Коммерческая тайна складывается из четырёх составляющих: сведений, которые имеют действительную или потенциальную коммерческую ценность из-за неизвестности третьим лицам, отсутствия к этим сведениям свободного доступа на законном основании, материальных носителей с грифом и режима охраны из пяти мер по статье 10 закона 98-ФЗ. Состав сведений компания определяет сама, но статья 5 того же закона держит закрытый перечень того, что закрыть нельзя: численность и состав работников, система оплаты труда, условия труда, наличие свободных рабочих мест, задолженность по заработной плате, факты нарушения законодательства. В кадровой службе граница проходит между двумя режимами: коммерческая тайна вводится по 98-ФЗ приказом и перечнем, персональные данные работников защищаются по 152-ФЗ согласием, локальными актами и уведомлением Роскомнадзора.
Разберём состав охраняемых сведений по функциональным блокам компании, покажем, какие формулировки перечня не выдерживают проверки, и где проходит граница между режимом тайны и обработкой персональных данных. Отдельно рассмотрим носители: гриф, электронный архив, комплект выгрузки, доступ по ролям. Таблица сравнения двух режимов, пошаговая сборка перечня, размеры штрафов по статье 13.14 КоАП и статье 183 УК в редакции 2025 года, образцы приказа и согласия, стоимость перевода документов в электронный вид — во второй половине статьи.
Три признака, из которых собирается охраняемая информация
Закон разводит два понятия, и от их различия зависит, что именно вы защищаете. Коммерческая тайна по статье 3 закона от 29.07.2004 № 98-ФЗ — это режим конфиденциальности, который позволяет обладателю увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке или получить иную коммерческую выгоду. Информация, составляющая коммерческую тайну, — это сами сведения любого характера: производственные, технические, экономические, организационные, в том числе о результатах интеллектуальной деятельности в научно-технической сфере и о способах осуществления профессиональной деятельности.
Чтобы сведения стали охраняемыми, нужны три признака одновременно. Первый: действительная или потенциальная коммерческая ценность именно вследствие неизвестности третьим лицам. Второй: у третьих лиц нет к ним свободного доступа на законном основании. Третий: обладатель ввёл режим коммерческой тайны. Выпадение любого признака превращает перечень в декларацию. Прайс-лист, выложенный на сайт, и структура холдинга, видимая в ЕГРЮЛ, не становятся тайной от того, что в положении компании написано обратное.
Проверить охраноспособность можно до того, как гриф уйдёт на документ. Откройте выписку из ЕГРЮЛ по своей компании на сайте ФНС, посмотрите карточку компании в картотеке арбитражных дел и свой сайт: всё, что там опубликовано, из перечня вычёркивается.
Составляющие по функциональным блокам: что реально попадает в перечень
Категории статьи 3 общие, поэтому перечень собирается не по ним, а по процессам компании. Таблица ниже показывает, как категория закона превращается в конкретную строку перечня и в конкретный носитель, на который придётся наносить гриф.
| Категория по статье 3 98-ФЗ | Что относят на практике | Типичный носитель |
|---|---|---|
| Производственные сведения | Технологические карты, рецептуры, параметры процессов, нормы расхода | Регламенты и карты процессов, файлы в производственном архиве |
| Технические сведения и результаты интеллектуальной деятельности в научно-технической сфере | Незапатентованные разработки, конструкторская документация, исходный код | Репозиторий, чертежи, техническая документация |
| Экономические сведения | Себестоимость, структура закупочных цен, условия сделок с контрагентами, база контрагентов | Договоры и приложения к ним, калькуляции, выгрузки из учётной системы |
| Организационные сведения и способы осуществления профессиональной деятельности | Внутренние методики, регламенты продаж и подбора, схемы взаимодействия подразделений | Локальные нормативные акты, инструкции, корпоративная база знаний |
| Иные сведения с коммерческой ценностью | Планы развития, условия финансирования, параметры незаключённых сделок | Презентации, протоколы, переписка в корпоративных системах |
Из таблицы следует практическое ограничение: строка перечня без указания носителя неисполнима. Если сведения живут в CRM и в почте, а гриф нанесён только на бумажную папку с договорами, режим охватывает папку, а не сведения.
Важный нюанс из практики: доступ ко всему кадровому массиву сразу у всей кадровой службы — типовая ситуация и типовое нарушение. Разграничение доступа по ролям относится и к тайне, и к персональным данным: перечень без ролевой модели остаётся списком на бумаге. В практике Добыто мы сначала собираем матрицу «кто какие документы видит», и только потом утверждаем перечень сведений.
