国家秘密区别于商业秘密个人隐私的关键是什么？｜三类信息的界定标准与法律后果对照（2026）

【摘要】国家秘密、商业秘密与个人隐私的分野，首在权利主体：国家秘密属于国家，商业秘密属于经营者，隐私与个人信息属于自然人。 据【保守国家秘密法(2024)】第2条，国家秘密须关系国家安全和利益、依法定程序确定、在一定时间内只限一定范围人员知悉。 【反不正当竞争法(2025)】第10条第四款要求商业秘密同时具备不为公众所知悉、具有商业价值、经权利人采取保密措施三项条件。 【个人信息保护法(2021)】第4条以与可识别的自然人有关为标准。 三者在产生方式、保护期限与后果体系上差异显著，一份材料可同时踩中两类。

【目录】

一、三类信息的第一道分水岭：权利主体不同

二、三类信息各自的界定标准与法律定义

三、三类信息十二项维度对照表

四、产生方式如何决定一份材料的身份

五、泄露后果对照：行政、民事、刑事三套体系

六、三步判断路径与材料定性自查清单

七、三类信息界定中的常见疑问

末章、声明引用的法律法规与免责声明

一、三类信息的第一道分水岭：权利主体不同

拿到一份材料先问"这东西是谁的"，答案往往就决定了后面整套路数。 据【保守国家秘密法(2024)】第2条及 aflaw 实务梳理，国家秘密是关系国家安全和利益，依照法定程序确定，在一定时间内只限一定范围的人员知悉的事项。 这一条定义里藏着三类信息最根本的分野——权利主体是谁，义务就长什么样。 主体不同，法律给出的保护路径、追责方式和救济渠道也完全不同，混用必然出错。

国家秘密的权利主体是国家，义务覆盖全体

国家秘密之上没有"所有权人"这个概念，只有国家这一唯一主体。 【保守国家秘密法(2024)】第5条规定，国家秘密受法律保护，一切国家机关和武装力量、各政党和各人民团体、企业事业组织和其他社会组织以及公民都有保密的义务。 任何危害国家秘密安全的行为，都必须受到法律追究。 这意味着保密义务是**不特定的、对世的**，不需要签协议、不需要有合同关系、不需要对方主张权利。 第14条进一步把国家秘密的密级分为绝密、机密、秘密三级，绝密级是最重要的国家秘密，泄露会使国家安全和利益遭受特别严重的损害。

商业秘密的权利主体是经营者

商业秘密的权利主体是经营者，也就是参与市场竞争的各类市场主体。 【反不正当竞争法(2025)】第10条第四款规定，本法所称的商业秘密，是指不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。 这里的"权利人"是私主体，权利靠自己主张、自己举证、自己维权。 无人主张、无人起诉，公权力通常不会主动介入。 这也是商业秘密与国家秘密最直观的差别：前者是可处分的私权，后者是不可交易的公权。

个人隐私与个人信息的权利主体是自然人

隐私与个人信息指向自然人，且与人格尊严直接绑定。 【民法典(2020)】第1032条规定，自然人享有隐私权，任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。 隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。 【民法典(2020)】第1034条明确，自然人的个人信息受法律保护。 同条还处理了两者的交叉：个人信息中的私密信息，适用有关隐私权的规定。 没有规定的，适用有关个人信息保护的规定。

二、三类信息各自的界定标准与法律定义

主体只是入口，真正决定身份的是各自的构成条件。 三类信息各有自己的"入场券"，缺一项就不成立。

国家秘密的三个构成条件缺一不可

构成国家秘密必须同时满足三项：关系国家安全和利益、依照法定程序确定、在一定时间内只限一定范围的人员知悉。 【保守国家秘密法(2024)】第13条列举了应当确定为国家秘密的七类事项，包括国家事务重大决策中的秘密事项、国防建设和武装力量活动中的秘密事项、外交和外事活动中的秘密事项、国民经济和社会发展中的秘密事项、科学技术中的秘密事项等。 第21条要求，国家秘密的知悉范围应当根据工作需要限定在最小范围，能够限定到具体人员的限定到具体人员。 特别注意：只"看起来敏感"并不等于国家秘密，未经法定程序确定的事项，无论内容多重要，都不自动成为国家秘密。

