Информацията като търговска тайна: стратегии за защита на най-ценния актив на ИТ компаниите

1. Търговската тайна в съвременния ИТ сектор

В ерата на високите технологии компаниите, създаващи софтуерни продукти, разчитат на широк спектър от правни и технически методи за защита на интелектуалния труд. Все по-голяма част от ИТ индустрията в световен мащаб фокусира усилията си върху защитата на информацията като търговска тайна.

Правната рамка в тази област бе изцяло хармонизирана с приемането на Директива (ЕС) 2016/943 на Европейския парламент и на Съвета от 8 юни 2016 г. Директивата задължи държавите членки да въведат нейните изисквания в срок до 9 юни 2018 г. (чл. 19 от Директивата), а в България това се случи с известно закъснение – чрез приемането на Закон за защита на търговската тайна (ЗЗТТ), обнародван в Държавен вестник, бр. 28 от 5 април 2019 г. Именно с ЗЗТТ, а не с изменение на вече съществуващ закон, бе създадена самостоятелна гражданскоправна закрила на неразкритите ноу-хау и търговска информация в българското право.

Любопитен и показателен факт е, че именно такъв законодателен подход бе препоръчан предварително от Комисията за защита на конкуренцията (КЗК) – в нейно официално становище по все още обсъждания тогава проект на Директивата (Решение № 640 от 14.05.2014 г. по преписка № КЗК-461/2014 г.) органът изрично застъпва тезата, че новата уредба не следва да се вгражда в Закона за защита на конкуренцията (ЗЗК), а следва да бъде приета като самостоятелен нормативен акт на частното право. Аргументите на КЗК са показателни за разликата между двата режима: защитата по чл. 37 от ЗЗК (забрана за разгласяване на производствени или търговски тайни) е ограничена само до отношения между преки конкуренти, представлява административно нарушение и се санкционира с административно наказание, без КЗК да може да присъжда обезщетение на увредения търговец. Именно тази празнота бе запълнена от ЗЗТТ, който дава на притежателя на търговска тайна – без значение дали нарушителят му е конкурент – самостоятелни граждански искове за преустановяване на нарушението, обезщетение за вреди и други мерки, разгледани по-долу.

Отделен, но не по-маловажен пласт от правната рамка е защитата на личните данни. Доколкото мерките за опазване на търговската тайна (мониторинг на достъп, лог-файлове, ограничения за отдалечена работа) неизбежно засягат обработването на данни за служители и контрагенти, тяхното въвеждане трябва да бъде съобразено и с Регламент (ЕС) 2016/679 (GDPR) и българския Закон за защита на личните данни. Директива (ЕС) 2016/943 изрично препраща към този паралелен режим (по действащата към момента на приемането ѝ Директива 95/46/ЕО, впоследствие заменена от GDPR) и изисква обработването на лични данни в хода на мерките за защита на търговската тайна – включително в съдебен процес – да се извършва при зачитане на правата на субектите на данни.

За динамично развиващия се български ИТ сектор въпросът за ефективната защита на търговските тайни е от първостепенно значение. Освен креативността на софтуерните инженери, компаниите се нуждаят от стратегия как да защитят своите разработки. Основна предпоставка за успешното комерсиализиране на даден продукт е той да бъде крачка пред конкуренцията, а в основата на това предимство стои именно опазването на конфиденциалността.

2. Кога информацията представлява „търговска тайна” по закон?

Не всяка фирмена информация се ползва с автоматична защита от закона. Съгласно чл. 3 от ЗЗТТ (транспониращ дословно чл. 2, точка 1 от Директива (ЕС) 2016/943), за да бъде квалифицирана като търговска тайна, информацията трябва едновременно, кумулативно да отговаря на три критерия:

Да представлява тайна – т.е. като цяло или в точната си конфигурация да не е общоизвестна или леснодостъпна за лица от средите, които обичайно работят с този вид информация;

Да има търговска стойност именно поради тайния си характер;

Спрямо нея да са предприети от лицето, което има контрол върху информацията, разумни (обосновани при конкретните обстоятелства) мерки за запазване на нейната конфиденциалност.

При софтуерните компании търговската тайна може да включва изходен код (source code), алгоритми, архитектура на бази данни, списъци с клиенти и партньори, методологии за тестване, финансови модели и маркетингови стратегии.

