商业秘密犯罪：从“造成损失”到“情节严重”，企业必须知道的几个关键变化

商业秘密，是企业核心竞争力的“压箱底”。但很多企业直到核心信息被泄露、被带走，才发现自己对商业秘密的保护几乎为零。更尴尬的是，有些行为明明已经踩到了刑事红线，用人单位却还在纠结“要不要报警”。

【什么样的信息才算法律上的“商业秘密”？】

不是所有被标上“机密”的东西，法院都会认。要构成刑法意义上的商业秘密，必须同时满足三个要件。

1. 不为公众所知悉

这个信息不能是行业通用知识，也不能通过公开渠道轻易获取。比如客户名单，如果只是从黄页上扒下来的公司名录，不算；但如果是长期交易中沉淀下来的联系方式、采购偏好、报价策略，就可能构成。

2. 具有商业价值

这个价值可以是现实的，也可以是潜在的。哪怕信息尚未投入市场，只要对竞争对手有用、能节省研发成本或试错成本，就可能满足条件。

3. 权利人采取了合理保密措施

这是很多企业最容易翻车的地方。签了保密协议算不算？算，但远远不够。法院会综合看：有没有分级管理？有没有访问权限控制？有没有物理隔离措施？有没有定期保密培训？什么都没有，只靠一份模板协议，很可能被认定为“未采取合理保密措施”。

【哪些行为可能构成“侵犯商业秘密罪”？】

《刑法》第二百一十九条不是只盯着“偷”，它规范的行为类型比大多数人想象的更广。以下三类是实务中最高发的案发场景。

1. 以不正当手段获取

直接窃取、利诱、胁迫、欺诈，或者通过黑客手段入侵系统…这些都算。注意，这里不需要“已经使用”，只要“获取”行为本身就可能构成犯罪。也就是说，你把技术图纸拷进U盘的那一刻，红线已经踩到了。

2. 违反保密义务披露或使用

这是离职员工案中最常见的类型。员工在职期间合法接触商业秘密，但违反保密协议，离职时带走信息，入职竞品公司或自行创业使用。这种行为一旦造成重大损失，就可以入罪。

3. 第三人“明知或应知”仍然获取或使用

这一条专门针对“接收方”。竞品公司挖人时，如果明知对方带来了前东家的商业秘密，仍然拿来用，接收方和企业负责人同样可以构成共犯。实务中，不少企业就是栽在这一条上。

【“盗窃”和“电子侵入”到底怎么区分？】

以前说到侵犯商业秘密的手段，大家笼统地叫“窃取”。但数字时代，窃取的形式变了——可能是U盘拷贝，也可能是黑客入侵服务器。新司法解释把这两条路径拆开，分别给了明确定性。

1. “非法复制”就是盗窃。

只要是把商业秘密通过复制的方式“拿”走，不管载体是纸质文件、U盘还是云盘，都属于刑法意义上的“盗窃”。这意味着，哪怕员工只是在离职前用自己的手机拍了几张技术图纸，没有物理带走任何东西，同样可能构成盗窃型侵权。

2. “未经授权使用系统”就是电子侵入。

如果行为人是通过黑客技术突破防火墙，或者用别人的账号密码登录公司系统窃取数据，那就不是“盗窃”，而是“电子侵入”。这个区分不是文字游戏——在司法实践中，电子侵入型犯罪在强制措施适用、缓刑可能性上，跟违约型侵权有明显差异，直接关系到案件走向。

3. 一个容易混淆的点：有权限的人复制，算不算“盗窃”？

如果员工本身就有合法权限接触商业秘密，违反保密义务私自复制，这不属于“不正当手段获取”，而应当归入“违约型”侵权。两者的法律后果和辩护策略完全不同，办案时必须先把这个前提理清楚。

【“从“造成重大损失”到“情节严重”，标准怎么算？】

2021年《刑法修正案（十一）》把侵犯商业秘密罪的门槛从“造成重大损失”改成了“情节严重”，但“情节严重”到底怎么认定，过去几年实践中一直有些模糊。直到2025年的新司法解释出台，才算给出了明确的量化尺子。

1. 损失数额或违法所得，30万元是基本门槛。

跟过去动辄要求“造成损失50万元以上”不同，现在只要给权利人造成的损失达到30万元，或者侵权人自己的违法所得达到30万元，就够“情节严重”了。注意，这两个标准是“或”的关系——哪怕权利人一分钱没损失，侵权人靠披露商业秘密赚了30万，照样能追诉。

