Клиентскую базу можно выгрузить в CSV за несколько минут. А вот доказать, что ее скопировали с нарушением ваших прав, гораздо труднее, если компания не фиксировала, кто разработал структуру, откуда взялись записи и кому разрешали экспорт. Эти вопросы лучше решить до передачи доступа сотрудникам, подрядчикам и партнерам.
Что именно можно защитить
Под словом «база» могут скрываться разные объекты: таблицы и связи между ними, программный код, клиентские записи, каталоги товаров, аналитические подборки. У каждого свой правовой режим. Покупка сервера или оплата облачного хранения не дает прав на структуру базы и не подтверждает законность использования ее содержимого.
По российскому праву база данных может охраняться как составное произведение, если подбор или расположение материалов — результат творческого труда. Авторское право защищает в этом случае организацию материалов, а не каждый факт по отдельности. При предусмотренных законом условиях у изготовителя базы возникает также смежное право, связанное с извлечением материалов и их последующим использованием. Здесь имеют значение существенные затраты на создание базы, обработку или представление ее содержимого. Отсутствие оригинальной структуры само по себе не исключает такой защиты.
Адрес компании или цена товара обычно не становятся собственностью бизнеса лишь потому, что попали в его таблицу. Другое дело — массовое копирование материалов базы: оно может затрагивать права изготовителя. Для персональных данных, коммерческой тайны и лицензированного контента действуют дополнительные правила. Поэтому проверять нужно и права на массив в целом, и основания для хранения отдельных категорий сведений.
Составьте карту базы
Начните с описания, которое будет понятно и юристу, и технической команде:
- какие разделы и категории записей входят в базу, как часто они обновляются;
- из каких источников поступают сведения и на каком основании их используют;
- кто проектировал структуру, наполнял базу и оплачивал эту работу;
- кому доступны просмотр, изменение, экспорт и резервные копии;
- какие версии базы передаются клиентам, подрядчикам или партнерам.
По такой карте проще отделить собственные материалы от данных, полученных по лицензии, через интеграцию или от пользователей. Заодно станет видно, на каком этапе возможна неконтролируемая выгрузка.
Подтвердите происхождение и вложения
В споре слов «мы годами собирали эти данные» недостаточно. Сохраняйте договоры на сбор и обработку сведений, технические задания, акты, счета, документацию о структуре, историю изменений и подтверждения расходов. Если компания ссылается на права изготовителя, ей особенно важно показать существенность вложений в создание, проверку и представление содержимого. Число строк само по себе не доказывает размер затрат.
Если базу проектировали сотрудники, проверьте, входила ли эта работа в их обязанности и как оформлены служебные результаты. Если привлекали подрядчика, в договоре стоит определить, какие права на созданную структуру и другие результаты получает заказчик, когда они переходят и можно ли использовать наработки подрядчика, вошедшие в проект. Оплата работы не решает вопросы с интеллектуальными правами автоматически.
Зарегистрировать базу данных в России можно, но для возникновения авторского права это не обязательно. Регистрация помогает зафиксировать сведения о заявленном объекте на определенную дату, однако не подтверждает законность каждого источника данных, не доказывает все затраты и не заменяет договоры с разработчиками.
Оформите источники данных и правила передачи
Особого внимания требуют базы, в которые поступают сведения из CRM, открытых каталогов, файлов партнеров, пользовательских анкет и материалов поставщиков. То, что сведения доступны в интернете, еще не означает разрешения на их массовое извлечение или коммерческое использование. Условия договоров, лицензий и законные ограничения проверяйте до импорта, а не после претензии правообладателя.
Передавая базу контрагенту, не ограничивайтесь формулировкой «доступ к данным». Перечислите разрешенные действия: просмотр, поиск, выгрузку, объединение с другими массивами, создание производных подборок, передачу третьим лицам. Зафиксируйте состав сведений, цель и срок доступа, число пользователей, порядок обновлений и действия после прекращения договора. Если партнеру нужны только результаты поиска, полный экспорт может быть избыточным.
Для конфиденциальных сведений полезны обязательства о неразглашении. Но одной пометки «информация конфиденциальна» недостаточно, чтобы установить режим коммерческой тайны. Компания должна определить перечень охраняемой информации, ограничить доступ, вести учет допущенных лиц, закрепить их обязанности в договорах и обозначать материалы в предусмотренном порядке. Режим подойдет не для любой базы: сведения должны иметь коммерческую ценность из-за неизвестности третьим лицам, а доступ к ним должен быть ограничен на законном основании.
Если база содержит персональные данные
Клиентские и пользовательские записи проверяйте отдельно. Определите цели обработки, правовое основание для каждой из них, необходимый объем сведений и сроки хранения. Сверьте уведомления и другие документы с фактическими процессами; если обработка поручена подрядчику, оформите поручение с требуемыми условиями. Договор о правах на базу не дает права использовать персональные данные для любой новой цели.
Имеют значение и рабочие настройки: разграничение доступа, учет действий, сроки удаления, порядок ответа на запросы субъектов данных и правила передачи сведений за пределы организации. Трансграничные процессы и зарубежная инфраструктура требуют отдельной оценки по российскому законодательству. Если проект работает в нескольких юрисдикциях, проверяйте требования каждой из них — российскую модель нельзя просто перенести без изменений.
Ограничьте доступ так, чтобы правила работали
Запрет на копирование в договоре мало поможет, если любой сотрудник может скачать всю базу. Выдавайте права по рабочим задачам: просмотр карточки и массовый экспорт — разные полномочия. Для административных действий и выгрузок используйте персональные учетные записи, журналы событий и процедуру согласования. Вовремя отзывайте доступ у увольняющихся сотрудников и подрядчиков после завершения работы; не забывайте о токенах интеграций и резервных копиях.
Абсолютной защиты такие меры не обещают — их выбирают с учетом характера данных и угроз. Зато при разборе инцидента журнал выгрузок с учетной записью, временем и объемом даст больше, чем предположение о том, кто «мог иметь доступ».
Если базу скопировали: первые юридические действия
Прежде чем удалять учетные записи или переписку, сохраните доказательства. Зафиксируйте обнаруженную копию, доступные публикации, историю экспорта и настройки прав на момент события. Сохраните исходные журналы, резервные версии и документы о происхождении базы. При необходимости организуйте осмотр интернет-страниц или другое надлежащее закрепление доказательств с учетом предполагаемого способа защиты.
После этого выясните, что именно произошло: скопировали структуру, извлекли значительную часть материалов, нарушили договор, разгласили тайну или неправомерно обработали персональные данные. От ответа зависят требования к нарушителю и возможные уведомления. Несколько совпадающих записей не всегда доказывают копирование: сведения могли поступить из открытых источников или быть собраны независимо.
Для начала внутренней проверки возьмите один конкретный случай: выберите сотрудника с правом экспорта и найдите основание его доступа, запись о согласовании выгрузки и документ, который определяет дальнейшее использование файла. Если какого-то звена нет, с него и стоит начать настройку процесса.
Материал носит общий информационный характер и не заменяет индивидуальную юридическую консультацию.