Мне не страшен ваш NDA non-disclosure agreement соглашение о неразглашении конфиденциальной информации

Мне не страшен ваш NDA. Законодательство в IT

Статья habr

автор SelectVim

12 сентября 2018

https://habr.com/ru/post/423071/

Это громкая и страшная аббревиатура из трёх неприличных букв. Хотите поучаствовать в тендере, устраиваетесь на работу, нужно получить данные — вам подсовывают эту бумажку, мол, подпиши сначала, а то нашли дураков без NDA тебе что-нибудь рассказывать. При этом в большинстве случаев вы ничего сверхсекретного или коммерчески важного не узнаете, но процедура подписания NDA стала неким таинством посвящения, которое стороны выполняют не особо задумываясь над смыслом.

Это так же как вы неизбежно получите требование вместе с учредительными документами предоставить выписку из ЕГРЮЛ не старше 30 дней. Хотя всё доступно в онлайне, все распечатывают эту выписку из интернета, заверяют её и передают контрагенту, который даже не смотрит её, потому что всё есть в интернете. Ну, вы поняли, короче, отечественную любовь к таинствам.

Немного теории

Давайте сразу оговоримся, что мы говорим сейчас о коммерческих отношениях. Потому что гостайна, служебная тайна и персональные данные — совершенно другая тема. Так вот, NDA – это по-нашему «соглашение о неразглашении конфиденциальной информации». Звучит уже не так грозно, но всё равно не совсем понятно. Давайте разбираться.

Чисто обывательски, какой смысл в этой бумажке? Чтобы вы не растрезвонили что-то важное, что может дать преимущество конкурентам или разорить компанию. А в какой это форме? Соглашение. Ну, то есть договор. За договоры у нас отвечает гражданский кодекс РФ (ГК РФ). Если вы почитаете оглавление к ГК РФ не читайте, оно очень большое, то вы там такого договора не найдёте. Но ничего страшного в этом нет, так как в кодексе поименованы только самые распространённые (или важные) договоры, но никто не запрещает изобрести свой собственный договор или придумать новый другим законом. В ГК РФ на этот случай созданы специальные общие правила, регулирующие отношения сторон.

Чтобы как-то устаканить буйную фантазию сочинителей всяких NDA, законодатель наваял целый закон «О коммерческой тайне». Можете почитать, он небольшой — на несколько страниц. После прочтения сего творения многих начинают посещать мрачные думы.

По российскому праву, чтобы NDA работал, нужно выполнить требования этого закона, т. е. установить режим конфиденциальной информации.

А что для этого надо сделать?

За этим мы идём в п. 1 ст. 10 Закона о коммерческой тайне:

1. определить перечень (!) информации, составляющей коммерческую тайну;
2. установить порядок обращения с такой информацией и порядок контроля за соблюдением такого порядка;
3. ограничить доступ к такой информации (в том числе физически);
4. вести учёт всех лиц, кто получил доступ к такой информации или кому она была передана;
5. внести в договоры с работниками пункты, которые обязывают соблюдать всё вышеизложенное и ознакомить их со всеми этими порядками и порядками порядков; Исключение ИП без работников соответственно не должен этого делать, плюс на него не распространяются пп. 1 и 2, что логично иначе похоже на какую-то шизофрению.
6. наконец-то подписать NDA с контрагентом;
7. перед тем как передать информацию нанести на материальные носители или документы гриф «Коммерческая тайна» и указать обладателя информации; Пример из практики Как пример отрывок из решения по делу N А40-83833/15-15-646: "Ни Договор, ни иные документы, относящиеся к рассматриваемому спору, не имеют грифа или маркировки «Коммерческая тайна» и не являются объектами коммерческой тайны.
   Таким образом, Исполнитель не нарушал условий Соглашения о конфиденциальности от 06 марта 2013 г., требования Заказчика о взыскании штрафной неустойки в указанной части являются незаконными и необоснованными".
8. только потом передать эту информацию.