3. Връзка и разграничение от авторското право и патентите

Авторското право закриля конкретния обективиран изходен или обектен код, но не закриля идеите, принципите и алгоритмите, залегнали в него. Ако конкурент разполага с логиката и архитектурата на софтуера и напише нов код със същата функционалност, авторскоправната защита се оказва недостатъчна.

От друга страна, патентоването на софтуер и компютърно-реализирани изобретения подлежи на строги ограничения и изисква абсолютна световна новост. Всяко преждевременно „изтичане” на информация прави патентоването невъзможно.

Важна разлика спрямо патентите е и че режимът на търговската тайна не създава изключително право върху информацията – самата Директива (ЕС) 2016/943 подчертава в съображение 16, че независимото откритие на същото ноу-хау от трето лице, както и обратният инженеринг (reverse engineering) на законно придобит продукт, са напълно законни способи за придобиване на информация, освен ако страните не са уговорили друго с валидна клауза. Ето защо режимът на търговската тайна се явява по-гъвкав, но и по-„крехък” от патентната закрила: той не пречи на конкурент да достигне до същия резултат по независим път, а защитава единствено срещу нелоялното присвояване.

4. Основни линии на застрашеност за ИТ компаниите

Всяка ИТ компания е застрашена от неоторизирано разкриване на търговските си тайни по три основни направления:

Служители и фрилансъри: При обучението и работата с ключови кадри работодателите разкриват критично ноу-хау и софтуерни архитектури. Тъй като свободата на труда е конституционно гарантирана, а клаузите за пълна забрана на конкуренция след прекратяване на договора са неефективни или нищожни според българската съдебна практика, защитата трябва да се фокусира върху стриктни задължения за конфиденциалност и недопускане ползването на конкретните тайни. Показателно е, че самият ЗЗТТ (чл. 18 – 19) ограничава по размер отговорността на работници и служители за небрежно (непредпазливо, немаловажно) нарушение на задълженията им за пазене на търговска тайна – поради което компаниите не следва да разчитат единствено на бъдещ иск за обезщетение, а да инвестират превантивно в организационни мерки;

Бизнес партньори и инвеститори: В процеса на преговори с потенциални клиенти, дистрибутори или инвеститори се разкрива ценна търговска информация, като с голяма част от тези лица не се стига до финално споразумение;

Външни лица и кибератаки: Посегателства от недобросъвестни трети лица чрез неоторизиран достъп до сървъри, промишлен шпионаж или кражба на физически носители.

5. Задължителният елемент: Предприемане на „разумни мерки” за защита

Ключов и критичен момент в ЗЗТТ е изискването по чл. 3, т. 3 за предприети „разумни” (обосновани при конкретните обстоятелства) мерки за запазване на тайната. Тежестта на доказване е изцяло върху притежателя на търговската тайна – съгласно чл. 11 от Директива (ЕС) 2016/943, ищецът трябва да представи достатъчно убедителни доказателства, че въпросната информация действително съставлява търговска тайна по смисъла на закона. Ако при евентуален съдебен спор компанията не докаже, че е предприела конкретни, документирани правни и технически стъпки за ограничаване на достъпа до информацията, съдът няма да приеме, че е налице търговска тайна, и ще отхвърли иска – независимо колко ценна е информацията в икономически план.

Разумните мерки за защита се разделят на две взаимнообвързани категории:

Правни мерки:

Изготвяне на вътрешни политики и правила за сигурност на информацията (Information Security Policies), включително писана политика за съхранение и унищожаване на документи, съдържащи търговска тайна (кой документ колко дълго се пази, кой има право да го изтрие и по какъв ред) – добра международна практика, следвана и при управлението на електронни документи в производства с висок правен риск;

Включване на детайлни клаузи за конфиденциалност и търговска тайна в трудовите договори и длъжностните характеристики, съобразени с ограниченията по чл. 18 – 19 от ЗЗТТ относно отговорността на служителите;

Подписване на подробни Споразумения за конфиденциалност (NDA) с кандидат-партньори, клиенти и външни изпълнители преди разкриване на каквито и да било данни;

Изрично маркиране на документите и изходните кодове с гриф „Конфиденциално / Търговска тайна” – аналогичен подход отдавна се прилага и в българската административна практика, например в правилата на КЗК за работа с производствена, търговска или друга защитена от закона тайна, приети още през 2009 г., които изискват изричното обозначаване на поверителните материали и подготовката на неповерителен (редактиран) вариант на всеки документ.

