تبدأ حماية الأسرار التجارية في السعودية قبل وقوع التسريب بوقت طويل. فالمعلومة لا تحصل على حماية قوية لمجرد أن صاحبها يصفها بأنها «سرية»، بل يجب تحديدها، وإثبات قيمتها التجارية، وتقييد الوصول إليها، ووضع تدابير معقولة للمحافظة على سريتها. وإذا كانت ملفات العملاء أو الأسعار أو الشفرة أو الخطة الاستراتيجية متاحة لكل موظف أو ترسل عبر حسابات شخصية بلا ضوابط، يصبح إثبات العناية بالسرية أكثر صعوبة.

كما لا توجد عقوبة واحدة تلقائية لكل إفشاء. قد تنشأ مسؤولية تعاقدية أو مطالبة مدنية أو إجراء متعلق بالمنافسة أو الملكية الفكرية أو البيانات أو الجرائم المعلوماتية بحسب طبيعة المعلومة وطريقة الحصول عليها واستخدامها. يوضح هذا الدليل شروط السر التجاري، وكيف تبني المنشأة برنامج حماية قابلًا للإثبات، وما الذي تفعله عند الاشتباه بالتسريب.

ما المقصود بالمعلومات التجارية السرية؟

تعالج لائحة حماية المعلومات التجارية السرية المعلومات التي تتصف بالسرية وتستمد قيمة تجارية من كونها سرية، واتخذ صاحبها تدابير معقولة للمحافظة عليها. ويشمل ذلك بحسب الوقائع معلومات فنية أو تجارية أو تشغيلية لا تكون معروفة عادة أو سهلة المنال للأشخاص الذين يتعاملون مع هذا النوع من المعلومات.

ومن الأمثلة الممكنة:

• تركيبة أو وصفة أو أسلوب تصنيع.
• شفرة مصدرية أو خوارزمية أو تصميم تقني غير منشور.
• قائمة عملاء تتضمن تاريخ التعامل والاحتياجات والأسعار.
• سياسة تسعير وخصومات وهوامش ربح.
• خطة دخول سوق أو استراتيجية تفاوض أو عرض غير معلن.
• معلومات موردين وشروط تعاقد خاصة.
• بيانات تجارب واختبارات ونتائج سلبية ذات قيمة.
• دليل تشغيل أو إجراءات داخلية تمنح ميزة تنافسية.

لا تصبح كل معلومة داخل الشركة سرًا تجاريًا. المعلومات العامة، أو المعروفة في القطاع، أو التي يمكن الوصول إليها بسهولة، أو خبرة الموظف العامة ومهارته، تحتاج إلى تمييز دقيق عن المعلومات المحمية.

الشروط الثلاثة الأساسية للحماية

1. أن تكون المعلومة سرية فعلًا

يجب ألا تكون معروفة على نطاق واسع أو متاحة بسهولة لمن يعملون عادة في المجال. إذا نشرت المنشأة المعلومة في موقعها أو عرضتها في معرض دون اتفاق سرية، يصعب لاحقًا اعتبار النسخة المنشورة سرًا. وقد تبقى عناصر أخرى غير منشورة محمية إذا أمكن فصلها.

2. أن تكون لها قيمة تجارية بسبب السرية

القيمة قد تتمثل في توفير الوقت والتكلفة، أو تحسين المنتج، أو معرفة العملاء، أو القدرة على تقديم سعر، أو تجنب تجربة فاشلة. لا يشترط أن تكون المعلومة منتجًا نهائيًا؛ فقد تكون بيانات بحث أو خطة لم تنفذ بعد.

3. اتخاذ تدابير معقولة للمحافظة عليها

هذا الشرط عملي. لا يكفي وضع كلمة «سري» على ملف إذا كان الرابط عامًا. وتقاس معقولية التدابير بحسب حجم المنشأة وحساسية المعلومة والتقنية والمخاطر. تتضمن التدابير عقودًا وصلاحيات وتشفيرًا وتدريبًا ومراقبة وتسليمًا منظمًا عند انتهاء العلاقة.

