NDA, який насправді працює в IT

Я — Богдан Кузьмович, юрист, який уже багато років супроводжує IT-бізнес: аутсорс- і продуктові компанії, студії, індивідуальних спеціалістів. За цей час я прочитав, мабуть, не одну сотню договорів про нерозголошення — і переважна більшість із них об’єднана однією спільною рисою. Вони не працюють.

Не тому, що NDA — це фікція. А тому, що в дев’яти випадках із десяти це скопійований звідкись англомовний шаблон, який підписали просто так, поклали в умовну папку й забули. У момент, коли він мав би спрацювати, коли інформація реально витекла, коли підрядник пішов до конкурента з вашою кодовою базою чи клієнтською базою, — з’ясовується, що пред’явити фактично нічого.

Ця стаття — спроба пояснити, чим відрізняється NDA, який лежить «для галочки», від NDA, на який можна реально спертися в спорі. Вона для CTO, фаундерів, PM-ів і тих спеціалістів, які цей документ підписують, не читаючи. Одразу зроблю застереження: це загальний огляд практики, а не індивідуальна юридична консультація. Конкретну ситуацію завжди треба дивитися окремо.

З чого почалося моє скептичне ставлення до шаблонів

До мене звернулася невелика українська компанія-розробник. Ситуація класична: один із ключових спеціалістів пішов, а через пару місяців на ринку з’явився дуже схожий продукт — з тією ж логікою, тими ж рішеннями, які до того існували тільки всередині команди. У компанії був підписаний NDA. Гарний, на десять сторінок, з американського темплейту, з пунктами про non-compete, non-solicit — усе як годиться.

Коли ми сіли розбирати, чи є з чим іти в суд, картина склалася невесела. Інформацію, яку нібито «вкрали», ніде не було визначено як конфіденційну: жодного переліку, жодного маркування, доступ мали всі в компанії й половина підрядників. А щоб стягнути хоч якісь збитки, треба було спершу довести сам факт розголошення, а доказів, окрім «ми впевнені, що це він», не було жодних.

Тобто документ був. А захисту — не було. І це, на жаль, типова історія, а не виняток.

Що таке NDA в українському праві після 2025 року

Почнімо з бази, бо вона минулого року змінилася. З 28 серпня 2025 року втратив чинність Господарський кодекс України (на підставі Закону № 4196-IX). Це означає, що тепер усі договірні відносини між суб’єктами господарювання регулюються Цивільним кодексом і спеціальним законодавством, без окремої «господарської» гілки. Для NDA практично нічого катастрофічного не сталося, але це привід нарешті перечитати свої шаблони, бо посилання на статті ГКУ в них уже мертві.

Сам по собі NDA (non-disclosure agreement, договір про нерозголошення) — це не поіменований договір в українському праві. Окремої глави «про NDA» в кодексі немає. Він існує завдяки принципу свободи договору: сторони мають право врегулювати свої відносини на власний розсуд, якщо це не суперечить закону. Тобто укласти NDA можна, він є чинним зобов’язанням, алепитання в тому, що саме ви ним зобов’язали і чи зможете це згодом довести.

Окремо стоїть поняття комерційної таємниці. Стаття 505 Цивільного кодексу визначає її через три ознаки, які мають бути наявні одночасно:

— інформація є секретною, тобто невідомою та не легкодоступною для тих, хто зазвичай має справу з таким видом інформації;

— через цю секретність вона має комерційну цінність;

— щодо неї були вжиті адекватні заходи зі збереження секретності особою, яка законно цю інформацію контролює.

Запам’ятайте третю ознаку. Саме на ній розбивається більшість справ. Фактично, закон захищає не ту інформацію, яку ви вважаєте секретною, а ту, з якою ви поводилися як із секретною.

Помилка перша: ви не створили режим конфіденційності

Найпоширеніша хибна думка — сприймати NDA як самодостатній документ. Підписали і вважаємо, що все захищено. Насправді NDA — це лише верхівка. Під ним має бути режим обмеженого доступу до інформації, і саме його наявність ви доводитимете в суді.

