Передача клієнтської бази, технічного завдання, фінансової моделі або доступу до CRM не означає, що отримувач автоматично зобов’язаний використовувати ці дані лише для погодженої співпраці.
Щоб визначити межі доступу, допустиму мету використання інформації та наслідки порушення, сторони можуть укласти договір про нерозголошення — NDA.
Договір про нерозголошення зазвичай укладається до передачі непублічної інформації, доступ до якої бізнес законно обмежує. Це можуть бути фінансові показники, технічні рішення, програмний код, креслення, клієнтські бази, маркетингові стратегії, внутрішні процеси, умови майбутніх угод або інвестиційні матеріали.
Водночас NDA не робить будь-яку інформацію автоматично закритою. Для захисту мають значення характер відомостей, законність обмеження доступу, зміст договору, порядок передачі матеріалів і фактичні заходи безпеки.
Що таке NDA
Українське законодавство не встановлює єдиної обов’язкової форми документа під назвою NDA.
Зобов’язання щодо нерозголошення можуть бути оформлені окремим договором, розділом основного договору або додатком до нього. Умови конфіденційності також можуть бути частиною трудового, підрядного, інвестиційного, ліцензійного чи іншого договору.
Назва документа має менше значення, ніж зміст його положень і відповідність фактичним відносинам між сторонами.
NDA зазвичай установлює два основні обмеження: заборону розголошувати інформацію третім особам і заборону використовувати її поза погодженою метою.
Друге обмеження не менш важливе. Отримувач може нікому не передавати інформацію, але використати її для створення конкуруючого продукту, переманювання клієнтів, участі в іншому проєкті або підготовки пропозиції конкуренту.
Тому якісний NDA регулює не тільки нерозголошення, а й межі допустимого використання інформації.
Конфіденційна інформація та комерційна таємниця
Конфіденційна інформація є ширшим поняттям, ніж комерційна таємниця. До неї можуть належати відомості, доступ до яких законно обмежила особа, що правомірно контролює таку інформацію та має повноваження визначати порядок її використання, якщо інше не встановлено законом.
Комерційна таємниця має відповідати спеціальним ознакам. Інформація повинна бути секретною, мати комерційну цінність унаслідок своєї секретності, а особа, яка її контролює, повинна вживати належних заходів для збереження такого режиму.
Тому не кожна конфіденційна інформація автоматично є комерційною таємницею. Наприклад, матеріали переговорів, проєкт договору або непублічні умови майбутньої співпраці можуть охоронятися NDA, навіть якщо вони не мають самостійної комерційної цінності.
Самого напису «конфіденційно» може бути недостатньо. Фактичний режим конфіденційності можуть підтверджувати визначене коло осіб із доступом, правила використання інформації, обмеження копіювання, облік переданих матеріалів і контроль повернення або видалення даних.
Конкретні заходи мають відповідати характеру інформації. Надмірно формальний режим, якого компанія фактично не дотримується, не забезпечує автоматичного захисту.
Яку інформацію не можна довільно закрити
Законодавство визначає категорії відомостей, які не можуть бути віднесені до комерційної таємниці. До них належать, зокрема, установчі документи, інформація за встановленими формами державної звітності, дані, необхідні для перевірки обчислення і сплати податків та інших обов’язкових платежів, а також відомості про чисельність і склад працівників, їхню заробітну плату в цілому та за професіями і посадами, а також про наявність вільних робочих місць. Цей перелік застосовується у взаємозв’язку з іншими нормами про доступ до інформації та захист персональних даних.
Водночас неможливість установити режим комерційної таємниці не завжди означає, що інформація є відкритою для будь-якої особи.
Неможливість віднести певні відомості до комерційної таємниці не означає, що будь-яка особа має необмежене право їх отримувати або поширювати. Індивідуальні відомості про працівника можуть одночасно бути персональними даними, а доступ до іншої інформації може надаватися лише визначеним законом суб’єктам і в установленому порядку.
Можливість включення певних відомостей до NDA залежить від того, чи може доступ до них бути законно обмежений і який режим захисту фактично застосовується.
Коли бізнесу потрібен NDA
NDA найчастіше використовують під час переговорів з інвесторами або покупцями бізнесу, співпраці з IT-розробниками, дизайнерами, маркетологами та іншими підрядниками, проведення аудиту або due diligence, запуску нового продукту чи партнерської моделі.
Договір також може бути доречним, якщо працівник або зовнішній виконавець отримує доступ до клієнтської бази, внутрішньої аналітики, рекламних кабінетів, фінансової документації, технічної інфраструктури або непублічних умов договорів.
