李营营律师分享：商业秘密案件中，法院必须审查商业秘密的合法性

参考案例：商业秘密案件中，法院是否应当审查商业秘密的合法性？

合法性是商业秘密获得司法保护的前提，人民法院应当依法审查。

阅读提示：现行反不正当竞争法及刑法均从秘密性、商业价值和保密措施等方面界定商业秘密，实务中通常将其概括为商业秘密的法定构成要件。由此，不少当事人将注意力集中于信息是否非公知、能否形成竞争优势以及权利人是否采取保密措施，却容易忽视一个更基础的问题：被主张为商业秘密的信息，其来源、取得方式和使用方式是否合法？如果信息本身系通过侵害他人人身权益、违反法律强制性规定或者损害公共利益的方式获得，仅凭其具有经济价值并处于保密状态，能否请求法律给予排他性保护？本期，李营营律师团队结合多年商业秘密案件办理经验，通过一则入选人民法院案例库的参考案例，对商业秘密合法性审查的必要性、审查路径及诉讼实务影响作系统分析。

裁判要旨：民事法律所保护的是合法权利和合法利益。经营信息即使具有秘密性、商业价值并由持有人采取相应保密措施，也不当然构成应受保护的商业秘密。当经营信息包含数量较大的自然人个人信息时，人民法院在判断其能否作为商业秘密获得保护时，应当审查相关信息的收集、取得和使用是否符合法律规定。未经合法途径取得的自然人个人信息不具有应受保护的合法性，不能仅以商业秘密名义排除他人使用或者据此主张损害赔偿；以此类信息为基础订立的和解协议，如违反法律强制性规定或者损害社会公共利益，亦可能被认定无效。

案情简介：

1.毛某系重庆某培训学院信息部门工作人员，任职期间负责将该学院市场部工作人员收集的学员个人信息汇总并录入内部系统。2014年6月，毛某利用工作便利，通过学院内网获取约20万条客户信息，并在未经学院同意的情况下将上述信息私自转交给周某。

2.重庆某培训学院发现信息被获取、转交后向公安机关报案，公安机关随后立案侦查。在侦查阶段，学院与毛某签订《和解协议书》，约定毛某赔偿学院经济损失50万元并分期支付，同时将其持有的某公司10%股权转让给学院。协议签订后，毛某履行了部分义务，但未继续按照约定支付全部款项。

3.因毛某未完全履约，重庆某培训学院向重庆市沙坪坝区人民法院提起诉讼，请求判令毛某继续履行《和解协议书》，支付剩余赔偿款34万元，并承担相应利息损失。学院认为，毛某获取并转交的信息属于学院享有权益的商业秘密，双方已通过和解协议对侵权事实、损失数额和履行方式作出明确安排。

4.毛某抗辩称，《和解协议书》是在其已被刑事立案、承受较大压力的背景下签订，并非其真实意思表示。毛某同时提出反诉，请求撤销该协议，判令重庆某培训学院返还其已经支付的款项及已经转让的某公司10%股权。

5.一审审理过程中，双方确认《和解协议书》所称客户信息，主要是2014年在校应届高中毕业生的个人信息，涉及十余个区域，信息内容包括学生姓名、性别、电话号码、毕业院校，部分记录还包括QQ号码。涉案信息数量约为20万条，覆盖范围广、涉及自然人众多。

6. 2017年5月3日，重庆市沙坪坝区人民法院作出一审判决，判令毛某向重庆某培训学院支付剩余赔偿款34万元，并驳回毛某要求否定协议效力、返还已履行财产的相关请求。毛某不服一审判决，向重庆市第一中级人民法院提起上诉。

7. 2017年12月6日，重庆市第一中级人民法院作出二审判决，撤销一审判决，驳回重庆某培训学院的诉讼请求，并判令学院向毛某返还已经收取的款项及已经取得的某公司10%股权。

（该案于2024年2月23日入选人民法院案例库，属于参考案例）

案件争议焦点：

当事人因履行商业秘密赔偿和解协议发生纠纷时，人民法院能否仅依据协议中的侵权确认和赔偿承诺作出裁判，还是应当进一步审查被主张为商业秘密的信息是否合法取得、是否合法使用，以及该合法性瑕疵是否影响商业秘密保护和和解协议效力？

法院裁判观点：

一、审理涉及个人信息的商业秘密纠纷，应当兼顾自然人个人信息权益保护

法院认为，和解协议虽以当事人自治为基础，但其效力仍受法律强制性规定和社会公共利益的约束。如果作为协议基础的争议法律关系违反法律、损害公共利益，和解协议不能仅因双方签字确认即当然有效。本案中，学院所称商业秘密的核心内容并非一般企业经营数据，而是数量巨大的在校学生个人信息。因而，法院必须正面回答：未经自然人同意收集、汇总或者使用个人信息，是否具有违法性；这种违法性是否足以阻却信息以商业秘密名义获得保护；进而，建立在该信息权益之上的赔偿和解协议是否有效。该审查并非偏离当事人的诉讼请求，而是判断原告请求权基础是否成立、合同利益是否属于合法利益的必要步骤。个人信息具有鲜明的人格权益属性，信息处理者不能因其完成汇总、分类并采取内部保密措施，就当然取得对信息的合法控制利益。商业秘密制度旨在维护诚实竞争和正当经营成果，不应成为违法收集、使用个人信息的权利外衣。