الفرق بين السر التجاري وبراءة الاختراع

براءة الاختراع تمنح حقًا وفق شروط وإجراءات تسجيل وإفصاح عن الاختراع، ولمدة نظامية. أما السر التجاري فيعتمد على بقاء المعلومة سرية ولا يحتاج تسجيلًا مماثلًا، وقد يستمر ما دامت الشروط قائمة. لكن السر لا يمنع الغير من الوصول إلى النتيجة بصورة مستقلة أو عن طريق هندسة عكسية مشروعة إذا لم يوجد قيد آخر.

تختار المنشأة بين المسارين بعد تقييم إمكانية استنتاج المنتج، وعمر التقنية، والحاجة إلى الإفصاح، واحتمال اكتشاف الغير، وقابلية الاختراع للحماية. أحيانًا تحمى أجزاء ببراءة وتبقى معرفة تشغيلية أخرى سرية.

الفرق بين السر التجاري والعلامة وحقوق المؤلف

العلامة التجارية تحمي ما يميز السلع أو الخدمات مثل الاسم والشعار، ولا تكون قيمتها قائمة على السرية. وحقوق المؤلف قد تحمي التعبير الأصلي في الشفرة أو الدليل أو التصميم، لكنها لا تحمي كل فكرة أو معلومة تجارية مجردة. وقد تجتمع الحمايات: برنامج غير منشور قد يتضمن شفرة محمية بحق مؤلف ومعرفة تشغيلية سرية وعلامة للمنتج.

يجب عدم الاعتماد على نوع واحد من الحماية دون تحليل. تسجيل العلامة لا يحمي قائمة العملاء، واتفاق السرية لا يمنح براءة، وحقوق المؤلف لا تعوض ضعف صلاحيات الوصول.

الفرق بين السر التجاري والبيانات الشخصية

قائمة العملاء قد تكون سرًا تجاريًا وتحتوي في الوقت نفسه على بيانات شخصية. عندئذ يجب حماية الميزة التجارية والامتثال لنظام حماية البيانات الشخصية. لا يجوز استخدام صفة السر ذريعة لجمع بيانات بلا مسوغ أو رفض حقوق أصحابها.

ينبغي تحديد جهة التحكم والمعالجة، والغرض، والاحتفاظ، والنقل، والحوادث، إلى جانب السرية. ويمكن الرجوع إلى مقال الترتيبات التنظيمية لسدايا وحماية البيانات.

ابدأ بجرد الأسرار وتصنيفها

لا تستطيع حماية ما لا تعرفه. أنشئ سجلًا يبين اسم المعلومة ومالكها الداخلي ومكانها ومن يصل إليها وقيمتها ومدة الحاجة إليها. ثم صنفها مثل: عام، داخلي، سري، وسري للغاية. يجب أن يكون التصنيف واقعيًا؛ إذا صنفت كل بريد بأنه سري، سيفقد التصنيف معناه.

يمكن أن يتضمن سجل السر:

• وصفًا كافيًا دون كشف المحتوى كاملًا.
• سبب القيمة التجارية.
• تاريخ الإنشاء والتحديث.
• الأنظمة والمجلدات والنسخ الورقية.
• الأشخاص والأدوار المسموح لها.
• الأطراف الخارجية التي استلمته.
• العقود والتدابير التقنية.
• مدة الاحتفاظ وخطة الإتلاف.

مبدأ الحاجة إلى المعرفة

لا تمنح الموظف الوصول لأنه يعمل في الشركة فقط. يجب أن يصل إلى ما يحتاجه لأداء مهمته، وأن تراجع الصلاحية عند النقل والترقية والإجازة وانتهاء العقد. الحسابات المشتركة تمنع معرفة من نسخ أو حمل الملف، ولذلك ينبغي استخدام حسابات فردية وسجلات دخول.

وفي المشاريع الحساسة يمكن فصل البيانات: فريق يرى المواصفات دون الأسعار، وآخر يرى العملاء دون الشفرة. هذا يقلل أثر اختراق حساب واحد ويثبت أن المنشأة تعاملت مع المعلومة على أنها سر.

