Przedsiębiorcy w trakcie współpracy przekazują sobie znacznie więcej informacji, niż na pierwszy rzut oka wynika z samej umowy. Mogą to być ceny, marże, dane klientów, warunki współpracy z dostawcami, dokumentacja techniczna, procedury, projekty, strategie sprzedażowe, know-how czy informacje o planowanych inwestycjach.
Część tych informacji może mieć dla firmy realną wartość gospodarczą. Ich ujawnienie konkurencji albo wykorzystanie przez kontrahenta do własnych celów może więc oznaczać znacznie więcej niż tylko naruszenie zaufania.
Jednym ze sposobów zabezpieczenia takich informacji jest umowa o zachowaniu poufności, czyli NDA – Non-Disclosure Agreement.
Samo podpisanie dokumentu zatytułowanego „NDA” nie oznacza jednak, że interes przedsiębiorcy został właściwie zabezpieczony. O skuteczności umowy decyduje przede wszystkim jej treść: co uznajemy za poufne, w jakim celu informacje mogą być wykorzystywane, komu można je przekazywać, jak długo trwa obowiązek poufności i co dzieje się w przypadku jego naruszenia.
Czym jest NDA?
NDA to umowa, w której jedna albo obie strony zobowiązują się do zachowania określonych informacji w poufności oraz do korzystania z nich wyłącznie w uzgodnionym celu.
Może występować jako:
- samodzielna umowa o zachowaniu poufności,
- część większej umowy o współpracy,
- jeden z paragrafów umowy B2B,
- porozumienie podpisywane jeszcze przed rozpoczęciem negocjacji.
To ostatnie rozwiązanie bywa szczególnie istotne.
Jeżeli przedsiębiorca musi ujawnić potencjalnemu kontrahentowi informacje dotyczące technologii, modelu biznesowego, klientów czy planowanego przedsięwzięcia jeszcze przed podpisaniem właściwej umowy, zawarcie NDA dopiero razem z docelowym kontraktem może być po prostu za późne.
Czy bez NDA informacje przedsiębiorcy nie są chronione?
Nie jest tak, że brak podpisanej umowy o poufności oznacza całkowity brak ochrony.
Ustawa o zwalczaniu nieuczciwej konkurencji chroni tajemnicę przedsiębiorstwa. Zgodnie z art. 11 ustawy są to informacje techniczne, technologiczne, organizacyjne przedsiębiorstwa lub inne informacje posiadające wartość gospodarczą, które nie są powszechnie znane ani łatwo dostępne dla osób zwykle zajmujących się tego rodzaju informacjami, pod warunkiem że uprawniony podjął, przy zachowaniu należytej staranności, działania zmierzające do utrzymania ich w poufności.
Naruszeniem tajemnicy przedsiębiorstwa może być m.in. bezprawne pozyskanie, wykorzystanie albo ujawnienie takich informacji.
NDA jest więc ważne z dwóch powodów.
Po pierwsze, może chronić szerszy zakres informacji niż tylko te, które spełniają ustawową definicję tajemnicy przedsiębiorstwa.
Po drugie, zawarcie umowy o poufności może być jednym z elementów pokazujących, że przedsiębiorca rzeczywiście podejmował działania w celu ochrony swoich informacji.
Nie oznacza to jednak, że wystarczy podpisać NDA, a następnie udostępniać poufne pliki każdemu pracownikowi, pozostawiać je na ogólnodostępnym dysku i w żaden sposób nie kontrolować dostępu.
Umowa o poufności powinna być jednym z elementów całego systemu ochrony informacji w przedsiębiorstwie, a nie jego jedynym elementem.
Co może być informacją poufną?
Jednym z najważniejszych elementów NDA jest prawidłowe określenie, co właściwie ma podlegać ochronie.
