Zaštita poslovne tajne u kompaniji: pravni mehanizmi i česte greške

Komercijalista napusti kompaniju i ponese Excel tabelu sa klijentima, kontaktima, cenama i posebnim uslovima saradnje. Nekoliko nedelja kasnije počinje da radi za konkurenta.

Da li je kompanija time automatski stekla pravo da zahteva zaštitu svoje poslovne tajne?

Ne nužno.

To što je neka informacija interna ili poverljiva ne znači samo po sebi da predstavlja poslovnu tajnu u pravnom smislu. Zaštita poslovne tajne zavisi i od prirode same informacije i od toga šta je kompanija prethodno preduzela kako bi sačuvala njenu tajnost.

Prema Zakonu o zaštiti poslovne tajne, informacija mora ispuniti određene uslove, među kojima je i zahtev da lice koje je zakonito kontroliše preduzme razumne mere radi očuvanja njene tajnosti.

Zbog toga zaštita ne počinje kada zaposleni ode kod konkurenta ili kada dokumentacija već dospe do trećeg lica. Ona počinje mnogo ranije, pravilnim ugovorima, internim procedurama, kontrolom pristupa i načinom na koji kompanija svakodnevno postupa sa osetljivim informacijama.

Šta se smatra poslovnom tajnom?

Nije svaka informacija koju kompanija označi kao poverljivu automatski i pravno zaštićena poslovna tajna.

Prema Zakonu o zaštiti poslovne tajne, informacija mora kumulativno da ispunjava tri osnovna uslova:

• da nije opšte poznata niti lako dostupna licima koja se uobičajeno bave tom vrstom informacija;
• da ima komercijalnu vrednost zato što je tajna;

da su preduzete razumne mere radi očuvanja njene tajnosti.

U zavisnosti od vrste poslovanja, poslovnu tajnu mogu predstavljati:

• baze klijenata i dobavljača;
• posebni cenovnici i komercijalni uslovi;
• poslovni i investicioni planovi;
• informacije o pregovorima;
• proizvodni procesi;
• tehnička dokumentacija;
• interne metodologije;
• algoritmi i izvorni kod;
• prodajne i marketinške strategije;
• know-how;

planovi razvoja novih proizvoda i usluga.

Ključno pitanje zato nije samo da li je informacija važna kompaniji, već i da li ispunjava zakonske kriterijume i da li je kompanija sa njom zaista postupala kao sa informacijom koju želi da sačuva u tajnosti.

Oznaka „poverljivo“ sama po sebi nije dovoljna

Oznaka „poverljivo“, „confidential“ ili „poslovna tajna“ može biti korisna, ali sama po sebi ne stvara potpun sistem zaštite.

Ako dokument sa takvom oznakom može bez ograničenja da preuzme veliki broj zaposlenih, prosledi ga na privatnu email adresu ili sačuva na privatnom cloud nalogu, sama oznaka neće rešiti problem.

Zakon kao moguće razumne mere zaštite, između ostalog, prepoznaje donošenje internog akta o postupanju sa poslovnom tajnom, ograničavanje pristupa, fizičku i elektronsku zaštitu, označavanje dokumenata i ugovaranje obaveze poverljivosti.

Drugim rečima, pravna zaštita mora biti vidljiva i u stvarnom načinu poslovanja.

Zašto NDA nije dovoljan?

Ugovor o poverljivosti, odnosno NDA, jedan je od najvažnijih instrumenata zaštite poverljivih poslovnih informacija.

Ali nije dovoljan sam za sebe.

Kompanija koja svim zaposlenima daje pristup kompletnoj bazi klijenata, dozvoljava preuzimanje podataka na privatne uređaje i ne vodi nikakvu evidenciju pristupa ne može očekivati da jedan generički NDA reši sve rizike.

Dobar ugovor o poverljivosti trebalo bi jasno da odredi:

• koje informacije se smatraju poverljivim;
• u koju svrhu smeju da se koriste;
• kome mogu biti dalje dostupne;
• koje mere zaštite primalac mora da primenjuje;
• šta se događa sa dokumentacijom nakon prestanka saradnje;
• koliko traje obaveza poverljivosti;

koje posledice mogu nastati u slučaju povrede.

Problem mogu predstavljati i preširoke formulacije kojima se gotovo svaka informacija povezana sa poslovanjem proglašava poverljivom.

