Компании следят за сотрудниками. Как работодатель читает вашу переписку, и что с этим делать

В любой организации рано или поздно наступает такой момент, когда интуитивно работать с персоналом перестает быть возможным. Чаще всего это связано с ростом организации - в компании в 10-15 человек еще можно контролировать ситуацию в компании в ручном режиме, однако с большим количеством сотрудников руководитель начинает «тонуть».

Одновременно с этим возрастает риск инцидентов, связанных с безопасностью. Когда организация перестает быть небольшой группой друзей-единомышленников, а это неизбежно происходит вследствие роста, появляются задачи, связанные с уменьшением рисков от недобросовестного поведения работников.

Для получения объективной картины происходящего в компании, и, в частности, для обеспечения безопасности, применяются различные методы контроля персонала. Об организационных мерах в другой раз, я хочу поговорить сегодня о технической стороне вопроса и насколько разные методы эффективны.

СКУД + Видеонаблюдение

На классических производствах для контроля сотрудников службой безопасности обычно применяется связка СКУД + видеонаблюдение. СКУД (система контроля и управления доступом) чаще всего представляет собой следующее: у каждого сотрудника есть пропуск, который он прикладывает к считывателю у входа, - время прихода и ухода с работы логируется и контролируется. В качестве второго рубежа защиты используются записи с камер.

В случае с большими заводами и предприятиями часто находятся некоторые сотрудники, не испытывающие особенно теплые чувства к работодателю, зато обладающие достаточной «смекалочкой» - кто-то на входе «пробивает» пропуск не только за себя, кто-то пытается вынести продукцию с предприятия. Из-за этого иногда работа охраны на таких предприятиях превращается в бесконечные кошки-мышки с работниками.

В случае возникновения подозрений - охрана предприятия берет на контроль сотрудника, просматривает видеозаписи или может обыскать его на выходе. Для защиты от выноса продукции такой метод защиты более-менее эффективен, однако в контексте информационной безопасности он беспомощен - для этого уже требуются программные средства.

Бесплатные и системные средства

В случае с контролем работы персонала в современных офисах ситуация становится сложнее - рабочий день чаще всего не нормирован, да и контролировать в компаниях нужно далеко не только физическое присутствие.

Для контроля рабочего времени можно применять тот же СКУД или выгружать данные из Active Directory. Иногда контроль рабочего времени интегрирован в CRM-системы. Проблема в таком случае очевидна - все, что находится за пределами CRM-системы, контролю не поддается.

Почту и месенджеры можно контролировать с помощью снифферов (модулей, перехватывающих сообщения) - проблема лишь в том, что тогда придется пожертвовать антивирусной защитой рабочих компьютеров. Подавляющее число антивирусов не даст запустить такие программы на компьютере.

В облачных продуктах для бизнеса от Google и Microsoft (Google Apps Unlimited и Office 365 Business, соответственно) есть возможность настраивать правила, которые проверяют почту и документы сотрудников на наличие ключевых слов или типов данных. Это, конечно, не замена полноценной системы безопасности, однако применение может найти. А для контроля отдельных аспектов работы сотрудников можно использовать и бесплатные средства удаленного доступа.

Силами системных администраторов со всеми перечисленными средствами можно получить какую-то систему контроля персонала. Однако контроль таким способом будет как минимум неполным, а систематизация и учет получаемых данных сведет с ума ответственного за это работника.

Примерно такой же итог ждет безопасника, который попробует решить вопросы безопасности без специального программного обеспечения- для этого понадобится несовместимое с эффективной работой количество «костылей».

Системы учета рабочего времени и контроля сотрудников

Этика анализа переписки сотрудников вызывает вопросы и споры - однако перехват применяется повсеместно, особенно в крупных компаниях. Основная задача - защита конфиденциальных данных компании от инсайдерских угроз. Также анализ внутренних коммуникаций часто используется и для выявления нелояльных сотрудников. Яркий пример - громкое увольнение «Яндексом» ряда сотрудников купленного им сервиса «Кинопоиск». По мнению уволенных, причина в острой критике перезапуска сервиса во внутреннем чате сотрудников. Согласно заявлению «Яндекса» - сотрудники в этом чате разглашали коммерческую тайну третьим лицам (бывшим коллегам). Как бы то ни было, неприятная для компании ситуация была обнаружена сотрудниками безопасности, причем наверняка вследствие использования DLP-системы (от англ. Data Leak Prevention - предотвращение утечек данных) или аналогичного продукта.

Кастрированным вариантом DLP-систем являются так называемые системы контроля персонала. Чаще всего они представляют собой «упакованный» пакет снифферов для какого-то количества популярных каналов коммуникации, вроде Skype, электронной почты или социальных сетей, дополненный возможностью удаленного подключения к рабочему столу сотрудника и кейлогером.
С помощью такого инструмента можно видеть время работы сотрудников, контролировать их действия за рабочими и компьютерами и вести частичный мониторинг переписки. В принципе для совсем небольшой компании этого может быть достаточно, однако для качественной работы нужны более комплексные решения.

DLP-системы

Более технологически изощренными являются DLP-системы. Если снифферы и «средства контроля сотрудников» просто перехватывают информацию, то DLP-системы идут дальше - вместе с перехватов еще и автоматически анализируют перехваченную информацию. Таким образом задача по поиску «вредной» информации перекладывается с плеч сотрудника безопасности на машину. Ему нужно лишь грамотно настроить правила и обращать внимание на сообщения системы о инцидентах.

