一、引言  

合作开发与委托研发已成为企业配置创新资源、加速技术突破的常态。与此同时，研发协作中大量商业秘密面临被合作方甚至其具体人员泄露的风险。2026年6月1日起施行的《商业秘密保护规定》（以下简称“新规”）进一步细化了商业秘密的认定标准与保护要求。该规定全面修订了1995年原国家工商总局《关于禁止侵犯商业秘密行为的若干规定》，为经营者提供了清晰务实的合规指引。

企业需在新规框架下，从项目启动之初就清晰界定商业秘密的归属，并构建覆盖启动前、履行中、交付后及终止后的全流程合规管控体系。本文基于企业外部研发合作场景，结合新规要求与典型案例，提供具有实操性的解决方案，并论证企业在外部研发合作中穿透式约束核心技术人员与高管的必要性及实施路径。

二、商业秘密的构成要件：新规下的实务要点

1. 秘密性：新规标准与外部研发合作场景的特殊风险

秘密性是商业秘密认定的首要门槛。根据《中华人民共和国反不正当竞争法（2025年修订）》第十条第四款，商业秘密是指“不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息”。新规第六条进一步明确，“不为公众所知悉”是指在涉嫌侵犯商业秘密的行为发生时，有关商业信息不为其所属领域的相关人员普遍知悉和容易获得。

在外部研发场景中，秘密性面临两大典型风险：一是合作方擅自在论文中披露阶段性研发结果，导致信息丧失秘密性；二是合作方擅自将共同或受托研发的技术成果申请专利，造成信息公开。

对此，企业需在合同中即明确约定未经企业事先书面同意，合作方及其员工不得以任何形式（包括但不限于通过学术会议、论文等）披露研发过程中的任何信息，也不得就合作中产生的任何技术成果单方申请专利。尤其对于某些高科技企业（比如医药化工类企业），因涉及大量未公开的化合物筛选、临床前数据及工艺参数，一旦被提前披露，不仅丧失商业秘密保护基础，还可能影响后续专利申请的新颖性。因此，企业在合同中应设置严格的披露限制条款，并配套设置违约责任与紧急救济机制，以应对突发泄密风险。

2. 保密性：构建体系化防线

保密性要求权利人采取“相应保密措施”。新规第九条列举了八类合理保密措施，包括签订保密协议、人员管理、物理隔离、技术防护（权限分级、数据脱敏、操作日志留痕）、载体管理、设备管控、离职管理等。在企业外部研发合作场景中，以下措施尤为关键：

合同明示保密义务。企业在合同中不仅应约束合作方，更应明确要求合作方确保其项目人员遵守保密义务，比如签署个人保密承诺函。新规第九条第（二）项明确，通过书面告知等方式对能够接触商业秘密的员工提出保密要求，属于有效保密措施。

采取数字化管控手段。新规第十条明确将“越权接触”“非法传输”“私自下载”“超权限使用”等数字化行为认定为不正当获取商业秘密的手段。企业应部署具备实时监控与权限动态调整功能的技术系统，对研发数据的访问、复制、传输等操作实施全流程追踪。通过设置水印溯源、终端行为审计及异常操作自动阻断机制，可有效识别并遏制潜在泄密行为。同时，企业应定期开展数字权限复核，确保人员权限与其当前职责严格匹配，避免因岗位变动或项目阶段调整产生的权限冗余风险。

重视离职管理。新规第九条要求企业与合作方建立人员离职交接机制。企业应当明确双方离职人员的数据清除义务，包括返还或销毁商业秘密载体，并远程擦除相关设备或账号中的敏感信息。离职流程中需重申保密义务，由法务或合规部门对关键岗位人员进行访谈，确认其未留存涉密资料。对接触核心数据的离职员工可设置脱密期，并监控其行为防范泄密风险。企业还应要求合作方在其项目人员离职时向企业报备并配合保密核查。

3. 价值性：失败数据同样受保护

新规第七条第二款明确规定：生产经营活动中形成的阶段性成果或者失败的实验数据、技术方案等符合规定的，属于具有商业价值的情形。实务中，企业外部研发合作合同的保密条款往往聚焦于“最终交付物”或“成功的技术成果”，对研发过程中的阶段性数据、失败记录缺乏专门约定，后续合作方可能主张其不属于约定的保密信息，从而合法使用或披露。

因此，企业在委托与合作研发中须将阶段性成果及失败实验数据纳入商业秘密保护范围，实现从“重结果”到“管过程”的转变。具体而言：签约时应明确过程信息具有商业价值并列入保密信息范围；交付环节落实加密、权限分级及访问日志等技术管控措施；合同中约定合作结束后强制清密，并禁止擅自将失败方案申请专利；全程留存研发记录，便于维权时利用举证责任转移规则。

