觀點 | BOM表商業秘密刑事保護的思考與建議

來源：市場資訊

（來源：金誠同達）

作者 | 李德成 白露

關鍵詞：

BOM表商業秘密刑事保護；BOM表屬性區分；不為公眾所知悉；同一性鑒定損失計算

01.

案情簡介

據公開信息顯示，2025年度浙江省寧波市公安局偵破一起涉案金額巨大的侵犯商業秘密刑事案件[1]。本案三名被告人牛某、萬某、溫某，案發前均任職于寧波市某新能源汽車企業，分別在零部件成本分析、項目成本核算、物料采購等企業核心機密的關鍵崗位任職。2022年4月溫某提出離職，萬某、牛某相繼轉崗，企業依據內部管理制度對三人進行數據泄露防護系統審計，發現通過工作郵箱違規外發包含“BOM清單”（即物料清單，載有產品零配件材料、報價等關鍵信息）等敏感文件的行為。企業遂依規對三人進行處理，并將該涉嫌犯罪的線索移送至寧波市公安局知識產權犯罪偵查支隊。

經偵查機關依法查證，萬某在知悉溫某已完成離職審計后，認為公司不會再審查溫某的電腦，提出并獲得授權使用溫某的電腦，意圖傳輸公司涉密文件。期間萬某又教唆牛某共同參與，使用已離職人員溫某的電腦及賬戶，規避公司信息安全監管系統，將共計16份企業商業秘密重要內部文件發送至各自個人郵箱。事后，為掩蓋違法行為，牛某將非法獲取的文件轉存至移動存儲介質并刪除本地記錄。萬某修改文件名稱以偽裝相關文件內容。在案件偵查初期，萬某辯稱其行為僅為“個人學習使用”。偵查機關調取證據證實，三人之間經常分享各自崗位接觸到的商業信息，并在外發郵件時更改文件名稱以規避檢查。另查證在案發前，已有某知名咨詢公司主動接近三人，邀請其參加訪談、咨詢等活動，并給予豐厚報酬。審訊過程中三人坦白平時工作會注重搜集公司有價值的商業秘密，回復咨詢過程中也可能談及公司涉密信息。據此認定三人具有披露、使用及允許他人使用該商業秘密的主觀意圖和現實危險性。

法院審理認為，三名被告人作為企業員工，明知并違反其簽署的保密協議與公司規章制度，以不正當手段獲取并意圖使用、允許他人使用權利人的商業秘密，情節嚴重，均已構成侵犯商業秘密罪。經評估，該案所涉商業秘密的價值高達人民幣3300余萬元。最終，慈溪市人民法院依法作出判決，對三名被告人分別判處有期徒刑二年至四年二個月不等的刑罰，并處相應罰金及民事賠償責任。

02.

律師評析

隨著制造業數字化轉型的深入，BOM表（物料清單）反映產品材料構成和加工裝配過程，并成為承載產品核心技術參數與供應鏈成本等信息的重要載體，將其作為商業秘密保護已成為企業維護市場競爭優勢的必修課。BOM表既可能包含技術秘密，比如產品材質配方、工藝參數、性能指標及相互裝配關系等，直接關系到產品的技術性能；也可能包含經營秘密，比如供應商名單、零配件采購價格、成本構成、交貨周期、供應鏈策略和采購物料分類等。主張案件所涉BOM表屬于哪一類型商業秘密信息是刑事控告證據準備的前提和基礎，也是案件是否能順利推進的重要環節。

（一） “不為公眾所知悉”鑒定意見，不是BOM表經營秘密刑事立案所必須，但是對通過比對“同一性”指控非法使用行為有很重要的作用

從筆者所參與的案件情況看，如果主張BOM表中的技術秘密被侵犯，通常需鑒定技術秘密點屬于“不為公眾所知悉”的技術信息，而經營秘密則并不必須提供。根據江蘇省公檢法聯合頒布的《辦理侵犯商業秘密刑事案件的指引》（以下簡稱“《江蘇商業秘密刑事指引》”）的規定，非技術事實如經營信息是否不為公眾所知悉以及同一性的查明，一般不通過鑒定方式解決。對于經營信息，應當著重審查其特有性，權利人為形成該信息所付出的勞動、金錢等投入，以及是否建立了相對穩定的交易關系。實踐中，根據各地辦案機關和檢察機關的要求，可能存在經營秘密類案件的權利人在控告時需提供“不為公眾所知悉”的鑒定意見的情況。筆者認為，經營信息的秘密性主要體現在其深度組合與特定聯系所形成的競爭優勢，其證明重點在于企業已采取合理保密措施且該信息具有商業價值，經營秘密點內容不是技術信息，鑒定機構在沒有深入了解此類信息的具體內涵并研究形成一套特有的檢索方法前，不宜對此類信息出具不為公眾所知悉的鑒定意見。但是，在鑒定機構克服這些困難形成較為成熟的檢索方法和分析評價方案的基礎上，出具頗有說服力屬于“不為公眾所知悉”的鑒定意見，對于刑事立案以及指控侵權均是有利的，應當充分地發揮其重要作用。