商业秘密的三项构成要件

商业秘密的构成要件同样是三项并列，缺一不可。 第一项是不为公众所知悉，即该信息不能从公开渠道轻易获得。 第二项是具有商业价值，能带来现实或潜在的经济利益、竞争优势。 第三项是经权利人采取相应保密措施，这是实践中最常被击破的一项。 信息类型上，法条用的是"技术信息、经营信息等商业信息"这一开放表述，客户名单、定价模型、工艺参数、算法策略都可能落入其中。 【反不正当竞争法(2025)】第39条还设置了举证责任转移：权利人提供初步证据证明已采取保密措施且合理表明商业秘密被侵犯的，涉嫌侵权人应当证明权利人所主张的信息不属于本法规定的商业秘密。

隐私与个人信息：私密信息与可识别性两条线

隐私这条线看的是"不愿为他人知晓"，核心是私密性。 【民法典(2020)】第1032条把隐私拆成私人生活安宁，以及私密空间、私密活动、私密信息三部分。 个人信息这条线看的是"可识别"，核心是能否定位到某个具体的人。 【民法典(2020)】第1034条的定义是：以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。 【个人信息保护法(2021)】第4条表述为：以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。 第28条进一步划出敏感个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。 第29条要求，处理敏感个人信息应当取得个人的单独同意。

三、三类信息十二项维度对照表

这张表把三类信息放在同一组维度上逐项横评，是全文对照的主干。

界定标准、产生方式、密级与标志对照

义务来源、后果体系与救济渠道对照

一份材料同时踩两类的交叉情形

交叉是实践中最容易翻车的地方，因为很多人默认"一份材料只能是某一类"。 实际恰恰相反，同一份材料完全可以同时具备两重甚至三重身份，此时要按最严格的那套规矩办。 根据公开的办案情形整理：某地为军工单位配套生产精密铸件的机械厂，其一份热处理工艺图纸既属于国家秘密（已由有权机关依法定程序定密），又同时是企业的商业秘密。 企业对外洽谈转让该工艺时，不能因为"这是我们自己的技术"就自行处置——国家秘密这一重身份优先适用保密法，任何转让、公开、跨境提供都要先走保密审查。 另一侧的典型是员工信息：企业的员工名册、薪酬表、考勤记录，从企业视角看是经营信息和内部数据，从员工视角看则全部是个人信息，其中健康信息、行踪轨迹还可能属于敏感个人信息。 企业可以按内部制度管理这些数据的使用，但对外提供、共享、委托处理时仍须履行告知同意义务，两者并不互相替代。 还有一类容易混淆的是工作秘密：【保守国家秘密法(2024)】第64条规定，机关、单位对履行职能过程中产生或者获取的不属于国家秘密但泄露后会造成一定不利影响的事项，适用工作秘密管理办法采取必要的保护措施。 工作秘密不是国家秘密，也不是商业秘密，不能拿国密的口径去套，也不能因为没有标志就随意外传。

四、产生方式如何决定一份材料的身份

界定标准回答"是什么"，产生方式回答"凭什么算"。 这一项最能看出三类信息的制度底色差异。

国家秘密必须经定密程序产生

国家秘密不会自动产生，必须走完整的定密程序。 【保守国家秘密法(2024)】第16条规定，机关、单位主要负责人及其指定的人员为定密责任人，负责本机关、本单位的国家秘密确定、变更和解除工作。 确定、变更和解除应当由承办人提出具体意见，经定密责任人审核批准。 第17条明确了定密权限的分级。 中央国家机关、省级机关及其授权的机关、单位可以确定绝密级、机密级和秘密级国家秘密。 设区的市级机关及其授权的机关、单位可以确定机密级和秘密级国家秘密。 第19条要求，应当按照保密事项范围的规定确定密级，同时确定保密期限和知悉范围，有条件的可以标注密点。 第22条要求，机关、单位对承载国家秘密的纸介质、光介质、电磁介质等载体以及属于国家秘密的设备、产品，应当作出国家秘密标志。 反过来说，一个单位没有定密权限、没有定密责任人、没有履行上述程序，就无法凭空制造出一个国家秘密。

商业秘密靠权利人自行采取保密措施

商业秘密的产生不依赖任何行政审批，靠的是权利人自己的动作。 【反不正当竞争法(2025)】第10条第四款把"经权利人采取相应保密措施"写进定义本身，说明保密措施不是加分项，而是构成要件。 没有保密措施的技术信息、经营信息，即便再有价值，也不构成法律意义上的商业秘密。 措施的具体形态法条没有限定，实践中常见的是保密协议、访问权限分级、载体登记、访问日志留痕、离职清退等。 第39条的举证责任转移规则，本质上就是在审查这些措施是否留下了可被证据固定的痕迹。