У договірній практиці NDA може бути одностороннім, коли інформацію передає переважно одна сторона, або взаємним, коли конфіденційними матеріалами обмінюються обидві сторони. У складних проєктах із кількома інвесторами або підрядниками може використовуватися багатосторонній договір.
NDA не є автоматично необхідним для кожної співпраці. Його значення залежить від того, яка інформація передається, чому вона потребує захисту та чи врегульована конфіденційність в основному договорі.
Ключові умови NDA
Центральна частина NDA — це практичні правила роботи з інформацією. Загальної фрази про нерозголошення «будь-яких відомостей, отриманих під час співпраці» зазвичай недостатньо.
Зміст NDA зазвичай формується навколо предмета захисту, дозволеної мети використання, кола отримувачів, строку обмежень, винятків і наслідків порушення. Окреме значення мають порядок ідентифікації матеріалів та підтвердження їх передачі. Без цих елементів загальна заборона розголошення може залишатися складною для практичного застосування.
Яка інформація захищається
Договір має достатньо чітко визначати категорії інформації, на які поширюються обмеження.
Це можуть бути фінансові показники, ціни, маржа, технічна документація, програмний код, креслення, бізнес-плани, клієнтські бази, комерційні пропозиції, внутрішні процедури та матеріали переговорів.
Надто загальне визначення ускладнює розуміння обов’язків отримувача і подальше доведення порушення. Водночас вичерпний перелік кожного документа може виявитися непрактичним.
Категорії інформації та спосіб її ідентифікації можуть визначатися в договорі. Для електронних файлів використовуються маркування, окремі папки або захищені системи передачі. Для усної інформації може встановлюватися порядок подальшого письмового підтвердження.
Для чого можна використовувати інформацію
Договір може визначати дозволену мету використання інформації.
Наприклад, інформація може передаватися виключно для оцінки можливості інвестування, виконання конкретного проєкту, підготовки комерційної пропозиції, проведення аудиту або переговорів щодо придбання бізнесу.
Використання матеріалів поза цією метою може визнаватися порушенням, навіть якщо інформація формально не була передана третій особі.
Якщо фінансова модель надається потенційному інвестору, вона не повинна використовуватися для створення конкурентної пропозиції. Якщо підряднику передається клієнтська база для налаштування CRM, він не повинен використовувати контакти для власного маркетингу.
Хто може отримати доступ
До укладення NDA значення має коло фактичних отримувачів інформації: фізична особа, працівник, ФОП, компанія, пов’язана особа або субпідрядник.
Доступ до матеріалів зазвичай обмежується особами, яким він об’єктивно потрібний для погодженої мети. Це можуть бути окремі працівники, керівники, аудитори, технічні спеціалісти або професійні радники.
Договір може визначати право отримувача залучати інших осіб, необхідність попередньої згоди та межі відповідальності за їхні дії.
Якщо NDA підписаний з однією особою, а інформацією фактично користується інша компанія або невизначене коло підрядників, застосування відповідальності може ускладнитися.
Винятки з конфіденційності
У договорі можуть визначатися винятки для інформації, яка була загальнодоступною, законно відомою отримувачу до передачі, отримана від третьої особи без порушення зобов’язань або самостійно розроблена без використання захищених матеріалів.
Самого посилання на виняток може бути недостатньо. Відповідні обставини можуть підтверджуватися документами, листуванням або історією розробки.
NDA також не може забороняти виконання законних вимог суду, правоохоронного, контролюючого чи іншого уповноваженого органу. За можливості договір може вимагати попереднього повідомлення іншої сторони та розкриття лише необхідного обсягу інформації.
NDA не може використовуватися для приховування правопорушень, перешкоджання зверненню до суду або державного органу чи обмеження гарантованих законом прав.
На який строк діють обмеження
Строк дії договору, період передачі інформації та строк зобов’язання щодо нерозголошення є різними правовими категоріями.
Сторони можуть завершити переговори або співпрацю, але обов’язок зберігати конфіденційність продовжуватиме діяти.
Строк обмежень визначається з урахуванням характеру інформації. Для матеріалів переговорів або комерційних умов може встановлюватися конкретний період. Для комерційної таємниці зобов’язання може діяти доти, доки інформація залишається секретною, має комерційну цінність і зберігає відповідний режим.
Безстрокове формулювання не завжди потрібне для всіх категорій даних, а надто короткий строк може позбавити NDA практичного значення.
Що відбувається після завершення співпраці
Договір має визначати порядок повернення документів, припинення доступу до інформаційних систем, видалення файлів і знищення копій.
За потреби отримувач може надавати письмове підтвердження виконання цих дій.