主張BOM表是技術秘密還是經營秘密，決定了指控非法使用行為的比對思路和方法。對于主張為技術秘密類的BOM表，在同一性比對時根據技術秘密案件的比對思路，委托鑒定機構對查獲的侵權技術方案載體與權利人主張的技術秘密點進行同一性鑒定得出鑒定結論，詳見筆者此前撰寫的《技術秘密案例評析“十問”》。對于修改性使用，則不能委托同一性鑒定，而應根據案件選擇適用于修改性使用的證明方法，詳見筆者此前撰寫的《技術秘密刑事案件中修改性使用的證明方法與證據標準》。如果主張的是BOM表中的經營秘密，該同一性比對則與技術秘密案件不同，具體見筆者此前撰寫的《區分由若干客戶名單組成的經營信息整體與個別客戶名單中的深度信息具有必要性》。在此不再贅述。

（二）在刑事案件中，要對BOM表的信息進行分類和組合，是為不同類型侵權行為分不同方式計算損失的基礎，也是查明非法使用行為之需要

最高人民法院 、最高人民檢察院發布的《關于辦理侵犯知識產權刑事案件適用法律若干問題的解釋》（以下簡稱“《解釋》”）第十八條[2]針對侵犯商業秘密行為的不同類型，規定相應的損失計算方法。信息類型的差異會影響損失計算方法的適用，具體是指在“以不正當手段獲取權利人的商業秘密，尚未披露、使用”的情形下，根據《解釋》第十八條第一款第一項，損失數額可根據“合理許可使用費”確定。針對技術信息，可參照行業慣例、研發成本及市場價值等客觀要素進行評估，其評估方法已形成相對成熟的技術規范。而經營信息（如客戶名單、采購渠道、成本構成等）缺乏市場許可費參照系，對評估方法的選擇、參數的設定及結果合理性等方面爭議很大。因此，BOM表在適用“合理許可使用費”標準計算損失時需差異化處理，建議提前對BOM表信息進行分類，明確其中技術信息的范圍。對經營信息及其他商業信息，則需根據不同類型信息對公司產生的貢獻，通過搜集與供應商的訂貨金額，開發成本等證據，以此作為計算損失數額的重要參考依據。

除了將BOM表中的信息區分為技術信息與經營信息主張商業秘密外，實際辦案過程中還需根據案件的具體情況對BOM表中的信息進行組合使用。如可能根據產品類型的不同，將該產品涉及的所有采購的零部件信息（包括零部件的型號、尺寸、數量等信息）和供應商信息等技術信息和經營信息的組合作為商業秘密主張進行保護；也可能只對產品中某一核心零部件的供應商信息主張進行商業秘密保護。這種結合案情需要對BOM表中的信息進行的區分和組合的方法，具有積極意義，因為辦案過程中將整個表中的所有信息都做作為商業秘密保護的對象是不現實的，也不具有可操作性。根據經驗得知對表中信息的保護范圍做必要的說明，依然是不可或缺的，其價值最少體現在如下方面：（1）核查形成該信息過程真實性的需要；（2）與所指控侵權行為的關聯性；（3）具體是如何發揮作用和產生價值的；（4）核查該信息權利人正在使用的，及侵權人也在使用之需要等。

綜上所述，準確區分BOM表包含信息屬于哪種類型的商業秘密，是司法機關開展針對性審查的前提，也有利于實際辦案過程中對擬保護的商業秘密進行總結提煉，對商業秘密案件的有效推進具有決定性意義。