Как собрать перечень сведений: пошаговая инструкция
- Шаг 1. Выпишите процессы, а не отделы. Перечень строится от того, где сведения возникают: закупка, разработка, продажа, расчёт себестоимости, подбор персонала.
- Шаг 2. По каждому процессу назовите конкретные документы и базы. Формулировка «финансовая информация» не работает: нужны «калькуляция себестоимости по продуктовой линейке», «реестр условий по договорам поставки».
- Шаг 3. Отфильтруйте через статью 5: вычеркните всё, что закон запрещает закрывать, включая сведения о численности и составе работников, системе оплаты труда и условиях труда.
- Шаг 4. Отделите персональные данные. Они защищаются по 152-ФЗ и в перечень по 98-ФЗ не переносятся.
- Шаг 5. Для каждой строки укажите носитель и место хранения: папка, система, репозиторий, архив.
- Шаг 6. Утвердите перечень приказом, определите круг лиц с доступом и заведите учёт этих лиц. Без учёта доступа мера по статье 10 считается невыполненной.
Что нельзя закрыть режимом: закрытый перечень статьи 5
Статья 5 98-ФЗ перечисляет 11 групп сведений, которые не могут составлять коммерческую тайну. Для кадровой службы критичны две из них. Пункт 5 выводит из-под режима сведения о численности и составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о состоянии производственного травматизма и профессиональной заболеваемости, о наличии свободных рабочих мест. Пункт 6 выводит сведения о задолженности работодателей по выплате заработной платы и по иным социальным выплатам.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Остальные группы касаются компании в целом: учредительные документы и записи в государственных реестрах, документы, дающие право вести предпринимательскую деятельность, состав имущества государственных и муниципальных унитарных предприятий и использование ими бюджетных средств, загрязнение окружающей среды, пожарная безопасность, санитарно-эпидемиологическая обстановка и безопасность продукции, факты нарушения законодательства и привлечения к ответственности, условия конкурсов и аукционов по приватизации, показатели по некоммерческим организациям, перечень лиц, имеющих право действовать без доверенности от имени юридического лица, а также сведения, обязательность раскрытия которых установлена иными федеральными законами.
Практическое следствие для кадровика: пункт «размер заработной платы работников» в положении о коммерческой тайне недействителен в части системы оплаты труда. Закрыть можно не систему, а сведения о доходе конкретного человека, и работает здесь уже не 98-ФЗ, а режим персональных данных.
Персональные данные и коммерческая тайна: два режима, которые нельзя смешивать
Персональные данные работников не становятся коммерческой тайной от нанесения грифа. Обработка персональных данных регулируется Федеральным законом от 27.07.2006 № 152-ФЗ и главой 14 ТК РФ, а работодатель выступает оператором персональных данных независимо от того, хочет он этого или нет. Обязанности оператора не выбираются: уведомление в Роскомнадзор, определение целей и сроков обработки, локальные акты, согласие работника там, где обработка не следует прямо из трудового договора и закона. Проверить, числится ли ваша компания оператором, можно в реестре операторов персональных данных Роскомнадзора: там же подаётся уведомление об обработке и уведомление об изменении сведений.
| Критерий | Коммерческая тайна, 98-ФЗ | Персональные данные, 152-ФЗ и глава 14 ТК РФ |
|---|---|---|
| Что защищается | Сведения с коммерческой ценностью, состав которых определяет обладатель | Любая информация, относящаяся к определённому физическому лицу |
| Откуда берётся обязанность | Из решения обладателя: перечень плюс пять мер статьи 10 | Из закона: возникает с момента обработки данных работника |
| Ключевой документ по работнику | Расписка об ознакомлении с перечнем, режимом и мерами ответственности по статье 11 | Согласие на обработку персональных данных под конкретные цели |
| Жёсткое ограничение | Закрытый перечень статьи 5: что закрывать запрещено | Запрет обработки сверх заявленных целей и сроков |
| Кто проверяет | Отдельного надзора нет, спор идёт в суде, уголовный состав — статья 183 УК РФ | Роскомнадзор, включая ведение реестра операторов |
| Ответственность | Статья 13.14 КоАП, статья 183 УК, увольнение по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ | Статья 13.11 КоАП с оборотными штрафами за повторную утечку, статья 272.1 УК РФ |
Строка про ключевой документ объясняет, почему подмена не проходит: расписка об ознакомлении не заменяет согласие, а согласие не вводит режим тайны. Компании, которые пытаются закрыть анкеты и личные дела одним положением о коммерческой тайне, получают два невыполненных требования вместо одного выполненного.
