商业秘密律师李营营分享：公开销售的软件，要小心商业秘密公开

商业秘密律师李营营分享：公开销售的软件，要小心商业秘密公开

产品公开销售不等于源代码、设计文档和后台技术当然公开

阅读提示：

“产品已经销售，相关技术就不再是商业秘密”是一种常见误解。商业秘密制度保护的是具体技术信息，而不是产品名称或外在功能。软件系统交付客户使用后，用户通常能够看到界面、功能和运行结果，但未必能够接触源代码、数据库结构、接口规则、算法实现、原理图以及开发文档。只要这些信息在被诉行为发生时仍不为相关人员普遍知悉和容易获得，具有商业价值，并由权利人采取相应保密措施，仍可能构成技术秘密。反之，如果软件可被合法购买者轻易反编译、接口已经公开、源代码上传开源平台，或者权利人向客户无条件交付全部源代码，则秘密性会面临实质风险。本文结合最高人民法院公报所载泰德公司诉银兰公司等不正当竞争案，梳理公开销售软件的商业秘密保护边界。

裁判要旨：

IC卡系统在功能和运行结果上相似，并不意味着支持该系统的软件源代码、程序结构、操作原理图和硬件设计也相同或已公开。权利人仅向客户交付可使用的系统并负责安装、调试和维护，客户不能接触核心技术资料的，即使未逐一与客户签署保密协议，也不当然否定其已经采取相应保密措施。被告以反向工程可以获得技术信息进行抗辩，应当说明合法取得产品、实际实施反向工程的过程及所得信息；仅提出理论上的反向可能性，而无证据证明涉案信息能够被容易获得，通常不足以否定秘密性。

案情简介：

1. 北京斯威格—泰德电子工程公司（以下简称“泰德公司”）自行研发IC卡系列管理系统及配套硬件，并将相关系统投入市场销售，取得了较好的经营收益。

2. 1995年6月至1996年11月，刘永春、丛伟滋、刘生洪、党宏哲、娄景涛先后与泰德公司签订劳动合同或协议，明确对公司IC卡应用技术中的资料、软件程序和硬件设计等承担保密义务。

3. 1997年3月24日，刘永春与北京市银兰科技公司（以下简称“银兰公司”）签订承包合同，设立银兰公司金卡部。刘永春、丛伟滋、刘生洪等先后参与其经营。

4. 1997年4月至7月，刘永春、刘生洪、丛伟滋、娄景涛、党宏哲陆续从泰德公司离职。

5. 丛伟滋在泰德公司任职期间曾代表公司与多家客户签订IC卡系统销售合同；离职后，其又以银兰公司名义与泰德公司的多家既有客户签订同类系统销售合同并获得收益。

6. 1997年8月，法院依法采取证据保全措施，在银兰公司处发现泰德公司的IC卡管理系统软件程序、程序原理图、设计图等技术资料及客户名单。

7. 泰德公司遂向北京市海淀区人民法院提起诉讼，主张银兰公司及有关离职员工违反保密义务，获取、披露、使用其技术秘密和经营秘密，构成不正当竞争。

8. 1997年12月1日，海淀区人民法院判令银兰公司、刘永春、丛伟滋、刘生洪等停止侵害、赔偿经济损失，并承担相应民事责任。

案件争议焦点：

泰德公司已经向市场公开销售IC卡系列管理系统后，该系统所涉及的软件程序、程序原理图、硬件设计及相关技术资料是否仍具备秘密性；客户未签署专门保密协议以及系统理论上可能被反向分析，是否足以否定商业秘密的成立。

海淀法院裁判要点：

一、现行法下商业秘密应满足秘密性、商业价值和保密性三个法定条件。

本案裁判形成较早，当时法律通常从不为公众所知悉、经济利益、实用性和保密措施四方面表述商业秘密要件。按照现行反不正当竞争法，商业秘密是指不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。原有“经济利益”和“实用性”已统一体现为“商业价值”。在软件案件中，应围绕权利人主张的具体源代码、流程、逻辑关系、算法、数据结构、接口文档或硬件设计，分别判断其是否满足法定条件，不能仅以“IC卡系统”这一笼统名称作为保护对象。

二、软件著作权登记不是商业秘密保护的前置条件。

泰德公司投入人力和资金研发软件并投入市场，相关系统具有现实使用价值和竞争价值。其未办理软件著作权登记，不影响软件开发完成后依法产生著作权，也不妨碍未公开技术信息依照商业秘密制度获得保护。著作权保护源代码、目标程序等具有独创性的表达，不延及思想、处理过程、操作方法或数学概念；商业秘密则可保护符合要件的源代码、算法实现、流程逻辑、设计文档和经营信息。两种制度的权利客体、举证方法与侵权判断不同，可以并行适用，但不能相互替代。