W zależności od rodzaju działalności mogą to być np.:
- informacje handlowe i finansowe,
- ceny oraz sposób ich kalkulowania,
- wysokość marż,
- oferty przygotowywane dla klientów,
- bazy klientów i kontrahentów,
- informacje o dostawcach,
- warunki innych umów handlowych,
- dokumentacja projektowa i techniczna,
- procedury wewnętrzne,
- know-how,
- technologie i rozwiązania organizacyjne,
- plany rozwoju przedsiębiorstwa,
- informacje dotyczące nowych produktów lub usług,
- strategie marketingowe i sprzedażowe,
- dane dotyczące realizowanych lub planowanych inwestycji.
Zakres powinien być dostosowany do konkretnej współpracy.
NDA przygotowane dla firmy IT będzie wyglądało inaczej niż umowa dla przedsiębiorcy budowlanego, producenta, agencji marketingowej czy spółki korzystającej z wielu podwykonawców.
Czy warto wpisać, że „wszystkie informacje są poufne”?
Takie postanowienie często pojawia się we wzorach pobieranych z internetu:
Wszelkie informacje uzyskane w związku ze współpracą stron stanowią informacje poufne.
Na pierwszy rzut oka wydaje się bardzo bezpieczne. Skoro chronimy wszystko, nic nam nie umknie.
W praktyce zbyt szeroka i nieprecyzyjna definicja również może powodować problemy.
Kontrahent powinien być w stanie ustalić, jakie informacje rzeczywiście podlegają szczególnej ochronie i jak ma z nimi postępować.
Dlatego lepszym rozwiązaniem jest stworzenie odpowiednio szerokiej definicji, ale jednocześnie wskazanie kategorii informacji, których dotyczy obowiązek poufności.
Można również ustalić, czy ochrona obejmuje informacje przekazywane:
- pisemnie,
- ustnie,
- elektronicznie,
- podczas spotkań,
- poprzez dostęp do systemów informatycznych,
- w dokumentacji technicznej lub handlowej.
W niektórych relacjach warto dodatkowo ustalić sposób oznaczania materiałów jako poufnych.
Sama poufność to za mało – trzeba określić cel wykorzystania informacji
Dobrze przygotowane NDA nie powinno mówić wyłącznie:
nie wolno ujawniać informacji osobom trzecim.
Równie ważne jest ustalenie, do czego kontrahent może wykorzystać otrzymane informacje.
Wyobraźmy sobie, że przedsiębiorca przekazuje potencjalnemu wykonawcy pełną dokumentację projektu w celu sporządzenia oferty.
Problemem nie będzie wyłącznie sytuacja, w której wykonawca opublikuje dokumentację w internecie. Problem może powstać również wtedy, gdy wykorzysta ją później we własnej działalności albo przy realizacji zlecenia dla konkurenta.
Dlatego NDA może przewidywać, że informacje poufne:
mogą być wykorzystywane wyłącznie w związku z określonym celem, np. przygotowaniem oferty, negocjowaniem umowy albo wykonaniem konkretnego kontraktu.
To jedno z najważniejszych postanowień całej umowy.
Kto po stronie kontrahenta może mieć dostęp do informacji?
Współpraca przedsiębiorców rzadko odbywa się wyłącznie pomiędzy dwiema osobami podpisującymi umowę.
Informacje mogą trafić do:
- pracowników,
- członków zarządu,
- współpracowników B2B,
- podwykonawców,
- księgowych,
- prawników,
- doradców technicznych,
- spółek powiązanych.
Dlatego w NDA trzeba odpowiedzieć na pytanie:
czy kontrahent może przekazywać informacje takim osobom, a jeżeli tak – na jakich warunkach?
Jednym z rozwiązań jest przyjęcie zasady need to know, czyli udostępniania informacji wyłącznie tym osobom, które rzeczywiście potrzebują do nich dostępu w celu wykonania umowy.
Można również zobowiązać kontrahenta do zapewnienia, że osoby, którym przekazuje informacje, są związane odpowiednim obowiązkiem poufności.
Warto przy tym precyzyjnie określić odpowiedzialność kontrahenta za naruszenia dokonane przez osoby, którymi posługuje się przy wykonywaniu umowy.
To szczególnie ważne w umowach z podwykonawcami. Nie wystarczy bowiem zabezpieczyć poufność na pierwszym poziomie współpracy, jeżeli następnie ważne informacje mogą swobodnie trafić do kolejnych podmiotów.