Внимание: при переходе в облачный сервис кадровые документы получают третьи лица: сам провайдер, владелец инфраструктуры и удостоверяющий центр. Спрашивайте у вендора не «защищены ли данные», а полный список лиц, получающих доступ, и собирайте согласия работников на передачу данных этим лицам.
Мария Ж, юрист со стажем более 20 лет: «Кадровые документы содержат чувствительные сведения: о семье, о здоровье, о доходах. Как только они уходят внешнему провайдеру, появляется третье лицо, и передача ему данных должна опираться на согласие работника. Перед подписанием договора с сервисом попросите перечислить поимённо всех, кто получит доступ: обычно это не одна компания, а три».
Соберите согласие на обработку персональных данных под свои цели
Пять мер режима: без них перечень не защищает
Статья 10 98-ФЗ называет меры по охране конфиденциальности, которые обладатель обязан принять. Их пять: определение перечня информации, составляющей коммерческую тайну; ограничение доступа к ней через порядок обращения и контроль за соблюдением этого порядка; учёт лиц, получивших доступ к информации; регулирование отношений по использованию информации работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров; нанесение на материальные носители грифа «Коммерческая тайна» с указанием обладателя информации. Режим считается установленным только после того, как принят весь комплекс. Гриф «Конфиденциально» на документе и устная договорённость режимом не являются.
Четвёртая мера чаще других остаётся невыполненной в отношениях с подрядчиками. Гриф на переданном файле сам по себе обязанности у контрагента не создаёт: нужно условие в гражданско-правовом договоре. То же и внутри компании: обязанность работника возникает из режима, с которым он ознакомлен, а не из надписи на папке.
Порядок обращения и контроль за его соблюдением обкатываются на ограниченном круге документов. В практике Добыто мы закладываем пилотную группу перед раскаткой на всю компанию: на ней видно, какие строки перечня не выполняются технически, и какие документы сотрудники продолжают пересылать мимо системы.
Мария Ж, судебный эксперт по трудовому праву: «Споры проигрывают не из-за электронной формы документа, а из-за дефектов процедуры: не описан порядок идентификации, не зафиксирован момент выдачи подписи, выбран не тот вид подписи. С режимом тайны та же логика. Проверьте по своему локальному акту, описан ли порядок доступа и ведётся ли учёт лиц, которые доступ получили: без этих двух пунктов спор вы проиграете при идеально составленном перечне».
Носители и гриф: где физически живут составляющие тайны
Гриф наносится на материальный носитель с указанием обладателя информации: для юридического лица это полное наименование и место нахождения. Носитель при этом почти никогда не один. У одной строки перечня обычно три жизни: файл в рабочей системе, выгрузка в почте или мессенджере и распечатка на совещании. Режим либо покрывает все три, либо не покрывает ни одной, потому что доказывать придётся не наличие положения, а ограничение доступа к конкретным сведениям.
Полезно знать: распечатка электронного документа остаётся копией электронного документа, а не оригиналом. Чтобы такая распечатка что-то значила в споре, её заверяет оператор электронного документооборота, удостоверяющий центр, нотариус либо сама организация с отметкой о верности копии.
Важный нюанс из практики: комплект хранения электронного документа состоит из трёх частей: сам документ, отдельный файл подписи и машиночитаемая доверенность, если документ подписан по ней. Вопрос вендору формулируется не как «храните ли вы документы», а как «выгружаете ли вы комплект целиком»: при проверке, при споре или при смене оператора нужны файлы, а не картинка на экране.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Хранение кадрового массива и сведений, составляющих коммерческую тайну, на контролируемом контуре снимает часть вопросов, но не снимает вопрос разграничения. Доступ ко всем документам у всей кадровой службы целиком — самое частое, что мы видим при аудите. Начните с простого: выгрузите из своей системы список сотрудников, которые технически могут открыть личные дела, и сравните его с приказом о допуске».
Кадровая часть: чем работник связан с режимом
Статья 11 98-ФЗ распределяет обязанности. Работодатель обязан ознакомить работника под расписку с перечнем информации, составляющей коммерческую тайну, ознакомить под расписку с установленным режимом и с мерами ответственности за его нарушение, а также создать работнику условия для соблюдения режима. Работник обязан выполнять режим, не разглашать сведения и не использовать их в личных целях в течение всего срока действия режима, возместить работодателю убытки при виновном разглашении и передать работодателю материальные носители при прекращении или расторжении трудового договора.
Дальше подключается ТК РФ. Условие о неразглашении охраняемой законом тайны включается в трудовой договор как дополнительное условие по статье 57. Разглашение даёт основание для увольнения по подпункту «в» пункта 6 части 1 статьи 81 как за однократное грубое нарушение, включая разглашение персональных данных другого работника. Полная материальная ответственность за разглашение сведений, составляющих охраняемую законом тайну, предусмотрена пунктом 7 части 1 статьи 243.
