Какие документы нужны компании: договор оферты для сайта, лицензионное соглашение с работниками, защита персональных данных и NDA с клиентами — обязательные пункты, риски и влияние удалённой работы

Оферта и правила пользования сайтом: обязательный состав и пределы

Оферта на сайте — это публичная оферта по смыслу ст. 437 ГК РФ: она связывает компанию с момента, когда ею воспользовались, а не «по желанию». Поэтому её текст должен быть юридически точным именно сейчас, а не «потом доделаем»:

Содержащее все существенные условия договора предложение, из которого усматривается воля лица, делающего предложение, заключить договор на указанных в предложении условиях с любым, кто отзовется, признается офертой (публичная оферта).
— п. 2 ст. 437 ГК РФ

Ключевое требование — оферта должна содержать все существенные условия договора, иначе это не оферта, а реклама или приглашение делать предложения:

Офертой признается адресованное одному или нескольким конкретным лицам предложение, которое достаточно определенно и выражает намерение лица, сделавшего предложение, считать себя заключившим договор с адресатом, которым будет принято предложение. Оферта должна содержать существенные условия договора. 2. Оферта связывает направившее ее лицо с момента ее получения адресатом. Если извещение об отзыве оферты поступило ранее или одновременно с самой офертой, оферта считается не полученной.
— п. 1 ст. 435 ГК РФ

Отсюда обязательный минимум содержания оферты: предмет (какой именно товар/услуга и в каком объёме), цена и порядок оплаты, порядок и сроки оказания услуги/передачи товара, условия доставки, права и обязанности сторон, порядок возврата/отказа, ответственность, реквизиты и порядок акцепта. Для договоров с участием потребителей-граждан добавляются обязательные сведения по Закону о защите прав потребителей (информация о товаре/услуге, порядок рассмотрения претензий, невозможность ухудшения положения потребителя по сравнению с законом).

Механизм «клик = акцепт» прямо урегулирован: оплата или иное действие по оферте считается акцептом, если иное не оговорено в самой оферте:

Совершение лицом, получившим оферту, в срок, установленный для ее акцепта, действий по выполнению указанных в ней условий договора (отгрузка товаров, предоставление услуг, выполнение работ, уплата соответствующей суммы и т.п.) считается акцептом, если иное не предусмотрено законом, иными правовыми актами или не указано в оферте.
— п. 3 ст. 438 ГК РФ

Практический вывод для вашей компании: оферту и правила сайта нужно писать под конкретную деятельность — предмет договора, способы оплаты, лицензионные условия на контент сайта, обработка данных при заказе. Копия чужой оферты не только рискованна из-за авторских прав (это охраняемое литературное произведение — п. 1 ст. 1259 ГК РФ), но и юридически неработоспособна, если в ней не отражены реальные существенные условия именно вашего продукта. Оферту размещайте как отдельный документ с фиксацией даты версии и порядка внесения изменений (изменение оферты в одностороннем порядке для уже заключённых договоров ограничено — требуется согласие сторон или прямо предусмотренный в договоре механизм).

Закрепление прав на результаты работы сотрудников (служебное произведение)

По общему правилу исключительное право на то, что работник создаёт в рамках трудовых обязанностей, уже принадлежит работодателю, но это правило диспозитивное — его можно изменить договором. Поэтому молчание трудового договора не гарантирует защиты, а правильная фиксация — ключевой инструмент:

1. Авторские права на произведение науки, литературы или искусства, созданное в пределах установленных для работника (автора) трудовых обязанностей (служебное произведение), принадлежат автору. 2. Исключительное право на служебное произведение принадлежит работодателю, если трудовым или гражданско-правовым договором между работодателем и автором не предусмотрено иное.
   — п. 1 и п. 2 ст. 1295 ГК РФ

Три критических риска, которые надо отразить в локальных актах и трудовых договорах:

Риск 1 — возврат права через 3 года. Если компания в течение трёх лет со дня передачи произведения не начнёт его использовать, не передаст право другому лицу и не уведомит автора о сохранении в тайне — исключительное право автоматически возвращается работнику:

