观点 | BOM表商业秘密刑事保护的思考与建议

来源：市场资讯

（来源：金诚同达）

作者 | 李德成 白露

关键词：

BOM表商业秘密刑事保护；BOM表属性区分；不为公众所知悉；同一性鉴定损失计算

01.

案情简介

据公开信息显示，2025年度浙江省宁波市公安局侦破一起涉案金额巨大的侵犯商业秘密刑事案件[1]。本案三名被告人牛某、万某、温某，案发前均任职于宁波市某新能源汽车企业，分别在零部件成本分析、项目成本核算、物料采购等企业核心机密的关键岗位任职。2022年4月温某提出离职，万某、牛某相继转岗，企业依据内部管理制度对三人进行数据泄露防护系统审计，发现通过工作邮箱违规外发包含“BOM清单”（即物料清单，载有产品零配件材料、报价等关键信息）等敏感文件的行为。企业遂依规对三人进行处理，并将该涉嫌犯罪的线索移送至宁波市公安局知识产权犯罪侦查支队。

经侦查机关依法查证，万某在知悉温某已完成离职审计后，认为公司不会再审查温某的电脑，提出并获得授权使用温某的电脑，意图传输公司涉密文件。期间万某又教唆牛某共同参与，使用已离职人员温某的电脑及账户，规避公司信息安全监管系统，将共计16份企业商业秘密重要内部文件发送至各自个人邮箱。事后，为掩盖违法行为，牛某将非法获取的文件转存至移动存储介质并删除本地记录。万某修改文件名称以伪装相关文件内容。在案件侦查初期，万某辩称其行为仅为“个人学习使用”。侦查机关调取证据证实，三人之间经常分享各自岗位接触到的商业信息，并在外发邮件时更改文件名称以规避检查。另查证在案发前，已有某知名咨询公司主动接近三人，邀请其参加访谈、咨询等活动，并给予丰厚报酬。审讯过程中三人坦白平时工作会注重搜集公司有价值的商业秘密，回复咨询过程中也可能谈及公司涉密信息。据此认定三人具有披露、使用及允许他人使用该商业秘密的主观意图和现实危险性。

法院审理认为，三名被告人作为企业员工，明知并违反其签署的保密协议与公司规章制度，以不正当手段获取并意图使用、允许他人使用权利人的商业秘密，情节严重，均已构成侵犯商业秘密罪。经评估，该案所涉商业秘密的价值高达人民币3300余万元。最终，慈溪市人民法院依法作出判决，对三名被告人分别判处有期徒刑二年至四年二个月不等的刑罚，并处相应罚金及民事赔偿责任。

02.

律师评析

随着制造业数字化转型的深入，BOM表（物料清单）反映产品材料构成和加工装配过程，并成为承载产品核心技术参数与供应链成本等信息的重要载体，将其作为商业秘密保护已成为企业维护市场竞争优势的必修课。BOM表既可能包含技术秘密，比如产品材质配方、工艺参数、性能指标及相互装配关系等，直接关系到产品的技术性能；也可能包含经营秘密，比如供应商名单、零配件采购价格、成本构成、交货周期、供应链策略和采购物料分类等。主张案件所涉BOM表属于哪一类型商业秘密信息是刑事控告证据准备的前提和基础，也是案件是否能顺利推进的重要环节。

（一） “不为公众所知悉”鉴定意见，不是BOM表经营秘密刑事立案所必须，但是对通过比对“同一性”指控非法使用行为有很重要的作用

从笔者所参与的案件情况看，如果主张BOM表中的技术秘密被侵犯，通常需鉴定技术秘密点属于“不为公众所知悉”的技术信息，而经营秘密则并不必须提供。根据江苏省公检法联合颁布的《办理侵犯商业秘密刑事案件的指引》（以下简称“《江苏商业秘密刑事指引》”）的规定，非技术事实如经营信息是否不为公众所知悉以及同一性的查明，一般不通过鉴定方式解决。对于经营信息，应当着重审查其特有性，权利人为形成该信息所付出的劳动、金钱等投入，以及是否建立了相对稳定的交易关系。实践中，根据各地办案机关和检察机关的要求，可能存在经营秘密类案件的权利人在控告时需提供“不为公众所知悉”的鉴定意见的情况。笔者认为，经营信息的秘密性主要体现在其深度组合与特定联系所形成的竞争优势，其证明重点在于企业已采取合理保密措施且该信息具有商业价值，经营秘密点内容不是技术信息，鉴定机构在没有深入了解此类信息的具体内涵并研究形成一套特有的检索方法前，不宜对此类信息出具不为公众所知悉的鉴定意见。但是，在鉴定机构克服这些困难形成较为成熟的检索方法和分析评价方案的基础上，出具颇有说服力属于“不为公众所知悉”的鉴定意见，对于刑事立案以及指控侵权均是有利的，应当充分地发挥其重要作用。