三、公开销售主要公开功能和使用方式，不当然公开源程序及底层设计。

法院认为，各类IC卡系统可能实现近似功能，但不同开发者在源程序、操作原理图、硬件连接和程序实现路径上可能存在显著差异。客户购买并运行系统，只能观察界面、输入输出和操作效果，并不当然能够读取源代码或掌握全部设计资料。被告虽主张相关技术属于公知技术并可通过反向工程获得，但未能证明其合法取得产品并独立实施了反向分析，也未证明涉案核心信息能够被相关人员容易获得，故该抗辩未被采纳。

四、是否需要客户保密协议，应根据客户实际能够接触的信息判断。

泰德公司除交付系统外，还负责安装、调试和维护，客户主要进行使用和简单管理，无法接触软件源程序及核心技术资料。企业已经通过员工保密协议和内部管理限制核心信息流转，在该事实条件下，未与普通客户签署专门保密协议，不足以说明权利人放弃保密。但这一结论并非普遍规则：如果合同约定向客户交付源代码、开放设计文档或赋予客户自由复制、修改、转交权限，权利人仍需通过许可限制、保密条款、访问控制等措施维持秘密状态。

五、离职员工将任职期间接触的软件资料用于新单位经营，构成侵害。

银兰公司处保全到与泰德公司有关的软件程序、原理图、设计图和客户资料，结合相关人员的任职经历、保密约定、离职时间及客户交易变化，能够证明其具有接触条件并将所掌握的信息用于新单位经营。法院据此认定相关被告实施了违反保密义务的获取、披露和使用行为。

案例来源：

《北京斯威格—泰德电子工程公司诉北京市银兰科技公司及刘永春等人不正当竞争纠纷案》，载《最高人民法院公报》1998年第3期（总第55期）。

商业秘密诉讼实战指南：

第一，公开销售不当然消灭软件源代码和后台技术的秘密性。

软件产品可以按“外部可见层—可执行层—后台秘密层”进行区分。界面、菜单、公开说明书、用户操作流程和能够直接观察的功能通常会随销售进入公开领域；目标程序是否容易反编译、通信协议是否公开，则需结合加密和技术难度判断；源代码、数据库模型、部署脚本、算法参数、内部接口、测试数据及设计文档若未交付客户并受到访问限制，仍可能保持秘密性。权利人应明确主张哪一层信息，不能以软件整体已经销售或未销售作简单结论。

第二，软件商业秘密案件必须把秘密点说明到可以比对的程度。

仅主张“IC卡系统”“平台架构”或者“核心算法”通常过于抽象。最高人民法院相关案例已明确，源代码与流程、逻辑关系、算法一般属于相对独立的技术信息；权利人若均主张保护，应分别说明具体内容、载体位置、形成时间、功能和非公知性。对于源代码，可明确文件、类、函数、指令序列及其组合；对于流程和算法，应给出步骤、条件、输入输出和关键参数。秘密点不明确，鉴定和同一性比对都无法有效进行。

第三，软件著作权登记具有证明价值，但不是取得著作权或者商业秘密保护的条件。

软件著作权自开发完成之日起产生，登记证书通常只是登记事项的初步证明。登记可以帮助证明版本、完成时间和权利主体，但登记提交的代码范围有限，并不能当然证明整个系统、特定组件或者算法均构成作品，更不能证明其满足商业秘密要件。企业应同时保存代码仓库提交记录、需求文档、设计评审、测试记录、人员分工和交付版本，建立完整研发证据链。

第四，软件著作权与商业秘密保护应当协同，但必须区分保护对象。

著作权主要禁止未经许可复制、改编、传播程序表达，但不保护软件所体现的思想、处理过程、操作方法和数学概念；商业秘密可以保护具有秘密性和商业价值的算法实现、技术流程、源代码和相关文档，但不排斥他人独立开发或者合法反向工程。权利人可以同时提出请求，但应分别证明代码表达的实质性相似和接触可能性，以及秘密点法定要件、被告不正当获取或使用，避免把功能相似直接等同于两类侵权。

第五，反向工程抗辩需要证明合法来源和实际过程，不能只说“理论上可以”。

现行商业秘密司法解释认可，通过技术手段对从公开渠道取得的产品进行拆卸、测绘、分析而获得相关信息，属于合法反向工程。提出抗辩的一方应保存采购凭证、样品封存、分析人员、工具环境、操作日志、反编译输出、研发记录和版本演进，证明信息由自己依法取得。若行为人先以不正当手段接触源代码，再以反向工程为名辩解，或者无法说明信息形成过程，通常难以成立。

第六，权利人必须评估目标程序被反编译和接口被探测的现实风险。

软件公开销售后，如果目标代码未加密、符号和调试信息完整保留、通信接口可被简单抓包、密钥硬编码，相关信息可能被轻易获得，秘密性和保密措施都会受到质疑。企业可采用代码混淆、加密芯片、可信执行环境、服务端部署、密钥分离、接口鉴权、限速与异常监控等措施提高获取难度。技术措施应与信息商业价值和风险相适应，并保留实施记录，不能仅在诉讼中口头声称系统“无法反向”。