Если работодатель в течение трех лет со дня, когда служебное произведение было предоставлено в его распоряжение, не начнет использование этого произведения, не передаст исключительное право на него другому лицу или не сообщит автору о сохранении произведения в тайне, исключительное право на служебное произведение возвращается автору.
— абз. 2 п. 2 ст. 1295 ГК РФ

Риск 2 — обязанность платить вознаграждение. Как только работодатель начал использовать служебное произведение или сохранил его в тайне, у автора возникает неотчуждаемое право на вознаграждение (его нельзя отменить договором), а размер и порядок определяются договором между работником и компанией:

Если работодатель в срок, предусмотренный в абзаце втором настоящего пункта, начнет использование служебного произведения или передаст исключительное право другому лицу, автор имеет право на вознаграждение. Автор приобретает указанное право на вознаграждение и в случае, когда работодатель принял решение о сохранении служебного произведения в тайне и по этой причине не начал использование этого произведения в указанный срок. Размер вознаграждения, условия и порядок его выплаты работодателем определяются договором между ним и работником, а в случае спора - судом.
— абз. 3 п. 2 ст. 1295 ГК РФ

Практические выводы: (1) в трудовых договорах и должностных инструкциях прямо фиксируйте, что именно относится к служебным заданиям и служебным произведениям; (2) в отдельном положении о служебных произведениях пропишите порядок передачи результата (акт приёмки с датой), порядок и сроки начала использования и уведомления автора о сохранении в тайне; (3) порядок и размер вознаграждения за служебное произведение определите договором заранее, иначе при споре его установит суд. Для штатных работников отдельный «лицензионный договор» не обязателен — достаточно привести в порядок трудовые документы; лицензионный договор нужен именно для внештатных исполнителей (ГПХ, самозанятые, подрядчики), которым он позволит получить право использования их результатов.

Если же результаты создаёт исполнитель не по трудовому договору, то без договора исключительное право к нему и остаётся — и тогда необходим лицензионный договор или договор об отчуждении (см. следующий блок).

Лицензионное соглашение (со внештатными авторами и подрядчиками)

Для нештатных исполнителей, а также если вы передаёте кому-то право на свои материалы, применяется лицензионный договор. Его императивные требования:

Письменная форма обязательна, её несоблюдение влечёт недействительность договора, «на словах» передать право использования нельзя:

Лицензионный договор заключается в письменной форме, если настоящим Кодексом не предусмотрено иное. Несоблюдение письменной формы влечет недействительность лицензионного договора. Предоставление права использования результата интеллектуальной деятельности или средства индивидуализации по лицензионному договору подлежит государственной регистрации в случаях и в порядке, которые предусмотрены статьей 1232 настоящего Кодекса. (Пункт в редакции Федерального закона от 12.03.2014 № 35-ФЗ) 3. В лицензионном договоре должна быть указана территория, на которой допускается использование результата интеллектуальной деятельности или средства индивидуализации. Если территория, на которой допускается использование такого результата или такого средства, в договоре не указана, лицензиат вправе осуществлять их использование на всей территории Российской Федерации. 4. Срок, на который заключается лицензионный договор, не может превышать срок действия исключительного права на результат интеллектуальной деятельности или на средство индивидуализации. В случае, когда в лицензионном договоре срок его действия не определен, договор считается заключенным на пять лет, если настоящим Кодексом не предусмотрено иное. В случае прекращения исключительного права лицензионный договор прекращается. 5. По лицензионному договору лицензиат обязуется уплатить лицензиару обусловленное договором вознаграждение, если договором не предусмотрено иное.
— п. 2 ст. 1235 ГК РФ

Обязательное содержание — предмет (конкретный результат) и способы использования. Всё, что прямо не перечислено, лицензиату не считается предоставленным:

