3 dni temu
Know-how rzadko przybiera postać jednego dokumentu oznaczonego jako poufny. W spółce technologicznej może obejmować sposób trenowania modelu AI, parametry wdrożenia, architekturę systemu, listę błędów, metody pozyskiwania klientów albo niepubliczną logikę wyceny. Właśnie dlatego najlepsze metody ochrony know-how nie polegają na podpisaniu pojedynczej umowy NDA. Wymagają spójnego systemu prawnego, organizacyjnego i technicznego, który pozwala wykazać, iż informacja była wartościowa, niejawna i rzeczywiście chroniona.
Dla przedsiębiorcy najważniejsze pytanie nie brzmi: czy mamy tajemnicę przedsiębiorstwa? Powinno brzmieć: czy w razie sporu będziemy w stanie udowodnić, jakie konkretnie informacje podlegały ochronie, kto miał do nich dostęp oraz jakie środki zastosowaliśmy? To przesądza zarówno o szansach procesowych, jak i o wartości firmy podczas inwestycji, due diligence lub sprzedaży biznesu.
Know-how a tajemnica przedsiębiorstwa
Polskie przepisy nie ustanawiają odrębnego, jednolitego prawa wyłącznego do know-how. Praktyczna ochrona opiera się przede wszystkim na regulacji tajemnicy przedsiębiorstwa zawartej w ustawie o zwalczaniu nieuczciwej konkurencji. Informacja może korzystać z tej ochrony, o ile łącznie ma charakter techniczny, technologiczny, organizacyjny lub gospodarczy, jako całość albo w szczególnym zestawieniu nie jest powszechnie znana lub łatwo dostępna oraz posiada wartość gospodarczą. Konieczne jest ponadto podjęcie przez uprawnionego działań z zachowaniem należytej staranności, aby utrzymać ją w poufności.
Ten ostatni warunek bywa decydujący. Samo subiektywne przekonanie zarządu, iż kod źródłowy, model prowizyjny lub baza kontaktów są poufne, nie wystarczy. o ile materiały leżą na otwartym dysku współdzielonym, są wysyłane prywatną pocztą lub przekazywane bez określenia celu i zasad użycia, przeciwnik procesowy otrzyma mocny argument, iż przedsiębiorca nie zarządzał poufnością w sposób należyty.
Nie każde know-how należy jednak chronić wyłącznie jako tajemnicę przedsiębiorstwa. W kodzie źródłowym mogą powstać prawa autorskie, rozwiązanie techniczne może kwalifikować się do ochrony patentowej, a oznaczenia i relacje z rynkiem mogą być zabezpieczane innymi instrumentami prawa własności intelektualnej i prawa zobowiązań. Tajemnica przedsiębiorstwa jest szczególnie użyteczna tam, gdzie wartość wynika z praktycznej wiedzy, konfiguracji, procesu lub zestawienia danych, których nie da się rozsądnie ujawnić w zgłoszeniu patentowym.
Najlepsze metody ochrony know-how zaczynają się od kwalifikacji
Pierwszym działaniem powinien być audyt informacji. Nie chodzi o tworzenie encyklopedii wszystkich plików w firmie, ale o rozpoznanie zasobów, których ujawnienie realnie pogorszyłoby pozycję konkurencyjną. Dobrze przeprowadzona kwalifikacja odpowiada na cztery pytania: co jest chronione, dlaczego ma wartość, gdzie się znajduje i kto jest właścicielem lub dysponentem informacji.
W praktyce warto rozróżnić informacje krytyczne, istotne oraz operacyjne. Do pierwszej kategorii mogą należeć repozytoria kodu, niepubliczne dokumentacje API, prompty i dane wykorzystywane w procesie rozwoju AI, algorytmy scoringowe, strategia tokenizacji projektu czy analiza regulacyjna poprzedzająca wejście na rynek. Informacje istotne to przykładowo warunki handlowe, roadmapa produktu i dane o partnerach. Taki podział pozwala zastosować środki proporcjonalne do ryzyka zamiast oznaczać wszystko jako tajne.
Warto stworzyć wewnętrzny rejestr know-how. Powinien wskazywać kategorię informacji, właściciela biznesowego, lokalizację, osoby uprawnione, podstawę dostępu oraz minimalne zasady zabezpieczenia. Rejestr nie musi ujawniać pełnej treści tajemnicy. Jego rolą jest stworzenie porządku i materiału dowodowego potwierdzającego, iż spółka świadomie zarządzała swoim zasobem informacyjnym.
Oznaczenie poufności ma znaczenie dowodowe
Klauzula „confidential” w stopce dokumentu nie tworzy automatycznie tajemnicy przedsiębiorstwa, ale pomaga wykazać wolę zachowania poufności. W systemach cyfrowych równie istotne są klasyfikacje plików, ograniczenia eksportu, widoczna informacja o przeznaczeniu materiału i rejestry udostępnień. Przy prezentacji dla inwestora lub partnera należy określić, które slajdy zawierają informacje poufne i w jakim celu odbiorca może je wykorzystać.
Nadmierne oznaczanie wszystkich dokumentów jako poufnych osłabia system. o ile identyczną klauzulę otrzymuje oferta publicznie dostępnej usługi i niejawna architektura produktu, trudno przekonująco dowodzić, iż spółka różnicuje poziom ochrony.