Вариантов этих правил и методов анализа очень много - можно сделать уведомление о запуске на рабочей станции какого-либо процесса, проверять переписку на регулярные выражения (например, ИНН или паспортные данные) или настроить уведомление и блокировку передачи на USB-носитель определенного формата файлов - в общем, можно автоматизировать все и вся.

Большинство таких систем также умеют распознавать транслитерованный текст (napisannyi latinskimi bukvami), изменения в расширении файлов и прочие возможные ухищрения потенциальных злоумышленников.

При всем при этом стоит помнить, что насколько бы эффективный метод контроля не использовался - он окажется беспомощен при отсутствии в компании адекватного менеджмента и корпоративной культуры. С другой стороны, даже в самой лояльной по отношении к работникам организации всегда есть вероятность появления «слабого звена» и в отсутствии контроля это звено может причинить немалый ущерб. Поиск баланса между этими двумя крайностями и есть самая главная задача для службы безопасности и руководства.

Руководство каждой компании заинтересовано в том, чтобы работа персонала была максимально эффективной. Поэтому работодатели всё активнее стремятся контролировать, как сотрудники выполняют свои должностные обязанности, и чем они занимаются в рабочее время. Для этого используются самые различные методы: начиная с обычного видеонаблюдения и заканчивая установкой специализированного программного обеспечения, отслеживающего интернет-трафик пользователей.

В свою очередь, некоторые работники считают такой контроль посягательством на неприкосновенность частной жизни, поэтому любые проявления тотального «шпионажа» они воспринимают крайне негативно. Кто прав? И если работодатель может отслеживать действия своих подчинённых, как это сделать в рамках правового поля?

Следует признать, что работодатели контролировали работу своих подчинённых практически всегда. Только если раньше для этого использовалась бумажная отчётность или к работе привлекался отдельный сотрудник, который был уполномочен наблюдать за остальными, то сегодня развитие IT-технологий вносит в процесс контроля свои коррективы. Насколько это законно?

Использование специализированных программ контроля над действиями сотрудников. Буква закона

Действующее законодательство не разделяет трудовые отношения между наёмным работником и работодателем на две отдельные группы в зависимости от того, используется в работе компьютерная техника или же нет. По мнению юристов, невозможно разрабатывать и вносить в законодательные акты все новые и новые поправки, как только на рынке появляется очередная модификация программного обеспечения.

Впрочем, это и ни к чему. Правовые отношения, их суть и субъекты, а также сам результат такого взаимодействия остаются неизменными. Они не зависят от прогресса орудий производства. Иными словами, независимо от того, какая именно версия компьютерной программы обеспечивает работу предприятия, по сути, это всё те же классические трудовые отношения, где, согласно ст. 21 ТК РФ, «работник обязан добросовестно исполнять свои трудовые обязанности».

Вместе с тем, ст. 22 ТК РФ позволяет работодателю «требовать от работников исполнения… трудовых обязанностей» и «соблюдения правил внутреннего распорядка». Вывод очевиден: предприятие имеет право контролировать действия персонала на рабочих местах с учётом правил внутреннего трудового распорядка, определение которых приводится в ст. 189 ТК РФ.

Таким образом, применение специализированных программ, обеспечивающих контроль над действиями работников, не противоречит действующему законодательству.

Анатолий Маркович Невелев – Генеральный директор CleverControl, разработчика одноименного облачного приложения для учета рабочего времени и контроля над работой сотрудников, - рекомендует перед установкой подобного программного обеспечения уведомлять персонал в письменном виде. Помимо этого, на своем сайте https://clevercontrol.ru компания предупреждает клиентов, что приложение можно использовать только при соблюдении законодательства РФ.

Подписание подобного документа, уведомляющего сотрудников об использовании приложений мониторинга активности, станет дополнительной гарантией взаимопонимания между обеими сторонами трудовых отношений. К тому же, если работник поставлен в известность об использовании ПО для мониторинга деятельности сотрудников, следовательно, его конституционные права соблюдаются (ст. 23 и 24 Конституции РФ). Значит, работодатель соблюдает права работника, включая неприкосновенность частной жизни, использование персональных данных, а также тайну переписки и содержания других сообщений.

Электронные письма и соцсети: тайна за семью печатями?

Нормы действующего законодательства (в частности ч. 2 ст. 22 ТК РФ) обязывают предприятие обеспечивать сотрудников документами, оборудованием и другими приспособлениями, которые необходимы для того, чтобы они могли качественно выполнять свои служебные обязанности.

Следует отметить, что ПК, укомплектованный программными продуктами (включая служебный e-mail), также относится к категории рабочего оборудования. Примечателен тот факт, что действуя в рамках закона, работник не вправе применять имущество работодателя для достижения личных целей. Он обязан использовать служебный компьютер лишь как инструмент, предназначенный для обработки служебных данных, и никак иначе.

Вместе с тем, руководствуясь ч. 1 ст. 22 ТК РФ, работодатель имеет право контролировать действия персонала: проверять, чем тот занимается на протяжении рабочего дня, как выполняет свои служебные обязанности, использует ли он технические средства по назначению - только для решения рабочих задач. Можно без преувеличения сказать, что отслеживание трафика, проверка истории браузера, включая содержание корпоративной электронной почты, является законным правом работодателя. Соответственно, использование программных продуктов типа CleverControl, который позволяет вести мониторинг всех типов активности на компьютере, также является законным.

Этот факт достаточно красноречиво подтверждается и судебной практикой. Так, российские служители фемиды, впрочем, как и судьи ЕСПЧ, не считают просмотр содержания электронных писем работников компании нарушением тайны переписки. Примечательно, что это утверждение в равной степени относится как к сообщениям, отправленным с помощью служебного почтового ящика, так и с личного (в случае, если переписка велась с рабочего ПК).

