NDA и соглашение о конфиденциальности: как защитить информацию в бизнесе

NDA расшифровывается как Non-Disclosure Agreement — соглашение о неразглашении. В российской практике это договор или раздел основного договора о конфиденциальности и ограниченном использовании информации.

Рабочий NDA отвечает минимум на шесть вопросов: какие сведения защищаются, для какой цели их можно использовать, кто получает доступ, какие есть исключения, как долго действует обязанность и что происходит при нарушении. Для команды NDA связывают с трудовыми или подрядными документами и условиями об интеллектуальных правах. Для международной сделки отдельно выбирают применимое право, суд или арбитраж, язык, способ подписания и маршрут исполнения решения.

NDA может быть отдельным соглашением или частью договора о разработке, инвестициях, поставке, лицензии, M&A либо трудового документа. Название не определяет юридический результат: важны предмет, обязанности и доказательства передачи информации.

Соглашение бывает:

• односторонним, когда сведения раскрывает преимущественно одна сторона;
• взаимным, когда обе стороны обмениваются закрытой информацией;
• многосторонним, если в проекте участвуют несколько компаний, инвесторов или консультантов.

Взаимная форма не всегда безопаснее. Если информация движется только в одну сторону, симметричные обязанности могут скрыть разные риски и сделать исключения слишком широкими. Сначала рисуют реальный поток данных, затем выбирают форму.

NDA полезен до первого существенного раскрытия, например:

1. стартап показывает инвестору финансовую модель, продуктовую карту или data room;
2. заказчик открывает разработчику репозиторий, архитектуру и доступы;
3. производитель обсуждает рецептуру, параметры процесса или прототип;
4. компания привлекает сотрудника, консультанта или субподрядчика к закрытому проекту;
5. стороны проверяют лицензию, франшизу, совместное предприятие или покупку бизнеса.

Пункт 4 статьи 434.1 ГК РФ уже запрещает стороне ненадлежаще раскрывать или использовать информацию, переданную ей в ходе переговоров как конфиденциальную. Однако NDA помогает заранее определить границы обязанности и создать доказательства: какие материалы передали, когда, кому и для какой цели.

Если раскрытие уже началось, не стоит задним числом объявлять конфиденциальным всё общение. Лучше перечислить прежние передачи: документы, ссылки, встречи, даты, версии и получателей.

Это четыре разных режима.

Один документ может поддерживать несколько контуров, но требования не сливаются. Подробнее обязательные меры разобраны в глоссарии о коммерческой тайне, а признаки объекта — в материале о ноу-хау.

Сначала составьте карту раскрытия, а не скачивайте универсальный шаблон.

Стороны и роли. Кто раскрывает сведения, кто получает, есть ли компании группы, консультанты, инвесторы и субподрядчики? Проверьте полномочия подписантов и корпоративные адреса.

Цель. Оценка сделки, разработка, аудит, пилот или переговоры — разные цели. Формула «для сотрудничества» слишком широкая: по ней трудно отделить разрешённое использование от нарушения.

Категории сведений. Перечисляйте не только документы, но и исходный код, демонстрации, устные объяснения, образцы, учётные данные, выгрузки и выводы, сделанные из закрытых данных. Для устного раскрытия задайте способ последующего подтверждения.

Получатели и каналы. Определите круг need-to-know, допустимые облака, data room, почту, мессенджеры и репозитории. Если получатель вправе открыть сведения advisers или аффилированной компании, договор должен связывать их обязанностями не слабее согласованного стандарта.

Государства и данные. Для международной сделки заранее выясните, где находятся получатели, серверы, активы и персональные данные. Это влияет не только на NDA, но и на privacy, санкции и исполнимость.

Надёжный проект обычно содержит следующие блоки.

