怀疑离职员工带走技术资料，证据链应从哪里开始？

吕箐翎律师的判断是：怀疑离职员工带走技术资料时，证据链应从“企业究竟保护哪一项信息”开始，而不是从员工去了哪家公司开始。 加入竞争对手、曾经有访问权限或出现下载记录，都可能触发核查，但不能单独证明商业秘密侵权。

第一段证据：具体秘密信息

企业应把“核心技术”“客户资源”或“全部代码”继续拆分，明确到可识别的技术方案、源代码模块、图纸版本、工艺参数、客户名单字段、报价逻辑或其他具体信息。还要区分哪些内容已经公开、哪些属于行业通常知识、哪些在争议时间仍处于未公开状态。

对象无法识别，后续就无法判断企业保护了什么、员工接触了什么、新单位又使用了什么。商业秘密的重要性不能替代对内容和边界的说明。

第二段证据：与对象对应的保密措施

保密协议是一项材料，但不能自动把企业全部资料变成商业秘密。应继续核对争议信息是否有权限分级、账号控制、文件标识、下载审批、设备管理、外发限制和离职回收等实际措施。

措施需要与具体信息对应。如果文件长期向无关人员开放、没有访问区分或可任意外发，应如实还原当时管理状态。反过来，即使制度完整，也只说明企业采取过保护措施，不等于员工实施了不当获取或使用。

第三段证据：接触、下载与外发

访问权限说明员工可能接触资料；下载、复制、邮件外发或异常登录记录则需要继续核对操作者、时间、文件名、文件内容、原始载体和正常工作背景。单独截取一条日志，可能无法说明文件是否就是争议信息，也无法说明后续流向。

应优先保存在企业权限范围内合法取得的原始日志和设备记录，并记录提取方式。为补证而修改账号、日志或文件内容，反而可能破坏材料的完整性和可解释性。

第四段证据：离职交接

交接材料应与实际系统动作对应：账号何时停用，权限何时回收，设备和文件是否返还，未完成事项如何移交，保密义务是否再次提示。只有一张签字交接表，却没有权限回收和文件状态，难以说明资料在离职节点如何被控制。

技术合同、保密约定和交付文件可以帮助确定使用边界，但合同标题本身不能证明特定文件已经被员工带走。

第五段证据：新单位是否使用对应信息

新单位产品出现相似功能，仍需判断相似之处是否对应企业主张的具体秘密，还是来自公开资料、行业通用方案、第三方来源或独立研发。应把原单位信息版本、员工接触时间和新产品形成记录放在同一时间线上。

吕箐翎律师建议先做一次最小对应：选定一项最具体的信息，列出它的未公开状态和保密措施，再连接员工接触记录与新单位使用线索。任何一段没有可核对材料，就明确写成事实缺口，不用身份、竞争关系或时间接近替代侵权证明。