Здесь возникает вполне закономерный вопрос: вправе ли работодатель целенаправленно просматривать содержимое личного электронного ящика своих работников? Применительно к этой ситуации закон категоричен – компания не имеет права получать доступ к личной информации, поскольку это идёт в разрез с нормами ст. 23 и 24 Конституции РФ.

Следует отметить, что в большинстве случаев, когда спорная ситуация касается фиксации отправки/получения сообщений сотрудником с личного почтового ящика на рабочем ПК информация об этом поступает к руководству предприятия без взлома почты. Нарушение трудовой дисциплины может быть выявлено с помощью специализированных программ, в том числе через программное обеспечение CleverControl, которое отслеживает интернет-трафик (включая адреса получателей и форму прикреплённого файла в отправленных сообщениях) и позволяет контролировать активность пользователей из любой точки земного шара в режиме онлайн.

В случае использования специализированных программ закон признаёт отсутствие несанкционированного доступа к личной информации работника, поскольку они мониторят действия персонала в рабочее время и анализируют трафик его компьютера, а это, учитывая нормы действующего законодательства, работодатель имеет право контролировать. Ведь цель таких проверок заключается не в стремлении раскрыть тайну переписки, а в контролировании целевого использования персоналом оборудования компании, являющегося её собственностью, качества выполнения служебных обязанностей и соблюдения трудовой дисциплины.

Следует признать, что отслеживание электронных почтовых отправлений и сообщений в различных мессенджерах является лишь частью активности пользователя, которую работодатель имеет право отслеживать на рабочих ПК своих подчинённых. То же самое можно сказать и о «жизни» сотрудников в соцсетях. И нередко результатом такого контроля становится увольнение нерадивого работника. Почему?

После заключения трудового договора (контракта) новоиспечённый работник утрачивает право на личное время, которое он мог бы использовать на протяжении рабочего дня по своему усмотрению. Если говорить другими словами, теперь это время является собственностью предприятия. Поэтому человек, решающий личные вопросы в ущерб работе, априори нарушает условия контракта. О морально-этической стороне этой ситуации говорить вообще не приходится.

Конечно, кто-то может возразить, что пара сообщений, отправленных в социальной сети, ничего не значат. Но если перенести это в рамки стратегически важного объекта, то уже становится не до шуток. В то же время в коммерческих структурах нередко существует конфиденциальная информация, которую разглашать запрещается. Безусловно, в глобальном масштабе такая огласка возможно и не причинит ощутимого ущерба, а вот навредить работе конкретной компании вполне может.

На практике уволенные работники нередко обращаются в суд с иском, в котором жалуются на то, что использование специализированного программного обеспечения нарушает неприкосновенность их личной жизни. Однако если представителям работодателя удаётся доказать, что компания использовала данные из личной переписки сотрудника и его аккаунтов в соцсетях лишь в объёме, достаточном для того, чтобы зафиксировать факт нарушения трудовой дисциплины (а не с целью шпионажа за приватной жизнью), судьи не считают такие действия нарушением положений ст. 23 Конституции РФ.

Установка видеонаблюдения. Действия в рамках правового поля

Если с установкой специальных программ, отправкой сообщений с рабочего ПК и мониторингом личных аккаунтов персонала в соцсетях всё понятно, то как расценивать такую форму контроля как видеонаблюдение?

Чтобы прояснить ситуацию, следует снова обратиться к положениям ч. 1 ст. 22 ТК РФ. Здесь чётко прописано, что работодатель обязан обеспечивать работникам «безопасность и условия труда, соответствующие государственным нормативным требованиям охраны труда». Следовательно, при соблюдении ряда определённых условий, видеосъёмка на рабочем месте, где персонал выполняет свои прямые служебные обязанности, не расценивается как вмешательство в личную жизнь сотрудников, не квалифицируется как нарушение их конституционных прав и не идёт в разрез с нормами действующего законодательства.

Как работодатель может легализовать видеофиксацию действий своих подчинённых и не стать фигурантом уголовного дела?

Для установки видеокамер необходимы веские основания. Это может быть как обеспечение безопасности работников, сохранность ТМЦ, так и неразглашение конфиденциальной информации или повышение эффективности работы персонала;

Система видеофиксации должна быть установлена таким образом, чтобы оградить частную жизнь работников от вмешательства посторонних лиц. Поэтому наличие камер в туалетных комнатах, местах для курения и коридорах является незаконным. В объективах видеокамер должно просматриваться только рабочее место персонала.

Перед монтажом видеоконтроля или в момент трудоустройства новоиспечённых сотрудников работодателю следует проинформировать их о системе видеонаблюдения. Здесь вполне достаточным будет наличие подписи под типовым документом (или отдельного пункта в трудовом договоре с подобным содержанием), где указано, что работник даёт своё согласие на контроль работодателем его действий с помощью видеофиксации.

Когда сотрудник подписывает согласие на видеосъёмку, любая жалоба на тотальную слежку сразу же теряет смысл. Подразумевается, что работник реально оценивает ситуацию и понимает, на что он идёт.

Краткие выводы

Работодатель вправе контролировать действия персонала на рабочем месте любыми законными методами. При этом ответственность за возможное раскрытие содержания личных сообщений, в первую очередь, ложится на самого сотрудника, если он ведёт переписку со служебного почтового ящика или пользуется другим оборудованием, принадлежащим компании.

Согласно нормам действующего законодательства (в частности, ст. 21 ТК РФ) сотрудник имеет право располагать достоверной развёрнутой информацией обо всех нюансах условий труда. Поэтому работодателю следует под подпись поставить его в известность о проведении каких-либо контрольных мероприятий, включая установку специализированного программного обеспечения для мониторинговых действий.

