Działania w celu zachowania poufności informacji. Przykłady środków bezpieczeństwa

Wola objęcia informacji tajemnicą

Informacja tylko wtedy staje się tajemnicą przedsiębiorstwa, jeżeli przedsiębiorca ma wolę, by była ona tajemnicą i wola ta jest rozpoznawalna dla innych osób. Mówiąc wprost – otoczenie musi wiedzieć, że cenimy i chronimy swoje tajemnice.

Bez takiej woli informacja może mieć wartość gospodarczą, może być nieznana poza firmą, ale nie będzie tajemnicą. Każdy będzie mógł z niej skorzystać bez ograniczeń. W praktyce oczywiście najczęściej będzie to były pracownik.

Przedsiębiorca musi zatem chcieć, by informacja była tajemnicą, musi to zakomunikować odbiorcom informacji oraz podjąć „przy zachowaniu należytej staranności” lub „rozsądne w danych w danych okolicznościach” działania w celu zachowania poufności informacji.

Należyta staranność przy zachowaniu poufności informacji

Warunkiem objęcia informacji poufnych i wartościowych tajemnicą przedsiębiorstwa jest podjęcie wobec nich odpowiednich działań, które mają na celu zachowanie ich poufności.

Prawo mówi, że mają to być działania przy zachowaniu należytej staranności. Wynika to z art. 11 ust. 2 u.z.n.k.

Sformułowanie o „należytej staranności” jest pewną nowością w naszym prawie. Poprzednio przepis ten wymagał podjęcia „niezbędnych” działań w celu zachowania poufności.

Zmiana z  działań „niezbędnych” na działania przy zachowaniu „należytej staranności” weszła w życie przy okazji wdrażania w Polskim prawie Dyrektywy UE dotyczącej tajemnicy przedsiębiorstwa, w 2018 r.

Warto zwrócić uwagę, że ta Dyrektywa nie posługuje się sformułowaniem „należyta staranność”, lecz nakazuje, by informacje zostały poddane „rozsądnym, w danych okolicznościach, działaniom dla utrzymania ich w tajemnicy”.

Co to zatem oznacza? Czy jest jakaś różnica pomiędzy działaniami „niezbędnymi”, działaniami „przy zachowaniu należytej staranności”, a także „działaniami rozsądnymi w danych okolicznościach”?

Na chwilę obecną mamy niewiele nowych wyroków sądów wydanych w odniesieniu do „należytej staranności” w kontekście tajemnicy przedsiębiorstwa, ale wśród komentatorów przeważa ostrożne stanowisko, że nic się tutaj nie zmieniło, albo przynajmniej niewiele.  Dalej chodzi o podjęcie rozsądnych i odpowiednich działań, które w danych okolicznościach są niezbędne dla zachowania konkretnej informacji w tajemnicy.

Biorąc jednak pod uwagę, że sformułowanie o „należytej staranności” jest dosyć ogólne, to  dopiero wyroki sądów nadadzą mu znaczenie. Bezpieczniej jest więc stosować dalej idące działania.

I jeszcze jedna bardzo ważna uwaga – ocena, czy w danej firmie podjęto odpowiednie działania zawsze jest dokonywana z uwzględnieniem wszystkich okoliczności sprawy. Bierze się pod uwagę między innymi takie okoliczności, jak wielkość firmy, rodzaj informacji, krąg osób mających dostęp do informacji, czy obieg informacji. Inaczej ocenia się to w odniesieniu do małych firm, a inaczej w odniesieniu do dużych.

Odpowiednie działania zdaniem sądów

Jak więc sądy dotychczas rozumiały obowiązek podjęcia odpowiednich działań w celu zachowania poufności?

Działania przedsiębiorcy powinny zmierzać do osiągnięcia stanu, w którym osoby trzecie, które chciałby zapoznać się z treścią informacji, musiałby doprowadzić do wyeliminowania mechanizmów zabezpieczających przed niekontrolowanym wypływem danych.[1]

Przedsiębiorca powinien podjąć działania zmierzające do wyeliminowania możliwości dotarcia informacji do osób trzecich w normalnym toku zdarzeń, bez konieczności podejmowania szczególnych starań.[2]

Warto zwrócić uwagę na wyrok SA w Katowicach z dnia 5 lipca 2018 r., V ACa 471/17. Sąd stwierdza, że podjęcie niezbędnych działań w celu ochrony tajemnicy przedsiębiorstwa wymaga dokonania identyfikacji informacji mających znaczenie gospodarcze, dokładnego określenia katalogu informacji objętych poufnością, konieczne jest poinformowanie osób, którym przekazuje się informacje o ich poufności, niezbędne jest stosowanie zabezpieczeń prawnych, faktycznych i technicznych w celu zachowania poufności.

Działania prawne to: opracowanie aktów wewnętrznych przedsiębiorstwa (regulaminy, uchwały, oświadczenia), sporządzenie klauzul o zachowaniu poufności, przygotowanie umów o zachowaniu poufności, umów o zakazie konkurencji.