Повне видалення не завжди технічно можливе, оскільки інформація може залишатися у резервних копіях, архівах електронної пошти або системах автоматичного зберігання.
Для таких копій можна встановити заборону активного використання, обмежений доступ і продовження режиму конфіденційності до моменту планового видалення.
Припинення основного договору не завжди припиняє обов’язки щодо конфіденційності. Окремі положення можуть продовжувати діяти протягом установленого строку або доки інформація зберігає охоронюваний режим. Повернення носіїв, припинення доступів і видалення робочих копій мають різну технічну реалізацію залежно від способу зберігання даних.
Чому самого NDA недостатньо
Підписаний договір є лише одним із елементів системи захисту інформації.
На договірному рівні значення мають визначення змісту інформації, мети використання, обов’язків сторін, строку дії обмежень і можливих наслідків порушення.
На організаційному рівні бізнес має встановити, хто отримує доступ, як передаються матеріали, де вони зберігаються та що відбувається після завершення співпраці.
Підписаний договір є лише одним із елементів системи захисту інформації. На договірному рівні визначаються зміст інформації, мета використання, обов’язки сторін, строк і відповідальність. На організаційному рівні значення мають коло осіб із доступом, спосіб передачі матеріалів, місце їх зберігання та дії після завершення співпраці.
Якщо клієнтська база доступна необмеженому колу працівників, файли зберігаються без захисту, а передача інформації не фіксується, навіть детальний NDA не усуває ризику витоку та проблем із доказуванням.
NDA, клієнтські бази та персональні дані
Клієнтська база може одночасно мати комерційну цінність і містити персональні дані.
NDA регулює конфіденційність між сторонами, але не відповідає автоматично на питання, чи мала компанія право збирати, передавати та використовувати відповідні дані.
Якщо передаються імена, номери телефонів, електронні адреси, історія покупок, записи CRM або інша інформація, що дозволяє ідентифікувати фізичну особу, правова оцінка охоплює мету та підставу обробки, необхідний обсяг даних, фактичну роль кожної сторони, строк зберігання і заходи безпеки.
Договірні умови можуть окремо регулювати повідомлення про витік, втрату або несанкціонований доступ, а також повернення, знищення чи видалення інформації після завершення співпраці. Для електронних копій враховуються технічна можливість видалення з робочих систем і резервних копій та встановлені обов’язки зі зберігання документів.
Якщо отримувач обробляє дані від імені та за вказівками іншої сторони, договір має визначати мету, обсяг і строк обробки, можливість залучення інших осіб та порядок дій у разі порушення безпеки.
NDA забезпечує договірну конфіденційність, але сам по собі не створює законної підстави для збору, використання чи передачі персональних даних.
NDA у відносинах із працівниками
Якщо передаються імена, номери телефонів, електронні адреси, історія покупок, записи CRM або інша інформація, що дозволяє ідентифікувати фізичну особу, окремо оцінюються мета та підстава обробки, необхідний обсяг даних, фактична роль кожної сторони, строк зберігання і заходи безпеки.
Договір може окремо визначати порядок повідомлення про витік, втрату або несанкціонований доступ, а також правила повернення, знищення чи видалення інформації після завершення співпраці. Для електронних копій враховується технічна можливість видалення з робочих систем і резервних копій та обов’язки зі зберігання документів.
Штрафні положення з договору з ФОП або компанією не переносяться автоматично до документа з працівником, оскільки у трудових відносинах діє спеціальний режим відповідальності.
У трудових відносинах договірні умови про конфіденційність можуть поєднуватися з посадовою інструкцією, внутрішнім положенням, правилами доступу та підтвердженням ознайомлення працівника.
Після припинення трудових відносин організаційні заходи зазвичай охоплюють блокування облікових записів, повернення обладнання та фіксацію припинення доступу до інформаційних систем.
NDA та інтелектуальна власність
NDA захищає інформацію, але не передає майнові права на програмний код, дизайн, текст, креслення, базу даних або інший створений результат.
У трудових відносинах умови конфіденційності застосовуються з урахуванням трудового законодавства.
Підписаний NDA може забороняти розголошення коду або документації, але не означає, що замовник автоматично отримав право використовувати, змінювати або передавати відповідний об’єкт.
Конфіденційність і належність майнових прав вирішують різні питання. NDA може обмежувати розкриття результату, але не визначати, хто має право його використовувати, змінювати чи передавати. Якщо в межах співпраці створюються охоронювані об’єкти, відповідні права встановлюються основним договором, спеціальним розділом або окремою угодою.