Сотрудникам компании не следует использовать служебный e-mail, корпоративные мессенджеры и страницы в соцсетях для личной переписки. Эти действия могут быть квалифицированы как серьёзное нарушение трудовой дисциплины, что неизбежно повлечёт за собой дисциплинарное взыскание. В свою очередь, чтобы избежать неприятных судебных разбирательств, работодателю следует использовать любую информацию о личных контактах и переписке персонала в объёме, необходимом лишь для установки факта нарушения правил трудового распорядка.

Юридически грамотный подход позволяет исключить вероятность каких-либо проблем, связанных контролем сотрудников. Просто надо находить оптимальные решения и фиксировать их в соответствующих документах. Работник и работодатель совместными усилиями трудятся над совместным делом, поэтому они должны уважать права друг друга и качественно выполнять свои обязанности.

Каждая третья российская компания читает электронные письма работников, каждая пятая следит за тем, какие они посещают сайты, каждая десятая мониторит переписку в мессенджерах. Даже не очень богатым организациям доступны инструменты, которые позволяют в реальном времени контролировать всё, что происходит в компьютерах и мобильных устройствах сотрудников. Неважно, служебные это гаджеты или личные. Есть только одно исключение - разговоры по мобильному телефону. Но технологии, которые позволят их перехватывать, уже тестируются . Авторы и лоббисты «пакета Яровой» о таком могут лишь мечтать. «Секрет» расспросил эксперта в области информационной безопасности о том, как работают средства корпоративной слежки и все ли они законны.

Как следят

Программное обеспечение, которое следит за сотрудниками и контролирует их действия, делает информацию доступной работодателю сразу - ни в каком зашифрованном виде она не хранится. Такой софт действует локально и никак не связан ни с операторами, ни с провайдерами.

Во-первых, это так называемые программы-агенты, которые устанавливаются на компьютеры и считывают нажатия клавиш, делают скриншоты, фиксируют весь интернет-трафик. Таких программ на рынке сотни, так как они относительно легко пишутся. Приведу несколько примеров.

PC Pandora - скрывается в системе и контролирует весь компьютер и весь интернет-трафик. Делает снимки экрана, фиксирует клавиатурный ввод, действия на посещаемых веб-сайтах, контролирует электронную почту, мгновенные сообщения мессенджеров и собирает ещё много другой информации о работе пользователя. У программы нет папки, в которой она хранит свои данные. Всё загружается в операционную систему, и каждая новая установка на один и тот же или другой компьютер производится с новыми названиями файлов.

SniperSpy - производит мониторинг удалённого компьютера в режиме реального времени, делает снимки пользователя с веб-камеры компьютера, записывает звуки в помещении, где установлен компьютер, просматривает файловую систему, удалённо загружает файлы, просматривает и удаляет процессы системы и выполняет другие стандартные для шпионской программы функции.

Micro Keylogger - шпионская программа, которую не видно в меню, в панели задач, панели управления программами, списке процессов и в других местах компьютера, где есть возможность отслеживать работающие приложения. Она не подаёт признаков присутствия и не влияет на производительность системы, скрытно отправляет отчёт на электронную почту или FTP-сервер.

Во-вторых, есть DLP (Data Leak Prevention) - технологии предотвращения утечек конфиденциальной информации из информационной системы во внешний мир (и технические устройства для осуществления этой задачи). DLP-системы анализируют потоки данных, пересекающих периметр защищаемой информационной системы. Если в потоке обнаруживается конфиденциальная информация, срабатывает активная компонента системы и передача сообщения (пакета, потока, сессии) блокируется.

Такие решения контролируют поток, который входит, выходит и циркулирует в периметре. Сейчас речь о пространстве офиса. Физически это обычный сервер (или группа серверов), который анализирует весь офисный трафик. DLP-системы с помощью технологий инспекции пакетов (DPI) читают не только заголовки сообщений, где написано, кому должно уйти письмо, но и вообще все передаваемые данные.

Такие системы обычно работают в двух режимах: мониторинг и блокирование. В первом случае система просто мониторит и скидывает подозрительные вещи сотруднику, отвечающему за безопасность, а он это читает и решает, хорошо это или плохо. Во втором случае система настроена так, чтобы блокировать определённые вещи. Например, все сообщения, в которых содержатся медицинские термины - для этого в систему загружаются медицинские словари. Или все сообщения, в которых содержатся паспортные данные, информация про кредитные карточки, любые условия, какие вы можете вообразить. Вы пытаетесь отправить сообщение со словами, которые политика безопасности не пропускает, и у вас это сообщение просто не отправляется.

Наконец, есть специальные программы, которые предотвращают перемещение файлов на любой носитель, будь то флешка, жёсткий диск или что угодно ещё. Чаще всего такие программы являются частью большой системы безопасности и современных решений DLP. Обычно средства защиты комбинируют, потому что ни одно не защищает от всех угроз.

Что касается личных устройств в офисе, то домашние ноутбуки часто стараются запретить, их можно обнаружить с помощью программно-аппаратного комплекса класса Network Admisson Control (например, Cisco ISE). NAC - комплекс технических средств и мер, обеспечивающих контроль доступа к сети на основании информации о пользователе и состоянии компьютера, получающего доступ в сеть. Такие системы сразу видят и блокируют «чужой» компьютер. Даже если такой системы нет, с помощью системы DLP всё равно можно отследить, что с любого компьютера в сети офиса ушло за периметр.

