Цифровой контроль за сотрудниками: продолжение изучения вопросов регулирования

Эксперты АНО «ИРИ» продолжают исследовать мировой опыт регулирования цифрового контроля за сотрудниками. В центре внимания – руководство по мониторингу электронного оборудования работников в Норвегии.

На основе исследования «ИРИ» предлагает для работодателей чек-лист по цифровому контролю.

С предыдущим обзором можно ознакомиться по ссылке.


В августе 2023 года норвежский орган по защите информации (Datatilsynet) выпустил руководство по мониторингу электронного оборудования работников.

Ранее эксперты АНО «ИРИ» исследовали глобальный опыт регулирования цифрового контроля за сотрудниками, использовав следующие критерии:

• наличие специального законодательного регулирования;
• допустимые методы контроля;
• необходимость уведомления работника;
• наличие правоприменительной практики.

Новый норвежский документ является разъяснением по применению норм специального акта, регулирующего доступ работодателей к электронным почтовым ящикам сотрудников и другим материалам, хранящимся в электронном виде, – Положения об электронной почте.

Положением установлено, что работодатель не имеет права контролировать использование работником электронного оборудования, в том числе использование сети Интернет, за исключением случаев, когда целью такого контроля является:

• управление компьютерной сетью компании; или
• обнаружение или прояснение нарушения безопасности в сети.

Руководством к такому электронному оборудованию отнесены:

• электронный почтовый ящик, который работодатель предоставил работнику для использования на работе;
• личные кабинеты работника в компьютерной сети компании;
• иное электронное оборудование, которое работодатель предоставил работнику для использования в работе.

В том числе регулирование распространяется и на информацию, которая была удалена с этих ресурсов, но осталась в резервных копиях.

Примечательно, что в Руководстве мониторинг сотрудников определяется в качестве продолжительного доступа к электронному оборудованию работников, в том числе через сбор персональных данных. Следовательно, разовый доступ к электронному оборудованию работника не будет являться мониторингом, так как не будет отвечать критерию непрерывности (продолжительности).

Кроме того, мониторинг должен отвечать конкретной цели (одной из двух, перечисленных выше). В данном случае, например, сбор информации о посещенных работниками сайтах может законно использоваться только для одной цели – например, обеспечения информационной безопасности – но не для анализа того, выполняет ли работник свои трудовые функции на рабочем месте.

Таким образом, норвежское руководство отвечает общемировой тенденции регулирования некоторых аспектов мониторинга сотрудников на рабочем месте путем выработки специальных норм. Кроме того, руководством предлагается чек-лист для работодателей для проверки правомерности мониторинга.

Как было отмечено в предыдущем исследовании, в России нет специального регулирования вопросов цифрового контроля за сотрудниками. Выработка руководства в качестве инструмента мягкого регулирования контроля за сотрудниками может стать альтернативой отсутствию специальных законодательных положений.

С учетом прошлого и нового зарубежного опыта такое руководство по осуществлению цифрового мониторинга за сотрудниками может содержать следующие положения:

• обязательное уведомление работника о применении к нему мер мониторинга и о целях такого мониторинга;
• отражение факта применения и условий мониторинга в трудовом договоре, локальных нормативных актах (например, в политике надлежащего использования электронной почты и Интернета на рабочем месте);
• получение согласие субъекта персональных данных на обработку его персональных данных и указание целей такой обработки, если цифровой контроль сопряжен с обработкой персональных данных;
• закрепление понятия электронного контроля за работниками в качестве продолжительного мониторинга электронных устройств работников, в том числе мониторинг использование работниками сети Интернет.

Также, на основе исследованного опыта предлагается следующий чек-лист для работодателей.

• Работники уведомлены о применении к ним мер мониторинга и о целях такого мониторинга;
• Цели и условия мониторинга предусмотрены трудовым договором, локальным нормативным актом;
• Определены лица, имеющие доступ к системам мониторинга;
• Предусмотрены достаточные технические решения по защите обрабатываемых данных;
• Отсутствуют альтернативные, менее навязчивые меры контроля;
• Меры контроля соответствуют законодательству о персональных данных в случае, если мониторинг предполагает обработку персональных данных.

Данный чек-лист может быть также использован работниками, профессиональными союзами или их объединениями.