Що це означає на практиці. Якщо ви всередині компанії не визначили, що саме є конфіденційним (наказ або політика з переліком категорій інформації), не маркуєте документи й репозиторії відповідно, не розмежовуєте доступ, не ведете облік, хто й до чого має доступ, то з точки зору статті 505 Цивільного кодексу ви не вживали «адекватних заходів». А отже, інформація формально не є комерційною таємницею, хоч би що було написано в NDA.

Парадокс у тому, що компанії часто хочуть «захистити все». У NDA пишуть, що конфіденційним є будь-яка інформація, отримана в ході співпраці. Звучить надійно, але на практиці працює навпаки: коли конфіденційним є все, конфіденційним не є нічого конкретного, і суду нема за що зачепитися. Працює зворотний підхід — необхідне чітко окреслене ядро того, що ви реально бережете й чого реально не знає ринок: архітектурні рішення, певні алгоритми, клієнтська база з умовами, фінансова модель, домовленості з вендорами. Чим конкретніше, тим легше потім довести і факт належності інформації до таємниці, і факт її розголошення.

Помилка друга: ви скопіювали американський шаблон

Це окрема велика проблема. Більшість NDA в українському IT — це форми, привезені від західних замовників або взяті з англомовних генераторів договорів. У них зашиті конструкції, які чудово працюють у Делавері й абсолютно не працюють тут.

Найяскравіший приклад — non-compete, заборона конкуренції. Наприклад, таке положення як «протягом двох років після звільнення ви не маєте права працювати в конкурентів» щодо звичайного найманого працівника в Україні, наштовхується на Конституцію. Стаття 43 гарантує кожному право на працю, стаття 42 — право на підприємницьку діяльність. Умова договору, яка фактично забороняє людині заробляти за фахом, суперечить цим гарантіям, а отже, є вкрай вразливою. У більшості випадків такий пункт — це психологічний тиск, а не юридично примусове зобов’язання.

Із цього правила є важливий виняток — режим Дія City. Закон «Про стимулювання розвитку цифрової економіки в Україні» (стаття 27) уперше легалізував в Україні угоди про утримання від вчинення конкурентних дій (NCA). Але закон обставив це жорсткими умовами, і без них угода є нікчемною:

— вона має бути відплатною — спеціаліст отримує матеріальну компенсацію за саме зобов’язання не конкурувати;

— строк обмежений — не пізніше ніж 12 місяців із дня припинення відносин;

— має бути визначена територія дії;

— має бути вичерпний перелік видів діяльності та/або осіб, які вважаються конкуруючими;

— форма письмова, причому закон передбачає, що такі умови оформлюються окремо, а не «вшиваються» в текст гіг-контракту.

Тобто навіть у Дія City non-compete — це оплатна, обмежена в часі й просторі конструкція. Якщо ви тягнете в український договір американський пункт без компенсації, на три роки, без території — це не спрацює.

Те саме стосується non-solicit (заборони переманювати клієнтів і працівників), адже його реальна сила набагато менша, ніж здається з тексту, і покладатися на нього як на головний захист не варто.

Окремо нагадаю про факт, який ламає чимало шаблонів: значна частина українських спеціалістів працює як ФОП за договорами про надання послуг, а не як наймані працівники. Це інша правова площина. NDA з ФОП живе не за трудовим правом, а за цивільним, і прив’язувати його треба до основного договору про послуги — інакше зобов’язання повисає в повітрі.

Помилка третя: ви не зможете довести порушення

Припустімо, інформацію ви визначили правильно, режим вибудували, конструкції адаптували. Залишається найважче -доведення.

Українська судова практика щодо NDA небагата, але показова. У відомій справі, яку розглядав Ужгородський міськрайонний суд (ТОВ «Сінкмобайлс» проти свого спеціаліста, справа № 308/7827/17), компанія намагалася стягнути штраф у 5 тисяч доларів за порушення договору про нерозголошення. Спір тягнувся роками й завершився відмовою. Суд визнав сам факт порушення недоведеним, адже не вдалося довести, що розголошення взагалі відбулося і що його вчинив саме відповідач.

Це і є типовий сценарій. Господарські суди розглядали й інші подібні спори — наприклад, стягнення штрафу з ФОП-виконавця за порушення умов конфіденційності в договорі на розробку, спори щодо інформації про створені продукти, яку виконавець розмістив у себе в портфоліо. Деталі різні, але вузьке місце майже завжди те саме: позивач має не лише посилатися на пункт договору, а й документально показати, яка саме конфіденційна інформація, кому і яким каналом була розкрита, і що це спричинило наслідки.