Если человек всё время работает удалённо, на его личный компьютер ничего поставить невозможно. Другое дело, если работник что-то делает на своём домашнем компьютере, а затем подключается к корпоративной системе из дома. Для таких случаев есть решения по контролю привилегированных пользователей (CyberArk, Wallix). Они позволяют следить, что делает пользователь, работая из дома, записывая сессию на оборудовании в пределах контролируемой зоны. Речь, разумеется, только о компьютерах, которые удалённо взаимодействуют с сетью предприятия.

Если взять рабочий ноутбук домой, информация тоже будет считываться. Можно поставить такую систему, которая локально сохранит все данные и потом, как только человек придёт на работу и подключит компьютер к системе, они тут же считаются.

Слежка распространяется не только на компьютеры. Если вы сидите в интернете с телефона через рабочий Wi-Fi, система воспринимает его как обычный компьютер, ещё один узел. Всё, что вы посылаете через WhatsApp или через любое самое защищённое приложение, может быть прочитано. Раньше DLP-решения плохо справлялись с шифрованным трафиком, но современные системы могут прочитать практически всё.

Что касается мобильной связи, то пока звонки никак не отслеживаются. Но вот Наталья Касперская выступила инноватором и предлагает прослушивать разговоры работников в периметре компании. C появлением такой системы с любым телефоном, который попадает в периметр, можно будет сделать всё что угодно. Касперская говорит, что работодатели будут следить только за служебными телефонами. Но кто может это гарантировать? И сейчас компании рассказывают, что следят только за служебной перепиской, но на самом деле часто контролируется всё. Мне кажется, предложение Касперской - это очевидный перебор. С другой стороны, мы видим, что мир движется к максимальному ограничению личных свобод - и с этим, по-моему, уже ничего сделать невозможно.

Законные основания

Наше законодательство вроде бы не даёт никому права читать чужую переписку. Согласно статье №23 Конституции РФ гражданин имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, а ограничение этого права допускается только на основании судебного решения. К тому же существует 138-я статья Уголовного кодекса РФ, которая вводит уголовную ответственность за нарушение этой тайны (штраф или исправительные работы).

Тем не менее, работодатели считают, что слежка за работниками законна и даже необходима. Они исходят из того, что корпоративная почта принадлежит компании и должна использоваться только для выполнения служебных обязанностей (выплачивая работнику зарплату, работодатель, по сути, арендует его время).

Компания оплачивает интернет-трафик, используемый работником в личных целях в рабочее время. То есть, даже если человек переписывается по личной почте или в мессенджерах с помощью рабочего ноутбука или через рабочий Wi-Fi, подобные действия рассматриваются как удовлетворение личных потребностей за счёт организации.

Работодатель понесёт убытки в случае утечки данных, поэтому, объясняя необходимость слежки, компании ссылаются на закон «О коммерческой тайне» и, в частности, статью 10, которая регулирует меры по охране конфиденциальной информации.

Как регулируется слежка

Если грубо, вся переписка, осуществляемая при помощи средств, принадлежащих организации и по оплаченным ею каналам связи, является служебной - даже если она ведётся в нерабочее время. Поэтому если вы пользуетесь рабочим компьютером или рабочим Wi-Fi (даже через личный компьютер) - это уже и есть необходимое условие для слежки.

Рабочее время никак не регламентируется, обычно систему мониторинга никогда не выключают. Ведь любой более-менее грамотный работник может настроить систему так, что после того, как он уйдёт с работы, отправится письмо на почту, где он сольёт всё, что хотел слить. Зачем нужна система, если в ней есть такая огромная дыра?

Согласие работника

По закону работник не может не знать, что за ним ведётся слежка. Юристы считают, что использование программ контроля законно только при условии наличия соответствующего соглашения между работником и работодателем. Обычно при устройстве на работу подписывают трудовой договор, где написано, что служебная переписка будет контролироваться: юристы включают в договор пункт, согласно которому работодатель оставляет за собой право контроля деятельности работников в рабочее время. Есть отдельные соглашения NDA, где даётся определение конфиденциальной информации.

В уставах организаций, как правило, указано, что компания является собственником всех материальных, технических, информационных и интеллектуальных ресурсов, в том числе и служебной переписки, которая осуществляется работниками организации с помощью всех этих средств. Кроме того, в организациях обычно действует режим коммерческой тайны. Если система безопасности вводится на уже существующем предприятии, всем работникам дают на подпись соответствующие документы.

Если работник - фрилансер, с ним заключается договор подряда и в нём прописывают соответствующий пункт. Если договор не заключается, что у нас происходит часто, и слежка ведётся, то закон при этом, конечно, нарушается. Есть ещё фрилансеры, которые работают на почасовой оплате на фриланс-биржах вроде Odesk и Elance. Эти биржи обязывает фрилансеров устанавливать софт, которые делает скриншоты экрана каждые 5–10 минут. Это позволяет работодателю понимать, что оплаченное время было потрачено на работу, а не на что-то ещё.

Работнику сообщают о слежке, но подробно разъяснять механизмы никто не обязан. «Дорогой, твою почту, твои сообщения, твои походы на сайты контролирует система, поэтому будь аккуратнее» - так никто никогда не скажет. Даже если с офицером безопасности выпить пива, он не раскроет схему, потому что это будет нарушением его служебных обязанностей.

Ещё иногда оформляют поручительство, причём не в лоб говорят: «Давай ты дашь согласие на просмотр всей твой переписки», а по-другому: «Давай ты подпишешь поручительство, что компания будет проверять электронную почту на наличие всяких вредоносных программ, порнографии, сообщений, раскрывающих коммерческую тайну. Просто чтобы ты не попал в какую-нибудь неприятную ситуацию не по своей вине». Но так грамотно у нас редко кто поступает.

