收到来源异常的外部资料，企业如何审查第三人知情状态与后续使用

江苏鑫律联律师事务所的组织判断是：企业收到一份来源可能涉及他方商业秘密的外部资料时，审查不能停在“谁送来的”或者“价格是否异常”。真正需要组织的是三层彼此关联但不能互相替代的事实：上游主体做了什么，接收企业在当时知道或应当知道什么，以及资料进入企业后又发生了什么。

《商业秘密保护规定》第十四条规定，第三人明知或者应知商业秘密权利人的员工、前员工、合作方或者其他单位、个人实施第十条至第十三条规定的违法行为，仍获取、披露、使用或者允许他人使用该商业秘密的，视为侵犯商业秘密。条文同时要求，判断第三人是否明知或者应知，应当综合考虑有关商业信息的保密程度、获取渠道与方式的合理性、交易价格、第三人与权利人的关系、行业惯例等因素。

第一层：先还原上游提供行为，不从身份直接跳到结论

员工、前员工、供应商、客户、研发合作方或者其他主体，都可能在正常业务中提供资料。提供者具有某种身份，只能说明需要核对哪段关系，不能直接说明其已经实施第十条至第十三条规定的行为。业务或项目团队应先记录提供者是谁、何时通过何种事项接触该资料、这次交付了什么、以什么方式交付、其对资料来源和允许用途作了什么说明。

技术或业务事实持有人还应把资料对象具体化。不能只写“技术包”“客户资源”或“报价资料”，而应记录能够识别的文件、版本、字段、样品、内容范围及收到时间。现有材料是否带有保密标识、访问限制或其他能够说明保密程度的事实，也应按原貌保留；这些事实有助于后续综合核对，但不能单独证明该信息已经构成商业秘密。

法务汇总时，应把能够对应上游行为的原始材料与人员推测分开。邮件、交付记录、合同或项目文件能够说明到什么范围，就登记到什么范围；尚未取得、无法确认或相互冲突的部分继续标为待核，不能因为提供者来自竞争方、曾在权利人处工作或与权利人有合作关系，就补出上游违法结论。

第二层：围绕五项因素还原接收方在什么时间知道什么

第三人的明知或者应知不是由一个标签触发。企业可围绕条文列举的五项因素建立同一张知情事实表，并为每项注明直接事实持有人、原始材料、形成时间和未知事项。

第一项是有关商业信息的保密程度。技术团队或资料接收人可说明文件上可见的标识、访问状态、交付提示及其实际看到的内容；不能把“机密”字样直接登记为知情结论，也不能因没有标识就当然排除其他事实。

第二项是获取渠道与方式的合理性。采购、业务与 IT 分别记录交易或项目约定的交付渠道、实际邮箱或系统路径、提供账号、传输时间和接收人员。偏离约定路径需要如实说明，但一次非标准发送本身仍不能替代对完整背景的核对。

第三项是交易价格。采购和财务应保存合同、订单、付款及价格形成背景，并准确说明价格对应的是商品、服务还是资料交付。价格明显高低都需要放回交易对象和条件中理解；低价或免费不自动证明知情，正常价格也不会自动形成安全结论。

第四项是第三人与权利人的关系。项目、采购、HR 或法务可登记已有任职、合作、供应、客户或其他可核对关系，以及关系存在的时间和范围。关系能够提示接收方可能掌握的背景，却不能直接证明其知道上游实施了特定行为。

第五项是行业惯例。业务部门可说明本行业在类似交易中通常交付哪些资料、经由何种角色和路径、是否需要特定说明，并保留能够支持该说明的既有业务材料。部门人员的一句“行业都这样”不能代替可核事实，偏离惯例也不能单独完成定性。

五项因素应综合放在同一时间线上。企业尤其要区分：资料接收前已经知道的事实、接收时看到或收到的提示，以及接收后新出现的通知或异常。事后才获知的信息不能被倒填为更早时点已经知道的事实；较早存在的提醒也不能在汇总时被遗漏。

第三层：单独记录接收后的获取、披露与使用动作

完成知情因素表后，还要核对资料进入企业后的实际动作。IT 可以说明资料落入哪个邮箱、设备、共享盘或业务系统，哪些账号能够访问，是否发生复制、下载、转发或权限扩大；业务和研发分别说明资料是否进入项目、被用于何种任务或提供给哪些人员；采购或项目负责人说明是否继续向下游协作方交付。

这里不能用“已经收到”概括全部后续行为，也不能用“尚未正式上线”排除此前可能发生的访问、共享或项目使用。条文列举的是仍获取、披露、使用或者允许他人使用，企业应按实际动作分别记录，并把动作发生时间与当时已经掌握的知情因素对应起来。

若资料来源、上游行为、知情时点或允许用途仍有缺口，较稳妥的组织动作是保持原始状态和访问记录，暂停扩大复制、共享、项目使用及对外提供范围，再由相应事实持有人补充材料。限制范围是为了避免未知继续扩大，不代表企业已经认定资料属于商业秘密、上游已经违法或自身将承担责任。

让事实持有人各自确认，不由法务代写全部事实

企业可以用一张三层协作表收口：第一层登记资料对象、提供主体及上游行为材料；第二层按五项因素登记接收方在各时点能够知道的事实；第三层登记接收后的获取、披露、使用和允许他人使用情况。每行同时写明材料来源、形成时间、直接事实持有人、能够说明的范围和待核缺口。

采购与财务确认交易、价格和付款材料；业务与项目团队确认合作背景、行业通常路径和拟用范围；技术人员确认资料对象、版本及实际进入项目的情况；IT 确认接收路径、账号、权限和操作记录；HR 仅说明其直接掌握的人员关系；法务负责将这些事实与条文的三层结构和五项因素对应，不替其他部门补写未确认事实。

最终记录应能准确回答：现有材料分别支持哪一层、五项因素中哪些已经有直接事实、接收后的动作发生在什么时间，以及哪些问题仍然未知。这样的协作结果用于控制资料接收和使用边界，不能被改写为任何主体已经侵犯商业秘密、已经明知或者应知，或者必然产生行政、民事、刑事及其他处理结果。