Тайм-трекеры и мониторинг сотрудников: где заканчивается контроль и начинается статья КоАП

За последний год у меня трижды спрашивали одно и то же: «Женя, поставь программу, чтобы видеть, чем занимаются сотрудники за компьютером». И каждый раз приходится сначала объяснять юридическую сторону, а уже потом — техническую. Потому что мониторинг без бумаг — это не про эффективность, это готовый повод для проверки и штрафа. А иногда и для уголовного дела, да-да, не удивляйтесь.

С чего обычно всё начинается

Типичная история. Директор бухгалтерской фирмы на 18 человек замечает, что отчёты сдаются с опозданием, а в рабочее время у половины сотрудников открыт браузер с чем угодно, только не с 1С. Реакция понятная — хочется контроля. Кто-то гуглит «программа слежки за сотрудниками», кто-то просит поставить кейлоггер прямо на всех, включая бухгалтера на удалёнке.

Один клиент, юрфирма из центра Москвы, в прошлом году так и сделал — купил программу мониторинга за 3 200 рублей в месяц на пользователя, поставил втихую, без единого документа. Через два месяца юрист, которого уволили «за низкую эффективность», подал жалобу в трудовую инспекцию и параллельно в прокуратуру — по факту незаконного сбора персональных данных. Итог: проверка, штраф, испорченные нервы и репутация в профессиональном сообществе, где все друг друга знают.

Вот с этого места я и предлагаю начинать любой разговор про контроль сотрудников — не с выбора софта, а с того, что вообще можно делать по закону.

Что можно контролировать без риска

Если оборудование, на котором работает сотрудник, принадлежит компании — рабочий ноутбук, стационарный ПК в офисе, корпоративная почта, служебный телефон, оплаченный фирмой — вы вправе контролировать, как оно используется. Это прямо следует из статьи 22 Трудового кодекса: работодатель вправе требовать от работников исполнения трудовых обязанностей и контролировать их выполнение.

Учёт рабочего времени — тоже законно и даже обязательно, статья 91 ТК прямо требует вести табель. Программы, которые фиксируют время входа в систему, активность в рабочих приложениях, время выполнения задач в таск-трекере — Jira, Битрикс24, Trello — законны, если правильно оформлены. Скриншоты рабочего экрана, логи запущенных программ, время простоя — тоже можно, при соблюдении процедуры, о которой ниже.

У одного клиента — производство, 35 человек — мы настроили простую связку: учёт времени в 1С:Зарплата плюс базовый мониторинг активности на офисных ПК. Директор увидел, что двое кладовщиков реально простаивают по три часа в смену — не потому что лентяи, а потому что процесс кривой, заявки приходят пачками к обеду. Мониторинг тут сработал не как кнут, а как диагностика. Это, кстати, самое здравое применение — не ловить за руку, а находить узкие места в процессах.

Что нельзя категорически

Личные устройства сотрудника — это красная линия. Если человек заходит в рабочую почту с личного телефона, вы не имеете права ставить туда мониторинг, читать переписку в WhatsApp или Telegram, отслеживать геолокацию вне рабочего времени. Даже если он подписал какое-то общее согласие «на всё» — суд такое согласие, скорее всего, признает недействительным, потому что оно не конкретное и не добровольное в полном смысле.

Личная переписка в мессенджерах и соцсетях — под защитой статьи 23 Конституции о тайне переписки, даже если открыта на рабочем компьютере. Это частая ошибка: ставят кейлоггер, который снимает вообще все нажатия клавиш, включая личную переписку в личном кабинете Госуслуг или переписку с врачом. Формально работодатель получает доступ к сведениям о здоровье, семейном положении — это уже специальная категория персональных данных, обработка которой требует отдельного письменного согласия, а часто вообще запрещена без него.

Скрытое видеонаблюдение через веб-камеру, запись звука с микрофона без предупреждения, геотрекинг личного автомобиля, если поездки не оплачиваются компанией как командировочные — всё это либо прямое нарушение 152-ФЗ «О персональных данных», либо основание для статьи 137 УК РФ — незаконное собирание сведений о частной жизни. Да, уголовной. С использованием служебного положения — до четырёх лет лишения свободы, я не шучу, статья реальная, просто редко доходит до суда, но прецеденты есть.

Как оформить контроль так, чтобы он был законным

Три документа, без которых мониторинг — это нарушение, даже если технически всё настроено идеально. Первое — локальный нормативный акт, обычно это Положение о контроле рабочего времени или отдельный раздел в Правилах внутреннего трудового распорядка. Там прописывается, что именно контролируется, какими средствами, зачем.

Второе — письменное согласие на обработку персональных данных под конкретные цели мониторинга, а не общая формулировка из шаблона отдела кадров десятилетней давности. Третье — сотрудник должен быть ознакомлен с фактом мониторинга под роспись до его начала, а не постфактум. Это статья 86-90 ТК РФ плюс 152-ФЗ вместе взятые.

Для новых сотрудников это делается легко — включаете пункт в трудовой договор при приёме. С действующим коллективом сложнее: нужно провести ознакомление, дать время подумать, получить подпись. Да, кто-то откажется — и тут работодатель не может уволить за отказ подписать согласие на мониторинг, это будет незаконным увольнением. Максимум — не сможете применять к этому сотруднику именно программный контроль, но табель времени вести обязаны в любом случае, это не персональные данные в узком смысле, а обязательная кадровая процедура.