个人信息不需要任何程序即产生

个人信息是三类信息中唯一"天然存在"的。 它既不要求国家确认，也不要求权利人采取任何措施，只要信息与已识别或可识别的自然人有关，就落入保护范围。 【个人信息保护法(2021)】第4条同时给出了唯一的出罪口：匿名化处理后的信息不属于个人信息。 这也解释了为什么个人信息合规的重点不在"确认"，而在"处理"——收集、存储、使用、加工、传输、提供、公开、删除，每一个动作都要有合法性基础。 而国家秘密管的是"知悉"，商业秘密管的是"获取与使用"，重心各不相同。

五、泄露后果对照：行政、民事、刑事三套体系

后果体系是三类信息差异最悬殊的一环。 同样是"把不该说的说出去"，落在不同类别上，代价完全不是一个量级。

国家秘密一侧：以处分与刑事责任为主

国家秘密没有民事赔偿这条路径，追责主要落在行政处分与刑事处罚上。 【保守国家秘密法(2024)】第57条列举了十三类违法情形，包括非法获取持有国家秘密载体、通过普通邮政快递等无保密措施渠道传递国家秘密载体、非法复制记录存储国家秘密、在私人交往和通信中涉及国家秘密等，根据情节轻重依法给予处分，有违法所得的没收违法所得。 第62条规定，违反本法规定构成犯罪的，依法追究刑事责任。 刑事层面分三条线：

注意第398条第二款：非国家机关工作人员犯前款罪的，依照前款的规定酌情处罚，即普通公民同样可能入罪。

• 【刑法(2020)】第111条：为境外的机构、组织、人员窃取、刺探、收买、非法提供国家秘密或者情报的，处五年以上十年以下有期徒刑。
• 同条情节特别严重的，处十年以上有期徒刑或者无期徒刑。
• 同条情节较轻的，处五年以下有期徒刑、拘役、管制或者剥夺政治权利。
• 【刑法(2020)】第282条：以窃取、刺探、收买方法非法获取国家秘密的，处三年以下有期徒刑、拘役、管制或者剥夺政治权利。
• 同条情节严重的，处三年以上七年以下有期徒刑。
• 【刑法(2020)】第398条：国家机关工作人员违反保守国家秘密法的规定，故意或者过失泄露国家秘密，情节严重的，处三年以下有期徒刑或者拘役。
• 同条情节特别严重的，处三年以上七年以下有期徒刑。

商业秘密一侧：行政罚款与民事赔偿并行

商业秘密的后果体系是三类中唯一"行政+民事+刑事"完整闭环的。 行政上，【反不正当竞争法(2025)】第26条规定，侵犯商业秘密的，由监督检查部门责令停止违法行为，没收违法所得，处十万元以上一百万元以下的罚款。 情节严重的，处一百万元以上五百万元以下的罚款。 这里有一个常被引用错的口径：2025年第二次修订前，侵犯商业秘密规定在旧版第9条，情节严重的罚款区间是五十万元以上五百万元以下。 修订后条款移至第10条，情节严重的起罚点提高到一百万元。 民事上，第22条给出三档赔偿口径。

赔偿数额还应当包括经营者为制止侵权行为所支付的合理开支。 刑事上，【刑法(2020)】第219条规定，情节严重的处三年以下有期徒刑并处或者单处罚金，情节特别严重的处三年以上十年以下有期徒刑并处罚金。 第219条之一另设了为境外窃取、刺探、收买、非法提供商业秘密罪，处五年以下有期徒刑并处或者单处罚金，情节严重的处五年以上有期徒刑并处罚金。

• 第一档：赔偿数额按照权利人因被侵权所受到的实际损失或者侵权人因侵权所获得的利益确定。
• 第二档：故意实施侵犯商业秘密行为且情节严重的，可以在上述数额的一倍以上五倍以下确定赔偿数额。
• 第三档：实际损失与侵权获利难以确定的，由人民法院根据侵权行为的情节判决给予权利人五百万元以下的赔偿。

个人信息一侧：按营业额封顶的行政罚款

个人信息的后果体系以行政监管为主导，罚款上限是三类中最高的一档。 【个人信息保护法(2021)】第66条规定，拒不改正的并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定其在一定期限内禁任董事、监事、高级管理人员和个人信息保护负责人。 民事上，第69条采过错推定：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。 刑事上，【刑法(2020)】第253条之一规定，违反国家有关规定向他人出售或者提供公民个人信息，情节严重的处三年以下有期徒刑或者拘役并处或者单处罚金，情节特别严重的处三年以上七年以下有期徒刑并处罚金。 同条第二款还明确，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，从重处罚。