У человека всегда есть выбор: он может дать согласие быть под присмотром или поискать себе другую работу. Без ведома работника за ним будут следить, только если в чём-то подозревают, но это уже незаконно.

Что компания делает с полученными данными

Компании не читают всю переписку работников ежедневно. Да, в маленькой фирме директор может видеть и читать всё, но в больших компаниях систему настраивают на критичные вещи: ключевые слова, типы файлов, виды информации.

Обычно эксперт по безопасности сразу видит критические угрозы: у него бежит лента всего, что происходит, и в этой ленте обычные сообщения подсвечиваются зелёным, а когда загорается красный, он сразу обращает внимание и начинает проверять. То есть, если вы сидите в Facebook во время работы, вероятность того, что работник безопасности прочитает вашу переписку, не очень велика. Конечно, если в компании общение в Facebook не считается критической угрозой.

Как долго хранится собранная информация, зависит от политики безопасности и мощности оборудования. Маленькие компании могут хранить информацию на сервере годами, но более крупные - обычно несколько месяцев. Хотя это зависит даже не от числа работников, а скорее от объёма трафика. В одной компании много работников-бухгалтеров, и в Сеть они вылезают раз в день. В другой люди постоянно работают в интернете: ведут переписку, мониторят сайты.

На основе полученных данных работодатель может и уволить. Но обычно заканчивается увольнением по собственному желанию или по соглашению сторон. Работника мягко шантажируют: «Давай ты лучше уйдёшь по-хорошему, потому что мы можем и в суд подать».

Может ли сотрудник обнаружить слежку

При достаточной квалификации работник может обнаружить шпионские программы-агенты или программы по предотвращению переноса на носители, которые установлены на компьютер. Они, конечно, не лежат в тех папках, где находятся программы. Но если работник грамотный, он может их найти.

А вот DLP работники обнаружить не могут никак, потому что системы не установлены на компьютерах, они стоят на периметре. Если захочется приватности, единственный вариант - пользоваться в офисе для личных переписок телефоном и не подключать его к сети компании.

Можно ли оспорить слежку

Как я уже сказал, обычно работодатели приводят следующие аргументы в пользу слежки: это служебная переписка, и она никак не связана с 23-ей статьёй Конституции; если работник дал согласие, нет никаких нарушений; вся переписка работника - собственность предприятия; закон о коммерческой тайне позволяет делать вообще всё. На самом деле все эти утверждения можно оспорить в суде.

Во-первых, тайна переписки распространяется как на частную, так и на служебную переписку, и работодатель не может прямо получить от работника разрешение на чтение всей переписки, не ограниченное ни временем, ни другими факторами.

Во-вторых, нельзя просто заставить работников написать расписку о том, что они ознакомлены с тем, что вся их почта, в том числе личная, будет прочитана и последуют санкции вплоть до увольнения.

В-третьих, нельзя признать всю переписку работника собственностью предприятия, потому что есть право на электронное письмо - это авторское право. Грамотный работник может нанять юриста и сказать: «А это литературное произведение, на него распространяются авторские права, это результат моей интеллектуальной деятельности, он принадлежит мне». Суд вполне может встать на его сторону, если с ним работает хороший адвокат.

Наконец, нельзя всю личную переписку признать содержащей коммерческую тайну.

В идеальной ситуации работник и работодатель понимают, что делают общее дело, находят правильные решения и закрепляют их во взаимовыгодных соглашениях. Но в жизни, конечно, бывает по-разному.

Чья слежка эффективнее - бизнеса или государства

Сейчас компании следят за сотрудниками так, что государство о таком контроле только мечтает, а осуществить на практике не может. Государство не будет вставлять шпионские программы в каждый компьютер и вообще вряд ли справится с таким объёмом информации.

Когда какое-то предприятие защищает свой периметр, понятно, чего оно добивается - ограничивает распространение информации, которая для него критически важна. У государства эта задача не сформулирована, государство говорит: «А мы просто хотим знать и читать вообще всё». Как это сделать, государство не знает, потому что интеллектуальных систем, которые ему нужны, оно построить не может.

Тогда государство заходит с другой стороны - и появляется «пакет Яровой». Государство как бы говорит операторам связи: «Нужную систему мы построить не можем, поэтому давайте-ка вы будете хранить все данные, чтобы мы могли в случае чего прийти к вам, всё скачать и посмотреть, что там у вас происходило в течение длительного времени». На это нужно огромное количество денег. Это действительно очень сильно бьёт по личной безопасности граждан.

Если сопоставить системы, которые нужно построить в масштабах государства, с системами, которые сегодня есть у бизнеса, получится, что власти пытаются построить гигантский самолёт на 100 000 пассажиров вместо обычного. То, что сегодня есть у бизнеса, летает прекрасно, но перевозит при этом 100, 200, 500 или несколько тысяч человек. Как должен выглядеть самолёт на 100 000 человек? С какого аэродрома он сможет взлететь? На эти вопросы никто не отвечает. По моему мнению, это ещё один ненужный проект.

Если заниматься этим всерьёз, нужно строить интеллектуальную систему, которая будет указывать на критические действия, причём в режиме реального времени, а не хранить огромный массив данных, который никто не сможет обработать. Но лучше бы, конечно, государство совсем не читало нашу переписку без решения суда. Компании работник разрешает мониторить его письма и сообщения, потому что компания платит ему деньги. А государству, наоборот, платит гражданин. Так что это государство должно перед нами отчитываться, вместо того чтобы воровать и следить, как бы кто лодку не раскачал.