Звідси практичний висновок: NDA, який працює, пишеться з думкою про майбутній спір ще на етапі підписання. Це означає, що потрібно фіксувати передачу конфіденційної інформації (актами, листуванням, доступами з логами), а не передавати на словах; маркувати матеріали як конфіденційні, щоб потім не доводити їхній статус заднім числом; вибудовувати систему доступів так, щоб можна було показати, хто й що міг бачити. Без цього найкрасивіший договір залишається папером.

Як структурувати відповідальність, щоб реально щось стягнути

Тепер про гроші, бо власне заради них NDA й підписують. Тут є тонкість, яку варто розуміти.

Цивільний кодекс дає два основні інструменти. Перший — збитки. Ви відшкодовуєте те, що реально втратили. Проблема в тому, що в історіях із розголошенням розмір збитків і причинно-наслідковий зв’язок доводити надзвичайно складно.

Тому в NDA зазвичай закладають другий інструмент — неустойку (штраф) за статтями. Її перевага в тому, що фіксовану суму не треба обґрунтовувати розміром збитків: достатньо довести сам факт порушення. Це робить штраф значно практичнішим засобом, ніж збитки.

Але є два обмеження, про які варто пам’ятати. По-перше, факт порушення довести все одно доведеться (повертаємося до попереднього розділу). По-друге, закон дозволяє суду зменшити розмір штрафу, якщо він значно перевищує розмір збитків. Тобто символічно вписати штраф у мільйон доларів і розраховувати, що його присудять у повному обсязі — це дуже наївно.

Розумна конструкція — це поєднання фіксованого штрафу за сам факт порушення плюс право вимагати збитки в частині, що перевищує штраф, якщо їх вдасться довести.

Не забудьте про персональні дані

Ще один аспект, який часто випадає. Якщо конфіденційна інформація включає персональні дані (а в IT це майже завжди так -дані користувачів, співробітників, клієнтів), то поряд із режимом комерційної таємниці вмикається законодавство про захист персональних даних, а для роботи з даними з ЄС — ще й GDPR. Це інша система обов’язків і відповідальності, і NDA її не замінює, а лише доповнює. Плутати ці режими також не слід.

Що зробити вже зараз

Якщо звести все до короткого переліку дій, я б рекомендував зробити такі дії:

1. Перечитайте свої чинні NDA на предмет «мертвих» посилань на Господарський кодекс і нежиттєздатних non-competeпунктів для працівників та ФОП поза Дія City. Те, що не працює, краще прибрати або переписати, ніж тримати для самозаспокоєння.

2. Визначте конкретне ядро конфіденційної інформації наказом чи політикою, з переліком категорій, — і почніть реально його маркувати й розмежовувати доступ.

3. Вибудуйте фіксацію: передавайте конфіденційну інформацію так, щоб лишався юридичний слід — акти, листування, логи доступів. Спір виграється доказами, а не формулюваннями.

4. Замініть залякувальні суми штрафів на реалістичні й співмірні, додавши право на стягнення збитків понад штраф.

Підсумок

NDA в Україні — робочий інструмент, але він працює не сам собою. Підпис під документом нічого не захищає, а захищає система, частиною якої цей документ є. Інформація отримує правовий захист лише тоді, коли ви поводилися з нею як із секретною: визначили, обмежили доступ, маркували, фіксували передачу. Конструкції на кшталт неконкуренції мають дуже вузьку зону дії в нашому праві — по суті, лише в режимі Дія City й лише за чітких умов. А найбільший штраф нічого не вартий, поки ви не можете довести сам факт розголошення.

Тому, коли мене запитують, як зробити NDA, який «насправді працює», моя відповідь зазвичай розчаровує клієнтів своєю прозаїчністю: справа не в тексті договору, а в тому, що ви робите навколо нього щодня. Текст — це останні п’ять відсотків. Перші дев’яносто п’ять — це режим, доступи й дисципліна фіксації. NDA лише оформлює те, що ви вже реально захищаєте. Якщо ж захищати нема чого і нічим, то будь-який, навіть найдорожчий, договір залишиться просто папером.