Jak kontrahent ma chronić informacje?
NDA może również określać minimalne zasady bezpieczeństwa.
W zależności od rodzaju informacji może chodzić np. o:
- ograniczenie dostępu do określonych osób,
- zakaz przesyłania dokumentów na prywatne skrzynki e-mail,
- odpowiednie zabezpieczanie plików,
- zakaz kopiowania danych poza uzasadnionymi przypadkami,
- obowiązek stosowania zabezpieczeń informatycznych,
- zakaz przechowywania dokumentacji na niezabezpieczonych urządzeniach,
- obowiązek poinformowania drugiej strony o wycieku lub utracie danych.
Nie każda umowa potrzebuje rozbudowanego regulaminu cyberbezpieczeństwa.
Im bardziej wartościowe są jednak przekazywane informacje, tym mniej sensowne staje się pozostawienie sposobu ich ochrony całkowicie uznaniu kontrahenta.
Jakie informacje nie powinny być objęte poufnością?
Dobre NDA powinno zawierać również wyjątki od obowiązku poufności.
Najczęściej wyłącza się informacje, które:
- były już publicznie dostępne,
- stały się publicznie dostępne bez naruszenia umowy przez stronę otrzymującą,
- były zgodnie z prawem znane stronie przed ich otrzymaniem,
- zostały legalnie pozyskane od osoby trzeciej,
- zostały samodzielnie opracowane bez wykorzystania informacji poufnych drugiej strony.
Warto również uregulować sytuację, w której ujawnienie jest wymagane przez przepisy prawa, sąd albo uprawniony organ.
Umowa może wówczas przewidywać – o ile przepisy na to pozwalają – obowiązek wcześniejszego poinformowania drugiej strony o konieczności ujawnienia oraz ograniczenia zakresu przekazywanych informacji do niezbędnego minimum.
NDA nie może blokować prawnie chronionych zgłoszeń
Przy konstruowaniu klauzuli poufności trzeba również pamiętać o przepisach dotyczących ochrony sygnalistów.
Ustawa o ochronie sygnalistów wprost przewiduje, że postanowienia umów dotyczących m.in. świadczenia usług, dostarczania towarów czy sprzedaży są nieważne w zakresie, w jakim bezpośrednio lub pośrednio ograniczają prawo do dokonania zgłoszenia albo ujawnienia publicznego na zasadach określonych w ustawie.
Nie warto więc konstruować NDA w taki sposób, aby każde przekazanie informacji jakiejkolwiek osobie lub organowi było automatycznie kwalifikowane jako naruszenie umowy.
Poufność nie może służyć do wyłączenia obowiązków lub uprawnień wynikających z bezwzględnie obowiązujących przepisów prawa.
Jak długo powinien obowiązywać obowiązek poufności?
To jedno z najczęstszych pytań przy przygotowywaniu NDA.
Nie zawsze właściwa odpowiedź brzmi:
bezterminowo.
Okres poufności powinien odpowiadać charakterowi chronionych informacji.
Niektóre informacje tracą znaczenie bardzo szybko. Cena przygotowana na konkretne postępowanie ofertowe może po kilku latach mieć niewielką wartość.
Inaczej może wyglądać sytuacja w przypadku technologii, know-how, dokumentacji czy innych informacji, których ujawnienie nawet po wielu latach może nadal wyrządzić przedsiębiorcy szkodę.
Dlatego można rozróżnić:
- obowiązek poufności obowiązujący przez określony czas po zakończeniu współpracy,
- szczególną ochronę informacji stanowiących tajemnicę przedsiębiorstwa – tak długo, jak zachowują taki charakter.
Ustawowa ochrona tajemnicy przedsiębiorstwa jest bowiem związana nie z arbitralnym terminem, lecz z tym, czy dana informacja nadal spełnia przesłanki określone w art. 11 ustawy o zwalczaniu nieuczciwej konkurencji.
Co zrobić z dokumentami po zakończeniu współpracy?
To kolejny punkt często pomijany w krótkich wzorach NDA.