第七，客户是否需要承担保密义务，取决于交付模式和接触范围。

本案客户仅使用系统，未接触核心技术，法院认为无需专门保密协议具有特定事实基础。当前软件交付模式更加多样：SaaS通常由供应商控制服务器和源代码；本地化部署可能向客户交付安装包、配置文件和数据库；定制开发还可能交付源代码和设计文档。企业应针对不同模式约定可使用范围、复制和修改限制、反编译限制、第三方运维、源代码托管、离场删除和安全事件通报。接触越深入，合同和技术控制越不能缺失。

第八，开源代码和第三方组件会直接影响软件秘密范围。

现代软件大量使用开源框架、公共算法和第三方SDK。公开代码本身不具备秘密性，权利人不能将行业通用模板、标准getter/setter、公开接口和开源组件整体纳入秘点。主张保护前应进行代码成分分析，剔除开源和公知内容，明确企业独立开发的改进、参数配置和组合逻辑；同时遵守开源许可证的署名、开源和再分发条件，避免一边主张商业秘密，一边违反许可证应公开源代码的要求。

第九，员工离职场景应依靠权限、日志和交接制度形成证据。

仅签署笼统保密协议不足以覆盖软件研发全过程。企业应采用最小权限、代码仓库分支保护、双因素认证、下载限制、终端管控和外发审批，记录克隆、导出、移动存储和异常访问；离职时关闭账号、核查近期操作、返还设备和载体，并由员工确认删除个人设备、邮箱和云盘中的资料。发生争议后，应及时对服务器日志、代码版本、终端镜像和通信记录采取证据保全，避免关键电子数据灭失。

第十，修改、改进后使用仍可能构成商业秘密意义上的“使用”。

被诉软件与权利软件并非逐字相同，不代表当然不存在侵权。若行为人在非法获取秘密信息后对其进行修改、改进，或者利用该信息跳过失败路线、调整和优化自身研发经营活动，法院可根据具体情况认定属于使用商业秘密。比对时应关注程序结构、非常规错误、注释痕迹、函数关系、参数和版本时间线，同时允许被告以独立研发、开源来源和合法反向工程证明正当来源。

第十一，商业秘密不成立，也不意味着复制软件行为当然合法。

软件源代码因公开、未采取保密措施或秘密点不明确而未获商业秘密保护，仍可能受到著作权、合同、数据安全或计算机信息系统相关规则调整。反之，取得软件著作权登记也不意味着所有算法、功能和数据均归登记人排他控制。企业应根据侵害对象分别选择商业秘密、软件著作权、合同违约、数据权益等请求权基础，避免将所有争议都包装为商业秘密。

第十二，公开销售软件的最佳保护方式是“法律、合同、技术、管理”四位一体。

法律层面明确著作权和商业秘密保护对象；合同层面区分许可使用、部署运维、源代码交付和保密责任；技术层面控制源代码、密钥、接口和反向获取风险；管理层面落实分级、访问、日志、备份和离职清理。企业还应定期检查公开说明书、招投标文件、演示环境、客户培训材料和代码托管平台，防止无意披露。只有能够证明秘密点始终处于受控状态，公开销售与商业秘密保护才能真正兼容。

结语：

公开销售的是软件产品及其可见功能，不一定是支持产品运行的全部源代码、设计文档和后台技术。判断IC卡系统能否作为商业秘密保护，必须落实到具体信息，并审查客户和公众是否能够容易获得、信息是否具有商业价值以及权利人是否采取了与风险相适应的措施。本案的核心启示不是“销售软件仍必然保密”，而是公开范围与秘密范围可以并存，但权利人必须用清晰秘点、交付边界、技术防护和证据记录证明二者之间的界限。

专业背景介绍：李营营，北京云亭律师事务所高级合伙人，业务培训工作委员会副主任，北京企业法律风险防控研究会第二届理事会理事，毕业于中国社会科学院研究生院，民商法硕士（公司法方向），专注于商业秘密刑事与民事、民商事诉讼与仲裁、保全与执行等实务领域，在最高人民法院、各省级高级人民法院成功办理多起重大疑难复杂案件。
在执行担保、执行和解业务领域，李营营律师根据长期深入研究专项领域的积累成果，形成了近百篇专业研究文章，交出版社陆续出版成书的同时在平台上进行发布，希望读者能够更多了解执行担保与反担保知识，避免使自己合法权益收到损害。同时，李营营律师办理多件大额商业秘密、执行、合伙业务、担保案件，并取得良好效果。截至目前，李营营律师在“法客帝国”“民商事裁判规则”“保全与执行”等公众号发表与商业秘密、担保实务、保全与执行等话题相关专业文章百余篇，多篇文章被最高人民法院和各地法院转载，广受业内人士好评。
2022年，李营营律师结合多年来办理大量执行审查类相关业务的经验，以真实案例为导向，对各种业务场景下的主要法律问题、典型裁判规则、风险应对策略和解决方案建议进行类型化汇总和归纳，合著出版《保全与执行：执行异议与执行异议之诉实战指南》。接下来，李营营律师团队会陆续出版商业秘密诉讼实战的相关书籍、执行担保、执行和解、技术合同纠纷、担保纠纷、合伙纠纷实战相关书籍，以更好服务客户。