Как выстроить договорную, техническую и доказательственную защиту конфиденциальных данных, исходного кода и ноу-хау при работе с внешней командой
Автор: Курнев Артем Евгеньевич, юрист · Актуально на 17 августа 2026 года.
1. Что именно нужно защищать
До подписания договора нужно разделить информацию по правовому режиму. Это позволяет не пытаться защитить одним словом «конфиденциально» совершенно разные объекты.
2. NDA с подрядчиком — только один слой защиты
Федеральный закон № 98-ФЗ требует регулировать отношения по использованию коммерческой тайны с контрагентами на основании гражданско-правовых договоров. Но для полноценного режима этого недостаточно: статья 10 требует также определить перечень секретных сведений, ограничить доступ, вести учет лиц, которым информация передана, и применять предусмотренные законом меры защиты.
Для ноу-хау формальный режим коммерческой тайны не обязателен: по статье 1465 ГК РФ сведения должны иметь коммерческую ценность из-за неизвестности третьим лицам, к ним не должно быть свободного законного доступа, а обладатель должен принимать разумные меры конфиденциальности. Именно эти меры затем придется доказывать.
• конкретные категории данных: код, архитектура, API-ключи, базы, макеты, финансовые модели, клиентские сведения;
• цель использования — только для конкретного проекта;
• разрешенные получатели и субподрядчики;
• допустимые системы и каналы передачи;
• запрет личных облаков и неутвержденных AI-сервисов;
• порядок действий после утечки, возврата и уничтожения данных.
3. Подрядчик должен отвечать за своих работников и субподрядчиков
Если договор заключен с ООО или ИП, фактический доступ к данным часто получают его сотрудники, привлеченные программисты, дизайнеры и субподрядчики. Поэтому формула «подрядчик обязуется не разглашать» недостаточна.
- запрет передавать сведения субподрядчикам без предварительного письменного согласия заказчика;
- обязанность подписать с каждым допущенным лицом обязательства не менее строгие, чем в основном договоре;
- ведение списка лиц, получивших доступ;
- ответственность подрядчика за нарушения работников и субподрядчиков как за собственные действия;
- немедленное отключение доступа специалиста при завершении его участия в проекте.
4. Передавайте не «папку с файлами», а доказуемый набор данных
В споре одна из самых частых проблем — невозможность доказать, какие именно сведения получил подрядчик. Ссылка на облачную папку, письмо без перечня вложений или общий логин редко дают идеальную доказательственную картину.
- реестр раскрытия: файл, версия, дата, получатель, категория конфиденциальности;
- акты передачи особо ценных массивов и технической документации;
- watermark или идентификатор получателя;
- логи Git, data room, VPN, DLP, почтового шлюза и облака;
- раздельные права доступа — исполнитель видит только то, что необходимо для его задачи.
5. Для программистов NDA нужно отделять от прав на исходный код
Конфиденциальность и интеллектуальные права — разные вопросы. Подрядчик может идеально соблюдать NDA, но исключительное право на созданный результат останется не у заказчика, если договор оформлен неправильно.
Если программа специально создается по заказу
По пункту 1 статьи 1296 ГК РФ исключительное право на программу для ЭВМ, базу данных или иное произведение, созданное по договору, предметом которого прямо является создание такого произведения, по общему правилу принадлежит заказчику, если договором не предусмотрено иное.
Если код появился попутно при исполнении другого договора
По статье 1297 ГК РФ действует другой подход: если договор подряда или НИОКТР прямо не предусматривал создание произведения, но программа, скрипт, база или другой объект были созданы в процессе работ, исключительное право по общему правилу принадлежит подрядчику, если стороны не согласовали иное.
Если фрилансер — физическое лицо и сам является автором
Когда стороной договора является сам автор создаваемого произведения, отношения регулируются правилами об авторском заказе. Поэтому договор с разработчиком-физлицом должен прямо предусматривать отчуждение заказчику исключительного права либо четкий объем предоставляемой лицензии.
6. Кому принадлежит ноу-хау, созданное подрядчиком
По состоянию на 17 августа 2026 года пункт 1 статьи 1471 ГК РФ устанавливает: если секрет производства получен при выполнении договора подряда или НИОКТР, исключительное право на такой секрет производства принадлежит подрядчику (исполнителю), за установленными законом исключениями.
Это отличается от обычной логики заказной разработки ПО. Поэтому фраза «все результаты, включая ноу-хау, принадлежат заказчику» требует отдельной юридической проверки.
В мае 2026 года в Госдуму внесен законопроект № 1240307-8, предлагающий разрешить сторонам частного договора самим устанавливать иное распределение прав на созданное ноу-хау. На дату статьи действующий текст статьи 1471 такого общего диспозитивного правила еще не содержит.
• идентифицировать вновь созданное ноу-хау отдельным актом или реестром;
• если заказчику нужен полный контроль — оформлять отчуждение исключительного права после возникновения и идентификации секрета;
• если достаточно использования — оформить лицензию;
• не смешивать передачу прав на код и права на ноу-хау одной общей фразой.
7. Если подрядчик получает персональные данные
Если исполнитель получает доступ к CRM, клиентской базе, заявкам, телефонам, email, сведениям работников или иным персональным данным, одного NDA недостаточно — применяются требования Закона № 152-ФЗ.