Działania techniczne to: przechowywanie dokumentów w wydzielonych i zamkniętych pomieszczeniach, zabezpieczenie nośników informacji przechowywanych w formie cyfrowej, zabezpieczenie i ograniczenie uprawnień dostępu do dysków sieciowych przedsiębiorstwa (indywidualne nadanie uprawnień, hasła dostępu), kody dostępu, hasła do komputerów, uniemożliwienie zgrywania informacji na nośniki prywatne. [3]

W kontekście tego, jak daleko powinny iść działania przedsiębiorcy, warto zwrócić uwagę na jeden z wyroków dotyczących tajemnicy przedsiębiorstwa, w którym jest mowa o stosowaniu minimalnych środków zabezpieczenia na danym polu eksploatacji danych. Jest to wyrok korzystny dla przedsiębiorcy, trzeba jednak pamiętać, że zapadł on w indywidualnej sprawie, w konkretnych okolicznością, a nadto w czasie, gdy przepisy mówiły o „niezbędnych” działaniach w celu zachowania poufności, a nie działaniach z należytą starannością. Należy więc do niego podchodzić ostrożnie.

Otóż Sąd Apelacyjny w Krakowie w wyroku z dnia 15 listopada 2012 r., I ACa 1024/12, stwierdził, że „nie jest tu wymagane podjęcie jakichś nadzwyczajnych środków zabezpieczenia, lecz jedynie zabezpieczeń niezbędnych, wręcz minimalnych na określonym polu pozyskiwania danych. Dlatego zabezpieczenie danych utrwalonych na elektronicznych nośnikach wymaga ograniczenia dostępu do nich poprzez wprowadzenie haseł dla określonego kręgu osób, co powodowa Spółka uczyniła”. Więcej na temat tej sprawy napisałem w artykule na moim blogu o przejęciu klientów przez byłego pracownika.

Upraszczając, żeby dostać się do informacji, sprawca musi naruszyć jakieś zabezpieczenia. Nie muszą to być zabezpieczenia ekstremalne. Mają być rozsądne w danych okolicznościach.

Jakie środki bezpieczeństwa stosować, aby zabezpieczyć tajemnicę przedsiębiorstwa?

Poniżej zamieszczam listę przykładowych i najprostszych zabezpieczeń informacji stanowiących tajemnicę przedsiębiorstwa.

• zawieranie umów o zachowaniu poufności (NDA); taka umowa jest najlepszym prawnym zabezpieczeniem informacji, należy ją stosować niezależnie od innych zabezpieczeń i traktować jako punkt wyjścia,
• informowanie odbiorców informacji, w tym pracowników, zleceniobiorców, dostawców, klientów, itp., o tym, że jakaś informacja jest tajemnicą przedsiębiorstwa i powinni zachować ją w poufności,
• stosowanie zasady „need to know”, czyli udostępnianie informacji tylko tym osobom, którym jest ona potrzebna i tylko w takim zakresie, w jakim jest potrzebna do wykonania zobowiązań wobec firmy; stosowanie poziomów dostępów w systemie informatycznym,
• oznaczanie informacji klauzulami typu „poufna”, „do użytku wewnętrznego”, „tajemnica przedsiębiorstwa” firmy lub innymi podobnymi,
• niszczenie w niszczarkach zbędnych dokumentów, stosowanie zasady czystego biurka,
• zamykanie ważnych dokumentów w szafach z zamkiem lub w sejfie,
• stosowanie indywidualnych haseł dostępu do komputerów i systemu informatycznego,
• stosowanie indywidualnych haseł dostępu do baz danych,
• monitoring i ograniczenia dostępu do ważnych pomieszczeń,
• monitorowanie gości,
• zabezpieczanie informacji podczas negocjacji, wprowadzenie zasad informowania pracowników o informacjach poufnych, klasyfikowanie informacji,
• wprowadzenie zasad stosowania mediów społecznościowych przez pracowników,
• regularne szkolenia,
• wywiad końcowy z odchodzącym pracownikiem.

Nie są to oczywiście wszystkie możliwe zabezpieczenia, ale z pewnością ich prawidłowe stosowanie ułatwi wykazanie, że firma posiada tajemnicę przedsiębiorstwa.

Wykazanie faktu posiadania tajemnicy przedsiębiorstwa jest pierwszym i najważniejszym krokiem w każdej sprawie  naruszenie tajemnicy przedsiębiorstwa. Jest warunkiem dla wszystkich roszczeń. Jeżeli tego nie wykażemy, to znaczy, że po prostu nie mamy tajemnicy przedsiębiorstwa.

Jeżeli potrzebujesz pomocy we wdrożeniu tajemnicy przedsiębiorstwa, to zapraszam do kontaktu.

[1] Wyroki SN z 5.09.2001 r., I CKN 1159/00, z 6.06.2003 r., IV CKN 211/01

[2] Wyrok SN z 6.06.2003 r., IV CKN 211/01

[3] Wyrok SA w Katowicach z dnia 5 lipca 2018 r., V ACa 471/17.