客戶名單、研發技術、報價策略、產品配方、程式碼與營運計畫，往往是企業最核心的無形資產。資料外洩未必來自駭客攻擊，更常見的是員工疏忽、離職前大量下載，或競爭對手透過挖角、利誘及合作廠商取得資訊。

一旦資料遭利用，通常難以完全回復。因此，企業不能只靠一紙保密協議，而應從制度、技術、人員及事件應變建立完整防線。

一、先確認哪些資料屬於營業祕密

依營業祕密法第2條，資訊須同時具備三項要件，才可能成為該法所保護的營業祕密：

1、一般涉及該類資訊者所知悉；

2、因其祕密性而具有實際或潛在的經濟價值；

3、所有人已採取合理的保密措施。

如果機密資料放在全員均可存取的共用資料夾，未標示等級，也無下載或攜出限制，即使事後主張資料重要，仍可能因無法證明已採取合理保密措施，而無法依營業祕密法主張權利。

另外，市價、公開報價或其他可從市場及網路輕易查得的資訊，原則上不會因公司蒐集後標示「機密」，就當然成為營業祕密。至於進口價格、成本結構或市場分析資料，企業應具體證明其並非業界通常可知，且曾投入相當時間、費用或人力進行蒐集、篩選、整理及分析，使最終成果具有獨特性與經濟價值。

換言之，企業投入努力本身，並不能使公開資訊自動成為營業祕密；真正可能受到保護的，是不易由外界取得的資料內容、選擇編排、分析方法或整體資訊組合。

因此，企業應先盤點資料，依敏感程度分為公開、內部、機密及高度機密，並明確指定管理人員、儲存位置與可接觸對象。

二、以制度與契約界定保密義務

企業應在勞動契約、保密協議及工作規則，或是公司的內網、辦公室公告中，明確約定資訊範圍、使用目的、存取方式、禁止擅自複製或寄送至私人帳號、禁止輸入未經核准使用的雲端空間或生成式AI服務，以及離職時應返還或銷毀資料。

但保密範圍不宜無限上綱。員工的一般知識、技能與工作經驗，並非公司一宣稱「機密」就當然屬於營業祕密。

離職後競業禁止亦須符合勞動基準法規定，包括雇主具有正當營業利益、勞工職務能接觸或使用營業祕密、限制期間與範圍合理，並給予合理補償。

三、依職務設定權限，保留使用紀錄

資料存取應遵循「最小權限原則」，員工僅能接觸完成職務所必要的資訊。企業可採取：

（一）依部門、職級及專案設定差異化權限，搭配多因素驗證；

1、限制隨身碟、外接硬碟及私人雲端空間；

2、加密重要資料，並在文件加入姓名或編號浮水印；

3、導入資料外洩防護系統（DLP），攔截異常寄送或上傳；

4、監控大量下載、複製或對外傳輸等異常行為。

重要系統應保留登入、瀏覽、下載及寄送紀錄。完整且可驗證未遭竄改的系統日誌（Log），不僅有助於證明企業已實施合理保密措施，發生爭議時，也能還原存取人員、時間、方式及資料流向。

四、加強任職與離職管理

新進員工應接受保密與資安教育，任職期間定期進行訓練；職務調動時，應立即調整存取權限。

員工離職通常是外洩的高風險期間。企業可依法並依內部規範檢視近期有無異常下載或轉寄，並於離職時收回設備、門禁卡及紙本資料，關閉帳號與雲端權限，請員工書面確認未保留公司資料，再次提醒離職後的保密義務。

五、管理競爭對手與合作廠商風險

競爭對手可能透過挖角、假借訪談或共同供應商取得資訊。企業應規範對外發言及展會交流界線，並在與顧問、供應商或經銷商合作前簽署保密協議，約定資訊用途、可接觸人員、禁止轉交第三人、返還銷毀方式及違約責任。

若對方以竊取、擅自重製或引誘員工違反保密義務等方式取得資訊，或明知來源不法仍取得、使用或洩漏，亦可能構成營業祕密侵害。

六、發現外洩時，先保全證據

發現異常時，企業應立即限制相關帳號權限，保存系統日誌、電子郵件、通訊紀錄、監視畫面及設備資料，釐清是否有擅自下載、複製、傳輸或拍攝資料等行為。

切勿急於刪除帳號、重灌電腦或質問涉案人員，以免證據遭破壞。

企業可視情節寄發存證信函或律師函，要求停止使用、返還及銷毀資料；必要時聲請保全證據或定暫時狀態之處分，並評估提出民事訴訟或刑事告訴。

七、結語

營業祕密保護的重點，不是把所有文件都貼上「機密」，而是透過明確範圍、合理權限、保密措施及完整紀錄，讓企業真正重要的資料獲得法律與管理上的雙重保護。