Факт: обязанность уведомить работодателя и удостоверяющий центр о нарушении конфиденциальности ключа электронной подписи в срок не более одного рабочего дня установлена статьёй 10 63-ФЗ. Если не прописать её в локальном акте или трудовом договоре, работник о ней не узнает.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Кейс из практики: спор об увольнении по заявлению, поданному через систему кадрового электронного документооборота, прошёл четыре инстанции. Районный суд работнику отказал: у работодателя были положение о КЭДО, утверждённый перечень документов и порядок создания личного кабинета. Кассация акты отменила, указав, что в материалах нет сведений о порядке идентификации, при новом рассмотрении работник спор выиграл. Перевесили три обстоятельства: подпись выдали в день подписания заявления, фактически подписывал другой человек, и всё это зафиксировала собственная система работодателя. В практике Добыто мы поэтому разводим во времени выдачу подписи и первые кадровые действия с ней.
Мария Ж, HR-эксперт с 13-летним стажем: «При увольнении первой отзывается машиночитаемая доверенность, а сертификат подписи — вторым. Сертификат принадлежит человеку и уходит вместе с ним: он вправе получить новый и подписать им документы по вашей доверенности, если она всё ещё действует. Отдельно спросите себя не «сдал ли он свой токен», а «чьими ключами он пользовался и какие пин-коды знал»».
Образцы приказа, листа ознакомления и согласия работника
Комплект собран под кадровую часть режима, начинать удобнее с приказа об утверждении локального нормативного акта.
| Документ | Скачать |
|---|---|
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Дополнительное соглашение к трудовому договору (образец) | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
Сколько стоит ошибка в составе охраняемых сведений
Цена ошибки считается по двум шкалам, и они не пересекаются. Разглашение информации с ограниченным доступом наказывается по статье 13.14 КоАП РФ: административный штраф на граждан от 5 000 до 10 000 рублей, на должностных лиц от 40 000 до 50 000 рублей либо дисквалификация на срок до трёх лет, на юридических лиц от 100 000 до 200 000 рублей. Уголовная ответственность идёт по статье 183 УК РФ. Федеральный закон от 24.06.2025 № 175-ФЗ, вступивший в силу 5 июля 2025 года, изменил части 3 и 4: штраф перестал быть альтернативой лишению свободы и стал дополнительным наказанием, введены минимальные пороги лишения свободы — от 2 лет по части 3 и от 3 лет по части 4, размер дополнительного штрафа доходит до 5 000 000 рублей.
Вторая шкала включается, когда в утёкшем массиве оказались персональные данные. С 30 мая 2025 года по Федеральному закону от 30.11.2024 № 420-ФЗ штрафы по статье 13.11 КоАП РФ для организаций составляют от 150 000 до 300 000 рублей, для должностных лиц и индивидуальных предпринимателей от 50 000 до 100 000 рублей, для граждан от 10 000 до 15 000 рублей. За утечку сведений о 10 000-100 000 субъектов штраф составляет от 5 до 10 млн рублей, о более чем 100 000 субъектов — от 10 до 15 млн рублей, за утечку биометрических и специальных категорий данных — от 15 до 20 млн рублей. Повторная утечка переводит санкцию в оборотную, до 3% выручки. С 11 декабря 2024 года действует статья 272.1 УК РФ о незаконных сборе, хранении и использовании компьютерной информации с персональными данными.
Ошибка в составе перечня стоит дороже самой санкции. Если в перечень попали сведения из статьи 5, суд признает режим невведённым в этой части, и увольнение по подпункту «в» пункта 6 части 1 статьи 81 разваливается вместе с требованием о возмещении убытков. Обратная ошибка тоже недешёвая: сведения, которые в перечень не попали, охраняются нулём.
Когда режим коммерческой тайны вводить не нужно
Секрет производства по статье 1465 ГК РФ охраняется, если обладатель принимает разумные меры для соблюдения конфиденциальности, в том числе путём введения режима коммерческой тайны. Оборот «в том числе» означает, что режим остаётся одним из способов, а не обязательным условием охраны. Команде из пяти человек, где все сведения известны всем, полный комплект из пяти мер даст бумажную нагрузку без защиты, и разумными мерами будут соглашение о конфиденциальности с каждым, разграничение доступа к репозиторию и условие в договорах с подрядчиками. Режим по 98-ФЗ имеет смысл там, где сведения передаются между подразделениями и внешними исполнителями и где список допущенных лиц реально меняется.