二、合法性虽然未被单列为商业秘密法定要件，但属于获得民事保护的基础条件

《中华人民共和国民法总则》第一百一十一条已将自然人个人信息纳入基本民事权益保护范围。该案所涉行为发生时，相关法律虽未像现行个人信息保护制度一样形成完整、细化的处理规则，但收集、使用自然人个人信息应当遵循合法、正当原则并取得相应授权，已具有明确的规范基础和社会共识。商业秘密是否合法，因而成为本案无法回避的先决问题。反不正当竞争法、刑法等规范通常从“不为公众所知悉”“具有商业价值”以及“权利人采取相应保密措施”等方面描述商业秘密。这些要求解决的是某项信息是否具有作为商业秘密客体的一般属性，却不意味着任何满足上述外观条件的信息都必然获得法律保护。民事权益的合法性来自民法的基本原则：法律保护合法的权利和利益，任何主体不得通过违法行为取得可对抗他人的民事优势。换言之，秘密性、价值性和保密性是信息获得商业秘密保护的必要条件，合法性则是所有民事权益受到保护的共同前提。若信息来源违法、控制基础违法，或者权利人对信息的使用本身损害他人人格权益及社会公共利益，即使信息能够带来经济收益，也不能据此获得积极的司法保护。法院对合法性的审查，并非在成文法之外增加新的商业秘密构成要件，而是适用民事法律基本原则，对请求保护的利益是否属于合法利益进行前置判断。

三、涉案信息涉及大量自然人个人信息，学院未证明其合法收集和使用，相关权益不受保护，和解协议无效

就本案具体事实而言，重庆某培训学院主张享有商业秘密权益的信息，主要包括2014年在校应届高中毕业生的姓名、性别、电话号码、毕业院校等内容，部分还包括QQ号码。信息数量约20万条，覆盖广安、泸州、达州、遂宁、合川等多个区域，明显涉及数量众多的自然人个人信息。学院主张上述信息系通过巡展等经营活动收集，但在公安机关已对学院涉嫌侵犯公民个人信息一事立案侦查的背景下，仅作概括性说明不足以证明其取得和使用行为合法。作为请求司法保护的一方，学院应当就个人信息的收集来源、告知同意、使用目的、处理范围及授权依据等提交充分证据。学院未能完成该项证明，其所主张的信息权益即缺乏合法基础。法院据此认定，学院不能将来源合法性存疑、且涉及重大个人信息权益的资料作为商业秘密主张保护。双方签订《和解协议书》的直接目的，是确认毛某对所谓商业秘密造成侵害，并由毛某向学院赔偿损失、转让股权。由于学院主张的基础权益不具备合法性，协议所保护的利益违反公共利益，故该和解协议应被认定无效。合同无效后，因该协议取得的款项和股权应依法返还。

需要特别说明的是，认定和解协议无效、判令重庆某培训学院返还相应财物，并不等于法院认可毛某擅自从内部系统获取个人信息并转交他人的行为，也不意味着毛某的行为不具有违法性或可责性。二审裁判所解决的是毛某是否应当基于该和解协议向学院承担所主张的民事责任。至于毛某是否侵害相关自然人的个人信息权益，是否应向其他民事主体承担赔偿责任，或者其行为是否触及行政责任、刑事责任，应由有权机关依据相应法律关系和证据另行判断，不属于本案审理范围。法院通过区分“学院是否享有可保护的权益”与“毛某行为是否应受其他法律评价”，避免了将拒绝保护违法利益错误理解为对不当行为的纵容。

综上，重庆市第一中级人民法院二审撤销一审判决，驳回重庆某培训学院要求毛某支付剩余赔偿款及利息的诉讼请求，并判令学院向毛某返还已经收取的款项和已经取得的某公司10%股权。