Efikasniji sistem identifikuje informacije koje zaista zahtevaju zaštitu i za njih određuje odgovarajući režim.

Zaštita poslovne tajne u odnosu sa zaposlenima

Poseban rizik postoji kada zaposleni zbog prirode svog posla imaju pristup klijentima, cenama, finansijskim podacima, tehnologiji, strateškim planovima ili drugim osetljivim informacijama.

Zato zaštitu treba urediti dok radni odnos traje.

Obaveze zaposlenih u vezi sa čuvanjem poverljivih informacija treba precizno povezati sa ugovorima o radu, odgovarajućim internim aktima i procedurama kompanije.

U dokumentaciji treba, u meri u kojoj je to potrebno za konkretnu organizaciju, urediti:

• koje informacije se smatraju poverljivim;
• ko ima pravo pristupa;
• na koji način zaposleni sme da ih koristi;
• da li je dozvoljeno preuzimanje na lokalne ili privatne uređaje;
• šta se događa sa dokumentacijom nakon prestanka radnog odnosa;

koje obaveze poverljivosti nastavljaju da važe nakon prestanka angažovanja.

Ova pitanja treba uskladiti sa celokupnom radnopravnom dokumentacijom kompanije.

Poseban rizik nastaje prilikom odlaska zaposlenog

Procedura izlaska zaposlenog iz kompanije ne bi trebalo da bude samo administrativna.

U zavisnosti od njegovog položaja i nivoa pristupa informacijama, trebalo bi razmotriti:

• vraćanje laptopova, telefona i druge poslovne opreme;
• deaktiviranje poslovnih email naloga;
• ukidanje pristupa serverima i cloud servisima;
• vraćanje poslovne dokumentacije;
• proveru statusa pristupnih naloga;
• evidentiranje materijala kojima je zaposleni imao pristup;

podsećanje na postojeće obaveze poverljivosti.

Najlošiji trenutak za uspostavljanje ovakve procedure jeste nakon što kompanija već posumnja da su podaci preuzeti.

Poslovna tajna i zabrana konkurencije nisu isto

Ova dva pravna mehanizma se često pogrešno poistovećuju.

Klauzula o poverljivosti odnosi se na korišćenje i otkrivanje određenih informacija.

Zabrana konkurencije, pod uslovima koje propisuje radno pravo, može ograničavati obavljanje određenih konkurentskih poslova.

To znači da sam prelazak zaposlenog kod konkurenta ne predstavlja automatski povredu poslovne tajne.

Problem može nastati ako bivši zaposleni kod novog poslodavca neovlašćeno koristi informacije prethodne kompanije koje ispunjavaju uslove za pravnu zaštitu.

Zbog toga poverljivost i zabranu konkurencije treba uređivati kao različita, iako ponekad povezana, pitanja.

Da li baza klijenata može biti poslovna tajna?

Može, ali ne automatski.

Sama činjenica da kompanija poseduje spisak klijenata nije dovoljna da bi ta baza u svakom slučaju predstavljala poslovnu tajnu.

Važno je šta baza sadrži.

Spisak javno dostupnih naziva kompanija i njihovih opštih kontakt podataka nije isto što i interna baza koja sadrži kontakte odgovornih osoba, istoriju pregovora, individualne cene, rabate, komercijalne uslove, potrebe klijenta i druge podatke koji su nastali tokom dugotrajnog poslovnog odnosa.

Jednako je važno i kako kompanija takvu bazu štiti.

Ako joj pristupa ograničen broj zaposlenih, pristup je kontrolisan, a pravila korišćenja jasno uređena, kompanija će imati znatno jaču osnovu da tvrdi da je takve informacije zaista tretirala kao poslovnu tajnu.

Ako se ista baza godinama nekontrolisano kopira, šalje i čuva na privatnim uređajima, situacija je drugačija.

Tehničke i organizacione mere imaju pravni značaj

Zaštita poslovne tajne nije samo posao pravne službe.

Način na koji IT sistem i interna organizacija kontrolišu informacije može biti jednako važan kao i ugovorna dokumentacija.