Стоимость перевода документов по коммерческой тайне в электронный вид
Стоимость зависит от численности сотрудников и выбранного тарифа: перечень, приказы, листы ознакомления и согласия подписываются в том же контуре, что и остальные кадровые документы.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф, бесплатно | по мере подключения |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | по регламенту центра |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за 1 день |
| Электронный архив и кастомные шаблоны документов | входит в тариф «Бизнес» | после подключения |
Итоговая сумма считается от численности и набора функций: электронный архив, кастомные шаблоны и интеграция с 1С доступны начиная с тарифа «Бизнес», а тариф меняется в любое время с пропорциональным пересчётом разницы. Действующие условия и состав каждого пакета опубликованы на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, поэтому кадровая часть режима коммерческой тайны и обработка персональных данных живут в одном контуре, а не в двух параллельных.
Выводы
Охраняемый актив складывается из сведений с реальной коммерческой ценностью, носителей с грифом, перечня и пяти мер статьи 10. Состав сведений компания задаёт сама, но статья 5 98-ФЗ снимает с неё выбор по численности и составу работников, системе оплаты труда, условиям труда, свободным рабочим местам и задолженности по зарплате. Персональные данные работников защищаются отдельным режимом по 152-ФЗ, и попытка накрыть их одним положением о тайне оставляет компанию без обеих защит.
Кадровая часть режима держится на документах: перечень, приказ, расписка об ознакомлении, условие в трудовом договоре, учёт допущенных лиц и возврат носителей при увольнении. Добыто переводит этот комплект в электронный вид вместе с остальным кадровым документооборотом, с разграничением доступа и фиксацией того, кто и когда ознакомился с перечнем.
Частые вопросы
Можно ли отнести к коммерческой тайне размер зарплаты конкретного работника?
Систему оплаты труда закрыть нельзя: это пункт 5 статьи 5 98-ФЗ вместе с численностью, составом работников и условиями труда. Сведения о доходе конкретного человека защищаются как персональные данные по 152-ФЗ и главе 14 ТК РФ: работодатель не вправе сообщать их третьим лицам без оснований, а разглашение персональных данных другого работника отдельно названо в подпункте «в» пункта 6 части 1 статьи 81 ТК РФ как основание для увольнения.
Нужно ли вводить режим коммерческой тайны, чтобы защитить ноу-хау?
Не обязательно. Статья 1465 ГК РФ требует от обладателя разумных мер для соблюдения конфиденциальности, в том числе путём введения режима коммерческой тайны. Режим — один из вариантов таких мер. Для небольшой команды достаточными могут быть соглашения о конфиденциальности, разграничение доступа к системам и условие в договорах с подрядчиками, но при споре доказывать разумность мер придётся именно вам.
Действует ли обязанность не разглашать после увольнения?
Да. По статье 11 98-ФЗ работник обязан не разглашать сведения и не использовать их в личных целях в течение всего срока действия режима коммерческой тайны, а при прекращении или расторжении трудового договора передать работодателю все материальные носители. Срок действия режима задаёт сам обладатель в положении, поэтому формулировку «в течение срока действия режима» нужно подкреплять указанием этого срока.
Можно ли ознакомить работника с перечнем в электронном виде?
Ознакомление с локальными нормативными актами переводится в электронный вид по статьям 22.1-22.3 ТК РФ, вид подписи зависит от документа и от стороны, которая подписывает. Требование статьи 11 98-ФЗ об ознакомлении под расписку при этом сохраняется: система должна фиксировать, кто и когда ознакомился, и выгружать документ вместе с файлом подписи, иначе подтвердить ознакомление в споре нечем.
Обязан ли контрагент соблюдать режим, если на документе стоит гриф, а в договоре условий нет?
Нанесение грифа — только одна из пяти мер статьи 10. Отношения по использованию информации контрагентами регулируются на основании гражданско-правовых договоров, поэтому без соответствующего условия в договоре обязанность у контрагента не возникает, а мера считается непринятой. Проверьте действующие договоры с подрядчиками, которым передаются сведения из перечня: раздел о конфиденциальности должен ссылаться на перечень, а не на общие слова.
Что делать, если охраняемые сведения попали в открытый доступ по вине самой компании?
Признак неизвестности третьим лицам и отсутствия свободного доступа на законном основании перестаёт выполняться, и сведения теряют охраноспособность в опубликованной части. Дальнейшие требования к работнику по этой части бесперспективны. Зафиксируйте объём опубликованного, исключите его из перечня отдельным приказом и проверьте, не попали ли вместе с ним персональные данные: у этой утечки санкции считаются уже по статье 13.11 КоАП РФ.