Warto ustalić, co dzieje się z informacjami po:
- zakończeniu negocjacji,
- rozwiązaniu umowy,
- wykonaniu projektu,
- żądaniu właściciela informacji.
Umowa może przewidywać obowiązek:
- zwrotu dokumentacji,
- usunięcia elektronicznych kopii,
- zniszczenia określonych materiałów,
- potwierdzenia wykonania tych czynności.
Trzeba przy tym uwzględnić sytuacje, w których kontrahent ma prawny obowiązek zachowania określonych dokumentów albo dane pozostają w kopiach bezpieczeństwa.
Mechanizm powinien więc być możliwy do rzeczywistego wykonania, a nie tylko dobrze wyglądać w umowie.
Kara umowna za naruszenie poufności – czy warto?
W przypadku NDA kara umowna jest jednym z najważniejszych mechanizmów zabezpieczających.
Obowiązek zachowania poufności jest zobowiązaniem niepieniężnym, dlatego może zostać zabezpieczony karą umowną na podstawie art. 483 Kodeksu cywilnego.
Ma to duże znaczenie praktyczne.
Bez kary umownej przedsiębiorca dochodzący odszkodowania może stanąć przed koniecznością wykazywania wysokości szkody spowodowanej ujawnieniem informacji.
A taka szkoda bywa niezwykle trudna do precyzyjnego wyliczenia.
Jak wykazać, ile dokładnie kosztowało przedsiębiorcę przekazanie konkurencji jego bazy klientów? Ile wynosi szkoda wynikająca z ujawnienia strategii cenowej? Jak wycenić wykorzystanie know-how przez inny podmiot?
Kara umowna pozwala z góry określić konsekwencję naruszenia.
Ile powinna wynosić kara za naruszenie NDA?
Nie istnieje jedna prawidłowa kwota.
Kara powinna być dostosowana m.in. do:
- wartości chronionych informacji,
- wartości całej współpracy,
- potencjalnych skutków ujawnienia,
- skali działalności stron,
- rodzaju możliwego naruszenia.
Wpisanie do każdej umowy kary wynoszącej np. 500.000 zł nie oznacza automatycznie lepszego zabezpieczenia.
Zgodnie z art. 484 § 2 k.c. dłużnik może żądać zmniejszenia kary umownej m.in. wtedy, gdy jest ona rażąco wygórowana.
Dlatego wysokość kary powinna być przemyślana, a nie przypadkowa.
Warto również jednoznacznie określić, co jest pojedynczym naruszeniem. Inaczej można później oceniać przekazanie jednego dokumentu jednej osobie, a inaczej udostępnienie całej bazy danych wielu podmiotom.
O zasadach zastrzegania i dochodzenia kar umownych szerzej piszę w artykule „Kara umowna – kiedy się należy, a kiedy sąd może ją obniżyć?”.
Kara umowna może ograniczyć wysokość odszkodowania
To bardzo ważny element, który często umyka przy redagowaniu umów.
Zgodnie z art. 484 § 1 k.c. dochodzenie odszkodowania przewyższającego wysokość kary umownej nie jest dopuszczalne, chyba że strony postanowiły inaczej.
Jeżeli więc strony wpiszą:
Za każde naruszenie poufności kontrahent zapłaci karę umowną w wysokości 20.000 zł
ale nie uregulują nic więcej, może pojawić się problem, gdy rzeczywista szkoda wyniesie np. 200.000 zł.
Dlatego z perspektywy przedsiębiorcy przekazującego wartościowe informacje warto rozważyć postanowienie przewidujące możliwość dochodzenia odszkodowania przewyższającego wysokość zastrzeżonej kary umownej.
To dobry przykład tego, dlaczego samo dodanie kary do umowy jeszcze nie oznacza właściwego zabezpieczenia interesu strony.
Co można zrobić po naruszeniu poufności?
Jeżeli ujawnione informacje stanowią jednocześnie tajemnicę przedsiębiorstwa, ochrona nie musi ograniczać się do samego NDA.