Текст закона 1. Меры по охране конфиденциальности информации, принимаемые ее обладателем, должны включать в себя:

1) определение перечня информации, составляющей коммерческую тайну;
2) ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка;
3) учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана;
4) регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;
5) нанесение на материальные носители, содержащие информацию, составляющую коммерческую тайну, или включение в состав реквизитов документов, содержащих такую информацию, грифа «Коммерческая тайна» с указанием обладателя такой информации (для юридических лиц — полное наименование и место нахождения, для индивидуальных предпринимателей — фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства).
И как нам говорит п. 2 ст. 10 Закона о коммерческой тайне, если вы не выполнили хотя бы одно из вышеперечисленных условий, то ваше NDA что угодно, но только не NDA.
Фиг вам 2. Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, мер, указанных в части 1 настоящей статьи.
На самом деле, это не бюрократические придирки. Если вы внимательно перечитаете требования, то это по сути минимальный стандарт доказывания. Без какого-то из этих пунктов можно ли будет определённо установить, что информация действительно важная и она ушла без вашего ведома? Сложновато.
Как с коммерческой тайной опростоволосились Дело № А33-28905/2016:
«истцом не был установлен режим коммерческой тайны, поскольку, как было установлено судами, между сторонами договора от 26.12.2012 N У-261212 перечень информации, составляющей коммерческую тайну, не определялся, порядок обращения с данной информацией и контроль за его соблюдением не установлен, учет лиц, получивших допуск к конфиденциальной информации не осуществлялся, текст договора от 26.12.2012 N У-261212 и оригиналы чертежей не содержат грифа „Коммерческая тайна“ с указанием реквизитов обладателя такой информации, а следовательно, истцом не были представлены в материалы дела доказательства, достоверно подтверждающие факт размещения обществом „УНИМЕТ“ в сети Интернет информации, содержащей коммерческую тайну общества „НПЦ магнитной гидродинамики“, Суд по интеллектуальным правам считает, что суды пришли к обоснованному выводу о том, что данные обстоятельства служат основанием для отказа в удовлетворении иска».

 

А зачем мне вообще соответствовать закону?

Хороший вопрос. Для вашей же пользы. Потому что режим конфиденциальной информации вручает вам в руки широкий набор кнутов:

 

1. Дисциплинарная ответственность работника вплоть до увольнения.
   Отрывок из трудового кодекса Трудовой договор может быть расторгнут работодателем в случаях: разглашения охраняемой законом тайны (государственной, коммерческой, служебной и иной), ставшей известной работнику в связи с исполнением им трудовых обязанностей, в том числе разглашения персональных данных другого работника (подп. «в» п. 6 ч. 1 ст. 81 ТК РФ)
2. Административную ответственность по ст. 13.14 КоАП РФ (издевательство с копеечными штрафами).
   Текст статьи Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 настоящего Кодекса,
   влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей; на должностных лиц — от четырех тысяч до пяти тысяч рублей
3. Административная ответственность по ст. 14.33 КоАП РФ за недобросовестную конкуренцию. Здесь всё гораздо серьёзней, но и дела на порядки сложнее.
   Текст статьи 1. Недобросовестная конкуренция, если эти действия не содержат уголовно наказуемого деяния, за исключением случаев, предусмотренных статьей 14.3 настоящего Кодекса и частью 2 настоящей статьи, — влечет наложение административного штрафа на должностных лиц в размере от двенадцати тысяч до двадцати тысяч рублей; на юридических лиц — от ста тысяч до пятисот тысяч рублей.
4. Уголовная ответственность. Джокер. Самый главный амулет. Ч. 2 ст. 183 УК РФ.
   Отрывок из уголовного кодекса 2. Незаконные разглашение или использование сведений, составляющих коммерческую, налоговую или банковскую тайну, без согласия их владельца лицом, которому она была доверена или стала известна по службе или работе, — наказываются штрафом в размере до одного миллиона рублей или в размере заработной платы или иного дохода осужденного за период до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет, либо исправительными работами на срок до двух лет, либо принудительными работами на срок до трех лет, либо лишением свободы на тот же срок.
5. Ну и да, договорная ответственность и убытки всякие, разумеется. В том числе от госорганов, которые разгласили информацию вами предоставленную по их требованию.

Такие бонусы существуют потому, что правильно установленный порядок упрощает процедуру доказывания нарушения ваших прав. Действительно, если возможно установить маршрут прохождения информации более-менее достоверно, то возникают вопросы уже к другой стороне. С вашей стороны работы требуется намного меньше.

 

Что же теперь, мне моим NDA подтер… не защититься?

Нет, но теперь мы можем подойти к вопросу, а что же такое на самом деле NDA на отечественных просторах, если не брать те редкие исключения, когда всё-таки ввели пресловутый режим конфиденциальной информации?

