Как составить NDA?

Альбина, добрый день!
1. Прежде всего необходимо отметить, что на сегодняшний день 99% тех NDA (оно же Соглашение о неразглашении и оно же Соглашение о конфиденциальности), а также Положений о конфиденциальности в отношении сотрудников (Положений о коммерческой тайне), которые подписываются у нас в России фактически вообще никак не защищают конфиденциальную информацию.
Проблема заключается в том, что для того, чтобы информация действительно была защищена нужно, чтобы соблюдался ряд требований, на которые обычно никто не обращает внимание.
Фактически подавляющее большинство подписываемых NDA – это просто «пугалки», но не более, и, если дело реально дойдет до суда, по таким NDA как правило нарушителя никак не наказать и с него ничего не взыскать.
2. Нужно разделять такие термины как «Конфиденциальная информация» и «Информация, содержащая коммерческую тайну». Многие смешивают эти понятия и более того в Федеральном законе «О коммерческой тайне» от 29.07.2004 № 98-ФЗ также эти термины в отдельных местах смешиваются, но все-таки нужно понимать, что:
— «Информация, составляющая коммерческую тайну» — сведения, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны.
То есть информация, составляющая коммерческую тайну – это исключительная та информация, которая имеет ценность в силу того, что ей не владеют иные лица и если третьи лица получат к ней доступ, то информация перестанет обладать ценностью. 
Из этого следует, что, например, информацию об используемых технологиях в компании можно отнести к информации, составляющей коммерческую тайну, так как если она станет известна конкурентам, ее ценность существенно снизится.
А, например, информация о том, сколько денег находится на счету компании и с какими контрагентами она работает не может быть отнесена к информации, составляющей коммерческую тайну, поскольку само по себе разглашение такой информации никак не обесценивает саму информацию (что никак не отменяет возможность причинения убытков компании).
Однако это ни в коем случае не значит, что информацию о том, сколько денег на счете компании и с какими контрагентами она работает нельзя защитить, просто она как раз относится к следующей категории:
— Конфиденциальная информация – в нее как раз-таки входит любая информация, относительно которой сторонами соглашения была достигнута договоренность о недопустимости ее разглашения.
Почему такое деление важно? Потому что если Вы информацию о балансе своего счета определите в NDA в качестве информации, составляющей коммерческую тайну, то есть хорошие шансы на то, что в случае судебного спора по факту разглашения такой информации, суд не признает разглашение такой информации в качестве нарушения.
(!!!) Из этого вытекает первое правило – в NDA обязательно нужно максимально конкретно, четко и развернуто описывать какую именно информацию стороны договорились не разглашать. 
Всякие абстрактные формулировки формата «не разглашать вообще ничего», «не разглашать любую информацию, переданную стороне» не работают. Если Вы четко не напишите, что нельзя разглашать, например, информацию о контрагентах, то в случае разглашения такой информации никакой ответственности не будет даже в случае наличия общих формулировок в NDA. 

---> Пример из практики: в Постановлении ФАС Поволжского округа от 29.07.2013 по делу N А65-9864/2012 суд признал незаключенными положения Договора о неразглашении конфиденциальной информации только потому, что Стороны не определили конкретный перечень информации, которую нельзя разглашать, ограничившись формулировкой «все условия договора являются коммерческой тайной»). 
---> Пример из практики: в рамках дела А56-72074/2014 (Постановление тринадцатого арбитражного апелляционного суда от 03.07.2015 г.) суд отказал истцу в удовлетворении требований в связи с тем, что в договоре не был определен конкретный перечень конфиденциальной информации (цитата из Постановления: «В этой связи суд первой инстанции обоснованно пришел к выводу о том, что ввиду отсутствия в договоре и соглашении указаний на конкретный перечень сведений, в отношении которых может быть установлен режим коммерческой тайны, ответчиком не доказан факт нарушения истцом данного режима»).