U zavisnosti od prirode poslovanja i nivoa rizika, kompanija može primeniti:

• individualne korisničke naloge;
• različite nivoe pristupa dokumentima;
• princip „need to know“;
• evidenciju pristupa i preuzimanja podataka;
• kontrolu cloud platformi;
• pravila korišćenja USB uređaja i eksternih diskova;
• pravila slanja podataka van poslovnog sistema;
• procedure za rad od kuće;
• klasifikaciju dokumentacije;
• odgovarajuće metode autentifikacije;

obuku zaposlenih.

Suština je jednostavna: to što neko radi u kompaniji ne znači da mu je potreban pristup svim informacijama koje kompanija poseduje.

Takve mere istovremeno smanjuju rizik od neovlašćenog korišćenja i pokazuju da kompanija aktivno štiti poverljive informacije.

Poslovna tajna u odnosima sa partnerima, dobavljačima i investitorima

Poverljive informacije ne napuštaju kompaniju samo kada zaposleni promeni posao.

One se redovno razmenjuju tokom:

• pregovora o poslovnoj saradnji;
• due diligence postupaka;
• razgovora sa investitorima;
• prodaje kompanije ili udela;
• razvoja zajedničkog proizvoda;
• outsourcing aranžmana;
• angažovanja konsultanta;
• IT razvoja;

saradnje sa distributerima i dobavljačima.

Najvažnije pitanje je šta druga strana sme da uradi sa informacijama koje dobije.

Zato zaštitu treba urediti pre otkrivanja osetljivih podataka, a ne nakon što je tehnička dokumentacija, poslovni plan ili baza klijenata već dostavljena.

Odredbe o poverljivosti treba uskladiti sa ugovorima o poslovnoj saradnji i drugim komercijalnim ugovorima.

10 čestih grešaka pri zaštiti poslovne tajne

1. Sve se proglašava poslovnom tajnom

Ako je svaki interni dokument označen kao poslovna tajna, sistem klasifikacije praktično prestaje da razlikuje važne informacije od svakodnevne dokumentacije.

Bolje rešenje: identifikovati informacije koje imaju stvarnu poslovnu vrednost zbog svoje tajnosti i za njih odrediti odgovarajući nivo zaštite.

2. Postoji NDA, ali nema stvarnih mera zaštite

Ugovor teško može nadomestiti nepostojanje kontrole pristupa i jasnih internih procedura.

Bolje rešenje: povezati ugovornu zaštitu sa tehničkim i organizacionim merama.

3. Klauzula o poverljivosti je generička

Odredba prekopirana iz drugog ugovora možda neće odgovarati konkretnom poslovnom odnosu.

Bolje rešenje: precizno odrediti kategorije informacija, način korišćenja i obaveze druge strane.

4. Previše ljudi ima pristup osetljivim informacijama

Što je krug korisnika veći, kompanija teže kontroliše korišćenje podataka.

Bolje rešenje: pristup organizovati prema poslovnoj potrebi i funkciji zaposlenog.

5. Nije uređeno kome pripada dokumentacija nastala tokom saradnje

Problem je posebno izražen kod konsultantskih, razvojnih i IT projekata.

Bolje rešenje: ugovorom jasno urediti prava na rezultatima rada, dokumentaciji, podacima i poverljivim informacijama.

Ovo pitanje može se preplitati i sa pravom intelektualne svojine, ali poslovna tajna, autorsko pravo, patent i žig nisu isti mehanizmi zaštite.

6. Pristup ostaje aktivan nakon odlaska zaposlenog

Bivši zaposleni ne bi trebalo da zadrži pristup sistemima zato što je neko zaboravio da deaktivira korisnički nalog.

Bolje rešenje: ukidanje pristupa uključiti u standardnu proceduru prestanka angažovanja.

7. Poslovni podaci nalaze se na privatnim uređajima

Privatni laptopovi, email nalozi i cloud servisi mogu značajno otežati kontrolu nad informacijama.

Bolje rešenje: jasno urediti kada je korišćenje privatnih uređaja dozvoljeno i na koji način se podaci moraju zaštititi.

8. Kompanija reaguje tek kada informacija procuri

Tada se fokus sa prevencije prebacuje na dokazivanje i ograničavanje posledica.

Bolje rešenje: sistem zaštite uspostaviti pre nastanka incidenta.

9. Poslovna tajna se meša sa drugim pravima

Patent, žig, autorsko pravo, zabrana konkurencije i poslovna tajna imaju različite funkcije.

