技术图纸和源代码怎么管理才不算泄密？从标识到权限的落地清单

一、判准是「相应」：法院与监管部门各看什么

《反不正当竞争法》（2025年修订）第十条第四款把商业秘密定义为「不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息」。三个要件里，「相应保密措施」最容易被当成形式动作——贴一张「机密」标签、签一份保密协议，就以为完成了。司法与执法口径都不是这个标准。

最高人民法院法释〔2020〕7号第五条给出的是一套判断方法：人民法院应当根据商业秘密及其载体的性质、商业秘密的商业价值、保密措施的可识别程度、保密措施与商业秘密的对应程度以及权利人的保密意愿等因素，认定权利人是否采取了相应保密措施。五个因素中，「对应程度」最能说明问题——措施要指向具体的密点，而不是笼统覆盖整个公司。

市场监管总局《商业秘密保护规定》（总局令第126号，2026年6月1日施行）第九条从行政保护角度列出了八类情形，其中三项与图纸、代码直接相关：第（四）项针对远程办公、跨境协作等场景，采取权限分级、数据脱敏、操作日志留痕等技术保密措施；第（五）项以标记、分类、隔离、加密、封存、限制能够接触或者获取商业秘密及其载体的人员范围等方式，对商业秘密及其载体进行区分管理；第（六）项对能够接触、获取商业秘密的计算机设备、网络设备、存储设备等，采取禁止或者限制使用、访问、存储、复制等措施。

二、图纸：标识、分级、发放、回收四步走

技术图纸的风险点集中在三件事：谁拿到过、拿到的是哪一版、离开后有没有交回。对应到条文，分别是126号令第九条第（五）项的标记与分类封存、第（三）项对涉密厂房车间实验室办公室等场所的进入限制与区分管理、第（七）项要求离职员工登记返还清除销毁其接触获取的商业秘密及其载体。

• 标识：在图纸图框固定位置标注密级与文件编号，密级与编号一并进入版本管理，避免同一张图出现几个都叫「终版」的版本。
• 分级：按对竞争优势的影响划分核心、重要、一般三级，分级结果决定接触范围与审批层级。分级清单本身就是「措施与密点对应」的证据。
• 发放：按人按用途发放，登记领取人、份数、用途与应交回时间；纸质件编号发放，电子件加水印并带接收人标识。
• 回收：离职、岗位调整、项目结束时登记返还并核对份数；确实无法返还的载体按流程销毁并留记录。

这四步不需要昂贵的系统，但必须留下可查的台账。实践中最常见的短板恰恰在这里：措施做了，记录没有，发生争议时说不清某份图纸何时发给了谁。

三、源代码：权限分级、访问留痕、外发审批

代码类密点的管理重心在「账户与出口」。126号令第九条第（四）项直接把权限分级、操作日志留痕列为保密措施，第（六）项则要求对能够接触、获取商业秘密的计算机设备、网络设备、存储设备采取禁止或者限制使用、访问、存储、复制等措施。

• 权限：代码仓库按项目与模块划分，按最小必要授权，敏感模块单独设权；外包与外部协作账户设有效期，到期自动失效。
• 留痕：克隆、批量下载、导出等高风险操作保留日志，日志保存期限覆盖可能的争议周期。
• 外发：送测、交付、委托开发等场景的代码外发走书面审批，明确范围、期限与保密义务，交付件与源代码分离。

为什么反复强调「出口」？126号令第十条把几类行为明确列为不正当手段：未经授权或者超出授权范围，擅自接触、占有或者复制权利人控制下包含商业秘密的载体；未经授权或者超出授权范围，擅自进入权利人的数字化办公系统、服务器、邮箱、云盘、应用账户等；未经授权、超出授权范围或者授权期限届满后，擅自将商业秘密下载或者传输至不受权利人控制的电子邮箱、云盘等网络存储空间或者电子设备。这些条款定性的是他人行为，反过来给企业的提示很清楚：授权边界要写清楚，越界才有可指认的界线。

四、留痕：做了措施，还要能证明做过

126号令第十八条把权利人向市场监督管理部门举报时应提供的初步证据材料具体化为五项，包括商业信息的形成过程和形成时间、不为公众所知悉、商业价值，以及权利人对该商业信息所采取的保密措施。也就是说，举报时被要求的不是「我们一直很注意保密」这类说明，而是能落到时间点与具体措施上的材料。

建议把散落在不同系统里的记录收拢成一条链：密点清单（哪些图纸、哪些代码模块）、措施台账（分级、权限、审批）、操作记录（发放、访问、外发）、版本固定（某一版图纸与代码的哈希值）。核心图纸与代码版本可按密点分级做哈希存证固定，「商秘库」（官网 ShangMiKu.com）支持按密点分级建档，标配通过腾讯云「至信链」对密点内容做哈希锚定（密点明文不出本地），涉诉与融资尽调节点可选配重庆市渝北公证处的存储证明或公证书。需要说明的是，这两层工具解决的是「某时点内容已存在且未被篡改」的固定问题，不构成商业秘密认定，也不产生设权效力；具体事项是否属公证处受理范围，依《公证法》第二十五条由公证员审查核定。

最后提醒一个常见误解：整改动作只有配上记录才算「措施」，否则在举证时与没有措施差别不大。图纸与代码的管理，本质上是一套可持续运行的记录制度。