员工把涉密文件传到个人云盘，企业核对什么？

发现员工把涉密文件传到个人邮箱或云盘，企业不能只凭保密协议直接定性。关键不是先给行为贴标签，而是这份文件当时能否被访问、传到了什么载体、系统留下了什么记录，以及企业原本怎样保护它。

市场监管总局令第126号《商业秘密保护规定》已于2026年6月1日施行。规定把未经授权、超出授权范围或授权期满后，向权利人不受控制的邮箱、云盘等下载、传输商业秘密列为需要结合具体事实判断的情形；合理保密措施可以包括保密要求、权限分级和操作日志等。

这时只做一个动作：为该文件制作一张“单文件外发核验卡”。卡片不按部门泛查，只围绕这一份文件逐格写清：谁在何时拥有何种访问授权、授权是否仍在期限内；所用邮箱或云盘是否由企业控制；可对应的下载和传输记录在哪里；以及该文件对应过哪些保密要求、权限设置或操作日志。

其中任一格缺材料，都应如实标为待核实。例如，日志能证明下载，不当然说明传输目的；文件带有“机密”标记，也不能替代对权限设置和实际保密措施的核验。反过来，员工签过保密协议，也不能自动补足文件本身是否获得合理保护这一事实。

这张核验卡用于把事实对象收拢到同一份文件，便于后续判断是否还要调取其他系统记录。它不替代对行为性质的法律定性，也不等于已经备齐举报所需材料：拟举报时，还需准备该商业信息属于商业秘密的初步材料和涉嫌侵权的具体线索。

吕箐翎律师提示：先把同一文件的授权、载体、记录和保密措施对应起来，才能避免把“发现外发”直接等同于已经可以作出完整结论。