《法治日报》记者 辛红 《法人》见习记者 姚瑶

近日，浙江省杭州市市场监督管理局发布了一批知识产权行政执法典型案例，其中一起案件引发广泛关注。当事人闵某曾在某科技有限公司（以下简称“权利人公司”）负责大数据产品底层数据库代码的开发工作，离职后擅自登录权利人公司存储服务系统，下载了该大数据产品底层数据库的完整源代码。经鉴定，上述信息具有秘密性、价值性和保密性。2025年3月24日，杭州市市场监督管理局依据《中华人民共和国反不正当竞争法》（2019年修正）第二十一条规定，责令当事人停止违法行为，并处罚款人民币36万元。

该案的特殊之处在于，闵某是否实际使用或泄露代码不影响对其违法行为的定性。那么仅“登录”和“下载”行为本身，为何构成侵犯商业秘密行为？人工智能大数据产品的商业秘密在认定和保护方面有哪些特殊挑战？离职员工与企业之间的保密边界又该如何划定？

仅下载未使用同样违法

该案中，闵某的行为被认定为“以不正当手段获取商业秘密”，并未涉及后续使用或披露。北京市康达律师事务所高级合伙人苟博程表示，法律保护的是权利人的控制权，闵某作为离职员工，已失去合法访问权限，其“擅自登录”属于“电子侵入”，“下载完整源代码”属于“以不正当手段获取”。只要他通过非法手段获取了商业秘密，侵权行为即已构成，无论他后续是否使用（如生产产品）或披露（如卖给他人）。

制图/宋逗

除违反反不正当竞争法以外，闵某的行为还可能违反其他法律规定。苟博程认为，闵某擅自登录存储服务系统，属于未经授权侵入计算机系统获取数据，若数据量或违法所得达到一定标准，可能触犯刑法第二百八十五条非法获取计算机信息系统数据罪。此外，刑法中提到的侵犯商业秘密行为，虽然通常要求造成重大损失，但如果闵某下载的是核心算法或底层架构，且经鉴定价值巨大，即便未公开，也可能因“以不正当手段获取商业秘密”被追究刑事责任。

北京市康达律师事务所高级合伙人吕银平认为，该案的典型意义恰恰在于对“获取型”商业秘密侵权的独立打击，商业秘密一旦被不正当获取，权利人即丧失对信息的独占控制，法益已受实质侵害，后续使用或披露只是加重情节，而非侵权成立前提。

吕银平告诉记者，无论是在行政执法还是司法实践中，认定“非法获取”行为主要审查三点：一是商业秘密“三性”，即涉案信息不为公众所知悉（秘密性）、具有商业价值（价值性）、权利人采取了相应保密措施（保密性）；二是行为属于不正当手段，即行为人采取了盗窃、电子侵入等违反法律与商业道德的手段；三是行为完成即侵权，即行为人通过上述不正当手段，实际上接触并获取了商业秘密信息，例如下载到本地、传输至外部或进行复制，无需实际使用、披露、获利。

大数据商业秘密的特殊挑战

与传统的配方、图纸相比，大数据产品商业秘密的保护，面临较为特殊的挑战。苟博程告诉记者，首当其冲的就是难以认定“秘密性”的动态。例如，AI领域的很多底层框架是开源的，侵权人经常辩称下载的是“通用代码”而非“商业秘密”，在这种情况下，企业必须证明被侵权人下载的代码中包含了特定的、非公知的数据清洗逻辑、模型参数或业务逻辑。其次，大数据产品往往包含代码和训练数据，单纯的原始数据通常不构成商业秘密，但经过特定处理的“数据集合”或“特征工程”代码则可能构成。苟博程认为，界定哪些数据是受保护的“秘点”非常困难。

“传统商业秘密价值明确，但AI模型的价值往往依赖于算力、数据量和迭代速度，一旦代码被下载，损失可能不仅在于代码本身，还在于竞争优势的丧失。如被竞争对手抢先训练出同类模型，这种损失难以用传统方法计算。数据下载往往通过网络瞬间完成，不留物理痕迹，侵权人可能通过虚拟机、云存储中转，这也增加了追踪数据流向的难度。”苟博程表示。

苟博程分析，很多企业只有保密协议，但系统权限管理混乱，导致法院认为企业未真正保密。该案件中，权利人公司之所以能成功维权，关键在于其已证明“采取了保密措施”，并且证明了闵某下载的数据是公司的商业秘密。