اتفاقية عدم الإفصاح NDA

اتفاق السرية أداة مهمة لكنه ليس بديلًا عن الحماية الفعلية. ويجب أن يحدد:

• ما المعلومات السرية، وكيف تسلم أو تعرف.
• الغرض المسموح به للاستخدام.
• الأشخاص الذين يجوز الإفصاح لهم.
• التدابير المطلوبة للحماية.
• الاستثناءات مثل المعلومة العامة أو المطورة استقلالًا.
• الإفصاح الإلزامي للجهات وطريقة الإخطار.
• مدة الالتزام، مع مراعاة استمرار سرية المعلومة.
• إعادة الملفات وإتلاف النسخ.
• الإخطار بالحوادث والتعاون في التحقيق.
• القانون والاختصاص والجزاءات المتاحة وفق النظام.

لا تستخدم تعريفًا يغطي كل معلومة شفهية إلى الأبد دون وسيلة تحديد؛ فقد يصعب تطبيقه. وفي المقابل، لا تحصر السر في ملف يحمل ختمًا إذا كانت الاجتماعات والأنظمة تكشف معلومات حساسة.

حماية الأسرار في عقود الموظفين

يجب ربط السرية بدور الموظف. يتضمن العقد أو السياسة واجب المحافظة على المعلومات، واستخدامها لأغراض العمل، ومنع إرسالها إلى الحساب الشخصي، وملكية مخرجات العمل، وإعادة الأجهزة والملفات. ويجب تدريب الموظف عند الانضمام لا الاكتفاء بتوقيع ورقة طويلة.

أما شرط عدم المنافسة فيحتاج إلى صياغة وضوابط مستقلة، ولا ينبغي استخدامه لمنع الموظف من العمل في مجاله بلا مبرر. حماية السر تركز على عدم أخذ المعلومات واستخدامها، وليس امتلاك الشركة لكل خبرة اكتسبها الموظف.

إجراءات خروج الموظف

تزداد مخاطر التسريب قبل الاستقالة وبعدها. أنشئ إجراء خروج يشمل:

1. حصر الأجهزة والحسابات والصلاحيات.
2. حفظ سجلات التحميل والتحويل وفق السياسة والنظام.
3. إلغاء الوصول في الوقت المناسب.
4. استعادة الملفات والأجهزة والبطاقات.
5. تأكيد مكتوب بعدم الاحتفاظ بنسخ.
6. تذكير محدد بالمعلومات السرية دون تهديد عام.
7. نقل مهام العملاء والحسابات المؤسسية.
8. مراجعة أي نشاط غير معتاد بطريقة مشروعة.

لا تدخل إلى جهاز شخصي أو بريد خاص بلا أساس وصلاحية؛ فالتحقيق يجب أن يحترم الخصوصية والأدلة.

الموردون والشركاء والمستشارون

قد يكون أكبر تسرب من طرف خارجي: مطور، مصنع تعاقدي، وكالة تسويق، محاسب، مزود سحابي أو مستثمر محتمل. قبل الإفصاح اسأل: هل يحتاج الطرف كل المعلومة؟ هل يمكن إخفاء أجزاء؟ هل وقّع اتفاقًا؟ أين سيحفظها؟ وهل يسمح لمقاول فرعي؟

يجب أن يتضمن العقد حظر الاستخدام خارج الغرض، وضوابط الوصول، والإخطار بالحادث، والتدقيق، وإعادة البيانات، ومسؤولية المقاولين الفرعيين، ومنع تدريب أدوات الذكاء الاصطناعي على المحتوى دون تصريح.

العناية الواجبة في الصفقات والاستثمار

عند بيع شركة أو جذب مستثمر، يحتاج الطرف الآخر إلى معلومات حساسة. لا تفتح غرفة البيانات كاملة منذ اليوم الأول. استخدم مراحل: معلومات أولية، ثم تفاصيل بعد توقيع السرية، ثم أشد الأسرار للمتقدمين الجادين أو المستشارين المحددين.

فعّل العلامات المائية وسجل التنزيل ومنع النسخ عند الإمكان، وحدد من يجيب عن الأسئلة. وفي الصفقة مع منافس مباشر قد يلزم فريق نظيف أو مستشار مستقل حتى لا تصل الأسعار والعملاء إلى الإدارة التجارية قبل الإغلاق.