1. Предмет и идентификация информации. Категории должны быть достаточно конкретными, чтобы получатель понимал границы, а раскрывающая сторона могла доказать передачу.
2. Цель и запрет нецелевого использования. Одного запрета разглашать мало: сведения могут использовать внутри компании против интересов владельца без внешней публикации.
3. Допустимые получатели. Сотрудники, консультанты и компании группы получают доступ по need-to-know; основной получатель отвечает за соблюдение согласованного режима в предусмотренных договором пределах.
4. Исключения. Обычно исключают общедоступное, ранее законно известное, независимо разработанное и законно полученное от третьего лица. Доказательства исключения лучше определить заранее.
5. Обязательное раскрытие. Если закон или орган требует данные, получатель уведомляет другую сторону, когда это разрешено, раскрывает минимально необходимый объём и просит сохранить ограниченный доступ.
6. Меры защиты и инциденты. Зафиксируйте организационный и технический стандарт, журнал доступа, срок уведомления об инциденте и сохранение доказательств — без обещания, что утечку можно исключить полностью.
7. Возврат и уничтожение. Учитывайте резервные копии, legal hold, обязательное хранение и технически неизменяемые архивы. Формула «удалить всё немедленно» часто неисполнима.
8. No licence / no transfer. Доступ к сведениям не предоставляет лицензию и не передаёт исключительные права.
9. Два срока. Период, в течение которого раскрывают информацию, и срок обязанности сохранять конфиденциальность — не одно и то же. Универсального безопасного срока нет.
10. Ответственность и доказательства. Определите соотношение неустойки и убытков, порядок уведомлений, допустимые каналы и документы, подтверждающие нарушение.

Для работника одного NDA недостаточно. Если компания вводит режим коммерческой тайны, статья 11 закона № 98-ФЗ требует ознакомить сотрудника под расписку с перечнем защищаемой информации, режимом и ответственностью и создать условия для соблюдения правил. B2B-штраф нельзя механически переносить в трудовой документ: применяются ограничения трудового законодательства.

С подрядчиком NDA нужно читать вместе с основным договором и ТЗ. Конфиденциальность не решает, кому принадлежат код, дизайн, документация, модели или база данных. Отдельно регулируют переход прав, open source и компоненты третьих лиц, приёмку, доступ к репозиториям, субподрядчиков и возврат учётных данных.

Для AI- и SaaS-сервисов проверяют ещё один поток: может ли сотрудник или подрядчик загружать код и документы внешнему поставщику, хранит ли тот данные, использует ли их для обучения и кому передаёт дальше.

Чтобы ссылаться на режим по закону № 98-ФЗ, обладатель определяет перечень сведений, ограничивает и контролирует доступ, учитывает получивших доступ лиц, регулирует отношения с работниками и контрагентами и маркирует материальные носители грифом с данными обладателя. Один гриф или один NDA не заменяет этот комплекс.

Маркировать подряд всё содержимое компании тоже опасно: закон исключает некоторые сведения из режима, а чрезмерно широкая формула ухудшает управляемость. Перечень должен соответствовать фактической ценности и доступам.

В деле № 306-ЭС25-461 Верховный Суд указал на необходимость исследовать, какое конкретно ноу-хау стороны согласовали и передали, имело ли оно коммерческую ценность, был ли свободный доступ и принимались ли разумные меры. Нижестоящие акты отменили, дело направили на новое рассмотрение. Это не готовый ответ по любому NDA, а предупреждение против неопределённого предмета и формальных актов.

Универсальной «правильной» суммы неустойки нет. Она должна соотноситься с характером сведений, вероятными последствиями и применимым правом. По российскому праву полезно прямо определить в договоре, засчитывается ли неустойка в убытки или взыскивается сверх них. Явно несоразмерную неустойку суд может снизить по статье 333 ГК РФ.

Для убытков нужны доказательства нарушения, причинной связи и размера. Поэтому журнал доступа, версии документов, переписка, технические логи и фиксация инцидента часто важнее максимально высокой цифры в договоре.

Слово injunction не создаёт обеспечительную меру автоматически. Компетентный суд или арбитраж решает вопрос по своим процессуальным критериям. В российском арбитражном процессе учитываются основания статей 90–91 АПК РФ.

Выбор применимого права не выбирает автоматически суд или арбитраж. Эти элементы согласуют отдельно.