Umowy: nie tylko NDA
Umowa o zachowaniu poufności pozostaje podstawowym instrumentem, ale jej skuteczność zależy od konstrukcji. Powinna precyzyjnie opisywać informacje objęte ochroną, dopuszczalny cel ujawnienia, krąg osób, którym odbiorca może przekazać dane, czas obowiązywania obowiązku oraz zasady zwrotu albo usunięcia materiałów. Ogólne sformułowanie o „wszelkich informacjach dotyczących współpracy” może być niewystarczające, zwłaszcza w sporze o zakres naruszenia.
NDA nie zastąpi jednak prawidłowych postanowień w umowach z pracownikami, członkami zarządu, współpracownikami B2B i wykonawcami. W relacji pracowniczej obowiązek dbałości o dobro zakładu pracy oraz ochrony informacji może wynikać z przepisów i umowy, ale wrażliwe projekty wymagają jednoznacznych reguł. Kontrakty B2B powinny z kolei przewidywać obowiązek zachowania poufności, zakaz użycia informacji poza realizacją usługi, odpowiedzialność za osoby zaangażowane przez wykonawcę i procedurę zakończenia współpracy.
Szczególną uwagę trzeba poświęcić prawom do rezultatów prac. Firma może zachować dostęp do dokumentacji technicznej, ale nie nabyć praw autorskich do kodu stworzonego przez zewnętrznego developera, o ile umowa nie reguluje przeniesienia praw albo licencji we właściwym zakresie. Ochrona know-how i uporządkowanie własności intelektualnej muszą działać razem.
Kara umowna może ułatwić dochodzenie roszczeń, ponieważ ogranicza problem wykazywania wysokości szkody. Nie powinna być jednak traktowana jako substytut zabezpieczeń. Zbyt wygórowana kara może stać się przedmiotem sporu, a po ujawnieniu sekretu pieniądze nie zawsze przywrócą przewagę rynkową.
Dostęp według potrzeby, nie według stanowiska
Najczęstszym źródłem wycieku nie jest zaawansowany atak, ale zbyt szeroki dostęp wewnętrzny. Zasada need-to-know oznacza, iż pracownik lub współpracownik otrzymuje tylko te informacje, które są konieczne do wykonania jego aktualnego zadania. Nie każdy członek zespołu sprzedaży potrzebuje wglądu w kod, a każdy programista – w warunki rozmów z inwestorem.
W środowisku cyfrowym oznacza to zarządzanie uprawnieniami w repozytoriach, chmurze, systemach CRM i narzędziach komunikacyjnych. Dostęp powinien być nadawany imiennie, okresowo przeglądany i niezwłocznie odbierany po zmianie roli lub zakończeniu współpracy. W projektach o podwyższonym ryzyku należy stosować uwierzytelnianie wieloskładnikowe, rejestrowanie aktywności oraz ograniczenia pobierania danych na urządzenia prywatne.
Monitoring musi mieć granice. Pracodawca nie może dowolnie kontrolować komunikacji i aktywności pracownika. Rozwiązania techniczne powinny uwzględniać przepisy prawa pracy, ochronę danych osobowych oraz zasadę proporcjonalności. Celem jest ochrona zasobów przedsiębiorstwa, a nie nieograniczona obserwacja zespołu.
Cyberbezpieczeństwo jako element ochrony prawnej
W sporach o tajemnicę przedsiębiorstwa zabezpieczenia techniczne są często dowodem należytej staranności. Szyfrowanie urządzeń, segmentacja sieci, kopie zapasowe, kontrola współdzielenia plików i procedura reagowania na incydent nie są wyłącznie zadaniem działu IT. Stanowią część governance informacji.
W spółkach wykorzystujących generatywną AI szczególne ryzyko wiąże się z wprowadzaniem danych do narzędzi zewnętrznych. Pracownik, który kopiuje fragment niepublicznej specyfikacji do publicznego czatu AI, może ujawnić know-how niezależnie od tego, czy działał w dobrej wierze. Polityka korzystania z AI powinna wskazywać, jakie dane mogą być przetwarzane, które narzędzia zostały zaakceptowane i kto zatwierdza wyjątki.
Przygotuj dowody, zanim dojdzie do naruszenia
Po odejściu kluczowego pracownika lub zerwaniu negocjacji często okazuje się, iż spółka nie potrafi odtworzyć historii dostępu do informacji. Dlatego rejestry udostępnień, wersjonowanie dokumentów, logi systemowe, potwierdzenia szkoleń i oświadczenia o zwrocie danych powinny być utrzymywane na bieżąco. Trzeba przy tym zadbać o ich integralność oraz okres retencji zgodny z celem i obowiązującymi przepisami.
W razie podejrzenia naruszenia pierwszą reakcją nie powinno być chaotyczne blokowanie kont i oskarżenia formułowane w komunikatorze. Należy zabezpieczyć dowody, ograniczyć dalszy dostęp, ustalić zakres informacji, ocenić obowiązki związane z ochroną danych oraz rozważyć wezwanie do zaniechania naruszeń i zwrotu nośników. W zależności od okoliczności możliwe są roszczenia cywilne, w tym o zaniechanie, usunięcie skutków, odszkodowanie albo wydanie bezpodstawnie uzyskanych korzyści.
Ochrona know-how działa najlepiej wtedy, gdy jest traktowana jak proces zarządczy, a nie jak dokument przygotowywany dopiero po konflikcie. Firma, która potrafi nazwać swoje najważniejsze informacje, ograniczyć dostęp i udokumentować własną staranność, chroni nie tylko sekret. Chroni także swoją zdolność do negocjowania, skalowania produktu i obrony przewagi, na której zbudowała wartość.