Таким образом, оптимальный вариант – сделать полный перечень отдельным приложением к NDA (у меня обычно только перечень занимает 4-5 страниц).
Многие крупные компании вообще передают конфиденциальную информацию исключительно по отдельным Актам приема-передачи конфиденциальной информации, чтобы дополнительно зафиксировать, что передаваемая информация относится к конфиденциальной.
3. Также распространенная ошибка – писать при составлении NDA, что «в случае разглашения конфиденциальной информации Сторона обязуется возместить все причиненные убытки». Те, кто пишут такие пункты по всей видимости совершенно не знакомы с практикой компенсации убытков. Дело в том, что для компенсации убытков нужно конкретно доказать:
— факт наличия убытков, ИХ РАСЧЕТ.
— вину стороны, которая разгласила конфиденциальную информацию
— причинно-следственную связь между убытками и действиями контрагента.
Два последних пункта я сейчас не буду разбирать в рамках данной консультации (по ним тоже много проблемных моментов, нам просто места не хватит), остановлюсь конкретно на первом.
Многие ошибочно полагают, что мол если мы передали информацию второй стороне, а завтра она ее опубликовала в СМИ, то мы можем спокойно идти в суд и взыскивать убытки.
Идти то Вы можете, вот только нужно будет доказать и сами убытки, и их точную сумму и самое главное представить конкретные доказательства их наличия и размера. Абстрактные убытки в формате «с нами теперь меньше клиентов будут работать» никто взыскивать не будет. Суд не взыскивает абстрактные убытки даже в случае, если очевидно, что разглашение информации сильно ударило по Вам. 
Убытки можно взыскать, например, в случае, когда Вы вели переговоры с клиентом о заключении договора условно на сумму 1 млн. руб. Далее нарушитель опубликовал конфиденциальную информацию и Ваш клиент передумал с Вами работать, прислав письмо в формате «я прочитал в интернете вот такую информацию о Вас (конфиденциальную, которая была незаконно разглашена) и из-за этого передумал с Вами работать» — здесь есть и размер убытков (1 млн. руб. по договору) и непосредственные доказательства того, что клиент передумал работать с Вами именно из-за публикации конфиденциальной информации (письмо от клиента) и тут есть шансы на взыскание убытков. 
Если же клиент прямо не заявит, что он передумал работать с Вами из-за разглашения конфиденциальной информации, то суд Вам ничего не взыщет, так как есть вероятность, что клиент передумал по другим причинам. То есть суд работает всегда только с конкретными убытками, которые подтверждаются доказательствами и когда исключаются иные варианты развития событий. 
(!!!) Проблема со сложностью взыскания убытков решается довольно просто – мы не пишем в договоре всякие бестолковые формулировки про взыскание убытков, а пишем конкретные штрафы, которая сторона обязана оплатить за конкретные нарушения. Таким образом, мы сразу решаем 2 задачи: 
а) Освобождаем себя от необходимости доказывания, что мы понесли убытки (если нарушение есть – нарушитель в любом случае получает штраф независимо от последствий нарушения для нас). 
б) Освобождаем себя от необходимости доказывания размера убытков (а их размер как правило очень сложно точно определить).
В части определения размера штрафов тоже есть свои нюансы (вопрос определения их размера я здесь опускаю, это тоже отдельная большая тема, на которую тоже есть своя судебная практика).
Многие просто пишут, что мол «за разглашение конфиденциальной информации без согласия ее обладателя сторона обязуется оплатить штраф 1 млн. руб.» — это в целом неплохо, но надо понимать, что не все нарушения можно свести «к разглашению». Например, может быть ситуация, что обладатель конфиденциальной информации дал письменное разрешение на передачу информации третьему лицу, но сторона передала информации больше, чем было нужно – в такой ситуации далеко не факт, что Вы сможете взыскать данный штраф 1 млн. руб. 
Я в своих NDA всегда расписываю отдельные штрафы за различные нарушения, в том числе рекомендую прописывать штрафы не только за разглашение без согласия, но и передачу информации по незащищенным каналам связи, за небрежное хранение конфиденциальной информации, за упоминание в СМИ фактов наличия у стороны конфиденциальной информации и т.д. 
(!!!) Вообще идеальный вариант – все штрафы вывести в отдельное приложение при составлении NDA и в виде таблицы конкретно расписать за какие нарушения какой размер штрафов. Это позволит существенно повысить шансы на взыскание штрафов в самых различных ситуациях.
И хотелось бы сразу на примере изложить 2 весьма похожие ситуации из судебной практики, в которых в одном случае истец получил отказ в иске из-за того, что в договоре было прописано, что «в случае разглашения конфиденциальной сторона получает право на взыскание убытков», а в другой практически такой же ситуации сторона взыскала компенсацию, поскольку в договоре был определен конкретный размер штрафа за нарушение, а не просто общие пункты про взыскание убытков:

---> Пример из практики: Постановление ФАС Московского округа от 12.03.2014 N Ф05-1766/2014 по делу N А40-23492/13-138-219, в котором суд отказал компании во взыскании убытков по причине того, что не доказано наличие убытков и их размер (рекламное агентство после расторжения договора с клиентом опубликовало в СМИ информацию о том, как оно проводило для клиента рекламную компанию, ее этапы и т.п. Клиент подал в суд на рекламное агентство с целью взыскания убытков, возникших в результате такой публикации, но суд отказал в иске, установив, что факт наличия убытков и их размер документально не доказаны) – в данном случае если бы стороны вместо пункта про возмещение убытков указали конкретный размер штрафа за публикацию информации в СМИ, то были бы все шансы взыскать данный штраф.
---> Пример из практики: в Постановлении Восьмого арбитражного апелляционного суда от 30.04.2014 г. по делу А75-6176/2013 суд взыскал штраф 100000 руб. за нарушение условий о конфиденциальности из-за того, что контрагент привлек без согласия заказчика субподрядчика (и разумеется в связи с его привлечением передал ему часть информации, которая была определена сторонами как конфиденциальная) – здесь налицо и факт нарушения (договор с субподрядчиком) и суду изначально понятно какую сумму взыскивать – 100000 руб., так как именно такой размер штрафа был предусмотрен договором за разглашение конфиденциальной информации третьим лицам. Если бы стороны вместо штрафа написали в договоре про возмещение убытков, то есть все шансы на то, что сторона бы ничего не смогла взыскать.

Как видите, в одном случае истец не учел указанные выше рекомендации и проиграл, во втором случае учел и дело успешно выиграл.
4. Еще частая проблема – при составлении NDA совершенно не учитываются требования законодательства, в первую очередь требования Федерального закона «О коммерческой тайне» от 29.07.2004 № 98-ФЗ.
В частности, в ч.1 ст. 10 указанного Федерального закона четко указано, что меры по охране конфиденциальности информации, принимаемые ее обладателем, ДОЛЖНЫ включать в себя:
1) определение перечня информации, составляющей коммерческую тайну;
2) ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка;
3) учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана;
4) регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;
5) нанесение на материальные носители, содержащие информацию, составляющую коммерческую тайну, или включение в состав реквизитов документов, содержащих такую информацию, грифа «Коммерческая тайна» с указанием обладателя такой информации (для юридических лиц — полное наименование и место нахождения, для индивидуальных предпринимателей — фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства).
 Почти все упускают из вида то, что в законе четко указано, что для защиты конфиденциальной информации ее обладатель именно ДОЛЖЕН (не может, а именно должен) принять указанный КОМПЛЕКС МЕР, а не просто подписать бумажку, назвав ее «NDA», а именно обязан:
— четко определить перечень конфиденциальной информации (выше уже обсуждали это еще в пункте 2).
— установить порядок обращения с конфиденциальной информации. Это очень важный момент, который тоже почти всегда упускается из вида. Чтобы данный пункт был соблюден обязательно нужно при составлении NDA четко прописывать порядок обращения с конфиденциальной информации. Как она должна храниться, как должна передаваться и т.п. – если эти вещи не будут прописаны, суд может признать, что режим коммерческой тайны у Вас не введен и ничего Вам не взыскать даже в случае доказанного нарушения + здесь же важно установить порядок обращения с информацией путем принятия внутреннего Положения о конфиденциальности (нужно в случае, если у Вас есть работники, если нет, то оно не обязательно).
— вести учет лиц, которым была передана информация. Здесь имеются ввиду журналы учета работников и контрагентов, которым была передана конфиденциальная информация.
— пункт 4 в ч.1 ст. 10 самый простой – в нем имеется ввиду, что отношения с лицами, которым передается конфиденциальная информация должны быть урегулированы (то есть с работниками должны быть подписаны трудовые договоры и должно быть принято Положение о конфиденциальности, а в отношениях с контрагентами должны быть подписаны договор и NDA).
— на материальных носителях разместить грифы о том, что информация, содержащаяся на них, является конфиденциальной. Здесь имеется ввиду наличие таких грифов на компьютерах, сейфах, шкафах и т.д. (этот пункт суды обычно не проверяют + это больше для отдельных случаев). На практике обычно я рекомендую всегда делать отметки о том, что информация является конфиденциальной, например, во всей переписке по электронной почте (так делают все нормальные банки и не только они) и т.п. – это дополнительная гарантия того, что вторая сторона не сможет заявить, что мол она не знала, что нельзя разглашать эту информацию.