العمل عن بعد والأجهزة الشخصية

يجب تنظيم التخزين المحلي والطباعة والشبكات العامة والتطبيقات غير المعتمدة. استخدم إدارة أجهزة وتشفيرًا ومصادقة متعددة واتصالًا آمنًا، وحدد هل يسمح بجهاز شخصي. إذا سمح، يجب فصل بيانات الشركة ووضع آلية محو مؤسسي لا تمس الملفات الشخصية دون حق.

كما يجب منع تصوير الشاشات أو الاجتماعات الحساسة بلا إذن، ومراجعة إعدادات التسجيل التلقائي والنسخ السحابي.

الذكاء الاصطناعي التوليدي والأسرار

نسخ عقد أو شفرة أو قائمة عملاء إلى أداة عامة قد يكون إفشاءً لطرف خارجي. ضع قائمة بالأدوات المعتمدة، وراجع شروط استخدامها واحتفاظها بالمدخلات وتدريب النماذج. يمنع إدخال الأسرار والبيانات الشخصية إلى أدوات غير معتمدة.

وحتى في أداة مؤسسية، استخدم الحد الأدنى وأخفِ الهوية وراجع صلاحيات المحادثات والمكونات الإضافية. يجب أن يعرف الموظف أن السرية لا تتوقف عند البريد؛ كل «طلب» للأداة قد يصبح نسخة خارج السيطرة.

كيف تكتشف التسريب؟

تساعد سجلات الدخول والتنزيل والطباعة والمشاركة، وتنبيهات الأحجام الكبيرة، ومراقبة الحسابات الخارجية، وتقارير العملاء. لكن المراقبة يجب أن تكون معلنة ومتناسبة ومشروعة، وألا تتحول إلى تجسس غير محدد.

قد تظهر المؤشرات في منتج منافس مطابق، أو تواصل العملاء من موظف سابق، أو ملف منشور، أو رسالة ابتزاز. لا تتهم قبل حفظ الدليل والتحقق من إمكان التطوير المستقل أو المصدر العام.

خطة الاستجابة لتسريب الأسرار

1. تشكيل فريق: قانوني وتقني وأمن وموارد بشرية وإدارة.
2. الاحتواء: إلغاء صلاحية أو رابط دون إتلاف الأدلة.
3. الحفظ: نسخ جنائية أو موثوقة للسجلات والأجهزة وفق صلاحية.
4. التحديد: ما المعلومة؟ من وصل إليها؟ متى؟ وإلى من؟
5. التقييم: هل تستوفي شروط السر؟ وما الضرر والاستعجال؟
6. الإخطار: مراجعة التزامات البيانات والعقود والجهات.
7. المراسلة: إنذار مركز أو طلب وقف وحفظ أدلة عند ملاءمته.
8. الإجراء: طلب تحفظي أو دعوى أو بلاغ وفق التكييف.
9. المعالجة: تغيير السر أو الوصول وتصحيح ضعف النظام.

حفظ الأدلة

يجب إثبات وجود المعلومة قبل التسريب، وقيمتها، والتدابير، ووصول المدعى عليه، والفعل، والضرر. ومن الأدلة:

• نسخ مؤرخة من السر وسجل إنشائه.
• سياسات التصنيف والصلاحيات.
• اتفاقيات السرية وعقود العمل.
• سجلات الدخول والتنزيل والبريد.
• محاضر التدريب والإقرارات.
• مقارنة فنية بين الملف والمنتج أو العرض المنافس.
• مراسلات العرض أو الاعتراف.
• أدلة المبيعات أو العملاء أو التكلفة.

لا تعدل الأجهزة أو الملفات الأصلية أثناء التحقيق دون توثيق؛ لأن سلامة سلسلة الحفظ تؤثر في الثقة بالدليل.

