NDA w relacjach B2B — jak skutecznie chronić poufne informacje i tajemnicę przedsiębiorstwa?

Kiedy podpisać NDA i czy zawsze potrzebna jest osobna umowa?

NDA jest szczególnie uzasadnione przed:

Kodeks cywilny przewiduje ochronę informacji przekazanych w toku negocjacji z zastrzeżeniem poufności. Odbiorca nie powinien ich ujawniać, przekazywać innym ani wykorzystywać dla własnych celów, a naruszenie może prowadzić do obowiązku naprawienia szkody albo wydania uzyskanych korzyści. Osobne NDA nadal ma sens, ponieważ pozwala ustalić zakres informacji, cel, osoby uprawnione, czas ochrony, zwrot materiałów, prawo właściwe oraz szczególne środki odpowiedzialności.

NDA może być dokumentem jednostronnym albo wzajemnym. Wersja jednostronna odpowiada sytuacji, w której tylko jedna strona ujawnia istotne informacje. Wzajemne NDA jest właściwe, gdy obie strony wymieniają własne dane poufne. Mechaniczne użycie wzoru wzajemnego może niepotrzebnie rozszerzyć obowiązki podmiotu, który faktycznie nic poufnego nie otrzymuje.

• rozpoczęciem negocjacji handlowych lub inwestycyjnych;
• udostępnieniem dokumentów w due diligence;
• prezentacją technologii, kodu, prototypu albo niewprowadzonego jeszcze produktu;
• przekazaniem cenników, marż, list klientów lub strategii sprzedaży;
• rozpoczęciem prac przez konsultanta, software house albo podwykonawcę;
• rozmową z potencjalnym partnerem o wspólnym przedsięwzięciu.

Kiedy informacja jest tajemnicą przedsiębiorstwa?

Zgodnie z ustawą o zwalczaniu nieuczciwej konkurencji tajemnicą przedsiębiorstwa są informacje techniczne, technologiczne, organizacyjne lub inne informacje posiadające wartość gospodarczą, które jako całość albo w szczególnym zestawieniu nie są powszechnie znane osobom zwykle zajmującym się takim rodzajem informacji ani łatwo dla nich dostępne, o ile uprawniony podjął przy zachowaniu należytej staranności działania w celu utrzymania ich poufności.

Oznacza to trzy praktyczne warunki:

Podpisane NDA jest ważnym dowodem trzeciego elementu, ale rzadko powinno być jedynym środkiem. Jeśli poufny plik trafia do nieograniczonego folderu, wszyscy pracownicy mają dostęp do całej dokumentacji, a firma nie prowadzi żadnej ewidencji odbiorców, trudniej wykazać konsekwentne działania ochronne.

Nie każda informacja wewnętrzna jest automatycznie tajemnicą przedsiębiorstwa. Publiczny cennik, dane z rejestru albo ogólna wiedza branżowa nie uzyskują takiego statusu tylko dlatego, że umowa nazywa je poufnymi. Strony mogą jednak kontraktowo chronić również informacje szersze niż ustawowa tajemnica przedsiębiorstwa, o ile obowiązek jest dostatecznie określony i zgodny z prawem.

• informacja ma rzeczywistą albo potencjalną wartość gospodarczą;
• nie jest powszechnie znana ani łatwo dostępna w danej branży;
• przedsiębiorca faktycznie ją chroni.

Jak zdefiniować informacje poufne i dozwolony cel?

Definicja powinna objąć kategorie rzeczywiście występujące w danej relacji, na przykład:

Warto wskazać, że ochrona obejmuje informacje przekazywane ustnie, wizualnie, elektronicznie i w dokumentach, ale dla danych przekazywanych ustnie można przewidzieć późniejsze potwierdzenie zakresu. Przy intensywnym due diligence obowiązek indywidualnego oznaczenia każdego pliku jako „confidential” może być niepraktyczny. Z kolei całkowity brak kryteriów utrudnia odbiorcy rozpoznanie chronionych materiałów.

Standardowe wyjątki obejmują informacje, które odbiorca:

Równie ważne jest ograniczenie celu. Odbiorca może korzystać z informacji wyłącznie do oceny konkretnej transakcji, wykonania projektu albo przygotowania oferty. Zakaz samego „ujawniania” pozostawia lukę, jeżeli kontrahent nie przekazuje danych dalej, lecz wykorzystuje je do stworzenia konkurencyjnego rozwiązania albo przejęcia klienta.

• modele cenowe, marże i prognozy;
• listy klientów i warunki zawartych umów;
• kod źródłowy, architekturę, dokumentację techniczną i podatności;
• roadmapę produktu, wyniki badań i prototypy;
• strategie negocjacyjne i dokumenty transakcyjne;
• dane organizacyjne, procesy wewnętrzne i know-how.
• posiadał zgodnie z prawem przed ujawnieniem;
• uzyskał legalnie od osoby trzeciej bez obowiązku poufności;
• opracował niezależnie bez wykorzystania informacji ujawniającego;
• może wykazać jako publicznie dostępne bez naruszenia umowy;
• musi ujawnić na podstawie prawa, prawomocnego orzeczenia albo żądania właściwego organu.

