Quais medidas razoáveis protegem um segredo comercial?

Quando um caso de segredo comercial é perdido, geralmente é perdido por causa das medidas razoáveis. O réu não nega que a informação era valiosa; ele mostra que a empresa a tratava como qualquer outra coisa: sem NDA, pastas de rede abertas, nada marcado, nenhum procedimento de desligamento. A lei não exige segurança perfeita. Ela exige medidas razoáveis nas circunstâncias, o que os tribunais interpretam como medidas proporcionais ao valor da informação e ao porte e aos recursos da empresa. Uma startup de dez pessoas não é avaliada pelo padrão de uma empresa do setor de defesa, mas é avaliada pelo padrão de uma startup de dez pessoas que se preocupou com o assunto. A seguir está o checklist de medidas razoáveis para proteger segredos comerciais que nossa equipe de proteção de segredos comerciais usa ao montar ou auditar um programa.

Comece pela identificação

Não dá para proteger o que você não nomeou. A primeira medida é um inventário: uma lista escrita das categorias de informação que a empresa trata como segredos comerciais, onde cada uma está, quem tem acesso e por que ela tem valor. Ele não precisa descrever os segredos em si. Precisa mostrar que a empresa tomou uma decisão deliberada sobre o que era confidencial, em vez de alegar depois do fato que tudo era. Os tribunais desconfiam do autor que só identifica o segredo comercial quando o litígio começa, e alguns exigem que o autor o identifique com precisão antes do início da fase de produção de provas (discovery). Nosso artigo sobre o que se qualifica como segredo comercial explica o teste que cada item do inventário precisa passar.

Contratos com todos que têm acesso

As obrigações de confidencialidade devem vincular todas as pessoas e entidades que tenham contato com a informação:

• Funcionários assinam um acordo de informações confidenciais na contratação, antes de receberem acesso, com uma definição que abranja as categorias do inventário.
• Prestadores de serviços e consultores assinam um contrato com o mesmo alcance, além da cessão de tudo o que desenvolverem.
• Fornecedores, fabricantes e parceiros assinam um NDA antes de qualquer divulgação sensível, com restrições de uso além da obrigação de sigilo.
• Potenciais compradores e investidores assinam um NDA antes da due diligence, mesmo que tenham recusado um na fase do pitch.
• Clientes que recebem documentação técnica aceitam cláusulas de confidencialidade na licença ou no contrato principal.

Os contratos precisam ser bem redigidos e administrados de forma consistente. Um NDA que exige a marcação dos documentos confidenciais, quando nada é marcado, pode enfraquecer a reivindicação em vez de sustentá-la. Essas armadilhas são tratadas em nosso artigo sobre se um NDA sozinho protege segredos comerciais.

Controles de acesso alinhados ao inventário

Restrinja o acesso com base na necessidade de conhecer e tenha como provar isso. Permissões por função em sistemas de arquivos, repositórios de código e bancos de dados; autenticação multifator; registro de quem acessou o quê e quando; e armazenamento separado para o material mais sensível. A segurança física também conta: salas ou armários trancados para fórmulas e protótipos, registro de visitantes e crachás. O tribunal se convence com um sistema que teria revelado um vazamento, não com uma política que diz que esse sistema deveria existir.

As pastas compartilhadas são o problema recorrente. Se todos os funcionários conseguem abrir a pasta que guarda o modelo de preços, o modelo de preços não está sendo protegido. Organizar a informação em níveis, para que só as pessoas que precisam da camada sensível consigam alcançá-la, é a medida mais eficaz e menos cara desta lista.

Marcação e identificação

Identifique documentos, telas e exportações de dados confidenciais como confidenciais ou proprietários. A marcação não é exigida por lei, mas faz duas coisas: avisa o destinatário de que o material é restrito, o que derruba uma alegação posterior de que ele não sabia, e demonstra ao tribunal que a empresa gerenciava ativamente seus segredos. Mantenha a marcação proporcional. Se tudo for marcado como confidencial, inclusive o cardápio do almoço, a etiqueta deixa de significar alguma coisa.

Políticas, treinamento e ciência

Adote uma política escrita de informações confidenciais e peça que os funcionários declarem ciência dela. Faça treinamentos na integração e periodicamente depois disso, e guarde as listas de presença. A política deve tratar do manuseio de documentos, do uso de dispositivos pessoais e contas pessoais na nuvem, do trabalho remoto, das redes sociais, de apresentações em conferências e do que fazer quando um terceiro pede informações. Nossa página de governança corporativa e políticas internas descreve como essas políticas se encaixam no restante da estrutura de compliance da empresa.

Integração e desligamento

Funcionários que saem da empresa são a fonte mais comum de apropriação indevida, e o procedimento de desligamento é a medida que os tribunais examinam com mais atenção. No último dia: revogue todos os acessos aos sistemas, recolha os dispositivos da empresa, obtenha uma declaração assinada de que o funcionário devolveu ou apagou todo o material confidencial, lembre o funcionário por escrito de suas obrigações que continuam valendo e, no caso de funcionários com acesso a segredos importantes, faça uma entrevista de desligamento perguntando para onde ele vai e o que vai fazer. Revise os registros de atividade recentes do funcionário em busca de downloads ou transferências fora do comum. A integração tem uma contrapartida: peça aos novos contratados que confirmem que não estão trazendo informações confidenciais de um empregador anterior, o que protege a empresa de ser a ré.

Fornecedores, serviços em nuvem e terceiros

A informação compartilhada com fornecedores e armazenada em serviços de nuvem continua sendo seu segredo comercial se o compartilhamento for controlado. Os contratos com fornecedores devem restringir o uso ao serviço contratado, exigir que o fornecedor aplique suas próprias medidas razoáveis e exigir a devolução ou destruição ao final. O armazenamento em nuvem não é uma divulgação, mas a configuração da conta faz parte das suas medidas; um bucket aberto é um arquivo aberto. Nossa equipe de gestão de riscos e conformidade legal revisa as condições com fornecedores com isso em mente.

Como documentar suas medidas razoáveis

Cada item acima gera um registro: contratos assinados, logs de acesso, listas de treinamento, declarações de ciência das políticas, checklists de desligamento. Guarde todos. No litígio, a pergunta não é se a empresa tinha boas intenções, mas o que ela consegue provar que fez. Um dossiê, físico ou digital, que mostre o programa em funcionamento é o que transforma o argumento das medidas razoáveis de uma história plausível em prova.

Se você quer uma auditoria das suas práticas atuais com base neste checklist, uma consulta com a Capitol Law Partners pode identificar as lacunas e a ordem para corrigi-las. Agende uma consulta.

Este artigo tem caráter meramente informativo e não constitui aconselhamento jurídico. Esta comunicação não estabelece uma relação advogado-cliente.

Cagatay Ersoy. Estratégia prática para fundadores, investidores e empresas em crescimento.

Precisa de ajuda com este tema? Veja nossa página de programas de proteção de segredos comerciais ou agende uma consulta.