北京小黄人科技有限公司董事长徐虎虎告诉记者，通常科技公司核心代码库的访问权限受严格管理，权限根据职责进行分配，低职级的人无法访问核心代码库，或者访问但无法编辑、复制和下载。一些企业会设置白名单，只有手动添加的账号和设备才有访问权限，所有账号和设备都要和特定的人绑定。在网络限制方面，大规模企业通常使用公司内部网络或者专用WiFi才可以访问，远程无法访问，并且对所有的访问、操作都进行日志记录、自动分析，发现异常高频行为会自动限制并报警。

徐虎虎认为，该案中，闵某离职后仍能登录系统下载源代码，大概率是公司没有及时关闭相关人员的账号权限，或相关人员通过一些隐蔽的方式绕过公司监测，实施机密窃取行为。

企业维权路径的智慧选择

该案中，权利人公司第一时间进行复盘和证据固定，并向市场监管部门报案，为案件查处争取了主动。在北京市京都律师事务所环境能源与资源法律研究中心主任李波看来，企业将行政投诉前置是一种少见的智慧。

李波告诉记者，企业面对商业秘密侵权事件的维权路径通常有四种：提起民事诉讼、进行行政投诉、推进刑事立案和使用刑民交叉的组合拳。本案中，企业选择行政投诉前置，一方面能够快速责令侵权人停止侵权行为，防止源代码的进一步泄漏和扩散，相比民事诉讼、刑事立案，行政投诉在止损层面更具有时效价值；另一方面行政程序能够快速完成侵权证据的收集，为后续启动民事诉讼、刑事立案提供证据条件。

“商业秘密案件无论选择哪种路径维权，都需要解决固定证据的难题，行政投诉恰恰能够成为收集固定商业秘密侵权证据的有效措施。”李波认为。

此类案件中，固定证据是关键。吕银平表示，权利人公司在取证时，要注意构建完整的证据链，第一时间导出服务器登录日志、操作轨迹、下载记录、IP地址等，封存原始文件、不得编辑，留存完整的账号权限、离职流程、权限回收记录，证明员工离职后属越权访问。注意整理并提供与员工签署的保密协议、竞业限制协议、公司保密制度、对员工开展过的保密培训记录及签到表等，证明其明知是保密信息。同时，寻求专业鉴定支持，第一时间委托在数据库、源代码领域有资质的司法鉴定机构，对涉案信息的“不为公众所知悉”进行鉴定，将技术事实转化为法律事实。

“对于AI和大数据企业而言，商业秘密就是其核心资产，企业要重点关注数据接触与模型训练的边界，针对AI研发人员流动性大的特点，建立入职保密、离职清权等管理制度，做到行为留痕、责任到人。”吕银平认为，人工智能或大数据科技企业在构建商业秘密保护体系时，要精准界定秘密点，对算法、训练数据、底层代码、模型参数等逐项确权，形成密点清单，避免“泛保密”导致举证困难。同时部署数据防泄露、访问控制、操作留痕、异常监测等工作，实现事前授权、事中监控、事后追溯的全流程管控。此外，企业还需建立应急处置机制，发现侵权立即固定证据，同步选择行政投诉、民事索赔、刑事报案，用好多元化解机制。

徐虎虎从员工离职交接环节分析，企业应注意签署离职员工交接清单，注意离职员工权限的交接和关闭，避免员工离职后仍然具备访问核心数据库、代码库、文档的权限，导致企业核心机密泄露。他建议，企业建立完善的人员职责、权限、分工的管理规范，签署保密协议，在发生职责变动时要补签新的保密协议，并且要引入监督、审核机制，确保所有提交、发布、下载等行为有两人以上知晓并同意，留存相关操作记录和日志，避免权责混淆和追责困难。此外，企业还应定期为员工培训保密知识，防范风险。

“目前成熟的OA系统都具备在线交接、一键关闭或移交所有权限等操作，建议尽量使用知名企业开发的OA系统，避免依靠本地文件、表格和口头方式进行交接。”徐虎虎说。

苟博程认为，该案对员工和企业都敲响了一记警钟。对于员工来说，离职交接时，应彻底删除个人设备中的公司敏感数据，不要试图通过技术手段绕过公司防火墙下载，要遵守竞业限制协议，不要将原公司的核心算法逻辑直接复用到新工作中。对于企业来说，要注意在劳动合同和保密协议中，明确界定商业秘密的范围，包括但不限于源代码、API接口、数据结构等，还要注意实施“离职审计”制度，检查员工在离职前的系统操作记录。

“闵某案不仅是对个人的惩罚，更是对‘数据资产’法律地位的确认。”苟博程表示，在AI时代，数据就是企业的核心竞争力，企业必须从“人防”转向“技防+法防”结合，才能守住企业商业秘密的护城河。