主张BOM表是技术秘密还是经营秘密，决定了指控非法使用行为的比对思路和方法。对于主张为技术秘密类的BOM表，在同一性比对时根据技术秘密案件的比对思路，委托鉴定机构对查获的侵权技术方案载体与权利人主张的技术秘密点进行同一性鉴定得出鉴定结论，详见笔者此前撰写的《技术秘密案例评析“十问”》。对于修改性使用，则不能委托同一性鉴定，而应根据案件选择适用于修改性使用的证明方法，详见笔者此前撰写的《技术秘密刑事案件中修改性使用的证明方法与证据标准》。如果主张的是BOM表中的经营秘密，该同一性比对则与技术秘密案件不同，具体见笔者此前撰写的《区分由若干客户名单组成的经营信息整体与个别客户名单中的深度信息具有必要性》。在此不再赘述。

（二）在刑事案件中，要对BOM表的信息进行分类和组合，是为不同类型侵权行为分不同方式计算损失的基础，也是查明非法使用行为之需要

最高人民法院 、最高人民检察院发布的《关于办理侵犯知识产权刑事案件适用法律若干问题的解释》（以下简称“《解释》”）第十八条[2]针对侵犯商业秘密行为的不同类型，规定相应的损失计算方法。信息类型的差异会影响损失计算方法的适用，具体是指在“以不正当手段获取权利人的商业秘密，尚未披露、使用”的情形下，根据《解释》第十八条第一款第一项，损失数额可根据“合理许可使用费”确定。针对技术信息，可参照行业惯例、研发成本及市场价值等客观要素进行评估，其评估方法已形成相对成熟的技术规范。而经营信息（如客户名单、采购渠道、成本构成等）缺乏市场许可费参照系，对评估方法的选择、参数的设定及结果合理性等方面争议很大。因此，BOM表在适用“合理许可使用费”标准计算损失时需差异化处理，建议提前对BOM表信息进行分类，明确其中技术信息的范围。对经营信息及其他商业信息，则需根据不同类型信息对公司产生的贡献，通过搜集与供应商的订货金额，开发成本等证据，以此作为计算损失数额的重要参考依据。

除了将BOM表中的信息区分为技术信息与经营信息主张商业秘密外，实际办案过程中还需根据案件的具体情况对BOM表中的信息进行组合使用。如可能根据产品类型的不同，将该产品涉及的所有采购的零部件信息（包括零部件的型号、尺寸、数量等信息）和供应商信息等技术信息和经营信息的组合作为商业秘密主张进行保护；也可能只对产品中某一核心零部件的供应商信息主张进行商业秘密保护。这种结合案情需要对BOM表中的信息进行的区分和组合的方法，具有积极意义，因为办案过程中将整个表中的所有信息都做作为商业秘密保护的对象是不现实的，也不具有可操作性。根据经验得知对表中信息的保护范围做必要的说明，依然是不可或缺的，其价值最少体现在如下方面：（1）核查形成该信息过程真实性的需要；（2）与所指控侵权行为的关联性；（3）具体是如何发挥作用和产生价值的；（4）核查该信息权利人正在使用的，及侵权人也在使用之需要等。

综上所述，准确区分BOM表包含信息属于哪种类型的商业秘密，是司法机关开展针对性审查的前提，也有利于实际办案过程中对拟保护的商业秘密进行总结提炼，对商业秘密案件的有效推进具有决定性意义。