Как мы выяснили, стороны могут заключить любой договор. Пусть это и ненастоящий NDA. Как выглядит стандартное NDA? «Бла-бла-бла, обязуюсь не разглашать всё полученное, бла-бла-бла, буду нести ответственность в соответствии с законом». Ну, ок. Какая ответственность? Так как Закон о коммерческой тайне не действует в нашем случае, то обратимся к ГК. Единственное, что там есть — это убытки (п. 2 ст. 15 ГК РФ).

Из гражданского кодекса про убытки

2. Под убытками понимаются расходы, которые лицо, чье право нарушено, произвело или должно будет произвести для восстановления нарушенного права, утрата или повреждение его имущества (реальный ущерб), а также неполученные доходы, которые это лицо получило бы при обычных условиях гражданского оборота, если бы его право не было нарушено (упущенная выгода).

С ними засада. Дела об убытках одни из самых сложных.

Потому что их трудно доказывать. Вам нужно предоставить убедительные свидетельства, что:

1. Убытки существуют и они возникли именно от разглашения сведений.
2. Обосновать размер убытков именно от разглашения. Не обязательно точно, но вы должны хотя бы попытаться привести расчёты не из головы.
3. Доказательства вины именно такого «разглашателя», то есть что сведения утекли именно от этой стороны. Короче, виновность виновника.
4. Причинно-следственная связь между действиями виновника и возникшими убытками.

В каждом из этих пунктов существует целый лес из засад и частоколов. Соответственно мы сейчас больше о голой теории разговариваем, потому что без правильного режима защиты информации (к чёрту закон, мы сейчас о реальной фактической сложности говорим) очень трудно предъявить и обосновать публике цепочку — «я передал, а он разгласил». Хотя в сфере айти это и легче в некоторых случаях. К примеру, выданный доступ к ПО на сторону отследить по идее проще.
Отрывок из решения суда Дело № А56-92673/2016:

В период действия договора процессинга ответчик разместил на своем сайте в информационно-телекоммуникационной сети Интернет tscard.ru активную кнопку «Попробуйте. Поработайте с личным кабинетом в демо-режиме», предоставлявшую доступ неограниченному кругу лиц к личному кабинету ответчика, созданному в системе истца.

Данный факт подтверждается нотариальным протоколом осмотра доказательств (бланк серии 78 АА N 9483798, т.10, л.д.41-66).

Пунктом 4.4. соглашения, стороны определили, что сторона, раскрывшая конфиденциальную информацию или иным образом нарушившая соглашение, обязуется уплатить другой стороне штраф в размере 400 000 рублей.

Ссылаясь на то обстоятельство, что доступ неопределенного круга лиц к своему личному кабинету в системе, нарушает условия соглашения о конфиденциальности, истец обратился в суд с требованием о взыскании с ответчика штрафа в сумме 400 000 рублей.

В целях установления, факта предоставления ответчиком доступа к личному кабинету неограниченному кругу лиц судом назначена экспертиза, проведение которой было поручено эксперту Симонову И.А. (Российский экспертный фонд «Техэко»).

Согласно заключению эксперта N 9619/Ц (т.10, л.д.5-38), ответчик не вносил изменения в сведения об авторизации пользователя demo@tscard.ru в личном кабинете Системы ООО «ВИАКАРД», состоящего из базы данных, интерфейса и программы для ЭВМ; самостоятельно создал учетную запись demo@tscard.ru и предоставил доступ к системе ООО «ВИАКАРД» без необходимости ввода пароля неограниченному кругу лиц; анализ сведений о действиях пользователя в личном кабинете показал наличие 633 записей об авторизации, которые были произведены с использованием данного сайта

Значит всё же подтер… не защититься?

Нет, некоторые продвинутые юристы вставляют в NDA дополнительную ответственность. К примеру, штраф в 1 миллион евро. Нет, я не шучу. Почему-то я ещё ни разу не встречал адекватных штрафов. Ведь в каждом же случае передаётся информация колоссальной, феноменальной важности, поэтому меньше чем на миллион мы не согласны. Хотя в таком размере её в жизнь не взыщут. Если вы будете хоть какую-нибудь активность в суде проявлять, то наверняка её порежете многократно.

Ну ок. Чем помогает штраф? Тем, что это частичная замена убытков!

Обратимся к первоисточнику. П. 1 ст. 330 ГК РФ говорит нам: «Неустойкой (штрафом, пеней) признается определенная законом или договором денежная сумма, которую должник обязан уплатить кредитору в случае неисполнения или ненадлежащего исполнения обязательства, в частности в случае просрочки исполнения». Но самое главное (!) «По требованию об уплате неустойки кредитор не обязан доказывать причинение ему убытков».