---> Пример из практики: в рамках дела А57-11021/2011 (постановление Арбитражного суда Поволжского округа от 10.07.2012 г.) суд рассматривал спор по иску компании по ситуации, когда работник просто взял из базы компании данные 155 клиентов компании, уволился, сам открыл ИП, обзвонил клиентов из базы, предложив им перейти работать с ним напрямую по более дешевой цене. Несмотря на то, что истец привел в суд клиентов, которые подтвердили, что с ними связывался ответчик и предлагал работать с ним напрямую и несмотря на наличие иных доказательств, суд отказал в иске исключительно в связи с тем, что у истца не был введен режим коммерческой тайны, а именно не были соблюдены требования ст. 10,11 Федерального закона «О коммерческой тайне» от 29.07.2004 № 98-ФЗ (не было принято Положение о коммерческой тайне, работник не был ознакомлен с ним и т.п.) – как видите, несмотря на всю очевидность нарушения, суд отказал в иске просто из-за несоблюдения формальных моментов.

Таким образом, подводя итог, следует отметить, что все NDA бывают трех видов: 

1. Изначально не рабочие, которые даже не будут признаны судом в принципе (будут рассмотрены как незаключенные или как недействительные).
2. «Пугалки» — то есть формально они имеют юридическую силу, но в случае нарушений нарушителю ничего не грозит, и Вы ничего с него не взыщите, единственный смысл в них – некое психологическое воздействие на контрагента. 3. Нормальные NDA (по-хорошему здесь уже нужно говорить не только об NDA, но и для большинства случаев о комплексе мер по введению режима конфиденциальности в компании).
Из этого следует, что если Вы реально хотите защитить конфиденциальную информацию и иметь шансы реально привлечь нарушителя к ответственности в случае разглашения конфиденциальной информации, то к этому вопросу нужно подходить максимально ответственно, тщательно изучая конкретную ситуацию и подготавливая документы исключительно с опором на положения закона и на актуальную судебную практику.
Если Вам потребуется помощь в подготовке грамотного NDA и иных документов для введения режима конфиденциальности — Вы всегда можете обратиться ко мне в чат и получить помощь в решении своих вопросов (для этого Вам нужно нажать на кнопку «ОБЩАТЬСЯ В ЧАТЕ» на странице моего профиля — pravoved.ru/lawyer/362... (можно перейти по ссылке или нажав на мою фотографию)).
С Уважением, 
Васильев Дмитрий.
 