Часть 3 статьи 6 Закона № 152-ФЗ требует, чтобы поручение на обработку определяло перечень персональных данных, операции с ними, цели обработки, конфиденциальность, требования безопасности и обязанность подтверждать принятые меры. Отдельно должен быть урегулирован порядок уведомления об инцидентах.
- какие персональные данные получает подрядчик;
- какие операции он вправе выполнять;
- где данные хранятся;
- можно ли привлекать субобработчиков;
- срок уведомления об утечке;
- порядок возврата и уничтожения данных.
8. Техническая защита, которая помогает и в суде
- персональные корпоративные учетные записи вместо общих логинов;
- MFA и доступ через VPN или утвержденные устройства;
- репозиторий и облако под контролем заказчика;
- ограничение экспорта и скачивания критичных баз;
- журналирование Git, облака, CRM, почты и административных действий;
- DLP для критичных файлов и исходников;
- автоматическое отключение доступа после завершения проекта.
Юридическая ценность этих мер двойная: они уменьшают вероятность утечки и одновременно формируют доказательства того, кто, когда и к каким сведениям получал доступ.
9. Как прописывать ответственность подрядчика
Для B2B-отношений можно использовать договорную неустойку по статье 330 ГК РФ. Лучше привязывать штраф не к абстрактному «нарушению конфиденциальности», а к конкретным событиям.
- передача информации неразрешенному третьему лицу;
- передача отдельному субподрядчику без согласования;
- загрузка в запрещенное облако или AI-сервис;
- использование данных для собственного или конкурирующего продукта;
- неуведомление об инциденте;
- невозврат или неудаление данных после прекращения договора.
При этом штраф не заменяет доказательств: заказчику все равно желательно иметь доказуемый перечень переданной информации, факт нарушения и связь конкретного события с договорной санкцией.
10. Судебная практика
Стороны подписали соглашение о конфиденциальности при передаче математических моделей, конструкторской документации и образцов изделий. Договор прямо запрещал передачу третьим лицам, включая субпоставщиков и субподрядчиков без письменного разрешения, а основной подрядчик отвечал за их действия. Подрядчик направил защищенные документы двум самостоятельным юридическим лицам и подтвердил факт передачи. За каждый эпизод была предусмотрена неустойка 100 000 руб.
Истец ссылался на соглашение о конфиденциальности и утверждал, что ответчик передал третьему лицу проектную документацию. Но истец не показал, какие конкретно сведения передавались как конфиденциальные, не составил предусмотренный соглашением акт передачи, а электронное письмо не содержало указания на конфиденциальный характер данных.
Компания утверждала, что элементы бизнес-плана являются секретом производства. Однако суд установил, что истец не раскрыл, что именно составляет ноу-хау, не доказал комплекс разумных мер конфиденциальности и не представил актов передачи конкретных секретных сведений ответчику.
Исполнитель создавал мобильное банковское приложение. Суд применил статью 1296 ГК РФ и учел, что договор прямо закреплял переход интеллектуальных прав к заказчику после создания, передачи, приемки и оплаты.
11. Практический комплект документов для внешней команды
12. Что сделать до допуска подрядчика к данным
- Определить, какие сведения действительно нужно раскрыть — принцип минимального доступа.
- Разнести информацию по категориям: коммерческая тайна, ноу-хау, персональные данные, исходный код, обычная конфиденциальная информация.
- Подписать договор и NDA до передачи первой критичной папки или доступа в репозиторий.
- Проверить цепочку прав у подрядчика на результаты его работников и субподрядчиков.
- Создать персональные учетные записи и включить журналирование.
- Передавать важные материалы через реестр или акт раскрытия.
- Заранее прописать возврат, удаление и отключение доступа при завершении проекта.
13. Итог
При работе с подрядчиками коммерческую тайну защищает не один документ, а связка договора, режима, технических мер и доказательств. Если требуется выстроить такую систему целиком, см. юрист по коммерческой тайне, ноу-хау и NDA.
Для обычных конфиденциальных данных важны точные договорные ограничения и фиксация передачи. Для коммерческой тайны — выполнение статьи 10 Закона № 98-ФЗ. Для ноу-хау — идентификация секрета и разумные меры конфиденциальности. Для программного кода — отдельное оформление исключительных прав. Для персональных данных — специальное поручение по Закону № 152-ФЗ.
Особенно внимательно в 2026 году нужно относиться к ноу-хау, созданному самим подрядчиком: действующая статья 1471 ГК РФ сохраняет право за исполнителем, а предложенная законодателем возможность договориться иначе пока находится на стадии законопроекта.
Нормативная база и судебные акты
• ГК РФ, статьи 1465 и 1471 — ноу-хау.
• ГК РФ, статьи 1288, 1296 и 1297 — права на произведения и заказную разработку.
• Федеральный закон № 152-ФЗ, статья 6 — поручение обработки персональных данных.
• Законопроект № 1240307-8 о поправках к статье 1471 ГК РФ.
• 1 ААС от 25.07.2025 № 01АП-3428/2025, дело № А43-5126/2025.
• АС г. Москвы от 30.07.2024, дело № А40-26939/2024.
• 13 ААС от 03.08.2024, дело № А56-50497/2023.
• АС Московского округа от 20.03.2023 № Ф05-29248/2021, дело № А40-69577/2020.
Материал носит информационный характер. Конкретная схема защиты зависит от вида сведений, состава внешней команды, архитектуры доступа и цепочки прав на результаты разработки.