场景
苏州工业园区一家做工业自动化设备的外资企业，销售总监老周最近很头疼。他在公司干了六年，手里攒了一份“客户名单”——不是简单的公司名和电话，而是每家客户的采购负责人是谁、习惯什么付款周期、设备改造的痛点在哪、每年几月做预算、竞争对手报价大概什么水平。这份名单存在他的工作邮箱和一台公司配的笔记本电脑里。
今年三月，老周提出离职，准备去吴中区一家同行做副总。公司HR在离职面谈时要求他签署一份《保密与不招揽承诺》，并当场检查电脑。老周觉得自己没偷没抢，客户都是自己一家家跑出来的，凭什么交出去？他把名单从邮箱转发到了私人网盘，删除了本地记录。公司发现后，双方在园区劳动仲裁和法院之间来回拉扯。公司说这是商业秘密，老周说这是自己积累的“人脉资源”，客户愿意跟谁合作是客户自己的选择。
这个场景在苏州的制造业、外贸、生物医药行业里并不少见。客户名单到底算不算受保护的对象，边界在哪里，很多人其实没搞清楚。
法律规定
先说法条。客户名单如果符合《中华人民共和国反不正当竞争法》里商业秘密的构成要件——不为公众所知悉、具有商业价值、权利人采取了相应保密措施——就受保护。但本篇重点放在数据合规角度，因为客户名单本质上是一组个人信息与企业经营信息的混合体。
《中华人民共和国个人信息保护法》第4条把“个人信息”定义为以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。客户名单里的联系人姓名、职务、手机号、微信、采购习惯，只要能和具体自然人对应上，就落在这个范围里。第6条要求处理个人信息应当具有明确、合理的目的，并限于实现处理目的的最小范围。第13条列举了处理个人信息的合法性基础，包括取得个人同意、为订立或履行合同所必需、按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需等。
企业收集客户联系人信息，通常依据第13条中的“订立或履行合同所必需”。但员工离职后把信息带走用于新单位，这个“必需”就不成立了。第17条要求告知个人信息处理者的身份、处理目的、处理方式、信息种类和保存期限。第21条讲委托处理，第23条讲向第三方提供，第24条讲自动化决策，第28条把金融账户、行踪轨迹等列为敏感个人信息，第29条要求处理敏感个人信息取得单独同意，第30条要求告知必要性和对个人权益的影响。
《中华人民共和国数据安全法》第27条要求建立健全全流程数据安全管理制度，第29条要求发现数据安全缺陷、漏洞等风险时立即采取补救措施。《中华人民共和国网络安全法》第21条要求采取技术措施和其他必要措施保障网络安全，第41条要求收集使用个人信息遵循合法、正当、必要原则，第42条要求不得泄露、篡改、毁损其收集的个人信息。
法院实务怎么判
苏州法院在公开裁判文书中处理这类纠纷，通常不会一刀切地说“客户名单一律是商业秘密”或“一律不是”。审理思路大致围绕几个维度展开。
第一，看这份名单的“深度”。如果只是企业名称加公开电话，法院通常认为不具备秘密性，因为从公开渠道能查到。但如果包含交易习惯、价格底线、决策链条、特殊需求、历史成交记录等经过长期积累、不对外公开的信息，法院更倾向于认定其具有商业价值。老周那份名单里“每年几月做预算”“竞争对手报价水平”这类内容，恰恰是深度所在。
第二，看权利人有没有采取“相应保密措施”。苏州法院一般会审查：劳动合同里有没有保密条款、有没有单独的保密协议、系统有没有权限分级、离职时有没有明确的交接和提醒流程。如果公司平时什么都不管，离职时才想起来要签承诺书，法院对“已采取保密措施”的认定会打折扣。
第三，看员工获取和使用的方式。正常履职过程中接触到的客户信息，和离职前突击下载、转发到私人邮箱、删除痕迹，法院的态度明显不同。后者容易被认定为以不正当手段获取。
第四，看客户是否基于对个人的信赖而交易。如果客户明确表示“我是认你这个人，不是认公司”，法院在判断员工是否构成“引诱客户”时会更加谨慎。但这一点不能成为带走全部名单的理由。
需要说明的是，个案差异很大，上述只是普遍倾向，具体到每个案子，证据组织、保密措施是否到位、信息深度如何，都会影响走向。
边界与例外
客户名单的保护边界，核心在于“秘密性”和“保密措施”两个支点。反过来，也有几种情形可能落在保护范围之外。
一是信息本身已经公开。客户官网公布的采购邮箱、行业展会名录里的联系人，很难主张秘密性。二是员工仅凭记忆掌握的客户偏好，没有形成书面或电子记录，法院在认定“获取手段”时会更困难。三是客户主动选择跟随员工，且有明确意思表示，这种情况下员工的责任认定会有所不同，但不等于可以批量带走名单。四是企业自身没有采取任何保密措施，连基本的权限管理都没有，主张商业秘密保护的基础就比较薄弱。
另外，个人信息保护法第13条规定的“人力资源管理所必需”，在员工离职后通常不再覆盖其在新单位使用原客户信息的行为。第47条还规定了删除义务，处理目的实现或不再必要时，个人信息处理者应当主动删除。员工离职后继续持有原单位的客户个人信息，本身就存在合规风险。
普通人能怎么做
对员工来说，离职前把工作邮箱、电脑里的客户资料交接清楚，不要转发到私人账户，不要用手机拍屏幕，不要用个人微信批量加客户后带走。如果确实有客户主动联系你，保留好客户主动联系的记录，而不是你主动群发消息。签保密协议时看清楚范围，别闭眼签，也别签完就当废纸。
对企业来说，保密措施要日常化，不能只靠离职时一张纸。客户名单分级管理，敏感字段加密或脱敏，权限按岗位设置，离职流程里明确数据交接和删除确认。劳动合同和保密协议里把客户信息的范围写具体，别只写“客户名单”三个字。定期做数据安全培训，留下记录。
律师温馨提示
董坤律师在苏州执业期间，处理过不少涉及客户名单、员工离职数据交接、企业保密制度设计的纠纷，既有代表企业主张商业秘密保护的，也有为离职人员提供合规咨询的。这类问题的关键往往不在法条本身，而在证据细节和日常管理动作是否到位。如果你正面临类似情况，建议尽早把劳动合同、保密协议、数据交接记录、系统日志这些材料梳理清楚，再判断下一步怎么走。