Согласно подпункту 7 пункта 3 статьи 2 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» конфиденциальность информации — это обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя. Следовательно, NDA в отношении конфиденциальной информации будет заключен тогда, когда передающая и принимающая стороны определят предмет – обозначат информацию, которую считают конфиденциальной, и зафиксируют требование не передавать ее третьим лицам. Все иные условия стороны вольны определять самостоятельно, руководствуясь общими нормами и принципами гражданского законодательства (положения NDA не могут иметь целью причинение вреда, противоречить закону, нарушать публично-правовые интересы, а также права третьих лиц).

Альбина, добрый день!
.
.
1.1. Шаблоны из сети могут намертво погубить Ваши права на софт, если вовремя не закрыть лазейки. Наняли фрилансера без жесткого пакета документов? Ну тогда готовьтесь к судам. Есть огромные риски, ведь робот или сайт выдаст корявый бланк из интернета, но реальный аудит процессов штука суровая. Фрилансер может тупо кинуть, а без бумаг он вообще разденет компанию до трусов. Чтобы Компания была безусловным правообладателем, Вам нужна железная цепочка документов, а именно договор авторского заказа по ст. 1288 ГК РФ или договор подряда на разработку софта. Внутри намертво прописывайте, что исключительные права на программный код, дизайн и базы данных СУБД в полном объеме переходят к фирме в момент создания или в момент составления акта, иначе ищи свищи свои права. Дальше делайте детальное техническое задание ТЗ под личную роспись исполнителя. Без этих актов и платежных поручений все Ваши платформы юридически принадлежат фрилансеру, а это косяк, это слив, это финиш для Вашего дела. Потребуется НДА с указанием правильных условий. Обязательно. Часто шаблоны вообще не учитывают многие нюансы, например, правильную передачу конфиденциальной информации и так далее, а фрилансер просто сольет базу на сторону, и Вы останетесь с носом.
.
2.1. Моя личная практика это пять с половиной лет жесткой следственной работы в подразделениях по расследованию организованной преступной деятельности в сфере экономики и коррупции РОПД плюс более десяти лет жесткого гражданского арбитража. Суд штука сложная и вообще необъятная. Такой бэкграунд научил меня мгновенно выжигать подобные риски через метод следственного фильтра. Поверьте опыту. Инспекторы и судьи сразу увидят все Ваши скрытые огрехи в кадровых бумагах, если Вы решите сэкономить на проектировании контура безопасности, а дальше начнется кошмар. Внутри закрытого портала, куда имеют доступ только сотрудники, применяются совершенно другие законы. Поскольку это внутренний рабочий инструмент ООО, там собирается и обрабатывается служебная информация, а значит система контроля заставит платить за все косяки.
.
3.1. Для работников должны быть размещены локальные акты под личную роспись каждого человека. Положение о коммерческой тайне по ФЗ 98. Намертво пропишите там, что все логи, внутренний код, базы данных СУБД и переписка являются секретом фирмы. По ст. 183 УК РФ за слив таких данных сотруднику корячится реальный срок, это быстро отрезвляет любого программиста. Без этих документов внутри портала Вы не сможете наказать сотрудника за слив информации или прогул, а скриншоты системы учета часов судом приняты не будут! Вы получите огромные штрафы за тотальную слежку без согласия, и привет Вашему бюджету. Это крах. Дайте жесткий отпор любым сомнениям. Мой личный метод юридического проектирования исключает корявые шаблоны. Правовая безопасность в цифровой среде это создание работающего инженерного щита, который выдержит любую встречную проверку ведомств или суды с разработчиками на удаленке. Бумажки ради бумажек не защищают. Нужен глубокий аудит процессов, проектирование кадрового и цифрового контура, проверка ТЗ фрилансера и жесткая ликвидация рисков. Если Вам требуется спроектировать договор авторского заказа броню, составить легитимные оферты для страницы авторизации портала или узаконить трекинг сотрудников, пишите мне в чат.
.
.
С уважением,

ит юрист, юридический стратег и архитектор Квон Дмитрий Викторович