Q&A：发现员工批量拷走资料，公司第一时间该留哪些证据？

一、问题引入

公司发现员工短时间内下载大量文件，或者离职前频繁接入移动存储设备，最容易出现两个极端：一边急着删除账号、重装电脑，结果把关键记录一起清掉；另一边直接翻查、扣留员工的私人手机和电脑，又引出隐私、个人信息和证据合法性问题。

这类案件真正困难的，不是截到一张下载页面，而是把“谁在什么时间，通过什么设备，复制了哪些资料，又把资料交给谁、用于什么”连接起来。

二、法律问题翻译

这类争议可以翻译成四个法律问题：

第一，批量下载、复制和外传行为发生过吗，账号、时间、设备和文件能否对应？

第二，被复制的内容与公司主张的商业秘密是否对应，原始数据是否完整、可靠？

第三，公司能够自行固定哪些材料，哪些证据应申请人民法院保全？

第四，若侵害仍在持续，是否符合申请责令停止特定行为的行为保全条件？

三、先说结论

第一时间要做的，是停止证据继续变化，而不是先下结论。对公司依法控制的服务器、账号和办公设备，可以及时限制异常权限、保存现状、导出日志并记录操作过程；不要格式化设备、覆盖日志或在原盘上反复检索。

证据可以按四层来留：第一层是系统层，包括账号登录、权限变化、下载、外接设备和删除记录；第二层是设备层，包括电脑、存储介质及其来源、去向和固定过程；第三层是内容层，把复制文件与具体秘密信息逐项对应；第四层是人员和目的层，包括询问记录、完整聊天、资金往来、设备购买凭证、发票以及任职和分工。

这四层是根据案件经验归纳的办案框架，不是法院发布的统一清单。原始数据、只读镜像和校验值有助于说明电子数据未被改动，但属于稳妥的实务建议，不能写成所有案件必须完成的法定步骤。

四、裁判要旨与参考案例

最高人民法院审理的一起源代码商业秘密案件中，员工原本有工作权限，但无权把源代码带回家或复制到个人设备。案件通过事件记录、异常删除的日志、下载操作、送检电脑的数据固定与恢复、镜像文件与涉案代码的对应关系，再结合询问记录、聊天、购买电脑的付款和发票等材料，形成了相互印证的证据链。

法院关注的不只是某个文件“出现过”，而是访问权限、复制路径、设备流转、内容对应和人员协作能否闭合。该案适用的是行为发生时的旧法，今天判断秘密成立和侵权行为，应当对应现行《反不正当竞争法》第十条、第三十九条。

案件来源：最高人民法院（2023）最高法知民终539号侵害技术秘密纠纷民事判决，最高人民法院二审终审判决；本文仅提炼旧法时期案件的电子证据审查方法，现行规则以2025年修订的《反不正当竞争法》为准。

五、律师建议

先固定时间线：何时发现异常、由谁登录系统、采取了什么限制措施、哪些设备在公司合法控制范围内。保存服务器原始日志、备份、账号权限、文件版本和下载记录，同时制作操作记录。电子数据应尽量保留原件或能准确反映原件的副本；《民事诉讼证据规定》第十四条、第十五条和第九十三条，会关注数据来源、保存提取方式及系统可靠性。

企业自行固定、法院证据保全和行为保全要分开。企业只能在合法权限内保存自己控制的系统和设备；根据《民事诉讼法》第八十四条，证据可能灭失或以后难以取得时，可以申请法院保全。需要制止相关行为的，诉中行为保全适用《民事诉讼法》第一百零三条；诉前行为保全还须符合第一百零四条规定的紧急性、难以弥补损害和担保等条件，并结合商业秘密司法解释第十五条由法院依法审查。

员工私人设备不在公司合法控制范围内时，不要擅自搜查、扣押或破解。可以先保存合法取得、能够看见的线索，再由律师评估申请法院调查、证据保全或者依法报案的路径。

六、最后的话

商业秘密案件往往输在证据刚出现时的处置。只留截图，可能说不清来源；只扣设备，可能碰到合法性问题；只证明下载，也未必能证明下载的是所主张的秘密。

先保住原始状态，再把系统、设备、内容和人员四条线接起来，同时守住权限和程序边界，后面的追责才有可靠基础。