1. Лицензионный договор должен предусматривать: 1) предмет договора путем указания на результат интеллектуальной деятельности или на средство индивидуализации, право использования которых предоставляется по договору, с указанием в соответствующих случаях номера документа, удостоверяющего исключительное право на такой результат или на такое средство (патент, свидетельство); (В редакции Федерального закона от 12.03.2014 № 35-ФЗ) 2) способы использования результата интеллектуальной деятельности или средства индивидуализации.
   — п. 6 ст. 1235 ГК РФ

Лицензиат может использовать результат интеллектуальной деятельности или средство индивидуализации только в пределах тех прав и теми способами, которые предусмотрены лицензионным договором. Право использования результата интеллектуальной деятельности или средства индивидуализации, прямо не указанное в лицензионном договоре, не считается предоставленным лицензиату.
— абз. 2 п. 1 ст. 1235 ГК РФ

Отсюда практический вывод: в лицензионном договоре со внештатным автором перечисляйте все нужные вам способы использования (воспроизведение, доведение до всеобщего сведения на сайте, переработка/модификация, распространение) — тот способ, который вы забудете указать, использовать нельзя. Указывайте территорию и срок (иначе — по умолчанию вся РФ и 5 лет, что не всегда нужно или выгодно), а для возмездного договора — размер вознаграждения (без него договор считается незаключённым).

Электронная форма допустима. Письменную форму можно соблюсти электронным документом или акцептом условий, но для этого нужно, чтобы фиксировалось конкретное лицо и его волеизъявление:

Договор в письменной форме может быть заключен путем составления одного документа (в том числе электронного), подписанного сторонами, или обмена письмами, телеграммами, электронными документами либо иными данными в соответствии с правилами абзаца второго пункта 1 статьи 160 настоящего Кодекса. (В редакции Федерального закона от 18.03.2019 № 34-ФЗ) 3. Письменная форма договора считается соблюденной, если письменное предложение заключить договор принято в порядке, предусмотренном пунктом 3 статьи 438 настоящего Кодекса. 4. В случаях, предусмотренных законом или соглашением сторон, договор в письменной форме может быть заключен только путем составления одного документа, подписанного сторонами договора. (Дополнение пунктом - Федеральный закон от 08.03.2015 № 42-ФЗ)
— абз. 1 п. 2 ст. 434 ГК РФ

Это напрямую отвечает на вопрос о типовых шаблонах: шаблон можно использовать как каркас, но наполнять его предметом, способами использования, территорией, сроком и вознаграждением под вашу конкретную деятельность обязательно. Шаблон без конкретизации предмета и способов — юридически пустой документ. И помните: копирование чужого текста договора (включая найденные в интернете шаблоны) может нарушать авторские права его правообладателя — используйте шаблон как основу структуры, но переписывайте под себя.

Пакет документов по персональным данным: обязательный состав

Ваша компания, обрабатывая данные клиентов и сотрудников, выступает оператором персональных данных и обязана принять комплекс мер. Перечень мер прямо закреплён и включает всё то, что вы перечислили (ответственный, политика, локальные акты), плюс меры безопасности и ознакомление работников:

1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
   — ч. 1 ст. 18.1 ФЗ № 152-ФЗ

Ключевое требование по публичности: политика обработки ПД и сведения о защите данных должны быть опубликованы и доступны, а при сборе данных через сайт — размещены прямо на страницах, с которых идёт сбор:

1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 3. Правительство Российской Федерации устанавливает перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами. 4.
   — ч. 2 ст. 18.1 ФЗ № 152-ФЗ

Ответственный за организацию обработки ПД назначается приказом (пп. 1 ч. 1 ст. 18.1), его ФИО и контакты с 2022 года включаются в уведомление Роскомнадзору. Уведомление подаётся до начала обработки, а при изменении сведений — не позднее 15-го числа следующего месяца:

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
   — ч. 1 ст. 22 ФЗ № 152-ФЗ