Фотография на обложке: Tim Taddler / Getty Images

По данным исследований, более половины российских компаний используют многофункциональные системы наблюдения за сотрудниками. При этом количество таких организаций стремительно растет. Что, впрочем, не удивительно. По словам адвоката-детектива Валерия Вечканова , зачастую результаты мониторинга шокируют: выясняется, что офисные служащие тратят до 25-30% рабочего времени на интернет-серфинг, общение в социальных сетях, прослушивание музыки, покупки в онлайн-магазинах. Неудивительно, что бизнес пытается придумывать все более изощренные способы для контроля за персоналом и выявления бездельников.

Наиболее распространенный способ контроля - мониторинг интернет-активности сотрудников через специальные скрытно установленные программы-агенты. Глубина контроля зависит от направления деятельности организации. Большинство компаний ограничиваются контролем над корпоративной электронной почтой и интернет-трафиком. Впрочем, в некоторых структурах фиксируется едва ли не каждое нажатие клавиши на рабочем компьютере, фиксируются сообщения, оставленные в соцсетях, записывается видео и звук в офисе.

Недавний пример из практики . В торговой компании, которая имела свою сеть реализации товаров, есть представительства в разных регионах РФ. В этих представительствах были трудоустроены менеджеры по работе с партнёрами и покупателями. Периодически в каждом офисе при проведении ревизии выявлялась дебиторская задолженность. Она в принципе считается нормальным явлением, т.к. покупатели задерживают выплаты за поставленные товары, а некоторые покупатели и вовсе стали осуществлять заявки на поставку товаров реже и в меньших объёмах.

С помощью специально установленных программ-агентов я выявил недобросовестных менеджеров отдельных офисов, которые либо получали оплату частями наличными деньгами от покупателей, либо умудрялись поставлять самостоятельно некоторые позиции, используя имя и торговую марку компании, в которой работают. Таким образом, были выявлены компании-двойники, которые возглавляли эти же менеджеры. Они создавали конкуренцию компании, в которой были трудоустроены, используя заработанное имя и торговую марку, а также переманивая на себя покупателей.

Или еще один случай - в крупной торгово-промышленной организации стала расти дебиторская задолженность. Некоторые компании-должники и вовсе, накопив огромную сумму задолженности, начинали банкротиться другими кредиторами. При проведении специальных мероприятий по выявлению рисков (финансово-юридический аудит и применения навыков IT-детектива) я выявил недобросовестные сотрудники этой торгово-промышленной организации, которые получали откаты от компаний-должников, чтоб дать последним возможность уйти в банкротство, при этом было выявлено и то, что эти процедуры банкротства были инициированы компаниями-кредиторами подконтрольными тем же недобросовестным сотрудникам. Т.е. налицо обнаружение мошеннических схем хищения товаров и денежных средств, которое позволило в дальнейшем применить меры по возмещению причинённого ущерба.

Многие компании следят за персоналом с помощью средств видеонаблюдения. Чаще всего - с помощью целой сети видеокамер. Использование видеоаппаратуры должно быть регламентировано документами с указанием целей наблюдения, в которых сотрудники расписываются при приеме на работу. Скрытое видеонаблюдение в офисе незаконно. Выявить его можно с помощью приборов, улавливающих блики оптики, или индикатора радиосигнала.

Но не всегда работодатели следят за своими сотрудниками. Нередко этим занимаются конкуренты. Недавно ко мне обратился топ-менеджер крупной международной компании, который заподозрил неладное в работе своего рабочего ноутбука. Мне удалось выяснить, что в компьютер установлена невидимая на панели управления и в списке процессов шпионская программа, которая передавала неизвестному получателю информацию практически обо всех операциях.

Сегодня никого не удивишь электронными системами пропусков. Они установлены в 90% современных офисов. Однако многие компании решили пойти дальше и внедряют оборудование, позволяющее сканировать отпечатки пальцев и делать фотоснимки. С помощью подобной аппаратуры фиксируются фактическое рабочее время - нарушение трудового распорядка становится основанием для перерасчета заработной платы. Некоторые организации вместо электронных пропусков уже выдают сотрудникам электронные браслеты.

В логистических и транспортных компаниях активно используются современные устройства, ретранслирующие информацию о трафике, расходе топлива. Как правило, с помощью такого оборудования работодатели борются с внутрикорпоративным воровством и «левыми» заработками. В первоклассных складских комплексах техника и сотрудники нередко оснащаются специальными маяками, позволяющими определять местонахождение объекта.

Подобные системы контроля окупаются за несколько месяцев. Экономия может достигать нескольких миллионов рублей или до 3% от оборота бизнеса.

В некоторых крупных структурах внедряются программы, позволяющие анализировать здоровье сотрудников и ритм их жизни. Например, специальные сервисы могут анализировать информацию, полученную HR-департаментом, данные, календарей сотрудников, определяя уровень коммуникационной активности с коллегами. Если она снижается — программа сигнализирует о возможном увольнении.

Многие работодатели мечтают контролировать мобильные телефоны сотрудников. О способах выявления прослушки ходят легенды. Пока прослушивание переговоров применяется крайне редко в силу дороговизны и нелегальности подобных манипуляций. Именно мобильный телефон зачастую остается единственным вариантом сохранения конфиденциальности коммуникаций. Правда, до тех пор, пока смартфон не подключен к корпоративной сети.

Случаи уголовного преследования работодателей за нарушение неприкосновенности частной жизни, тайны переписки и телефонных переговоров единичны. Работодатели надежно прикрываются оговорками в трудовых контрактов или соглашениями о добровольном согласии работников на использование в отношении них систем контроля в рабочее время. Трудовой кодекс позволяет собирать персональные данные работника в целях сохранения имущества и контроля количества и качества выполненной работы.