Сколько реально стоит нарушение

По статье 13.11 КоАП РФ за обработку персональных данных без надлежащего согласия или с нарушением целей обработки — штраф для юрлица от 60 000 до 100 000 рублей за первое нарушение. Повторное — уже от 100 000 до 300 000 рублей, а по отдельным составам, связанным с обработкой специальных категорий данных без согласия, доходит до 500 000. И это за каждый эпизод, а не разово на всю компанию — если жалобу подали трое сотрудников, штрафов будет три.

С 2023 года добавились оборотные штрафы за утечку персональных данных — до 3% выручки компании за предыдущий год при повторном нарушении, минимум 25 миллионов рублей. Формально это про утечки, а не про сам факт мониторинга, но если у вас софт для слежки хранит скриншоты и переписку сотрудников на сервере без защиты — и это утекло — вы попадаете сразу в оба состава.

Плюс репутационные издержки, которые не посчитать в рублях сразу, но которые бьют больнее. У знакомого директора клиники на 40 сотрудников был случай — уволенный администратор выложил скриншот программы мониторинга в соцсети с подписью «вот как за нами следят». Через день это разошлось по профильным чатам, и полгода новых администраторов найти не могли — все были в курсе истории на собеседовании.

Как мы настраиваем это клиентам на практике

Когда к нам приходит клиент с запросом «поставьте контроль сотрудников», мы всегда начинаем не с софта, а с целей. Что конкретно вы хотите увидеть — простои, соблюдение регламентов, утечку информации, банальную дисциплину прихода на работу? От цели зависит и набор инструментов, и объём документов.

Дальше — юридический пакет: помогаем составить или актуализировать Положение о контроле, форму согласия, порядок ознакомления. Это не наша основная компетенция как IT-компании, но за годы работы с бухгалтериями и юрфирмами мы насмотрелись типовых ошибок и обычно рекомендуем клиенту закрыть эту часть с юристом или кадровиком до того, как мы включим хоть один агент мониторинга.

Технически чаще всего хватает малой крови: учёт времени по логину в 1С или CRM, контроль активности в рабочих приложениях без записи личной переписки, отчёт по загрузке за неделю. Тяжёлую артиллерию — полный кейлоггинг, скриншоты каждые 30 секунд, запись экрана — мы ставим редко и только когда компания реально имеет дело с чувствительными данными, например обработкой платежей клиентов, и готова довести юридическое оформление до идеала. В 9 случаях из 10 директору хватает обычного отчёта по времени, чтобы увидеть проблему — незачем городить слежку там, где нужна нормальная система задач.

Что с удалёнными сотрудниками

Отдельная тема — удалёнка, потому что тут границы размываются сильнее всего. Если сотрудник работает на личном ноутбуке из дома, вы физически не можете законно поставить туда программу мониторинга без отдельного, максимально конкретного согласия — и даже с согласием суд может встать на сторону работника, если сочтёт условие кабальным при заключении трудового договора.

Правильный путь — выдавать удалённым сотрудникам корпоративное оборудование или хотя бы виртуальное рабочее место, куда они заходят через RDP или терминальный сервер. Тогда контроль идёт на уровне корпоративной инфраструктуры, а личное устройство остаётся личным в полном смысле. Мы так делаем клиентам на терминальных серверах — сотрудник заходит по RDP на рабочий стол компании, и уже там применяются политики контроля, всё честно и прозрачно, а домашний компьютер человека никто не трогает.

Это, кстати, дешевле и спокойнее, чем разбираться потом с судами: терминальный доступ на 5-10 пользователей обходится в 3-5 тысяч рублей в месяц на инфраструктуру, а разбирательство по жалобе на незаконный мониторинг — это минимум месяц работы юриста и репутационные потери, которые в деньгах не оценишь.

Частые вопросы

Можно ли уволить сотрудника за то, что он отказался подписать согласие на мониторинг?
Нет, это будет незаконным увольнением, и суд его отменит. Согласие на обработку персональных данных — добровольное по закону, отказ от него не может быть основанием для дисциплинарных мер. Вы просто не сможете применять к этому сотруднику программный контроль, но обычный табель учёта времени вести обязаны в любом случае.

А если сотрудник сам согласен на полную слежку, лишь бы не увольняли?
Формально согласие есть, но если дело дойдёт до трудовой инспекции или суда, такое давление легко доказывается — переписка, свидетели, обстоятельства подписания. Суд признает согласие вынужденным и, соответственно, недействительным. Это не защищает работодателя, а наоборот, добавляет отягчающее обстоятельство.

Нужно ли согласие, если мониторинг ставится только на офисные компьютеры, а не на личные устройства?
Да, нужно в любом случае, потому что вы обрабатываете персональные данные — а сведения об активности человека, его местоположении и переписке ими являются независимо от того, чьё это устройство. Разница в том, что на корпоративном оборудовании у вас больше законных оснований и проще получить согласие, а на личном — почти никаких.

Что грозит, если уже полгода стоит мониторинг без документов — как исправить ситуацию сейчас?
Лучше не тянуть и оформить всё задним числом невозможно, но можно закрыть риски на будущее: остановить сбор чувствительных данных прямо сейчас, оформить Положение и согласия, провести ознакомление сотрудников. Если жалоб пока не было, есть все шансы обойтись без штрафа — проверки чаще всего начинаются именно с обращения работника, а не по инициативе регулятора.