Kto może otrzymać informacje i jak utrzymać łańcuch poufności?

NDA powinno określać dozwolonych odbiorców, takich jak pracownicy potrzebujący dostępu, członkowie organów, spółki z grupy, finansujący i zewnętrzni doradcy. Dostęp powinien działać według zasady „need to know”.

Trzeba rozstrzygnąć, czy odbiorcy są bezpośrednio związani zawodową lub ustawową tajemnicą, czy też należy nałożyć na nich obowiązki co najmniej równoważne z NDA. Strona otrzymująca informacje zwykle powinna odpowiadać za działania osób, którym przekazuje materiały w dozwolonym zakresie.

Przy negocjacjach transakcyjnych warto ustalić, czy kontakt z pracownikami, klientami i dostawcami ujawniającego wymaga uprzedniej zgody. Takie ograniczenie nie jest zwykłą klauzulą poufności, ale może chronić proces przed zakłóceniem lub przedwczesnym ujawnieniem planowanej transakcji. Powinno być proporcjonalne i dopasowane do celu.

Jak długo powinna trwać poufność?

Nie istnieje jeden właściwy okres dla każdego rodzaju informacji. Dane dotyczące krótkiej kampanii lub nieaktualnego cennika mogą szybko utracić znaczenie, natomiast kod, receptura, algorytm albo długoterminowa strategia mogą wymagać ochrony znacznie dłuższej.

Możliwe jest połączenie:

Bezterminowe zobowiązanie dotyczące każdej informacji może być trudne do zarządzania i nie zawsze proporcjonalne. Lepszym rozwiązaniem jest zróżnicowanie kategorii i wskazanie, które obowiązki wygasają po określonym czasie, a które zależą od utrzymywania się tajemnicy.

Zwrot albo zniszczenie informacji powinny obejmować dokumenty, kopie i notatki, z realistycznymi wyjątkami dla automatycznych kopii zapasowych, archiwów prawnych i materiałów, które muszą być przechowywane na podstawie prawa. Wyjątki nie powinny pozwalać na dalsze operacyjne używanie danych.

• określonego czasu obowiązywania NDA;
• dłuższego okresu poufności po zakończeniu rozmów;
• ochrony informacji stanowiących tajemnicę przedsiębiorstwa tak długo, jak zachowują jej ustawowe cechy.

Jakie roszczenia i kary przewidzieć za naruszenie?

Naruszenie NDA może prowadzić do odpowiedzialności kontraktowej. Jeżeli informacja spełnia kryteria tajemnicy przedsiębiorstwa, dostępne mogą być również roszczenia z ustawy o zwalczaniu nieuczciwej konkurencji, w tym żądanie zaniechania, usunięcia skutków, naprawienia szkody i wydania bezpodstawnie uzyskanych korzyści.

Wykazanie dokładnej wysokości szkody po ujawnieniu know-how może być trudne. Dlatego strony często przewidują karę umowną za naruszenie obowiązku niepieniężnego. Klauzula powinna wskazywać:

Zbyt wysoka kara może zostać obniżona przez sąd, a nieprecyzyjny mechanizm prowadzi do sporu o sposób naliczania. Projektując sankcję, warto uwzględnić znaczenie informacji, skalę projektu i realną możliwość szkody. Szczegóły omawia artykuł Kara umowna w umowie B2B — jak ją zapisać, aby rzeczywiście działała?.

Kara nie zastępuje innych środków. Przy trwającym naruszeniu kluczowe może być szybkie żądanie zaprzestania używania lub ujawniania informacji oraz zabezpieczenie dowodów.

• jakie zachowanie uruchamia karę;
• czy kara jest należna za każde naruszenie, każdą informację czy każde zdarzenie;
• czy naruszenie ciągłe powoduje naliczanie okresowe;
• jaki jest limit łączny;
• czy można dochodzić odszkodowania przewyższającego karę.

Jak wdrożyć NDA w praktyce?

Ochrona powinna być widoczna w codziennym działaniu firmy. W zależności od skali i ryzyka warto:

W procesie sprzedaży spółki narzędziem może być wirtualny data room, dostęp etapowy i anonimizacja najbardziej wrażliwych danych do czasu zaawansowania rozmów. Więcej o przygotowaniu dokumentacji do badania opisuje artykuł Jak przygotować firmę do due diligence?.

• nadawać dostęp wyłącznie osobom potrzebującym informacji;
• używać imiennych kont, uwierzytelniania wieloskładnikowego i rejestrów dostępu;
• dzielić dokumentację według wrażliwości;
• oznaczać kluczowe materiały i prowadzić listę udostępnionych plików;
• przekazywać dokumenty przez kontrolowane repozytorium zamiast otwartego linku;
• szkolić zespół z zasad ujawniania informacji;
• wiązać doradców i podwykonawców odpowiednimi obowiązkami;
• przeprowadzać zamknięcie dostępu i potwierdzenie zwrotu lub usunięcia danych.