（三）各职能部门均可接触BOM表，一旦泄露产品被快速复制成本优势丧失，甚至供应链被竞争对手切断，必须采取严格的保密措施

1.制度与合同保障

（1）制度建设：公司应制定专门的保密制度，在保密制度中应明确BOM表属于公司的商业秘密，明确保护范围；（2）文档标记：每份BOM表文件首页加盖“商业秘密·限内部使用”水印，内部添加“保密”或“机密”水印。以明确该份BOM表属于公司的商业秘密，防止因员工认知错误而将BOM表中包含的信息泄露；（3）签订保密协议：公司应与所有可能接触BOM表的员工、实习生、外包人员签署专门的《商业秘密保护协议》，明确在职期间和离职后均应对掌握的商业秘密进行保护，在协议中明确BOM表属于应被保护的商业秘密类型；（4）离职管理：员工提交离职申请后，应及时关闭所有系统账号，做完离职交接后立即收回公司电脑/手机，签署《离职保密承诺书》。切勿像本案中宁波某新能源汽车企业，在员工做完离职审计后，仍然可以使用工作电脑并可下载涉密文件；（5）外部合作：公司应与供应商、代工厂、检测机构签署带惩罚性赔偿的《保密协议》，明确只能使用“盲化BOM表”（隐藏供应商、料号、单价等敏感字段）。对于部分重要的项目，应采用“分段BOM表”，仅提供加工所需的部分资料信息。

2.技术防护措施

（1）存储管理：BOM表须存放于经加密的企业级服务器系统中，添加密码；禁止员工将BOM表在本地保存，离线需求需审批并设置到期自动销毁；（2）访问控制：实施“最小必要+角色授权”原则，采购、研发、制造分别只能看到所需字段。并且添加监控措施，对于打印BOM表的行为也需实时监控；（3）防泄漏机制：明确发送BOM表需经申批，传输时强制采用加密邮件，禁止明文发送。自动拦截未经审批的含“BOM/物料清单”等关键词的邮件、U盘拷贝、微信/钉钉外发等行为；属于一级机密的BOM表可考虑添加动态水印，记录查看人、时间、IP等信息。

3.日常管理与监控

（1）定期培训：每年至少一次全员商业秘密培训，将BOM表的保护与泄露的严重后果、典型违规行为等作为培训重点之一；（2）审计机制：每季度由法务+IT联合审计BOM表访问日志、邮件外发日志等，发现异常立即展开走访调查，综合评估是否需要采取下一步措施；（3）应急响应：制定《商业秘密泄露应急预案》，发现泄露后短时间内启动律师函、证据保全、公证、报案等程序。通过上述“制度+技术+监控”三道防线相结合，保证企业对BOM表采取的保密措施具有合理性，将BOM表泄露风险降至最低，真正实现商业秘密的长期有效保护。

文章附录

[1] 《人民日报：依法保护企业“不能说的秘密”》, 载微信公众号“浙江公安” 2025年10月23日, 2025年12月19日访问。

[2] 《关于办理侵犯知识产权刑事案件适用法律若干问题的解释》第十八条 本解释规定的侵犯商业秘密“损失数额”，按照下列方式予以认定：（一）以不正当手段获取权利人的商业秘密，尚未披露、使用或者允许他人使用的，损失数额可以根据该项商业秘密的合理许可使用费确定；（二）以不正当手段获取权利人的商业秘密后，披露、使用或者允许他人使用的，损失数额可以根据权利人因被侵权造成利润的损失确定，但该损失数额低于商业秘密合理许可使用费的，根据合理许可使用费确定；（三）违反保密义务或者权利人有关保守商业秘密的要求，披露、使用或者允许他人使用其所掌握的商业秘密的，损失数额可以根据权利人因被侵权造成利润的损失确定；（四）明知商业秘密是不正当手段获取或者是违反保密义务、权利人有关保守商业秘密的要求披露、使用、允许使用，仍获取、披露、使用或者允许他人使用的，损失数额可以根据权利人因被侵权造成利润的损失确定；（五）因侵犯商业秘密行为导致商业秘密已为公众所知悉或者灭失的，损失数额可以根据该项商业秘密的商业价值确定。商业秘密的商业价值，可以根据该项商业秘密的研究开发成本、实施该项商业秘密的收益等因素综合确定。

前款第二项至第四项规定的权利人因被侵权造成利润的损失，可以根据权利人因被侵权造成产品销售量减少的总数乘以权利人每件产品的合理利润确定；产品销售量减少的总数无法确定的，可以根据侵权产品销售量乘以权利人每件产品的合理利润确定。商业秘密系用于服务等其他经营活动的，损失数额可以根据权利人因被侵权而减少的合理利润确定。

商业秘密的权利人为减轻对商业运营、商业计划的损失或者重新恢复计算机信息系统安全、其他系统安全而支出的补救费用，应当计入给商业秘密的权利人造成的损失。