Bolje rešenje: za svaku važnu poslovnu vrednost odrediti odgovarajući pravni mehanizam ili kombinaciju mehanizama.

10. Ne postoji dokaz ko je imao pristup

Kompanija može tvrditi da je dokument bio poverljiv, ali je u slučaju spora važno da može dokazivati način na koji ga je štitila.

Bolje rešenje: urediti evidencije pristupa, distribuciju dokumenata, verzije fajlova i odgovarajuće interne procedure.

Šta kompanija može da uradi ako je poslovna tajna povređena?

Zakon o zaštiti poslovne tajne predviđa građanskopravne mehanizme zaštite u slučaju nezakonitog pribavljanja, korišćenja ili otkrivanja poslovne tajne.

U zavisnosti od okolnosti konkretnog slučaja, mogu se zahtevati, između ostalog, utvrđenje povrede, prestanak ili zabrana određenih radnji, mere u vezi sa dokumentima ili robom povezanim sa povredom, kao i naknada štete pod zakonom propisanim uslovima. Zakon predviđa i mogućnost određivanja privremenih mera kada su ispunjeni odgovarajući uslovi.

U praksi je zato veoma važno brzo obezbediti relevantne dokaze, kao što su:

• ugovori i sporazumi o poverljivosti;
• interni akti;
• email komunikacija;
• logovi pristupa;
• evidencije preuzimanja dokumenata;
• podaci o korisničkim nalozima;
• dokumentacija o klasifikaciji informacija;
• dokazi da su zaposleni bili upoznati sa pravilima;

komunikacija sa zaposlenim, partnerom ili drugim relevantnim licem.

Kada spor već postoji, pravna zaštita poslovne tajne može biti povezana i sa širim privrednim sporovima, parnicom ili arbitražom.

Kako postaviti sistem zaštite poslovne tajne u kompaniji?

Dobar sistem ne znači da svaki dokument mora biti tretiran kao strogo poverljiv.

Mere treba prilagoditi značaju informacije i realnom poslovnom riziku.

1. Identifikujte informacije koje imaju stvarnu poslovnu vrednost

Prvo pitanje je jednostavno: koje informacije bi konkurentu dale prednost kada bi do njih došao?

2. Klasifikujte informacije

Različite vrste podataka mogu zahtevati različite nivoe zaštite.

3. Odredite ko zaista mora da ima pristup

Pristup treba da prati poslovnu funkciju, a ne samo činjenicu da je neko zaposlen u kompaniji.

4. Uskladite ugovore i interne akte

Ugovori o radu, NDA dokumenti, ugovori sa partnerima i interne procedure treba da funkcionišu kao jedan sistem.

5. Uvedite tehničke i organizacione mere

Pravna dokumentacija mora biti podržana stvarnim načinom upravljanja podacima.

6. Edukujte zaposlene

Zaposleni treba da znaju koje informacije su poverljive i kako sa njima treba da postupaju.

7. Uredite izlazne procedure

I zaposleni i spoljni saradnici treba da izgube pristup informacijama kada za njega više ne postoji poslovna potreba.

8. Periodično proveravajte sistem

Promene u tehnologiji, organizaciji, načinima rada i poslovnim odnosima zahtevaju povremenu proveru postojećih pravila.

Zaštita poslovne tajne počinje pre nego što nastane problem

Kompanija koja prvi put ozbiljno razmišlja o poslovnoj tajni kada zaposleni ode kod konkurenta već je u nepovoljnijoj poziciji.

Efikasna zaštita poslovne tajne počinje mnogo ranije: identifikovanjem važnih informacija, ograničavanjem pristupa, pravilnim ugovorima, internim procedurama i tehničkim merama koje se stvarno primenjuju.

NDA može biti važan deo tog sistema, ali ne može da ga zameni.

Cilj je da kompanija u svakom trenutku može jasno da pokaže koje informacije smatra posebno vrednim, ko im ima pristup, pod kojim uslovima se koriste i šta je preduzeto da ostanu tajne.

Jusufović & Partners pruža pravnu podršku kompanijama u oblasti korporativnog prava, komercijalnih ugovora, radnog prava, intelektualne svojine i rešavanja poslovnih sporova. Pravovremena analiza postojećih ugovora, internih akata i procedura može pomoći da se sistem zaštite poslovne tajne prilagodi konkretnom poslovnom modelu i rizicima kompanije.