九月贵州一张 20 万元罚单，把代账客户名单认定为商业秘密。代账机构数据安全不是加个密码的事，它同时受商业秘密、个人信息、会计档案三套规则约束。本文拆开讲清边界与动作。
一、856 条客户信息，20 万罚单
2026 年 9 月 18 日，贵州省市场监管局公布第一批规范涉企执法指导案例，2 号案例是贵阳市观山湖区查办的一起侵犯商业秘密案。权利人是一家代理记账公司，被罚的是一家财税咨询公司，五名员工都是权利人前员工。执法人员在当事人财务负责人电脑里发现一张「续费统计明细」表，856 个客户的名称、联系人、续费状态、到期月份、服务内容、合同金额一应俱全，与权利人系统导出数据完全一致；当事人 45 家客户中有 25 家是权利人前客户（贵州省市场监管系统指导案例）。
结果是责令停止违法行为、罚款 20 万元。法定幅度是 10 万至 100 万，因经营不足三个月、配合调查，在从轻档 10 万至 37 万里取了 20 万。关键在于这个案子认定的不是「泄露隐私」，而是客户信息构成商业秘密——权利人只做了四件事：账号按岗位分权限、禁止下载、入职签保密协议、配工作手机工作微信并做岗位隔离。
二、三张法网：商密、个人信息、会计档案
同一份资料，被三套规则同时管着。第一套是《反不正当竞争法》：客户名单、联系人、合同到期时间与金额，只要机构采取了保密措施，就能构成商业秘密；《代理记账管理办法》（财政部令第 98 号）第十四条也写明，机构及其从业人员对执行业务中知悉的商业秘密应当保密。
第二套是个人信息。《个人信息保护法》第二十一条规定，委托处理要约定处理目的、期限、方式、信息种类、保护措施与双方权利义务，并对受托方进行监督；第五十一条要求制定内部制度、分类管理、加密去标识化、合理设定操作权限并定期培训、制定应急预案。
第三套是会计档案。《代理记账基础工作规范（试行）》（财会〔2023〕27 号）第三十五条把「对工作中知悉的商业秘密、个人信息予以保密」写成从业人员的执业原则；第三十九条规定查阅、复制、借出会计档案要授权审批并登记，未经委托人同意不得交由其他单位及人员使用（财政部原文）。
三、客户资料不是机构的资产
把客户资料当成自己的资产，是最危险的认知。客户是委托人，机构是受托人：账是客户的，凭证是客户的，身份证号与银行账号更是客户的。规范第四十条要求年度终了按约定把会计档案移交委托人，移交清册列明名称、卷号、册数、起止年度、档案编号与保管期限，双方逐项交接、监交人签字，一式两份。
保存期限也得说清。《会计档案管理办法》规定原始凭证、记账凭证、总账、明细账、日记账保管 30 年，月度季度半年度财务会计报告 10 年，年度报告永久，纳税申报表 10 年。所以「客户要求删掉」和「法律要求留着」会撞车：能删的是与核算无关的敏感字段，不能删的是凭证本身。
四、人走数据走：权限怎么收
那张 20 万的罚单里，数据是从系统被合法导出的。前客服主管有查看全部客户的权限，按合同到期月份逐月导出，落到下一家的电脑里。代账机构数据安全的权限设计，原则不是「谁能干活」，而是「谁只需要看自己那几十户」。
三条动作：一是账号实名、按户授权，销售只看自己名下、会计只看自己负责的账套，导出权限单独审批；二是离职当天停号、改密、收回工作手机与工作微信，并让本人签一份数据已清除的确认；三是外包与兼职不例外，远程协作只给最小数据集，禁止把账套文件下载到个人电脑。这些留痕将来就是举证材料。
五、泄露之后的两条线
真出事，先别急着对外解释。第一步止损固证：停用异常账号、保留登录与操作日志、确认泄露的客户范围与字段范围。第二步判断报告义务：《个人信息保护法》第五十七条要求发生或者可能发生泄露、篡改、丢失时立即采取补救措施，并通知履行个人信息保护职责的部门和个人。
第三步看会不会被要求做合规审计。国家网信办《个人信息保护合规审计管理办法》2025 年 5 月 1 日施行，处理超过 1000 万人个人信息的每两年至少审计一次；导致 100 万人以上个人信息或 10 万人以上敏感个人信息泄露的事件，监管部门可以要求委托审计。单家机构规模不大，但一个园区、一个平台集中托管几十万户，量级就到了。
总结
代账机构数据安全的底线很朴素：知道谁在什么权限下能看哪些户，知道数据在什么时点离开过服务器，知道出事之后先固证再报告。十月这轮 App 通报与九月这张 20 万元罚单提醒的是同一件事——客户资料既是商业秘密也是个人信息，两头都能追责。
若正在为权限分级、导出审批、离职回收发愁，欢迎致电 18625251618 或通过联系页面沟通。纷析云（FenxiCloud）的代账软件支持按户授权、操作留痕与导出日志审计，并提供私有化部署与源码交付，客户数据留在机构自己的服务器上。