三、成果归属：约定不清的风险与明确化路径

1. 典型案例揭示的权属风险

在“温州铭一轻工有限公司与林彬彬侵害商业秘密纠纷案”中[1]，因涉案经营信息在合作经营期间共同形成，法院认定双方对该商业秘密享有共有权，一方使用该信息的行为被视为正当行使权利，导致另一方的维权请求未获支持。该案深刻揭示了在外部研发合作中，因权属约定不明所导致的严重后果：即使投入了大量资源，若无法证明对成果享有独占性权利，则无法有效阻止合作方使用甚至披露相关商业秘密。

2. 法律框架下的约定优先原则

《中华人民共和国民法典》第八百六十一条确立了技术秘密成果归属“约定优先”的原则，即委托开发或合作开发完成的技术秘密成果的使用权、转让权及收益分配办法，由当事人约定。只有在没有约定或约定不明时，才适用法律规定的默认规则。《中华人民共和国促进科技成果转化法（2015年修正）》第四十条进一步规定，合作转化中产生的新发明创造的权益，在无合同约定时归合作各方共有。这意味着，若企业未在合同中明确约定成果的独占归属，将默认与合作方共享权益，从而丧失对核心商业秘密的排他性控制。

3. 新规下的约定要点与实操条款

新规第九条将“签订保密协议或者在合同中约定保密义务”列为首要的合理保密措施，凸显了合同约定在构建商业秘密保护体系中的基础性地位。企业应在合同中清晰界定成果范围与权利归属，避免任何模糊地带。以委托研发合同为例，具体而言，合同条款应至少涵盖以下核心内容：

成果范围条款：应明确约定，本合同项下产生的全部成果，包括但不限于最终交付物、阶段性数据、失败的实验数据、中间产物、分析方法、检测方法、技术方案等，其知识产权及商业秘密均归委托方所有。此约定与新规第七条关于阶段性成果和失败实验数据具有商业价值的规定相呼应，确保过程性信息同样被纳入权属保护范围。

背景资料条款：应明确受托方为履行合同而接触到的委托方提供的任何技术资料、数据及信息，均属委托方商业秘密，受托方不得以任何方式留存或用于本合同目的之外的任何用途。

后续改进条款：依据《中华人民共和国民法典》第八百七十五条的规定，当事人可以约定后续改进技术成果的分享办法。企业应在合同中明确约定，基于本合同项下项目成果产生的任何改进、衍生成果，其知识产权及商业秘密归委托方所有，以避免后续产生权属争议。

受托方义务条款：应明确要求受托方确保其参与本项目的所有员工签署《个人保密承诺函》，并承诺督促其高级管理人员、核心技术人员履行保密义务。

四、高管与核心技术人员穿透式约束：司法裁判新规则与实务操作

1. 仅约束法人主体的局限性

在外部研发合作中，商业秘密的实际控制与接触者是合作方的具体执行人员，尤其是高管与核心技术人员。若保密协议仅约束合作方法人，将形成巨大的风险敞口：一旦发生泄密，权利人仅能向合作方主张违约责任，而无法直接追责至实施泄密行为的个人。该问题的存在，使得保密义务的威慑力在个人层面被严重削弱。

2. 最高法裁判规则的确立

最高人民法院在“某科技股份公司诉深圳某科技公司、厦门某科技公司、郭某强等侵害计算机软件著作权纠纷及侵害商业秘密纠纷案”[2]中确立了穿透式追责的裁判要旨。该案中，某科技股份公司前部门负责人郭某强离职后成立新公司，利用任职期间擅自拷贝的源程序、设计文档推出侵权产品。最高人民法院明确裁判：“被诉侵权企业直接实施使用技术秘密的侵权行为，且该企业的法定代表人系该企业获取涉案技术秘密的渠道的，原则上可以认定法定代表人与企业构成共同侵权，而不能简单以没有直接证据证明法定代表人实施侵权行为为由免除其侵权责任。”该案已入选人民法院案例库，对同类案件具有指导意义。

这一裁判规则的核心价值在于：当合作方的高管或核心技术人员成为获取商业秘密的“渠道”时，其个人将与企业构成共同侵权，承担连带责任。《中华人民共和国民法典》第一千一百六十八条规定，二人以上共同实施侵权行为，造成他人损害的，应当承担连带责任，为企业在合同中设置个人连带责任条款提供了坚实的法律基础。

3. 穿透式约束的实操路径

基于上述裁判规则，企业在与外部合作方签订协议时，应实施穿透式管理，将保密义务与违约责任直接延伸至合作方的关键自然人。具体可采取以下措施：

设置个人连带责任条款：在合同中明确指定合作方的项目保密责任人（通常为法定代表人、技术负责人或项目负责人），并约定：如因该责任人违反保密义务，或其成为合作方获取企业商业秘密的非法渠道，或因其过错导致商业秘密泄露，该责任人应就由此造成的全部损失与合作方承担连带赔偿责任。此条款系合同约定的个人违约责任，是各方真实意思表示。

