁西化工需向戴维/陶氏赔偿7.49亿元人民币，国内法院也承认了该裁决。[4]国际合作经验不足以及对保密协议的理解不充分，是导致鲁西化工“踩坑”的重要原因。该案也为中国企业在跨境技术引进及合作中防范商业秘密侵权风险敲响警钟。
3.投资并购
实践中还有一类商业秘密侵权风险场景出现在对其他企业的并购当中。一方面，收购方在对目标企业或其他主体进行尽职调查的过程中，很有可能获得相关方的商业秘密，如果不当使用相关信息，可能会面临商业秘密侵权风险。例如在四环医药与康桥资本案中，康桥资本以与四环医药深度合作为由，对四环医药及旗下分支机构进行了全面深入的尽职调查，而后完成对四环医药上游合作伙伴Hugel公司的收购。四环医药认为康桥资本借尽职调查获取其商业秘密，以用于对Hugel的收购。另一方面，投资并购后的资产整合过程也需要关注商业秘密事项，特别是在收购部分资产的情况下，需明确收购包含的商业秘密具体范围，避免事后出现侵犯商业秘密的风险。
三、商业秘密侵权风险管控措施
为降低潜在商业秘密侵权风险，企业应当结合法律规范与风险场景，建立一套商业秘密合规体系，从“重点”到“全面”、“事前”到“事后”，有效防止侵犯他人商业秘密的行为发生。
1.重点风险排查防范
针对前述所列商业秘密侵权风险场景，建议企业开展重点风险排查，建立对应的预防措施。
- 人才引进：（1）在招聘人员的背景调查中纳入商业秘密调查环节，充分了解员工此前的任职和离职情况，包括竞业禁止、保密要求、离职交接、资料携带等具体情况；（2）招聘环节明确要求候选人不得披露前雇主保密信息；（3）入职时要求相关人员签署保密协议，以及不披露或使用前雇主保密信息的承诺函；（4）通过《员工手册》等制度文件和员工培训，强调企业关于禁止员工获取、使用其他企业商业秘密的要求；（5）对于从竞争对手处跳槽的员工，入职后对其工作情况进行一定关注，若存在短时间内产出重大研发成果或大量签约客户等不合理情况，及时展开调查；（6）对于敏感度较高的员工，可考虑提前采取一定的风险隔离和控制措施。
- 技术引进及合作：（1）对技术提供方和合作对象进行充分的尽职调查，在保密协议中明确商业秘密的范围和保护措施，并在合作协议中明确双方在商业秘密保护方面的责任和义务；（2）加强内部管理，避免参与技术引进的员工泄露商业秘密；（3）制定内部保密制度和流程，加强对内部员工和合作方的保密管理和持续监督。
- 投资并购：（1）在保密协议中明确商业秘密的范围和保护措施，以及双方关于使用及保护商业秘密的权利义务；（2）在交易文件中明确交易涉及的商业秘密事项范围以及商业秘密的归属；（3）对并购过程中的文件交接、信息传输做好保密措施和留档记录；（4）对于敏感信息可以通过现场审阅等方式进行尽职调查，降低泄露风险。
- 评估涉美员工和业务风险：如果企业存在招聘美国公司及其中国子公司前员工的情况，或与美国公司存在技术引进及合作，建议开展针对性地商业秘密合规风险自查，评估在人员招聘、技术开发、技术合作、对外交流、产品宣传销售等各个环节，是否存在可能落入DTSA管辖的情形及商业秘密侵权风险。
2.风险事件危机应对
商业秘密侵权风险一旦出现，就可能在短时间内对企业的生产经营活动产生重大影响，给企业造成难以弥补的经济损失。因此，建议企业事先建立清晰、实用的危机应对机制，制定操作流程和规范动作，确保在出现侵犯他人商业秘密的风险时能够及时采取有效措施防止风险扩大。
- 内部调查：危机发生后建议第一时间开展内部调查，及时了解是否存在原告主张的商业秘密侵权事实，全面排查相关风险，确保掌握案件事实以制定应对策略。
- 隔离措施：风险发生后，及时将可能构成他人商业秘密的数据信息进行隔离，使员工不再能够接触相关信息，同时尽快停止生产和销售侵权产品。对于高风险情形，可能需要对涉嫌侵权的产品或技术进行彻底地重新设计和开发。
- 文件记录梳理：为应对潜在的商业秘密诉讼，应尽快收集整理所涉人员、产品的相关文件记录。既是为了确定可能涉及他人商业秘密的产品范围和侵权行为的时间范围，也便于及时固定证据，为后续应诉作好准备。
- 其他应对措施：除上述一般性应对措施外，具体案件中企业也可考虑对公司架构、产品线及销售区域进行适当调整，降低商业秘密侵权的影响范围。同时，企业可提前做好准备，以应对未来可能的境内外商业秘密诉讼、执法调查等。若对方已在海外发起相关诉讼，可考虑对对方采取平行诉讼等反制措施，为后续与对方和解谈判创造有利条件。
结语
保护自身商业秘密的合规体系建设与防止侵犯他人商业秘密的合规体系建设是商业秘密合规的两个面向，对于企业同等重要，不可偏颇。实践中企业往往对于后者的重要性认识不足，导致在应对境内外商业秘密执法诉讼中陷入被动。面对当下国际竞争环境和政策形势，我们建议中国企业，特别是涉外业务企业，加强防范商业秘密侵权维度下的商业秘密合规体系建设，切实提高商业秘密风险防范与危机处理能力。
- （2018）京73民终686号 ↑
- 张市监处罚〔2021〕07747号 ↑
- 参见https://www.fbi.gov/news/speeches/directors-remarks-to-the-association-of-state-criminal-investigative-agencies-05022 ↑
- （2019）鲁15协外认1号 ↑