1. В случае изменения сведений, указанных в части 3 настоящей статьи, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган по защите прав субъектов персональных данных обо всех произошедших за указанный период изменениях. В случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты прекращения обработки персональных данных. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 8. Формы уведомлений, предусмотренных частями 1, 4 1 и 7 настоящей статьи, устанавливаются уполномоченным органом по защите прав субъектов персональных данных. (Дополнение частью - Федеральный закон от 14.07.2022 № 266-ФЗ )
   — ч. 7 ст. 22 ФЗ № 152-ФЗ

Практический состав пакета для вашей компании: (1) приказ о назначении ответственного; (2) политика обработки ПД (опубликована на сайте); (3) локальный акт, где для каждой цели перечислены категории и перечень данных, категории субъектов, способы, сроки и порядок уничтожения (требование пп. 2 ч. 1 ст. 18.1); (4) формы согласий (см. следующий блок); (5) уведомление Роскомнадзору (если нет изъятий по ч. 2 ст. 22); (6) приказ/порядок об организации доступа к ПД и мерах безопасности (ст. 19).

Важный нюанс про избыточность: данные должны соответствовать целям — не собирайте лишнее. Обязанность не раскрывать данные третьим лицам без согласия субъекта действует императивно:

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ )
— ст. 7 ФЗ № 152-ФЗ

Штраф за нарушение порядка обработки — до 300 тыс. руб. для юрлица по ч. 1 ст. 13.11 КоАП, за повторное — до 500 тыс. руб., плюс отдельные крупные составы за утечку и опубликование в неполном виде:

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей. (В редакции федеральных законов от 24.02.2021 № 19-ФЗ, от 30.11.2024 № 420-ФЗ) 1 1 . Повторное совершение административного правонарушения, предусмотренного частью 1 настоящей статьи, - влечет наложение административного штрафа на граждан в размере от пятнадцати тысяч до тридцати тысяч рублей; на должностных лиц - от ста тысяч до двухсот тысяч рублей; на юридических лиц - от трехсот тысяч до пятисот тысяч рублей. (В редакции Федерального закона от 30.11.2024 № 420-ФЗ) (Дополнение частью - Федеральный закон от 24.02.2021 № 19-ФЗ) 2.
— ч. 1 ст. 13.11 КоАП РФ

Согласия на обработку персональных данных: требования и удалённая работа

Согласие должно быть конкретным, предметным, обоюдно понятным и однозначным, оформлено отдельно от договора, который подписывает субъект:

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
   — ч. 1 ст. 9 ФЗ № 152-ФЗ

Когда закон требует письменной формы согласия, оно должно содержать обязательный набор сведений — цель, перечень данных, перечень действий, срок действия, способ отзыва и подпись субъекта:

1. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 4) цель обработки персональных данных; 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; 6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных.
   — ч. 4 ст. 9 ФЗ № 152-ФЗ

Практические выводы для вас: (1) не прячьте согласие «внутрь» договора или оферты — оно должно быть отдельным документом (или отдельным чекбоксом с раскрытием текста); (2) указывайте конкретные цели обработки (широкая формулировка «в любых целях» недействительна); (3) для каждого субъекта и цели — свой перечень данных без излишеств.

Влияние удалённой работы. Удалённая работа в другом регионе не меняет содержание согласия и обязанности компании как оператора — нормы ФЗ № 152-ФЗ едины на всей территории РФ, региональных различий в составе согласия нет. Меняется форма обмена документами: трудовой договор и соглашения с дистанционным работником можно заключать электронным документообменом, а ознакомление с локальными актами (включая положение о ПД и положение о коммерческой тайне) допустимо «под роспись» именно электронным обменом, а не бумагой:

Трудовой договор и дополнительное соглашение к трудовому договору, предусматривающие выполнение работником трудовой функции дистанционно, могут заключаться путем обмена между работником (лицом, поступающим на работу) и работодателем электронными документами в порядке, предусмотренном частью первой статьи 312 3 настоящего Кодекса.
— ч. 1 ст. 312.2 ТК РФ