落实个人保密承诺函：要求合作方确保其参与本项目的所有核心技术人员、项目负责人签署《个人保密承诺函》。该函件应明确约定其在职期间及离职后的持续保密义务、资料返还及清除义务，并载明违反承诺的个人赔偿责任。新规第九条第（二）项明确，通过书面告知等方式对能够接触商业秘密的员工提出保密要求，属于有效的保密措施。《最高人民法院关于审理侵犯商业秘密民事案件适用法律若干问题的规定》第六条第（二）项亦作出相同规定，为个人保密承诺函的法律效力提供了依据。

五、全流程穿透式管控体系构建

1. 启动前：合规尽调与信息隔离

在合作启动前，企业应对合作方进行全面的合规尽职调查，重点审查其高管及核心技术人员的职业背景、涉诉记录和竞业限制状况，并与公开渠道数据进行交叉验证，评估其保密历史与合规信誉。在签署全面合作协议前，仅披露评估所必需的最低限度信息，并要求接收方先行签署保密确认书，以防范信息过早暴露的风险。

2. 签约时：三大核心文件缺一不可

签约阶段是构建保护体系的黄金窗口，建议确保以下三大核心文件同步签署：

主协议中的保密与权属条款：明确技术成果归属、保密信息范围（须涵盖新规第七条所规定的阶段性成果及失败实验数据）、违约责任及紧急救济机制。

个人保密承诺函：合作方项目所有参与人员（含高管、核心研发人员）必须签署，规定其在职及离职后的保密义务、资料返还义务及个人赔偿责任。该函件模板应作为合同附件，并将“合作方确保其项目人员签署个人保密承诺函”作为主合同生效的前提条件。

高管个人连带责任条款：在主协议中明确指定项目保密负责人，约定其个人连带赔偿责任，以实现对关键自然人的直接约束。

3. 履行中：技术防护与行为留痕

在项目履行过程中，应实行“最小必要权限”原则，仅授予完成特定任务所需的最低访问权限，并依据新规第九条第（四）项的要求，采取权限分级、数据脱敏、操作日志留痕等技术保密措施。应保留完整的审计日志，记录对涉密信息的每一次访问、下载、传输行为。如涉及多方研究机构合作，应通过独立保密协议或保密信息议定书明确各方信息边界。同时，应定期核查项目人员名单及对应的保密承诺签署情况，新人加入须补签，离职人员须及时清理权限。

4. 交付与终止后：闭环管理

项目交付与终止后，应实施严格的闭环管理。要求合作方同步交付实验原始记录等过程资料，并明确约定其返还、销毁或移交所有涉密载体的义务。依据《最高人民法院关于审理侵犯商业秘密民事案件适用法律若干问题的规定》第六条第（六）项的规定，应要求离职员工登记、返还、清除、销毁其接触或获取的商业秘密及其载体，并继续承担保密义务。企业应获取合作方关于已要求相关人员履行离职保密义务的书面确认。对于需要长期存储的备份数据，应建立明确的存储期限与访问规则，并确保任何附随的数据使用权或留存权均经双方书面同意且限于特定目的。

六、结语

综上所述，在合作研发与委托研发日益普遍的背景下，商业秘密保护已从单纯的合同约束演变为一项必须穿透法人边界、直达具体自然人的系统性工程。新规的施行为企业构建全流程保护体系提供了更全面的法律依据和实操指引。企业唯有将权属约定、个人责任与技术管控三者有机融合，方能在复杂的合作生态中守住核心竞争力。未来，仅依赖传统法人层面的保密条款已难以应对现实风险。企业唯有在每一个合作节点嵌入精准的法律设计与严密的操作机制，才能真正实现商业秘密从生成、使用到终止全生命周期的有效保护。

注释：

[1] 温州铭一轻工有限公司与林彬彬侵害商业秘密纠纷案，浙江省温州市中级人民法院（2020）浙03民终513号二审民事判决书。

[2]  某科技股份公司诉深圳某科技公司、厦门某科技公司、郭某强等侵害计算机软件著作权纠纷及侵害商业秘密纠纷案，最高人民法院（2021）最高法知民终1629号民事判决书（人民法院案例库入库编号：2024-13-2-487-001）。

特别声明：本文仅供参考，不构成律师的正式意见，不应被看作是采取任何法律行动或进行法律决策的依据。文中所述仅代表作者个人观点，并不反映作者所服务的任何机构或客户的立场。