简要回答

第一步建议让技术、法务与HR立即协同：在合法权限范围内控制持续外传，同时固定原始电子证据，并行判断是否触发应急、报告和通知义务。有正在外传的迹象时，及时止损，不必等待全部取证完成；也不要为了让员工“赶紧删掉”，先把关键痕迹清掉。

**第一步建议让技术、法务与HR立即协同：在合法权限范围内控制持续外传，同时固定原始电子证据，并行判断是否触发应急、报告和通知义务。**有正在外传的迹象时，及时止损，不必等待全部取证完成；也不要为了让员工“赶紧删掉”，先把关键痕迹清掉。

这是风险管理建议，没有适用于所有公司的法定固定顺序。本文讨论中国大陆一般企业，不预判某名员工违法。

先把这次操作说清楚

建议指定一名协调人，组织技术、法务和HR围绕四个问题核查：哪个账号、什么时间、从哪个系统、复制了什么？是否超出岗位授权或批准用途？是否进入私人邮箱、网盘、外部设备或其他未经授权渠道？风险是否仍在持续？

能合法取得的材料，例如原始审计和导出日志、文件清单及版本、账号权限、审批交接材料、已知传输记录，尽量保留；记录提取人员、时间、方法和后续操作。截图可作线索或证据，但不要只留裁剪截图、任由原始日志覆盖。电子数据的完整性、来源和提取环境会影响真实性判断，并非所有案件必须鉴定或公证。电子证据规则

针对公司管理系统的持续异常，可以在合法权限内限制高风险导出、撤销相关访问或终止异常会话，采取与风险相称的措施。具体操作交由具备能力的人员，兼顾业务连续性和证据完整性。不要机械关闭全部系统，也不要把公司设备管理权理解成强迫员工交出私人手机密码、全面翻查私人账户的权力。

“大量复制”与“侵犯商业秘密”是两回事

批量复制值得核查，但文件名、数量和离职时间不能单独证明侵权。现行《反不正当竞争法》第十条要求识别具体信息的非公知性、商业价值和相应保密措施，再判断获取、披露、使用等行为。未经授权以不正当手段获取本身也可能构成侵害，不必等到竞争对手实际使用才关注。现行法律

公开联系方式与包含交易习惯、报价体系的内部客户信息，性质可能不同；公开源代码、获准工作副本与受保护核心代码也要区分。既往权限、协议、培训和访问控制应如实保存，事后补签协议不能倒推此前已采取保密措施。只凭长期客户关系也不足以认定客户信息属于商业秘密。商业秘密司法解释

也要排除正常交接、批准备份、开发工具自动同步等解释。能看资料，不代表一定能导出到私人渠道；发生在离职前，也不代表一定恶意。

应急和报告不能等到追责结论出来

如果已发生危害网络安全或网络数据安全的事件，适用主体应立即启动预案、控制危害，并按照规定报告。核查是否发生事件、影响范围和等级，应与止损取证同步开展。网络安全法第27条、网络数据安全管理条例第11条

《国家网络安全事件报告管理办法》要求发现或获知事件后按附件研判。较大以上事件按主体分别报告：涉及关键信息基础设施的，第一时间向保护工作部门和公安机关报告，最迟1小时；中央和国家机关各部门及直属单位向本部门网信机构报告，最迟2小时；其他网络运营者及时向属地省级网信部门报告，最迟4小时。行业有专门要求的还要遵守。不能把4小时套在所有异常复制上，也不能为“等查清谁侵权”延迟应报事项。信息不全时，办法允许先报告规定的基础事项、再及时补报。报告办法第4、7条及分级附件

如果涉及自然人的客户信息，发生或可能发生泄露、篡改、丢失时，《个人信息保护法》第五十七条要求立即补救并通知履行个人信息保护职责的部门和个人。采取措施能有效避免危害时，可以不通知个人，但主管部门仍可要求通知；该例外不等于免除主管部门通知，也不以达到较大网络事件为前提。个人信息保护法

网络数据安全事件对个人、组织权益造成危害的，还需依适用规定及时通知利害关系人，法定例外从其规定。处置中发现涉嫌违法犯罪线索，应按规定向公安机关、国家安全机关报案并配合；不能将所有报案事项都写成可有可无的维权策略。单纯复制记录也不能直接定性为犯罪。条例第11条

追责路径放在事实与风险判断之后

不要先要求删除所有副本：删除可能抹掉传播路径等线索。建议协调证据固定、风险控制与后续返还、停止使用、清除安排；不是为了留证据而放任外泄。

是否解除劳动合同，要结合事实、规章制度、严重程度及适用程序审查，大量下载不能自动推出即时解除合法。是否申请法院证据保全，要考虑证据灭失或以后难取得等法定条件，内部保存材料不等于法院保全。劳动合同法第39条、民事诉讼法第84条

如果最终确认是批准的业务操作且无持续风险，可以回到权限与交接管理，无须为了追责扩大冲突。如果已有可靠的越权转移、外传或竞争使用线索，再评估民事救济等路径；依法应急、通知和报案的事项同时处理。

**发现异常后，先让风险不再扩大，让事实能够复核，再决定责任和救济。**涉及国家秘密、重要数据、跨境或特殊行业时，另行核查特别规定。核验日期：2026年10月12日。

常见问题

大量复制就能认定侵犯商业秘密吗？

不能单凭数量认定，要核对具体信息三要件及获取、披露、使用行为；正常授权操作要排除，不正当获取本身也可能构成侵害。

一定要在4小时内报告吗？

该期限适用于报告办法规定的较大以上事件中的其他网络运营者；涉及关基、机关直属单位和行业规则时另有要求。不能因此延迟个人信息保护法等适用义务，信息不全可依法先报再补。

应先让员工删除副本吗？

建议统筹固定证据、控制风险和后续返还清除，避免抹掉线索，也不为保留证据放任持续外泄。

可以只凭下载量辞退吗？

不能自动推出解除合法，需要结合事实、制度、严重程度与适用程序审查。