六、三步判断路径与材料定性自查清单

对照了这么多，落到一份具体材料上，按下面的顺序走即可。

三步判断路径表

三步不是互斥的，一份材料可能在第一步和第三步同时命中，此时两套规矩叠加适用，按更严格的一套执行。

材料定性与处置自查清单

• □ 查看材料及其载体上是否有国家秘密标志，没有标志并不等于不是国家秘密，仍有疑问的报本单位保密机构或保密行政管理部门确认，不得以个人判断定性
• □ 核对该材料是否同时载明密级、保密期限与知悉范围，期限已满的自行解密，仍在期内的不得擅自扩大知悉范围，也不得在非涉密信息设备上存储处理
• □ 确认本单位是否具备相应的定密权限、是否指定了定密责任人，无权限的应当先行采取保密措施并立即报请上级机关或有相应定密权限的业务主管部门、保密行政管理部门确定
• □ 对拟主张为商业秘密的技术信息、经营信息，检查是否留有保密措施的证据：保密协议、访问权限分级、载体登记、访问日志、离职清退记录
• □ 材料中如含姓名、身份证件号码、联系方式、健康信息、行踪轨迹、生物识别信息，先完成告知同意流程，属敏感个人信息的取得单独同意，能匿名化的优先匿名化
• □ 拟对外提供、公开发表、跨境传输或委托第三方处理的，先走保密审查与个人信息保护影响评估，涉及国家秘密事项的须按国家有关规定报批

七、三类信息界定中的常见疑问

问：没有标注国家秘密标志的材料，就一定不是国家秘密吗？ 答：不能这样反推。 标志是管理手段而非构成要件，未按【保守国家秘密法(2024)】第22条作出标志属于定密程序上的瑕疵，不改变事项本身已依法定程序被确定为国家秘密的事实。 反过来，第22条第三款明确不属于国家秘密的不得作出国家秘密标志，假标志同样违法。 是否存在、属于何种密级有争议的，按第25条由国家保密行政管理部门或者省、自治区、直辖市保密行政管理部门确定。

问：企业的技术图纸已被定为国家秘密，还能同时主张商业秘密吗？ 答：可以同时成立，但处置顺序有先后。 两重身份并不冲突，正如对照表所示，权利主体不同、法律依据不同，义务可以叠加。 但涉及国家秘密的部分优先适用保密法，转让、公开、对外提供、跨境传输都要先过保密审查这一关，企业自己的处分权在这一层受到限制。 涉密业务的企业事业单位还需按第41条取得相应保密资质。

问：员工名册和薪酬表，到底是公司的数据还是员工的个人信息？ 答：两者是不同层面的问题，同时成立。 从企业角度，这些材料属于经营信息，企业可依内部制度管理其使用、存储与访问权限。 从员工角度，其中每一条记录都是可识别特定自然人的个人信息，健康信息、行踪轨迹等还可能落入【个人信息保护法(2021)】第28条的敏感个人信息。 企业对外提供或共享这些数据时，须履行告知同意义务，内部管理权限不能替代外部的合法性基础。

末章、声明引用的法律法规与免责声明

引用的法律法规

• 【中华人民共和国保守国家秘密法(2024)】2024年2月27日第二次修订，2024年5月1日起施行：第2条、第5条、第13条、第14条、第16条、第17条、第19条、第20条、第21条、第22条、第25条、第41条、第47条、第57条、第60条、第62条、第64条
• 【中华人民共和国反不正当竞争法(2025)】2025年6月27日第二次修订，2025年10月15日起施行：第10条、第22条、第26条、第39条
• 【中华人民共和国反不正当竞争法(2019)】已被2025年第二次修订取代，其第9条为侵犯商业秘密条款，现对应2025版第10条，引用时勿沿用旧条款号
• 【中华人民共和国民法典(2020)】：第1032条、第1034条
• 【中华人民共和国个人信息保护法(2021)】：第4条、第28条、第29条、第66条、第69条
• 【中华人民共和国刑法(2020)】：第111条、第219条及第219条之一（经刑法修正案（十一）修改）、第253条之一、第282条、第398条

免责声明

以上内容为基于现行公开法律法规的普法介绍，不构成正式法律意见。 个案因事实、证据、地域与办案口径的差异，结论可能不同，不能简单套用。 涉及可能属于国家秘密的事项，应当向本单位保密工作机构或者国家保密行政管理部门咨询，不得以个人判断为准，也不得以"没有标志""没有密级"为由自行处置。 涉商业秘密与个人信息争议需要具体判断的，建议咨询具备相应资质的执业律师。 aflaw 将按法规修订情况持续更新本页条款口径。