المطالبات والجزاءات الممكنة

قد يطلب صاحب الحق وقف الاستخدام أو الإفصاح، وإعادة أو إتلاف النسخ، والتعويض عن الضرر، وتطبيق بند تعاقدي، أو اتخاذ إجراء وفق لائحة المعلومات التجارية السرية أو أنظمة أخرى. ولا يصح الجزم بالسجن أو غرامة محددة لكل إفشاء؛ فذلك يعتمد على الفعل والسند، مثل الاختراق أو الاحتيال أو إساءة الأمانة أو مخالفة بيانات أو عقد.

كما قد يدفع الطرف الآخر بأن المعلومة عامة أو طورها استقلالًا أو حصل عليها بصورة مشروعة أو أن المنشأة لم تحمها. يجب الاستعداد لهذه الدفوع بأدلة عملية لا بمجرد وصف الملف بأنه سري.

العلاقة مع نزاعات أسماء النطاقات

قد يستخدم موظف أو شريك سابق السر لتشغيل موقع على نطاق مشابه، أو ينقل قاعدة العملاء إلى متجر مقلد. عندها افصل بين طلب وقف استخدام السر وطلب نقل النطاق وحق العلامة. ويمكن الرجوع إلى دليل نزاعات أسماء النطاقات في السعودية.

تدقيق سنوي لحماية الأسرار

• تحديث سجل الأسرار والمالكين.
• إزالة الصلاحيات الزائدة.
• اختبار استرداد الأجهزة والحسابات.
• مراجعة عقود الموظفين والموردين.
• فحص الأدوات السحابية والذكاء الاصطناعي.
• اختبار حادث تسريب افتراضي.
• مراجعة الاحتفاظ والإتلاف.
• تدريب الفرق عالية المخاطر.
• تقييم معلومات جديدة تحتاج براءة أو حماية أخرى.

أخطاء شائعة

• القول إن كل معلومات الشركة سرية دون تصنيف.
• استخدام اتفاق NDA منسوخ بلا تحديد غرض.
• منح الوصول لكل الموظفين.
• إرسال الملفات إلى بريد شخصي أو واتساب بلا ضابط.
• عدم سحب صلاحية الموظف المغادر.
• كشف التفاصيل للمستثمر قبل اتفاق وإجراءات.
• إدخال الأسرار إلى أدوات ذكاء اصطناعي عامة.
• إتلاف الدليل أثناء محاولة الاحتواء.
• الادعاء بعقوبة جنائية تلقائية بلا تكييف.

أسئلة شائعة

هل يجب تسجيل السر التجاري؟

الحماية لا تقوم على تسجيل مماثل للعلامة أو البراءة، بل على توافر شروط السرية والقيمة والتدابير المعقولة. لذلك السجل الداخلي والأدلة مهمان.

هل اتفاقية السرية وحدها كافية؟

لا. هي دليل مهم، لكن يجب تقييد الوصول وحماية الأنظمة وتدريب الأشخاص وإدارة النسخ. عقد بلا تطبيق قد يضعف إثبات التدابير.

هل قائمة العملاء سر تجاري دائمًا؟

يعتمد على محتواها ومدى عموميتها وقيمتها والتدابير. قائمة أسماء عامة تختلف عن قاعدة تتضمن تاريخ الشراء والتفضيلات والأسعار والتواصل غير المتاح.

هل يجوز للموظف استخدام خبرته بعد المغادرة؟

تبقى خبرته ومهارته العامة له، لكنه لا يجوز له أخذ ملفات أو أسرار محمية أو استخدامها بالمخالفة للعقد والنظام. الحد يفحص بحسب المعلومة والوقائع.

الخلاصة

الحماية الفعلية للأسرار التجارية برنامج يجمع القانون والتقنية والإدارة. حدد السر وقيمته، وقلل الوصول، ووثق العقود والتدريب، وأدر الموردين والخروج، واستعد للحادث. عند التسريب، احفظ الدليل وافصل بين المطالبات واختر الإجراء الذي يطابق الفعل والضرر.

تنبيه مهني: هذا المحتوى معلوماتي عام ولا يغني عن فحص طبيعة المعلومة وعقودها وتدابيرها وطريقة الحصول عليها واستخدامها والأنظمة المنطبقة على الواقعة.