Проверьте:

• право, регулирующее договор, и обязательные нормы затронутых государств;
• государственный суд либо арбитраж, а для арбитража — место, правила и институт;
• основной язык и приоритетную версию;
• порядок вручения уведомлений и доказательства подписания;
• возможность срочных мер;
• государства, где находятся ответчик и его активы;
• признание и исполнение будущего решения, фактическую доступность процесса и санкционные ограничения.

Нью-Йоркская конвенция создаёт международную рамку для признания и исполнения иностранных арбитражных решений, но не относится ко всем государственным судебным решениям и сохраняет основания для отказа. Для российской стороны дополнительно проверяют статьи 248.1–248.2 АПК РФ и свежую практику о фактических барьерах доступа к иностранному форуму. Это не означает, что всегда нужно выбирать российский суд; решение зависит от сделки и активов.

Юридическая сила не возникает только из-за бренда платформы. В договоре полезно согласовать способ подписания, корпоративные аккаунты, идентификацию и полномочия, audit trail, адреса для уведомлений и допустимые электронные доказательства.

Затем форму проверяют по применимому праву. Статья 7 закона № 63-ФЗ предусматривает специальные условия применения в России подписи, созданной по иностранному праву. Поэтому нельзя обещать, что DocuSign, Adobe Sign или иной сервис автоматически признаётся в любой стране и любом споре.

Если в data room, клиентской базе, HR-документах или переписке есть персональные данные, NDA покрывает только договорную конфиденциальность. Оно не создаёт правового основания обработки и не заменяет требования закона № 152-ФЗ.

До трансграничной передачи российский оператор выполняет отдельный контур статьи 12 в действующей редакции: проверяет зарубежного получателя и меры защиты и, по общему правилу, направляет специальное уведомление Роскомнадзору. Для государства вне перечня адекватной защиты начало передачи связано с дополнительным периодом рассмотрения. Также отдельно проверяют локализацию при сборе, поручение обработки, цели и объём данных.

Для конкретного проекта этот раздел требует privacy-review: страна, категория субъектов, получатель, инфраструктура и цель меняют вывод.

Раскрывающая и получающая стороны смотрят на один текст по-разному.

Раскрывающая сторона проверяет полноту категорий, запрет использования, получателей, безопасность, инциденты, доказательства и возврат данных.

Получающая сторона ищет неопределимый предмет, сведения вне её контроля, чрезмерно широкий круг аффилированных лиц, невозможное удаление резервных копий, обязанности без исключений, несоразмерную ответственность и конфликт с основным договором.

Обе стороны сверяют иерархию документов. Если основной договор разрешает использование результата, а NDA запрещает любое использование информации, спор возникнет уже в тексте. Нужно определить, какой документ имеет приоритет по каждому вопросу.

Первый шаг — не массовое удаление следов, а фиксация: какие сведения раскрыты, кем, когда, через какой канал и у кого сохранился доступ. Параллельно ограничивают дальнейший доступ, сохраняют логи и резервные данные и выполняют договорные и обязательные уведомления.

Затем определяют правовую основу: только NDA, режим коммерческой тайны, права на ноу-хау, персональные данные или их сочетание. От этого зависят адресаты требований, срочные меры и доказательства. Удалить публикацию, остановить аккаунт, потребовать возврат носителей и готовить иск — разные действия; порядок выбирают по фактам, не по универсальному шаблону.

Различия коммерческой тайны и ноу-хау следуют из закона № 98-ФЗ и статей 1465–1469 части четвёртой ГК РФ. Требование конкретизировать ноу-хау и доказать его передачу иллюстрирует определение ВС РФ № 306-ЭС25-461.

Границы выбора иностранного права и обязательных норм разъясняет Пленум ВС РФ № 24, а актуальные санкционные риски иностранного форума — тематический обзор ВС РФ № 8/2026, утверждённый постановлением Президиума № 11А/2026. Международный механизм для арбитражных решений описывает Нью-Йоркская конвенция. Privacy-блок учитывает 265-ФЗ от 26 июля 2026 года.

Материал даёт общую карту по российскому праву на 21 августа 2026 года. Для конкретной международной сделки и передачи персональных данных нужны проверки выбранных государств, получателей и инфраструктуры.