Всё, победа? Не до конца. Вернитесь к перечню из четырёх необходимых для доказывания пунктов в случае убытков. Перечитали? Теперь, внимание! В случае неустойки вам нужно будет доказать только один пункт — про виновность виновника. То есть только факт нарушения соглашения. Да, это по-прежнему очень тяжело, но это же в четыре раза легче! Хотя, в некоторых случаях ноль на ноль всё равно будет ноль.

 

А можно ещё что-нибудь придумать?

Можно! Но это уже творческая юридическая работа. Правда, я этого ещё не видел в текстах NDA, только сам вставлял. Возможно, потому что норма новая. Но в других договорных спорах уже применяется. Есть такая интересная статья 406.1 ГК РФ, и её пункт первый нам говорит: «Стороны обязательства, действуя при осуществлении ими предпринимательской деятельности, могут своим соглашением предусмотреть обязанность одной стороны возместить имущественные потери другой стороны, возникшие в случае наступления определенных в таком соглашении обстоятельств и не связанные с нарушением обязательства его стороной».

То есть из списка про убытки удаляются все четыре пункта. Вам просто нужно доказать факт наступления обстоятельства, которое вы оговорили. К примеру, секреты производства ушли гулять по интернетам и договор больше не имеет для вас смысла, так как преимуществ от наличия секретной информации больше нет.

Важное дополнение: исходя из текста статьи возмещаются именно потери! Это не оплата в любом случае. Не ваш доход. Вы должны будете именно понести потери, либо показать, что они неизбежны. Иначе, если вы ничего не потеряли от разглашения информации, то тогда вы в этом случае не будете защищаться законом. Статья же прописывает порядок определения потерь, то есть вы договорились, что если произойдёт это, то вы попадёте на это. Если вы «просчитались», то это уже ваши проблемы.

Но это вообще достаточно скользкая тема, потому что из договора и отношений сторон явно должно быть видно, что это интересно обеим сторонам и нормально для рыночных отношений. Это нужно будет обосновывать судье, почему другая сторона решила взять на себя риски наступления таких обстоятельств. Иначе в случае спора есть большая вероятность нарваться на то, что такой договор будет признан договором страхования, а значит соглашение о возмещении потерь будет признано недействительным. Так что используйте на свой страх и риск. Судебной практики нет совсем.
Определение договора страхования По договору имущественного страхования одна сторона (страховщик) обязуется за обусловленную договором плату (страховую премию) при наступлении предусмотренного в договоре события (страхового случая) возместить другой стороне (страхователю) или иному лицу, в пользу которого заключен договор (выгодоприобретателю), причиненные вследствие этого события убытки в застрахованном имуществе либо убытки в связи с иными имущественными интересами страхователя (выплатить страховое возмещение) в пределах определенной договором суммы (страховой суммы) (п. 1 ст. 929 ГК РФ).
Ну и никто не мешает вам совмещать в одном соглашении и неустойку, и возмещение потерь. Это не считается двойной ответственностью, потому что из ответственности здесь только неустойка. Возмещение потерь — просто плата, которая не связана с нарушением обязательств стороной соглашения.

 

 

Предвосхищая вопросы

А я слышал как деньги взыскали, а режим был не по правилам

Запросто. Юрист заказчика написал в договоре красивые фразы про конфиденциальность. Юрист подрядчика их проверил. Про режимы всякие никто не слышал. Судья тоже особо не разбиралась, ведь стороны не оспаривали саму процедуру защиты информации. Вот и разбирались по тому, что есть. Подозреваю, что из тех немногочисленных споров, которые всё-таки есть в судах по теме разглашений, большинство основаны на некорректном режиме. Но никто не оспаривал, значит всех всё устраивает. Тем более, что отказов во взыскании убытков по NDA и так масса.

 

А если нет вообще никакого соглашения, то всё можно?

Вообще-то нет. Хотя и убедить в этом судью будет сложно.