（三）各職能部門均可接觸BOM表，一旦泄露產品被快速復制成本優勢喪失，甚至供應鏈被競爭對手切斷，必須采取嚴格的保密措施

1.制度與合同保障

（1）制度建設：公司應制定專門的保密制度，在保密制度中應明確BOM表屬于公司的商業秘密，明確保護范圍；（2）文檔標記：每份BOM表文件首頁加蓋“商業秘密·限內部使用”水印，內部添加“保密”或“機密”水印。以明確該份BOM表屬于公司的商業秘密，防止因員工認知錯誤而將BOM表中包含的信息泄露；（3）簽訂保密協議：公司應與所有可能接觸BOM表的員工、實習生、外包人員簽署專門的《商業秘密保護協議》，明確在職期間和離職后均應對掌握的商業秘密進行保護，在協議中明確BOM表屬于應被保護的商業秘密類型；（4）離職管理：員工提交離職申請后，應及時關閉所有系統賬號，做完離職交接后立即收回公司電腦/手機，簽署《離職保密承諾書》。切勿像本案中寧波某新能源汽車企業，在員工做完離職審計后，仍然可以使用工作電腦并可下載涉密文件；（5）外部合作：公司應與供應商、代工廠、檢測機構簽署帶懲罰性賠償的《保密協議》，明確只能使用“盲化BOM表”（隱藏供應商、料號、單價等敏感字段）。對于部分重要的項目，應采用“分段BOM表”，僅提供加工所需的部分資料信息。

2.技術防護措施

（1）存儲管理：BOM表須存放于經加密的企業級服務器系統中，添加密碼；禁止員工將BOM表在本地保存，離線需求需審批并設置到期自動銷毀；（2）訪問控制：實施“最小必要+角色授權”原則，采購、研發、制造分別只能看到所需字段。并且添加監控措施，對于打印BOM表的行為也需實時監控；（3）防泄漏機制：明確發送BOM表需經申批，傳輸時強制采用加密郵件，禁止明文發送。自動攔截未經審批的含“BOM/物料清單”等關鍵詞的郵件、U盤拷貝、微信/釘釘外發等行為；屬于一級機密的BOM表可考慮添加動態水印，記錄查看人、時間、IP等信息。

3.日常管理與監控

（1）定期培訓：每年至少一次全員商業秘密培訓，將BOM表的保護與泄露的嚴重后果、典型違規行為等作為培訓重點之一；（2）審計機制：每季度由法務+IT聯合審計BOM表訪問日志、郵件外發日志等，發現異常立即展開走訪調查，綜合評估是否需要采取下一步措施；（3）應急響應：制定《商業秘密泄露應急預案》，發現泄露后短時間內啟動律師函、證據保全、公證、報案等程序。通過上述“制度+技術+監控”三道防線相結合，保證企業對BOM表采取的保密措施具有合理性，將BOM表泄露風險降至最低，真正實現商業秘密的長期有效保護。

文章附錄

[1] 《人民日報：依法保護企業“不能說的秘密”》, 載微信公眾號“浙江公安” 2025年10月23日, 2025年12月19日訪問。

[2] 《關于辦理侵犯知識產權刑事案件適用法律若干問題的解釋》第十八條 本解釋規定的侵犯商業秘密“損失數額”，按照下列方式予以認定：（一）以不正當手段獲取權利人的商業秘密，尚未披露、使用或者允許他人使用的，損失數額可以根據該項商業秘密的合理許可使用費確定；（二）以不正當手段獲取權利人的商業秘密后，披露、使用或者允許他人使用的，損失數額可以根據權利人因被侵權造成利潤的損失確定，但該損失數額低于商業秘密合理許可使用費的，根據合理許可使用費確定；（三）違反保密義務或者權利人有關保守商業秘密的要求，披露、使用或者允許他人使用其所掌握的商業秘密的，損失數額可以根據權利人因被侵權造成利潤的損失確定；（四）明知商業秘密是不正當手段獲取或者是違反保密義務、權利人有關保守商業秘密的要求披露、使用、允許使用，仍獲取、披露、使用或者允許他人使用的，損失數額可以根據權利人因被侵權造成利潤的損失確定；（五）因侵犯商業秘密行為導致商業秘密已為公眾所知悉或者滅失的，損失數額可以根據該項商業秘密的商業價值確定。商業秘密的商業價值，可以根據該項商業秘密的研究開發成本、實施該項商業秘密的收益等因素綜合確定。

前款第二項至第四項規定的權利人因被侵權造成利潤的損失，可以根據權利人因被侵權造成產品銷售量減少的總數乘以權利人每件產品的合理利潤確定；產品銷售量減少的總數無法確定的，可以根據侵權產品銷售量乘以權利人每件產品的合理利潤確定。商業秘密系用于服務等其他經營活動的，損失數額可以根據權利人因被侵權而減少的合理利潤確定。

商業秘密的權利人為減輕對商業運營、商業計劃的損失或者重新恢復計算機信息系統安全、其他系統安全而支出的補救費用，應當計入給商業秘密的權利人造成的損失。