2. 两年内再犯，门槛降到10万元。

如果侵权人两年内已经因为侵犯商业秘密受过刑事处罚或者行政处罚，再次实施同类行为，入罪数额直接降到10万元。这个信号很明确：对“惯犯”零容忍。

3. 什么算“情节特别严重”？

数额达到前面标准的十倍（也就是300万元以上），或者直接导致权利人因重大经营困难破产、倒闭的，法定刑就升到三年以上十年以下。这里“直接导致破产”要打引号——实践中要证明侵犯商业秘密和破产之间有直接因果关系，难度不小。

【损失怎么算：没有实际披露、使用，也要赔“许可费”？】

商业秘密案件最头疼的就是“损失怎么算”。新司法解释最大的突破之一，就是针对“拿了但还没用”的情形，给出了明确的计算路径，堵上了过去的漏洞。

1. 拿了没用？按“合理许可使用费”算。

如果侵权人以不正当手段获取了商业秘密，但还没有披露、使用或允许他人使用，损失数额就按这项商业秘密的合理许可使用费来确定。这个规则的意义在于：不能因为权利人还没丢客户，就认为没有损失——商业秘密的独占价值本身就被侵害了。

2. 用了或者披露了？按权利人的利润损失算。

这是最常见的情形。计算方式是：权利人因为被侵权而减少的销售量 × 每件产品的合理利润。如果销售量减少的具体数字不好证明，也可以用侵权产品的销售量 × 权利人的合理利润来推算。

3. 商业秘密彻底泄露了？按“商业价值”算。

如果侵权行为导致商业秘密已经为公众所知悉，或者彻底灭失，那就按这项商业秘密的商业价值来认定损失——研发成本、实施收益、竞争优势的丧失，都可以综合考量。

4. 一个容易被忽略的“加分项”：补救费用也算损失。

新司法解释明确，权利人为减轻损失、恢复系统安全而支出的合理费用，也计入损失数额。这意味着企业花钱做安全审计、聘请技术团队修复漏洞的发票，在刑事追诉中是有用的。

【企业事前防控的“三张底牌”】

商业秘密案件的一大特点是，报案容易、立案难、定罪更难。根源往往不在“对方多狡猾”，而在于“自己前期什么都没做”。以下三点，是企业必须打好的基础。

1. 保密措施要“看得见、摸得着”

保密协议只是起点。系统权限分级、文件水印、离职前的信息清理、涉密区域门禁管理——这些“物理痕迹”才是公安机关立案时最先看的东西。没有这些，案子很可能从一开始就推不动。

2. 商业秘密要“颗粒归仓”

很多企业自己都说不清楚“我们的商业秘密到底是什么”。建议做一次商业秘密资产盘点，把技术信息、经营信息分类登记，明确密级、知悉范围和保密期限。这套台账，既是管理工具，也是未来维权时的核心证据。

3. 离职交接要“法律+技术”双闭环

员工离职时，除了收回设备、注销账号，还要做两件事：一是书面确认“已归还全部商业秘密载体”；二是有条件的企业可以做电子设备镜像留存，防止事后产生争议时无据可查。

【一旦出事，企业应该怎么做？】

发现商业秘密被侵犯后，第一反应至关重要。慌乱之下删数据、找关系、发律师函群发，往往适得其反。建议按以下节奏走。

1. 立即固定电子证据

不要贸然清理涉事员工的电脑、邮箱和聊天记录。正确的做法是：在IT和法务配合下，做镜像备份，并对取证过程全程录像。这一步直接决定后续刑事立案的可能性。

2. 评估损失，筛选路径

不是所有泄密都适合走刑事。如果损失金额较小、证据链薄弱，民事禁令+损害赔偿可能是更务实的选择。如果涉及核心技术、大规模客户数据流失、或已经造成重大损失，则应当尽快启动刑事报案程序。

3. 刑事报案的材料准备

商业秘密刑事案件，公安机关立案门槛较高。建议提前准备好：商业秘密载体及保密措施证据、侵权行为的初步证据链、损失计算说明或审计报告、以及一份清晰的事実梳理材料。必要时，可以委托律师先行出具法律意见书。

商业秘密的保护，本质上是一场和时间赛跑的事前布局。刑事手段是悬在头顶的利剑，但这把剑能不能落下、落在谁头上，拼的是企业前期的合规功底。

如果真的走到了商业秘密被侵犯的那一步，记住一句话：证据是子弹，法律是枪，但没有子弹的枪，永远打不响。