Ustawa o zwalczaniu nieuczciwej konkurencji przewiduje m.in. możliwość żądania:
- zaniechania niedozwolonych działań,
- usunięcia ich skutków,
- złożenia odpowiedniego oświadczenia,
- naprawienia szkody,
- wydania bezpodstawnie uzyskanych korzyści.
W przypadku naruszenia tajemnicy przedsiębiorstwa ustawa przewiduje również szczególne rozwiązania dotyczące sposobu naprawienia szkody.
Jeżeli umowa przewiduje karę umowną, można równolegle ocenić, czy spełnione zostały przesłanki jej naliczenia.
W praktyce bardzo ważne jest również szybkie zabezpieczenie dowodów – np. korespondencji, historii przesyłania plików, dostępów do systemu, wiadomości czy informacji o tym, komu dane zostały przekazane.
Przy poufności czas często ma istotne znaczenie. Informacji, która raz została publicznie ujawniona, nie da się „cofnąć” w taki sam sposób jak niezapłaconej faktury.
NDA a dane osobowe – to nie zawsze to samo
Umowa o poufności i ochrona danych osobowych to dwa różne zagadnienia.
NDA może zobowiązywać kontrahenta do zachowania w poufności danych, do których uzyska dostęp.
Jeżeli jednak jeden przedsiębiorca przetwarza dane osobowe w imieniu drugiego, może być konieczne spełnienie dodatkowych wymagań wynikających z RODO, w tym zawarcie odpowiedniej umowy lub wprowadzenie postanowień dotyczących powierzenia przetwarzania danych zgodnie z art. 28 RODO.
Sama klauzula:
strony zobowiązują się chronić dane osobowe
nie zastępuje wszystkich obowiązków wynikających z przepisów o ochronie danych.
NDA jednostronne czy wzajemne?
Nie każda umowa o poufności musi działać identycznie wobec obu stron.
NDA jednostronne
Ma sens przede wszystkim wtedy, gdy informacje ujawnia głównie jedna strona.
Przykładowo inwestor przekazuje wykonawcy dokumentację techniczną, a wykonawca nie udostępnia w zamian informacji o porównywalnym znaczeniu.
NDA wzajemne
Sprawdza się, gdy obie strony w toku negocjacji lub współpracy wymieniają się własnymi poufnymi informacjami.
Wtedy każda z nich jest jednocześnie:
- stroną ujawniającą informacje,
- stroną otrzymującą informacje.
Nie warto automatycznie wybierać wersji wzajemnej tylko dlatego, że wydaje się bardziej „sprawiedliwa”. Konstrukcja powinna odpowiadać temu, jak faktycznie będzie wyglądał przepływ informacji.
Czy NDA i zakaz konkurencji to to samo?
Nie.
To dwa różne zobowiązania.
NDA ma przede wszystkim uniemożliwić ujawnianie i niedozwolone wykorzystywanie określonych informacji.
Zakaz konkurencji ogranicza natomiast możliwość prowadzenia określonej działalności konkurencyjnej.
Można więc zgodnie z umową prowadzić działalność konkurencyjną, ale nie mieć prawa wykorzystywać przy tym poufnych informacji byłego kontrahenta.
Możliwa jest również sytuacja odwrotna – strony mogą zawrzeć zarówno klauzulę poufności, jak i odpowiednio skonstruowany zakaz konkurencji.
Nie powinno się jednak mieszać tych dwóch instytucji w jednym ogólnym postanowieniu.
Najczęstsze błędy w NDA
Problemy z umowami o poufności najczęściej nie wynikają z braku rozbudowanego, kilkunastostronicowego dokumentu, lecz z pominięcia podstawowych kwestii.
Do typowych błędów należą:
- określenie jako poufnych „wszystkich informacji” bez żadnego doprecyzowania,
- brak wskazania, w jakim celu wolno wykorzystywać informacje,
- brak wyjątków od poufności,
- brak zasad udostępniania informacji pracownikom i podwykonawcom,
- brak określenia czasu obowiązywania zobowiązania,
- brak zasad zwrotu albo usuwania danych,
- automatyczne stosowanie tej samej umowy do każdego rodzaju współpracy,
- kara umowna zupełnie nieadekwatna do wartości chronionych informacji,
- brak postanowienia o możliwości dochodzenia odszkodowania ponad wysokość kary,
- próba objęcia zakazem również ujawnień wymaganych prawem,
- traktowanie NDA jako jedynego sposobu zabezpieczenia tajemnicy przedsiębiorstwa.