С непосредственно связанными с трудовой деятельностью дистанционного работника локальными нормативными актами, приказами (распоряжениями) работодателя, уведомлениями, требованиями и иными документами, в отношении которых трудовым законодательством Российской Федерации предусмотрено их оформление на бумажном носителе и (или) ознакомление с ними работника в письменной форме, в том числе под роспись, дистанционный работник должен быть ознакомлен в письменной форме, в том числе под роспись, либо путем обмена электронными документами между работодателем и дистанционным работником, либо в иной форме, предусмотренной коллективным договором, локальным нормативным актом, принятым с учетом мнения выборного органа первичной профсоюзной организации, трудовым договором, дополнительным соглашением к трудовому договору.
— ч. 5 ст. 312.3 ТК РФ

Отсюда вывод: для дистанционных сотрудников согласие и NDA можно подписывать электронно — через усиленную КЭП/НЭП либо в иной форме, закреплённой локальным актом, позволяющей зафиксировать факт получения документа. Главное — предусмотреть эту форму в локальном акте (положение об ЭДО) и получать подтверждение получения. Для клиентов на сайте действует то же правило электронного согласия — фиксация волеизъявления (например, отметка чекбокса + логирование) признаётся надлежащей, если позволяет подтвердить факт его получения.

NDA и режим коммерческой тайны (с клиентами и работниками)

NDA защищает информацию только тогда, когда в отношении неё введён режим коммерческой тайны. Само по себе соглашение «не разглашать» без выполнения обязательных мер режим не создаёт, а значит и судебной защиты по закону о коммерческой тайне не будет. Защищаемая информация должна отвечать трём признакам: коммерческая ценность в силу неизвестности третьим лицам, отсутствие законного свободного доступа, введённый обладателем режим:

1. информация, составляющая коммерческую тайну, - сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны;
   — п. 2 ст. 3 ФЗ № 98-ФЗ

Обязательный перечень мер, без которых режим не считается установленным, включает: перечень сведений, ограничение доступа и контроль, учёт лиц, получивших доступ, регулирование отношений с работниками и контрагентами, гриф «Коммерческая тайна» на носителях:

1. Меры по охране конфиденциальности информации, принимаемые ее обладателем, должны включать в себя: 1) определение перечня информации, составляющей коммерческую тайну; 2) ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка; 3) учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана; 4) регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров; 5) нанесение на материальные носители, содержащие информацию, составляющую коммерческую тайну, или включение в состав реквизитов документов, содержащих такую информацию, грифа "Коммерческая тайна" с указанием обладателя такой информации (для юридических лиц - полное наименование и место нахождения, для индивидуальных предпринимателей - фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства). (В редакции Федерального закона от 11.07.2011 № 200-ФЗ) 2. Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, мер, указанных в части 1 настоящей статьи. 3.
   — ч. 1 ст. 10 ФЗ № 98-ФЗ

1. Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, мер, указанных в части 1 настоящей статьи. 3. Индивидуальный предприниматель, являющийся обладателем информации, составляющей коммерческую тайну, и не имеющий работников, с которыми заключены трудовые договоры, принимает меры по охране конфиденциальности информации, указанные в части 1 настоящей статьи, за исключением пунктов 1 и 2, а также положений пункта 4, касающихся регулирования трудовых отношений. 4. Наряду с мерами, указанными в части 1 настоящей статьи, обладатель информации, составляющей коммерческую тайну, вправе применять при необходимости средства и методы технической защиты конфиденциальности этой информации, другие не противоречащие законодательству Российской Федерации меры. 5. Меры по охране конфиденциальности информации признаются разумно достаточными, если: 1) исключается доступ к информации, составляющей коммерческую тайну, любых лиц без согласия ее обладателя; 2) обеспечивается возможность использования информации, составляющей коммерческую тайну, работниками и передачи ее контрагентам без нарушения режима коммерческой тайны. 6. Режим коммерческой тайны не может быть использован в целях, противоречащих требованиям защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
   — ч. 2 ст. 10 ФЗ № 98-ФЗ