Відповідальність за порушення
У цивільному або господарському договорі NDA може передбачати неустойку, відшкодування доведених збитків, припинення доступу, повернення або знищення матеріалів та інші дозволені законом наслідки. У відносинах із працівником штрафні положення не застосовуються автоматично: відповідальність визначається спеціальними нормами трудового законодавства.
Штрафні положення з договору з ФОП або компанією не переносяться автоматично до документа з працівником.
Захист інформації може поєднуватися з посадовою інструкцією, внутрішнім положенням про конфіденційну інформацію, правилами доступу та підтвердженням ознайомлення працівника.
Після припинення трудових відносин практичне значення мають блокування облікових записів, повернення обладнання та фіксація припинення доступу до інформаційних систем.
У договорі важливо визначити, які саме дії створюють підстави для відповідальності. Це може бути не лише пряма передача інформації третій особі, а й: використання поза погодженою метою, надання доступу неуповноваженій особі, невжиття погоджених заходів безпеки, відмова повернути або видалити матеріали, несвоєчасне повідомлення про витік, а також подальше використання після завершення співпраці.
Застосовність умов відповідальності залежить від статусу сторін і характеру відносин. Положення, допустиме у договорі між двома компаніями, не завжди однаково застосовується до працівника або споживача.
Докази доступу та порушення
Навіть детальний NDA не замінює доказів.
Питання належності й використання майнових прав регулюються окремо у трудовому, підрядному, ліцензійному чи іншому договорі.
Обсяг доказів залежить від обраного способу захисту. Доказове значення мають відомості про зміст і режим інформації, факт її передачі або доступу та порушення встановлених обмежень.
Для стягнення збитків додатково обґрунтовуються їхній розмір і зв’язок із порушенням. Для застосування договірної неустойки основне значення матимуть умови NDA та підтвердження самого порушення.
Якщо неможливо встановити, які саме матеріали отримала конкретна особа, загального підписаного NDA може бути недостатньо.
NDA з іноземним контрагентом
Для міжнародного NDA недостатньо перекласти український шаблон англійською мовою.
Для міжнародного NDA правове значення мають застосовне право, компетентний суд або арбітраж, мова договору, пріоритетна мовна версія та можливість виконання майбутнього рішення в країні контрагента.
Якщо передаються персональні дані, окремо перевіряються вимоги до їх транскордонної передачі.
Вибір іноземного права або арбітражу впливає не лише на текст договору, а й на спосіб захисту у разі спору. Значення мають місце знаходження активів контрагента, правила вручення документів, мова доказів і можливість визнання та виконання рішення. Транскордонна передача персональних даних утворює окремий блок регулювання.
Типові помилки
Найпоширеніша помилка — занадто широке визначення конфіденційної інформації. Формулювання «будь-які відомості, пов’язані з бізнесом» може виявитися складним для практичного застосування.
Друга помилка — включення до NDA інформації, доступ до якої не можна обмежувати всупереч законодавству.
Третя — відсутність чіткої мети використання. У такому разі договір може забороняти розголошення, але не обмежувати використання даних у власних інтересах отримувача.
Четверта — неправильне визначення сторони або неврегульований доступ її працівників і підрядників.
П’ята — спроба замінити NDA повноцінним регулюванням персональних даних, трудових відносин або інтелектуальної власності.
Шоста — відсутність реального режиму захисту та доказів передачі матеріалів.
Також ризики виникають через непропорційну відповідальність, невизначений строк, відсутність порядку повернення інформації та незрозумілі дії сторін у разі витоку.
Висновок
NDA — це не універсальний шаблон, а один з інструментів управління інформаційними ризиками.
Умови відповідальності залежать від статусу сторін і характеру відносин. Положення, допустиме у договорі між двома компаніями, не завжди однаково застосовується до працівника або споживача.
Ефективність NDA залежить від поєднання чіткого договору, фактичного режиму захисту та доказів того, хто, коли і до яких матеріалів мав доступ.
Якщо договір охоплює клієнтські бази або CRM, окремо оцінюється модель обробки персональних даних. Якщо під час співпраці створюється код, дизайн або документація, належність і використання майнових прав регулюються відповідним договором.
Доказове значення можуть мати відомості про те, які матеріали були передані, коли це сталося, хто отримав доступ і для якої мети. Для цього використовуються електронне листування, акти, реєстри, журнали доступу, персональні посилання або історія завантажень.
Інформаційне застереження
Матеріал має загальний інформаційний характер. Застосування наведених положень до конкретної ситуації залежить від фактичних обставин, змісту документів, спеціального регулювання та чинної редакції законодавства.
Зміст конкретного NDA залежить від характеру інформації, статусу сторін, мети передання та фактичної моделі доступу.