Если работодатель предупредил работника о возможных проверках, то в случае возникновения конфликтных ситуаций суды крайне неохотно встают на сторону наемных сотрудников. Офисная техника признается оборудованием, предназначенным исключительно для выполнения трудовых обязанностей, поэтому вопросы о неприкосновенности личной переписки становятся неактуальными.

Примерно в 80% случаев суды встают на сторону работодателя в случаях пересылки с корпоративной на личный адрес почты служебной информации, санкционируя увольнение сотрудников за подобные нарушения по ст. 81 ТК РФ за разглашение охраняемой законом тайны.

Спрос на слежку экономически мотивирован. Инструменты слежки и контроля позволяют компаниям сэкономить до 10-15% от фонда оплаты труда, либо оптимизировать производственные процессы. Поэтому круг организаций, желающих выступать в роли Большого брата для своих сотрудников, будет расширяться. При этом становится актуальной проблема надежного хранения и шифрования данных - у большинства компаний нет соответствующей защищенной инфраструктуры. В результате число скандалов, связанных с утечками собранных о работниках данных и вмешательством в их личную жизнь, будет расти.

Никого уже не удивляет большое количество камер видеонаблюдения в общественных местах. Но правомерно ли их наличие в офисах компаний или на производстве?

Многие работодатели даже не скрывают своих намерений понаблюдать за тем, чем занимаются сотрудники на рабочем месте. Основными мотивами нанимателей являются: проверка честности сотрудников, их стремления трудиться на благо компании.

Способы присмотра за специалистами могут быть весьма разнообразными: все зависит от фантазии и возможностей нанимателя, службы безопасности организации.

Наиболее распространенные методы надзора за кадрами:

• видеонаблюдение,
• прослушка офисных телефонов (а порой и мобильных…),
• отслеживание электронных данных (проверка почты, отслеживание действий с файлами, частота выхода в интернет, посещаемые странички и проч.),
• электронные пропускные системы.

Правомерно ли использование «шпионских инструментов»?

Как ни крути, работник все же обязан выполнять возложенные на него обязанности, соблюдать трудовую дисциплину, правила внутреннего распорядка и т.д. (ст. 21 ТК РФ).

В свою очередь, работодатель имеет право требовать от сотрудников исполнения ими трудовых обязанностей и бережного отношения к имуществу компании, соблюдения правил внутреннего распорядка (ст. 22 ТК РФ).

Но можно ли привлечь к ответственности работодателя, который тайно следит за сотрудниками в рабочее время? Этот вопрос мы задали эксперту.

Анастасия Фишкина, юрист юридической компании «ПРИОРИТЕТ» : «Да, можно. Негласное получение информации о лицах возможно только в случае прямого указания ФЗ «Об оперативно-розыскной деятельности». В иных ситуациях, за сбор сведений о частной жизни лица без его согласия работодатель может быть привлечен к:

- административной ответственности (ст. 13.11 КоАП РФ): предупреждение или наложение штрафа на юридических лиц – от 5 000 до 10 000 рублей .

-уголовной ответственности (ст. 137, 138 УК РФ): в частности, штраф в размере до 200 000 рублей или даже лишение свободы на срок до 2 лет с лишением права занимать определенные должности на срок до 3 лет .

Кроме того, ФЗ «О персональных данных» налагает обязанность возместить моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав.»

Чтобы «узаконить» надзор за сотрудниками иногда наниматели включают в трудовой договор пункт о том, что в компании практикуется надзор за деятельностью кадров в течение рабочего дня. Однако не все спешат предлагать сотрудникам подписывать подобные документы. Прежде всего, они опасаются негативной реакции со стороны претендентов на вакантные должности. Проще говоря, работодатели боятся распугать кандидатов.

Вместе с тем, есть мнения, что наличие подобного пункта в трудовом договоре может стимулировать сотрудника на более качественное выполнение функционала, а работодателя - оградить от возможных претензий.

Нужно лишь понимать разницу между служебной и личной информацией. Дело в том, что Конституцей каждому гражданину нашей страны гарантировано право на неприкосновенность частной жизни, на тайну переписки, телефонных переговоров, сообщений. Вместе с тем, сбор, использование частных данных без согласования с «первоисточником» запрещается. (ст. 23, 24 Конституции РФ). Нарушение последнего правила грозит предупреждением, наложением штрафа.

Анастасия Фишкина говорит по этому поводу следующее: «Работодатель может контролировать, чем именно занимаются сотрудники в рабочее время. Но для этого недостаточно просто внести соответствующий пункт в трудовой договор.

В российском законодательстве прямого запрета на «слежку» за сотрудниками нет. Однако Конституция РФ дает каждому право на неприкосновенность частной жизни. Поэтому, если работодатель хочет, например, установить в офисе видеонаблюдение, то делать это нужно «в открытую», с соблюдением требований законодательства.

В частности, для этого следует:

1. подготовить нужные документы;

2. получить согласие работников;

3. разместить информационные таблички (при необходимости);

4. подать уведомление в Роскомнадзор (при необходимости).»

Конечно, с психологической точки зрения сотрудникам тяжело работать в условиях постоянного контроля. Но, согласитесь, гораздо лучше, когда работодатель действует открыто (объясняет, что наблюдение осуществляется исключительно в интересах развития общего дела, предлагает «узаконить» проверки), а подчиненные понимают, какие конкретно методы контроля используются на предприятии. В такой ситуации стороны смогут направить все силы на выполнение производственных задач, а не ждать подвоха друг от друга.