Критический момент для работников — обязательное ознакомление под расписку с перечнем сведений и с режимом (и мерами ответственности). Без этого расписка работник вообще не связан обязанностью не разглашать, а при утечке — вы взыскание не получите:

1. В целях охраны конфиденциальности информации, составляющей коммерческую тайну, работодатель обязан: 1) ознакомить под расписку работника, доступ которого к этой информации, обладателями которой являются работодатель и его контрагенты, необходим для исполнения данным работником своих трудовых обязанностей, с перечнем информации, составляющей коммерческую тайну; 2) ознакомить под расписку работника с установленным работодателем режимом коммерческой тайны и с мерами ответственности за его нарушение; 3) создать работнику необходимые условия для соблюдения им установленного работодателем режима коммерческой тайны. 2. Доступ работника к информации, составляющей коммерческую тайну, осуществляется с его согласия, если это не предусмотрено его трудовыми обязанностями. 3. В целях охраны конфиденциальности информации, составляющей коммерческую тайну, работник обязан: 1) выполнять установленный работодателем режим коммерческой тайны; 2) не разглашать эту информацию, обладателями которой являются работодатель и его контрагенты, и без их согласия не использовать эту информацию в личных целях в течение всего срока действия режима коммерческой тайны, в том числе после прекращения действия трудового договора; 3) возместить причиненные работодателю убытки, если работник виновен в разглашении информации, составляющей коммерческую тайну и ставшей ему известной в связи с исполнением им трудовых обязанностей;
   — п. 1 ст. 11 ФЗ № 98-ФЗ

Обязанности работника и последствия разглашения, а также обязанность возместить убытки:

1. В целях охраны конфиденциальности информации, составляющей коммерческую тайну, работник обязан: 1) выполнять установленный работодателем режим коммерческой тайны; 2) не разглашать эту информацию, обладателями которой являются работодатель и его контрагенты, и без их согласия не использовать эту информацию в личных целях в течение всего срока действия режима коммерческой тайны, в том числе после прекращения действия трудового договора; 3) возместить причиненные работодателю убытки, если работник виновен в разглашении информации, составляющей коммерческую тайну и ставшей ему известной в связи с исполнением им трудовых обязанностей; 4) передать работодателю при прекращении или расторжении трудового договора материальные носители информации, имеющиеся в пользовании работника и содержащие информацию, составляющую коммерческую тайну. 4. Работодатель вправе потребовать возмещения убытков, причиненных ему разглашением информации, составляющей коммерческую тайну, от лица, получившего доступ к этой информации в связи с исполнением трудовых обязанностей, но прекратившего трудовые отношения с работодателем, если эта информация разглашена в течение срока действия режима коммерческой тайны. 5.
   — п. 3 ст. 11 ФЗ № 98-ФЗ

Важно: если работодатель сам не принял мер по режиму — убытки с работника не взыскиваются:

1. Причиненные работником или прекратившим трудовые отношения с работодателем лицом убытки не возмещаются, если разглашение информации, составляющей коммерческую тайну, произошло вследствие несоблюдения работодателем мер по обеспечению режима коммерческой тайны, действий третьих лиц или непреодолимой силы. 6. Трудовым договором с руководителем организации должны предусматриваться его обязанности по обеспечению охраны конфиденциальности составляющей коммерческую тайну информации, обладателем которой являются организация и ее контрагенты, и ответственность за обеспечение охраны конфиденциальности этой информации. 7. Руководитель организации возмещает организации убытки, причиненные его виновными действиями в связи с нарушением законодательства Российской Федерации о коммерческой тайне. При этом убытки определяются в соответствии с гражданским законодательством. 8. Работник имеет право обжаловать в судебном порядке незаконное установление режима коммерческой тайны в отношении информации, к которой он получил доступ в связи с исполнением трудовых обязанностей. (Статья в редакции Федерального закона от 12.03.2014 № 35-ФЗ)
   — ч. 5 ст. 11 ФЗ № 98-ФЗ