Технически и организационни мерки:

Внедряване на системи за контрол на достъпа до изходния код и базите данни на принципа „необходимост да се знае” (Need-to-know basis);

Използване на криптиране на данните в покой и в движение, двуфакторна автентификация и защитени облачни среди;

Прилагане на правила за работа от разстояние (Remote Work) и контрол върху използването на лични устройства (BYOD), съобразени с изискванията на ЗЗТТ и Регламент (ЕС) 2016/679 (GDPR);

Поддържане на лог-файлове за достъпа и тегленето на конфиденциални файлове, както и незабавно прекратяване на достъпа на напускащи служители и изземване на служебна техника при напускане;

Периодичен преглед и своевременно, документирано унищожаване или анонимизиране на остарели или вече ненужни материали, съдържащи чувствителна информация, за да се избегне ненужно натрупване на риск.

6. Защита на търговската тайна в съдебния процес

В миналото основно опасение при водене на съдебни дела за нарушена конфиденциалност беше публичността на процеса, при която самата тайна можеше да стане публично достояние в съдебната зала. Всъщност изискването за защита на производствената и търговската тайна в хода на административни и съдебни производства не е съвсем ново за българското право – самото право на защита на подобна информация е било изведено от практиката на Съда на ЕС като общ принцип на правото още през 80-те години на миналия век (дело AKZO Chemie/Комисия, C-53/85), а на национално ниво КЗК прилага сходни правила за работа с поверителни материали (закрити заседания, неповерителни варианти на доказателствата, съкратени варианти на решенията) в производствата пред себе си от 2009 г. насам.

С приемането на Директива (ЕС) 2016/943 и нейното транспониране чрез ЗЗТТ, законодателят предвиди изрични и подробни процесуални гаранции, приложими конкретно в гражданския съдебен процес по искове за нарушена търговска тайна. Съгласно чл. 12 от ЗЗТТ, по искане на заинтересована страна съдът може да:

ограничи изцяло или частично достъпа до съдебните заседания, в които могат да бъдат разкрити търговски тайни, както и до съответните записи или протоколи от тях, до ограничен кръг лица;

ограничи достъпа до документи по делото, съдържащи търговска тайна, като предостави достъп само на изрично определени лица;

разпореди изготвянето на отделен вариант на съдебния акт за лицата, лишени от достъп до търговската тайна, в който съдържанието на самата тайна е заличено или обобщено.

Задължението за неразкриване на търговската тайна обвързва всички лица, придобили достъп до нея в рамките на производството – страните, техните адвокати, свидетелите, вещите лица и съдебните служители – и остава в сила и след приключване на делото, освен ако впоследствие се установи, че въпросната информация изобщо не отговаря на легалните критерии за търговска тайна или е станала общоизвестна по причина, различна от поведението на обвързаното лице. Давностният срок за предявяване на иск за нарушение по ЗЗТТ е 5-годишен от извършване на нарушението (чл. 11 от ЗЗТТ) – съществено по-кратък от сроковете за конфиденциалност, договаряни понякога в самите трудови договори и NDA-та, което е допълнителен аргумент компаниите да не разчитат единствено на давностните правила, а да документират нарушенията своевременно.

Важно е да се знае, че точният обхват на приложение на чл. 12 от ЗЗТТ към момента поражда спорове в практиката: за разлика от Директивата, която изрично ограничава тези процесуални гаранции до производства „във връзка с незаконното придобиване, използване или разкриване на търговска тайна”, българският законодател не е възпроизвел изрично това ограничение в текста на чл. 12. В резултат на това административните съдилища все по-често прилагат мерките по чл. 12 ЗЗТТ и в производства с различен предмет (например данъчни или обществено-поръчкови спорове, в които страна разкрива чувствителна търговска информация), докато Върховният касационен съд се придържа към разбирането, че тези гаранции са предвидени единствено за специализираните граждански искове по ЗЗТТ. За ИТ компания, която защитава търговска тайна не само в частноправен спор, но и например в производство пред регулаторен или данъчен орган, това означава, че е препоръчително предварително да се потърси правна консултация относно наличните средства за защита на поверителността, вместо да се приема автоматично, че чл. 12 ЗЗТТ ще намери приложение.