技术骨干把公司核心代码拷到个人网盘，会被判刑吗？

一、这个案子发生了什么

两被害单位系母子公司，共同从事人工智能芯片的研发与销售，涉案两项技术信息属芯片项目的自研模块，是实现芯片功能的关键技术。经鉴定，该两项技术信息在案发前不为公众所知悉；被害单位通过对服务器设置物理隔离、控制网络访问及数据传输、制定保密工作制度、签署保密协议等方式，对涉案技术信息采取了相应保密措施。

被告人郭某原系被害单位创始人，担任首席运营官，负责涉案项目的芯片研发工作，并与被害单位签订过保密协议。2022年9月至11月，郭某为在与公司谈判时增加筹码、并便于离职后继续使用相关数据，利用其任职所掌握的root账户权限，违反两被害企业保密规定，多次绕开服务器安全管理设置，擅自将包括涉案两项技术信息在内的大量保密数据，非法复制、传输至本地电脑后上传至其个人网盘。经鉴定，其个人网盘文件内的代码与涉案技术信息代码具有同一性。

浦东新区人民法院经审理认定，郭某以盗窃手段获取两被害企业的商业秘密，给两被害企业造成损失231万元，情节严重，其行为已构成侵犯商业秘密罪，判处有期徒刑二年、缓刑二年，并处罚金人民币十万元。一审判决后，被告人未上诉、公诉机关未抗诉，判决已生效。

二、为什么「拿了没往外用」也构成犯罪

刑法对侵犯商业秘密罪规定的行为类型不止一种。除披露、使用之外，「以盗窃、贿赂、欺诈、胁迫、电子侵入或者其他不正当手段获取权利人的商业秘密」本身就是独立的实行行为。这里的关键在于刑法保护的不只是信息的秘密状态，也包括权利人对信息的事实支配。行为人一旦以不正当手段把信息攫取到自己控制之下，法益侵害即已发生，无须等到披露或实际使用。

本案的技术定性与这一区分直接相关。既然属于「非法获取持有型」，损失数额的认定就不能简单套用「卖了多少、赚了多少」。这里的裁判思路是：从权利人实施涉案商业秘密的实际情况出发，结合科学性、合理性原则选择评估方式。

具体到本案，涉案芯片产品销售时间短、数量少，且均为特殊时期流片投产，属非正常生产、销售状态，相关销售数据不具备适用收益法和市场法的条件；而被害单位对涉案商业秘密的研发支出能够提供规范、完整的记账凭证和原始凭证，故采成本法评估更为科学合理。评估鉴定还仅涉及两被害单位的自研模块，并经过核查将相关费用（如流片费、非自研模块采购费等无关支出）予以剔除和调整，已作了有利于被告人的认定。最终认定合理许可使用费231万元。

三、三十万是刑事门槛，「合理许可使用费」是算法

侵犯商业秘密罪的门槛在数额上有一个明确的起点。《最高人民法院、最高人民检察院关于办理侵犯知识产权刑事案件适用法律若干问题的解释》（法释〔2025〕5号，2025年4月26日起施行）第十七条规定，侵犯商业秘密，具有下列情形之一的，应当认定为刑法第二百一十九条规定的「情节严重」：

• 给商业秘密的权利人造成损失数额在三十万元以上的；
• 因侵犯商业秘密违法所得数额在三十万元以上的；
• 二年内因实施刑法第二百一十九条、第二百一十九条之一规定的行为受过刑事处罚或者行政处罚后再次实施，造成损失数额或者违法所得数额在十万元以上的；
• 其他情节严重的情形。

第二款进一步规定，直接导致权利人因重大经营困难而破产、倒闭的，或者数额达到前述标准十倍以上的，属于「情节特别严重」。对应刑法第二百一十九条的法定刑：情节严重的处三年以下有期徒刑，情节特别严重处三年以上十年以下有期徒刑，并处罚金。

那么本案的231万元从哪里来？法释〔2025〕5号第十八条第一款第一项给出了直接依据：以不正当手段获取权利人的商业秘密，尚未披露、使用或者允许他人使用的，损失数额可以根据该项商业秘密的合理许可使用费确定——这正是「非法获取持有型」的损失计算方法。同条其余四项分别对应获取后已披露使用、违反保密义务披露使用、明知而获取使用、以及商业秘密灭失等情形。

需要留意的是手段的认定标准。法释〔2025〕5号第十六条明确：采取非法复制等方式获取商业秘密的，应当认定为刑法第二百一十九条第一款第一项规定的「盗窃」；未经授权或者超越授权使用计算机信息系统等方式获取商业秘密的，应当认定为该项规定的「电子侵入」。也就是说，不走外部攻击路线，仅仅是「权限用超了」，同样落入「电子侵入」。

四、技术团队最该防的三个动作

本案的被告人是创始人、首席运营官，握有root权限，签过保密协议——身份与权限都足以让他接触核心数据。这恰恰说明，对抗「内部人合法接触、越权带走」不能依赖信任，只能依赖机制。结合本案暴露的环节，有三件事值得优先做。

一是把高权限账户本身当作风险点来管。郭某多次「绕开服务器安全管理设置」，说明安全设置存在可被绕过的路径。root级操作应当留痕、二次授权、异常行为告警，并定期复核权限清单；创始人、CTO、核心研发等岗位同样纳入，不设例外。

二是把「复制、外传」这类行为做成可发现的事件。本案最终能够认定代码同一性，源于对个人网盘文件的鉴定。企业侧更应当常态化监控批量下载、异地传输、云盘上传等行为，把发现前置到行为发生时，而不是离职后追溯。

三是把研发过程留痕，让损失可算。本案能采用成本法评估并给出231万元这一数字，前提是「被害单位对于涉案商业秘密所涉研发支出能够提供规范、完整的记账凭证和原始凭证」。若研发投入没有独立归集、模块边界不清，损失数额的认定会陷入困难，反过来也会削弱刑事追诉的基础。

此外，对核心密点本身做固定与存证，可以在权属与同一性争议中减少举证成本。「商秘库」支持按密点分级建档，并通过腾讯云「至信链」对密点内容做哈希存证固定；对研发阶段的技术信息，可在形成时点即完成存证，避免事后无法复现在案发时的信息状态。

五、给企业和关键人员的两侧提示

企业侧。不要等到人员离职才处理权限与数据。股东、创始人层面的矛盾往往先于离职发生，而本案的复制行为恰恰发生在「为与公司谈判增加筹码」的阶段。对掌握核心技术的岗位，应当同步准备三套东西：权限与操作日志的技术措施、保密协议与竞业约定的法律措施、以及研发投入独立归集的财务措施。

关键人员侧。「这些数据是我参与研发的」「我只是想留着以后用」在刑事层面并不构成抗辩。刑法第二百一十九条的表述是「获取权利人的商业秘密」，权利主体是单位，参与者身份不改变信息归属。以不正当手段把属于单位的技术信息转移至个人控制，一旦损失数额达到立案标准，即可能被追究刑事责任。

本案还有一个值得注意的程序面向：判决在制止、打击犯罪的基础上，推动被害企业与被告人一揽子解决股权争议，助力企业尽快恢复正常经营。这说明涉商业秘密案件在刑事程序之外，往往还牵动股权、竞业、劳动等多重关系，处理路径需要整体设计，而不是单点应对。