Гражданско-правовая ответственность за разглашение секрета производства (ноу-хау) — возмещение убытков нарушителем:

1. Нарушитель исключительного права на секрет производства, в том числе лицо, которое неправомерно получило сведения, составляющие секрет производства, и разгласило или использовало эти сведения, а также лицо, обязанное сохранять конфиденциальность секрета производства в соответствии с пунктом 2 статьи 1468, пунктом 3 статьи 1469 или пунктом 2 статьи 1470 настоящего Кодекса, обязано возместить убытки, причиненные нарушением исключительного права на секрет производства, если иная ответственность не предусмотрена законом или договором с этим лицом. 2. Лицо, которое использовало секрет производства и не знало и не должно было знать о том, что его использование незаконно, в том числе в связи с тем, что оно получило доступ к секрету производства случайно или по ошибке, не несет ответственность в соответствии с пунктом 1 настоящей статьи. Глава 76. Права на средства индивидуализации юридических лиц, товаров, работ, услуг и предприятий § 1. Право на фирменное наименование
   — п. 1 ст. 1472 ГК РФ

Практические выводы для вашей компании: (1) утвердите и держите актуальным перечень сведений, составляющих коммерческую тайну (что именно охраняете — условия работы с клиентами, цены, методики, клиентские базы); (2) нанесите гриф на носители; (3) ознакомьте под расписку каждого сотрудника с перечнем и режимом; (4) для клиентов/контрагентов — условие о конфиденциальности прямо в договоре с указанием состава защищаемой информации и санкций (неустойка + неустойка за разглашение); (5) ведите учёт лиц, получивших доступ.

Про защиту условия работы с клиентами при отказе подписать NDA: если контрагент отказывается, режим коммерческой тайны в отношении передаваемых ему сведений не обеспечивается — значит, передавайте ему только то, что готовы «потерять», либо защищайте ценную информацию иными способами (патентование, ноу-хау с ограничением доступа внутри компании, структурирование договора так, чтобы конфиденциальные части оставались у вас). Универсального средства «заставить подписать» нет.

Типовые шаблоны или разработка под себя: оценка рисков

Системная развилка, которую нужно решить явно. Использование шаблонов из интернета несёт два разнородных риска:

(1) Авторско-правовой риск. Текст оферты, правил пользования и политики конфиденциальности — охраняемое литературное произведение (п. 1 ст. 1259 ГК РФ). Прямое копирование существенного объёма чужого текста без согласия правообладателя — нарушение исключительного права (ст. 1270 ГК РФ), влекущее взыскание компенсации от 10 тыс. до 5 млн руб. либо двукратной стоимости права (ст. 1301 ГК РФ). Поэтому чужие шаблоны можно использовать только как структурную основу, а формулировки писать свои.

(2) Содержательный риск. Даже «безопасный» собственный текст неработоспособен, если не отражает ваши реальные существенные условия: предмет, способы использования, цели обработки данных, перечень коммерческой тайны. Документ «для галочки» не защищает ни права на контент, ни режим тайны, ни законность обработки данных — а штрафы по ст. 13.11 КоАП РФ и риск возврата исключительного права работнику (ст. 1295 ГК РФ) наступают независимо от того, «красивый» ли у вас шаблон.

Вывод: оптимально — разработка под себя с использованием шаблонов как каркаса структуры. Документы, которые обязательно должны быть индивидуальными (их суть — в конкретике): оферта (существенные условия вашего продукта), лицензионные договоры (предмет и способы), перечень сведений коммерческой тайны, локальный акт о ПД (категории/цели/сроки). Документы, где допустима высокая степень типизации при условии заполнения переменных: форма согласия на ПД, приказ о назначении ответственного, форма NDA-блока в договоре.

При обращении к юристу настаивайте не на «комплекте шаблонов», а на том, чтобы каждый документ был привязан к вашим бизнес-процессам: где и как собираются данные, кто и что создаёт, что именно охраняем как тайну, в каких регионах работают сотрудники и каким способом подписываются документы.