Но в целом это обосновывается следующим образом:

1. Стороны обязательства должны действовать добросовестно.
   Отрывок из ГК РФ При установлении, осуществлении и защите гражданских прав и при исполнении гражданских обязанностей участники гражданских правоотношений должны действовать добросовестно (п. 3 ст. 1 ГК РФ).
2. Если вы всё же действовали плохо, то вам запрещено извлекать из этого выгоду.
   Отрывок из ГК РФ Никто не вправе извлекать преимущество из своего незаконного или недобросовестного поведения (п. 4 ст. 1 ГК РФ).
3. Вы должны учитывать интересы другой стороны, причём даже после прекращения договора.
   Отрывок из ГК РФ При установлении, исполнении обязательства и после его прекращения стороны обязаны действовать добросовестно, учитывая права и законные интересы друг друга, взаимно оказывая необходимое содействие для достижения цели обязательства, а также предоставляя друг другу необходимую информацию (п. 3 ст. 307 ГК РФ).
4. Даже если вы получили такую информацию на переговорах, а договор так и не был заключён, то вы не должны её разглашать.
   Про переговоры Если в ходе переговоров о заключении договора сторона получает информацию, которая передается ей другой стороной в качестве конфиденциальной, она обязана не раскрывать эту информацию и не использовать ее ненадлежащим образом для своих целей независимо от того, будет ли заключен договор. При нарушении этой обязанности она должна возместить другой стороне убытки, причиненные в результате раскрытия конфиденциальной информации или использования ее для своих целей (п. 4 ст. 434.1 ГК РФ).

А ещё в некоторых случаях закон говорит, что определённая информация, полученная стороной обязательства, даже без режима коммерческой тайны получает охрану. Но ответственность, опять же, — убытки либо штраф, установленный в договоре.
Про договор подряда Если сторона благодаря исполнению своего обязательства по договору подряда получила от другой стороны информацию о новых решениях и технических знаниях, в том числе не защищаемых законом, а также сведения, в отношении которых их обладателем установлен режим коммерческой тайны, сторона, получившая такую информацию, не вправе сообщать ее третьим лицам без согласия другой стороны (абз. 1 ст. 727 ГК РФ).

 

Мне передали с грифом секретно, а откуда мне знать, что они остальное выполнили?

Ниоткуда. Надо выполнять. Но если возникнет спор, то обязательно поставьте в суде вопрос о том, был ли введён режим коммерческой тайны. Этот факт уже должна будет доказать сторона, которая заявила о нарушении NDA. И если условия Закона о коммерческой тайне не соблюдены, то тогда спор превращается по сути в полноценное доказывание убытков. О сложности таких дел я уже писал выше.

При этом помните, что стандартные концовки письма, описывающие какая сверхсекретная информация в этом письме содержится, обычно являются не передачей конфиденциальной информации, а «письмом на деревню дедушке». Потому что, как вы помните, режим коммерческой тайны требует отслеживания кто и кому передал конкретную информацию. И если в договоре не была указана эта почта и кто её владелец, то Закон о коммерческой тайне применить будет достаточно сложно.

 

А я вообще с иностранцами работаю, что тогда?

Я вам так скажу. Не знаю. Не факт, что соглашение с иностранным контрагентом означает и иностранное право. Существуют целые правила определения применимого законодательства (называется коллизионное право). Но если всё-таки право иностранное, то как регулируется у них NDA может сказать только юрист соответствующей страны. Другие законы, другая судебная практика, другие традиции. Могу только посоветовать пробить пункт, что к условиям соглашения применяется российское право.

А в какой форме должно быть соглашение?

Требований нет особо. Можно включить пункт в договор. Можно заключить отдельное соглашение. Причём как до, так и после подписания соглашения. А в некоторых случаях закон говорит, что просто в договоре можно перечислить информацию, которую вы считаете конфиденциальной, и она уже охраняется.
Про НИОКР Если иное не предусмотрено договорами на выполнение научно-исследовательских работ, опытно-конструкторских и технологических работ, стороны обязаны обеспечить конфиденциальность сведений, касающихся предмета договора, хода его исполнения и полученных результатов. Объем сведений, признаваемых конфиденциальными, определяется в договоре (п. 1 ст. 771 ГК РФ).

 

Так что мне будет за NDA?

Если честно, шансов, что вы нарвётесь на ответственность за разглашение конфиденциальной информации немного. Это достаточно редкая тема в наших судах. Как вы уже поняли, если штрафов не прописано, то с убытками мало кто захочет связываться. Но помните, что если контора ввела тру режим коммерческой тайны, то над вами висит дамоклов меч уголовки. Ну а с коммерческой точки зрения больше рисков, вызванных расторжением договора из-за разглашения. И всё же, давайте не забывать про этику и деловую репутацию. Это чего-то, да должно стоить!