Podobnie jak w przypadku innych umów zawieranych przez przedsiębiorców, problemem nie jest zwykle brak odpowiednio skomplikowanych zapisów, lecz brak zapisów dotyczących rzeczywistych ryzyk danej współpracy.
O innych błędach pojawiających się w umowach biznesowych piszę również w artykule Ile kosztuje źle napisana umowa? 5 błędów przedsiębiorców.
Co powinno znaleźć się w dobrym NDA?
Przed podpisaniem umowy o zachowaniu poufności warto sprawdzić przede wszystkim:
Kto jest stroną ujawniającą, a kto otrzymującą informacje?
Jakie informacje są chronione?
W jakim celu można z nich korzystać?
Komu mogą zostać dalej udostępnione?
Czy kontrahent odpowiada za pracowników i podwykonawców?
Jakie są wyjątki od obowiązku poufności?
W jaki sposób informacje mają być zabezpieczane?
Jak długo obowiązuje poufność?
Co dzieje się z dokumentami i plikami po zakończeniu współpracy?
Czy przewidziano obowiązek zgłoszenia naruszenia bezpieczeństwa?
Czy naruszenie jest zabezpieczone karą umowną?
Czy możliwe jest dochodzenie odszkodowania ponad wysokość kary?
Czy postanowienia uwzględniają obowiązki wynikające z przepisów prawa?
Nie każda umowa musi zawierać wszystkie możliwe mechanizmy. Zakres zabezpieczeń powinien być proporcjonalny do wartości informacji i ryzyka związanego z ich ujawnieniem.
Czy warto korzystać z gotowego wzoru NDA?
W internecie można znaleźć wiele wzorów umów o zachowaniu poufności.
Problem polega na tym, że samo słowo „NDA” obejmuje bardzo różne sytuacje.
Inne ryzyka występują, gdy przedsiębiorca:
- udostępnia dokumentację potencjalnemu inwestorowi,
- zatrudnia podwykonawcę,
- zleca stworzenie oprogramowania,
- przekazuje bazę klientów agencji marketingowej,
- negocjuje sprzedaż przedsiębiorstwa,
- korzysta z zewnętrznego biura księgowego,
- zleca wykonanie elementu własnego produktu.
Gotowy wzór może więc zawierać kilkanaście profesjonalnie brzmiących paragrafów, a mimo to nie zabezpieczać tego, co w konkretnej współpracy jest najważniejsze.
Umowa ma chronić określony interes biznesowy, a nie tylko zawierać słowo „poufność”.
Poufność w umowie z kontrahentem – o czym warto pamiętać?
Dobre NDA powinno odpowiadać na trzy podstawowe pytania:
Co chronimy?
Przed czym to chronimy?
Co stanie się, jeżeli druga strona naruszy ustalone zasady?
Jeżeli nie da się na te pytania odpowiedzieć po przeczytaniu umowy, sama obecność klauzuli poufności niewiele daje.
W relacjach B2B szczególnie ważne jest również spojrzenie na NDA w kontekście całej współpracy. Poufność powinna być spójna z zasadami korzystania z podwykonawców, odpowiedzialnością stron, prawami własności intelektualnej, ochroną danych, karami umownymi oraz zasadami obowiązującymi po rozwiązaniu umowy.
Dlatego NDA nie powinno być automatycznym załącznikiem dodawanym do każdego kontraktu bez zastanowienia.
Dobrze przygotowana umowa o poufności ma przede wszystkim chronić konkretne informacje, które mają dla przedsiębiorcy rzeczywistą wartość – i przewidywać realne konsekwencje na wypadek, gdyby druga strona wykorzystała je niezgodnie z ustaleniami.