没有单独保密合同，企业如何核对保密义务与要求的来源

江苏鑫律联律师事务所的组织判断是：企业发现员工、前员工或合作方接触过某项信息时，不能把“没有单独保密合同”直接写成没有保密义务，也不能把“有制度、有培训、文件标了保密”直接写成某人已经对全部企业信息承担具体义务。更可复核的做法，是把信息对象、知悉主体、义务或要求的来源、提出方式和时间，以及其后的实际行为分开记录。

市场监管总局令第126号《商业秘密保护规定》第十二条列出保密义务或者权利人有关保守商业秘密要求的一般来源：在合同中约定；没有合同约定时，根据合同的性质、目的和交易习惯、商业道德等，遵循诚信原则负有义务；权利人向知悉商业秘密的有关主体提出保密要求；没有合同约定时，权利人通过规章制度或者合理保密措施，向员工、前员工、合作方等明确提出要求；以及其他负有义务或者权利人提出要求的情形。

这几类来源不能被压缩成一个“签没签协议”的二选一问题。对企业而言，台账的作用是让每一项主张都能对应到具体对象、主体、来源分支、载体和时间，而不是先写出义务结论，再寻找能够靠近它的材料。

第一栏先锁定信息对象，不用文件夹名称代替范围

信息对象应尽量具体到现有材料能够识别的文件、版本、字段、方案、数据或其他内容，并记录其形成或使用时间、保存位置和已知接触范围。“经营资料”“技术信息”“客户资源”等概括称谓无法说明本次核对针对什么，也无法判断一项合同、制度或要求是否确实覆盖该对象。

项目或业务事实持有人可以说明信息在什么事项中形成、用于什么既有工作环节、哪些人员因何接触。IT只确认账号、目录、访问权限、发送或其他系统记录实际能够说明的事实。具有访问条件不等于已经知悉全部内容；系统记录没有覆盖某一时期，也不能被改写为当时不存在接触。

这一栏只解决“讨论哪项信息”和“现有材料显示谁可能接触什么”。它不能单独证明该信息已经构成商业秘密，也不能提前回答任何主体是否负有义务、是否披露或使用。

第二栏确认知悉主体和关系，不由身份自动生成义务

员工、前员工、供应商、客户、项目参与人或其他合作主体可能通过不同关系知悉信息。HR、采购、项目团队和业务部门应分别记录关系主体、起止时间、参与事项和已知接触范围，而不是只在名单中标注一个身份。

身份能够帮助定位下一步应查的合同、项目文件、制度或沟通载体，却不能自行回答义务内容。员工身份不等于接触企业全部信息，前员工身份也不能说明离职后对任何资料都存在同一范围的要求；存在合作关系，同样不能自动证明合作方知道某项具体保密要求。

如果主体、关系或知悉时间目前只能由人员回忆说明，应保留说明人、说明时间及其能够直接掌握的范围，不把回忆内容改写成已经取得的合同、系统或项目记录。

第三栏按来源分支归集材料，不把不同依据混成一项

第一类是合同中的保密约定。合同团队可登记合同名称、当事人、签署和生效时间、能够识别的约定内容及其对应对象。合同标题含有“保密”二字，不等于条款必然覆盖本次信息、主体和时点；反过来，没有一份单独命名为保密合同，也不能因此停止检索其他合同或其他来源分支。

第二类是在没有合同约定时，基于合同性质、目的、交易习惯、商业道德和诚信原则所讨论的义务。项目、采购或业务团队应提供其直接掌握的交易对象、合作目的、履行安排和有关习惯材料，并准确保留材料原貌。不能只用一句“行业都是保密的”补出义务，也不能因为合同没有明文就自动排除这一分支。

第三类是权利人向知悉主体提出的保密要求。台账应记录要求由谁提出、向谁提出、针对什么信息、通过什么载体、何时到达，以及现有材料能否说明对方当时知悉。口头沟通、书面通知、项目文件或其他载体应按实际名称分别登记，不能在汇总时统一改写为“已签保密协议”。

第四类是没有合同约定时，权利人通过规章制度或合理保密措施，向员工、前员工、合作方等明确提出要求。HR可以确认制度适用对象、版本和相应人员关系；项目或业务团队确认要求与具体事项的对应；IT确认权限、标识或系统记录。制度文件、一次培训或一个保密标识存在，只能作为继续核对的材料，不能自动证明它已向某一主体明确提出、覆盖本次信息并在相应时间有效。

第五类是条文所称的其他情形。企业不能把这一项当作无法对应前四类时的结论兜底。若使用该分支，仍应准确登记所主张的具体义务或要求、材料来源、有关主体、信息对象和时间，并把不能确认的部分列为待核。

第四栏把要求载体与时间放回同一条线

同一主体可能先接触项目、后收到书面要求，也可能在制度更新前后具有不同权限。法务汇总时应按自然时间顺序排列合同、项目文件、制度版本、培训或通知材料、保密标识、账号和访问记录，并注明每份材料在当时能够说明什么。

要求形成时间尤其不能倒填。后来补签的文本或更新的制度，可以准确记录其实际形成和适用事实，但不能仅凭后来的文件，直接证明更早时点已经存在相同内容的要求。较早的要求是否持续覆盖后来形成的信息，也应回到对象、主体和现有材料核对，而不能由文件仍在系统中自动推出。

发现同一事项存在多个版本、不同团队使用不同称谓或人员说明互相冲突时，应把差异保留在台账中。合同团队不代替IT确认实际权限，HR不代替项目团队确认信息内容，法务也不根据一份概括说明覆盖各事实持有人的原始记录。

第五栏记录后续行为，但不由义务来源直接推定违反

在义务或要求来源之外，还要另行记录知悉主体此后发生的实际行为。项目、业务或资料保管人可以说明现有材料所显示的接收、保存、提供或其他动作；IT说明系统内可核对的访问、复制、传递或权限变化。每一项行为都应对应对象、时间、载体和直接事实持有人，无法确认的环节继续标为未知。

这一步不能与来源栏合并。即使合同、制度或保密要求能够对应，也不自动证明某人已经披露、使用或者允许他人使用信息；即使出现后续行为线索，也不能反向补出此前并不存在或尚未查明的具体义务来源。

企业完成台账后，应当能够分别回答：核对的是哪项信息，谁在何时知悉，所主张的义务或要求来自哪一分支，通过什么载体在何时形成或提出，后续行为有什么直接记录，以及哪些连接仍然缺失。江苏鑫律联律师事务所建议把结论严格停留在这些材料能够支持的范围，不以未签合同自动排除，不以关系、身份、制度、培训或标识自动证明，也不预断商业秘密、披露使用、侵权及任何处理结果。