Q&A：只让员工签保密协议，真的够吗？

一、问题引入

企业保护商业秘密，最常见的动作是让员工入职时签保密协议。管理者容易觉得：以后员工把技术资料、客户信息带走，公司自然可以追究侵权责任。

但公司没有给资料分级、限制访问和复制，也说不清要保护哪项信息，仅凭一句“对公司一切信息保密”，真的够吗？

二、法律问题翻译

这件事需要拆成三个法律问题：

1. 保密协议能不能单独证明公司采取了“相应保密措施”？
2. 员工违反保密协议，是否就一定构成商业秘密侵权？
3. 协议不逐字写出秘密点，怎样让保密范围可识别、可执行、可举证？

三、先说结论

• 不能说“一份协议一定够”，也不能说“签协议永远没用”。它是保密措施之一，是否达到要求，还要结合信息、载体、接触范围和其他管理措施判断。
• 员工违反协议，不等于当然构成商业秘密侵权。公司还要证明信息不为公众所知悉、具有商业价值并已采取相应保密措施，同时证明员工实施了不当获取、披露、使用或者允许他人使用等行为。
• 协议不必逐字写出全部秘密点，但至少应让员工知道信息类别、载体和使用边界，不能用“所有信息一律保密”包打天下。
• 协议违约与商业秘密侵权是两条不同路径。信息未被认定为商业秘密，违反有效约定仍可能产生违约责任；没有单独协议，也不表示员工当然可以随意使用依法应当保密的信息。

四、裁判要旨与参考案例

某公司主张保护油气藏数据库中的技术参数和工程数据。前员工离职后开发了含有大量相同数据的系统。公司除保密协议外，还提交了员工手册、离职交接、机房管理和对外技术服务合同等证据。

最高人民法院认为，法律要求的是与信息内容、类型和载体相适配的合理措施，不要求企业做到万无一失。该公司把数据存放在机房服务器中，设置门锁、登录密码，并以保密协议、员工手册和对外合同条款提出要求，体现了可识别的保密意愿。要求协议写出每个秘密点，等于要求权利人“自曝秘密”，并不合理。

法院审查的是协议与人员管理、物理隔离、技术控制、对外约束能否相互印证，并未认定“只签协议就够了”。本案对不同主体、不同时间段的被诉行为分别适用1993年法和2017年修订法；今天处理新发生的行为，应以现行《反不正当竞争法》第十条、第三十九条及法释〔2020〕7号为准。

案件来源：最高人民法院二审终审（2022）最高法知民终901号民事判决（原审：北京知识产权法院（2019）京73民初709号），最高人民法院知识产权法庭官方裁判文书。

五、律师建议

第一，先把“要保护什么”说清楚。

按技术资料、客户信息、价格方案等建立清单，标明保存位置、接触人员和密级。协议可以写类别和识别方式，不必直接附上配方、参数或完整客户名单。

第二，让协议与岗位对应。

研发、销售、采购和财务岗位接触的信息不同，条款也不应完全一样。应写清权限、外发限制、保密期限、离职返还或删除义务。保密义务与竞业限制也不是一回事。

第三，把纸面要求落到日常管理。

对文件分类并控制权限；服务器保留访问日志；限制U盘、个人网盘和批量下载；离职时返还资料、关闭账号并保留记录。外部人员接触核心信息的，也应约定用途和再披露限制。

现行《反不正当竞争法》第十条规制违反保密义务披露、使用商业秘密等行为；依据第三十九条，权利人仍需先证明已经采取保密措施，并合理表明秘密受到侵犯。法释〔2020〕7号第一条至第六条、第十条规定了相关判断标准；协议只是措施之一。

六、最后的话

保密协议更像门口的一道锁，不是整套防护系统。

公司容易犯的错，是合同签完就收进档案。等资料被带走，才发现下载和离职删除记录都没有。

所以，协议当然要签，但更重要的是让员工清楚什么不能拿、不能发、离职时必须交还什么；公司自己也要留得下记录。把这些小事平时做实，比出事后只拿出一份保密协议更有用。