案例来源：

《重庆市某某软件职业培训学院诉毛某某知识产权合同纠纷案》

实战指南：

一、和解协议中的侵权确认和履约承诺并非当然有效，签约前应审查基础权益是否合法

商业秘密纠纷可通过刑事控告、民事诉讼、行政查处、法院调解或者当事人自行和解等多种方式处理。实践中，私下和解协议往往不仅约定赔偿、停止使用、返还或销毁载体、限制接触及保密义务，还会要求一方承认其获取、披露或者使用了对方的商业秘密。权利人通常希望借助此类确认，降低后续履约争议或再次侵权时的举证难度。然而，协议文本中的“承认侵权”并不能替代对基础权利的合法性审查。若协议意图保护的利益本身违法，或者合同内容违反法律强制性规定、损害公共利益，即使当事人已作出书面承诺，协议仍可能被认定无效。特别是在刑事立案、行政调查或强势谈判背景下达成的和解，法院还会结合协议目的、形成过程及真实争议状态判断相关陈述能否构成诉讼自认。和解的本质是双方在事实、权利或责任存在争议时作出让步，以终结不确定状态；当事人可能为解决纠纷接受与客观事实并不完全一致的表述。因此，和解协议中对己不利的事实确认，并不必然在后续诉讼中产生不可推翻的自认效力。企业在签署商业秘密和解协议前，应当首先完成权属、秘密点、价值、保密措施及信息来源合法性的尽职审查，并保存形成商业秘密的研发记录、交易文件、授权材料和合规证明。协议中应准确界定秘密信息范围、侵权行为、责任承担、返还或销毁方式、违约责任及争议解决机制，避免仅以笼统的“侵犯全部商业秘密”作为赔偿基础。对涉及个人信息、数据抓取、第三方资料或监管数据的信息，还应在协议中明确合法来源和处理依据，否则即便协议已经部分履行，仍可能因基础权益存在瑕疵而无法获得法院支持。

二、非公知且具有商业价值的信息不当然构成可保护的商业秘密，诉辩双方均应重视合法性举证

反不正当竞争法关于商业秘密的规定，构成了判断秘密性、商业价值和保密措施的直接规范依据，但商业秘密诉讼不能停留于这三个方面。对于权利人而言，在提起诉讼或采取刑事控告前，除应明确秘密点、证明信息不为相关领域人员普遍知悉和容易获得、说明信息能够带来现实或潜在商业价值、举证已采取相应保密措施外，还应主动证明信息的形成和取得符合法律规定。客户名单、用户画像、联系方式、消费记录等含有个人信息的数据，应重点核查告知同意、处理目的、必要范围、共享授权及保存期限；通过爬虫、接口调用、外部购买或合作方提供而取得的数据，应审查访问权限、平台规则、数据权属、授权链条和使用场景；技术信息如主要用于实施违法活动，其用途和形成过程亦可能影响司法保护。对于被诉侵权人而言，合法性抗辩不应只作抽象指控，而应围绕权利人信息来源、取得渠道、授权依据、处理范围与法律禁止性提出具体事实和证据。曾有涉及爬虫技术源代码的商业秘密案件，被告提出相关技术主要用于抓取、收集和统计信息，使用目的与场景违法，法院遂对涉案技术信息的合法性进行审查；最终因被告不能证明该技术用于非法收集公民个人信息或具有非法目的，其抗辩未获支持。这说明，合法性审查并不意味着只要提出“信息违法”即可否定商业秘密，主张者仍需承担与其主张相适应的举证责任。本参考案例的启示在于：商业秘密制度保护的是通过合法经营、诚实劳动和正当投入形成的竞争优势，而非单纯保护一切能够获利且未公开的信息。法院在必要时应审查权利基础是否合法；诉讼双方则应根据各自立场，将合法来源与非法取得的证据组织纳入整体诉讼方案。

专业背景介绍：李营营，北京云亭律师事务所高级合伙人，专业培训委员会副主任，高级企业合规师，毕业于中国社会科学院，民商法硕士（公司法方向），拥有证券从业资格，专注于与技术相关的争议解决和保护、民商事诉讼与仲裁、保全与执行等实务领域，在最高人民法院、各省级高级人民法院成功办理多起重大疑难复杂案件。李营营律师深耕知识产权民事纠纷和刑事犯罪领域多年，对涉知识产权（尤其是商业秘密民刑案件、与技术相关的合同纠纷、商业诋毁等不正当竞争案件）相关法律问题均有深入研究。李营营律师代理的多起知识产权民事案件获得判决的胜诉结果，代理多起客户作为原告成功争取法院3倍惩罚性赔偿，代理的多起被告客户成功争取法院判定不构成侵权的胜诉结果，代理多起被害企业成功启动刑事立案、刑事追诉、成功争取犯罪分子得到刑事处罚结果；代理多起被告人/被告单位处理的涉商业秘密犯罪刑事案件也取得了无罪、检察院决定不予追诉的良好效果。2023年，李营营律师代理的商业秘密民事案件入选某省高级人民法院知识产权保护白皮书。2024年4月，李营营律师全程代理的商业秘密民事案件被最高人民法院评为典型案例。2024年4月，李营营律师全程代理的另一起商业秘密民事案件（代理原告）被某省高级人民法院评为省内唯一一件判赔额最高的案件。同时，李营营律师在商业秘密体系建设领域，也具有丰富的项目经验。协助多家企业客户完成企业商业秘密保密体系运行情况的法律尽职调查，成功为多家企业客户建设完善的商业秘密保密体系。