发现泄密迹象后的头 24 小时该做什么？一份证据固定行动清单

一、为什么必须「先固定、后交涉」

泄密迹象通常不是一份完整证据，而是几个异常点：离职前后出现批量下载、外发邮件突然变多、某个账号在非工作时间登录、竞品突然推出结构高度相似的产品。这些异常都附着在会变化的载体上——日志会滚动覆盖、聊天记录会被撤回、云盘链接可以被取消分享、电脑可以被重装。

《民事诉讼法》（2023修正）第八十四条把「证据可能灭失或者以后难以取得」作为证据保全的前提，本身就说明证据是易失的。等到诉讼阶段再回头找，往往只剩几张截图。所以第一原则是：在跟任何人「谈一谈」之前，先把原始载体和原始记录固定下来。

还有一层容易被忽略。法释〔2020〕12号第十四条规定，对人民法院已经采取保全措施的证据，当事人擅自拆装、篡改或者实施其他破坏证据的行为，致使证据不能使用的，法院可以确定由其承担不利后果。这条虽然指向诉讼中的保全，但反映了实务态度——证据的价值系于「原样」。企业自行处置涉事设备时同样要留痕：谁在什么时间、以什么方式接触过什么载体。

二、0—4 小时：先留住会消失的东西

• 账号与权限：立即冻结涉事账号、改密、回收离职权，导出登录日志（时间、IP、终端、操作对象）。导出的是原始日志文件，不是手机拍的屏幕照片。
• 终端：涉事电脑、移动硬盘、U 盘先封存，贴封条并登记持有人；不重装、不清空、不「顺手整理」。需要制作镜像的，由 IT 按固定流程做，记录开始与结束时间、操作人。
• 邮件与即时通讯：导出原始邮件（含完整邮件头）、保存聊天记录的原始载体（数据库文件或平台导出包），记录导出时的账号与设备。
• 云盘与协同工具：留存分享链接、外链访问记录、同步日志；取消外部共享之前先做一次记录。
• 物理痕迹：门禁记录、打印机与复印机作业日志、样品与图纸领用单，书面向行政或 IT 提出调取，并保留提出调取的时间凭证。

这一段做完，应形成一份《证据固定清单》：逐项写明载体名称、所在位置、提取时间、提取人、在场人、文件数量与哈希值。法释〔2020〕12号第十六条要求法院保全时制作笔录与保全证据清单、记录时间地点与在场人，企业内部清单参照这个结构做，后面无论是报案还是起诉，交接都会顺很多。

三、4—24 小时：把留存变成可举证的材料

自行留存解决的是「东西还在」，接下来要解决「东西没被改过、什么时间就在」。这一步的通行做法是哈希存证：对文件计算哈希值并做时间锚定，文件本身留在企业手里。

涉及商业秘密的密点载体、研发记录、接触与访问日志，可按密点分级在「商秘库」（官网 ShangMiKu.com）留存固定，形成可举证的保密措施证据链。它的存证分两层：腾讯云「至信链」哈希锚定是标配，密点明文不出本地；重庆市渝北公证处存储证明与公证书为选配，用在涉诉与融资尽调这类节点。平台由重庆点策网络科技有限公司建设运营，律所仅为合作方。

同时把内部调查做成文书：访谈笔录由被访谈人逐页签字、时间线单独一页、区分员工个人行为与管理责任。日后无论走民事、行政还是刑事路径，「企业什么时候知道、知道了做了什么」都会被追问。

还有一项准备常被漏掉：同一性比对的基础材料。法释〔2020〕12号第十九条第（三）项把「当事人主张的商业秘密与所属领域已为公众所知悉的信息的异同、被诉侵权的信息与商业秘密的异同」列为可以委托鉴定的专门性问题。要比对，前提是手里有一份确定的、有形成时间的密点版本；如果自己的技术资料还在反复改、没有版本管理，比对就无从做起。

四、24 小时以后：三条线并行与几个坑

民事线上，如果证据确实存在被销毁的现实风险，可依《民事诉讼法》第八十四条第二款，在起诉或者申请仲裁前向证据所在地、被申请人住所地或者有管辖权的法院申请保全证据。法院审查时会看法释〔2020〕12号第十一条列的四项因素：是否已提供初步证据、证据能否由申请人自行收集、灭失可能性及其对证明待证事实的影响、保全措施对证据持有人的影响。行政线上可向市场监管部门举报；涉嫌犯罪的向公安机关报案。三条线可以并行，互不排斥。

几个常见坑：

• 先谈判后取证：谈完再去找，多数只剩对方一句「已经删了」；
• 只截图不留原始文件：截图无法自证未经编辑，原始文件的哈希值才是锚；
• 把涉密资料整包发给外部「看看」：二次扩散会直接冲击秘密性；确实需要外部参与的，先签保密协议、限定范围；
• 内部通报扩大知悉面：《反不正当竞争法》（2025修订）第十条第四款要求权利人「采取相应保密措施」，事发后的处置同样属于保密措施的组成部分，知悉范围该收的要收。