152-ФЗ и мониторинг сотрудников: какие данные законны, а какие избыточны

Коротко. 152-ФЗ не запрещает мониторинг сотрудников как таковой — он требует, чтобы объём собираемых данных соответствовал заявленной цели обработки. Агрегированные метрики рабочего времени, категории приложений, уровень концентрации и переключений — обычно укладываются в рамку закона, если о них уведомили и они собираются только в рабочее время. А вот кейлоггеры, сплошные скриншоты экрана, содержимое переписки и геолокация вне рабочих задач — это уже избыточные данные, которые создают юридический риск даже при формально оформленном согласии. Дальше — как провести эту границу на практике.

152-ФЗ и мониторинг сотрудников: какие данные законны, а какие избыточны

Что 152-ФЗ говорит именно про данные мониторинга

Федеральный закон № 152-ФЗ «О персональных данных» регулирует не факт слежки, а обработку данных о конкретном человеке — и данные, которые собирает система мониторинга рабочего времени, почти всегда подпадают под это определение, если их можно привязать к конкретному сотруднику. Сам вопрос о том, законен ли мониторинг сотрудников в принципе — при каких условиях и на каком правовом основании — уже разобран отдельно в статье «Законно ли следить за сотрудниками в России», и повторять эту рамку целиком здесь смысла нет. Здесь фокус на другом, более узком и практическом вопросе: какие именно данные из тех, что технически способна собирать система мониторинга, закон считает допустимыми, а какие — избыточными.

Ключевая статья для этого разбора — статья 5 152-ФЗ, принцип минимизации: объём и характер обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Для мониторинга рабочего времени это означает простое правило: если цель — учёт часов работы и загрузки, состав собираемых данных должен ограничиваться тем, что реально нужно для этой цели, а не всем, что технически можно снять с рабочего компьютера.

Три группы данных мониторинга и их правовой статус

Удобнее всего смотреть на данные мониторинга не как на единый блок «слежка/не слежка», а как на три группы с разным уровнем риска.

Эта таблица — не список запретов, а ориентир для вопроса, который стоит задать при выборе или настройке системы мониторинга: соответствует ли конкретный тип данных заявленной цели, или система собирает его просто потому, что технически может.

Почему агрегированные метрики — самый безопасный вариант

Агрегированные данные — общее время работы, распределение по категориям приложений, доля сфокусированного времени — решают управленческую задачу учёта загрузки без сохранения содержания того, что делал сотрудник. Это прямое следствие принципа минимизации: для ответа на вопрос «сколько человек проработал и насколько был сосредоточен» не нужно знать, что именно было написано в открытом документе или какой конкретно сайт он посещал в деталях — достаточно категории и продолжительности.

Именно по этой причине системы аналитики рабочего времени, которые по умолчанию считают только агрегированные показатели — без сохранения содержимого экрана или переписки, — заметно проще привести в соответствие 152-ФЗ. DevPace устроен так, что аналитика строится на времени, категориях приложений и переключениях контекста, а не на детальном журнале действий с содержимым, что сразу сокращает объём персональных данных, которые нужно защищать, хранить и обосновывать перед проверкой.

Где данные становятся избыточными

Избыточность — это не про «плохие» технологии, а про несоответствие объёма данных заявленной цели. Три ситуации возникают чаще всего.

Сбор «на всякий случай». Система мониторинга включает функцию скриншотов или кейлоггер по умолчанию, хотя реальная задача компании — просто знать, сколько часов отработано. Даже если никто эти скриншоты не просматривает, факт их сбора без правового основания уже создаёт риск — избыточность оценивается по объёму собираемого, а не по тому, использовались ли данные фактически.

Расширение цели без переоформления документов. Компания начинала с учёта рабочего времени, локальный акт был написан под эту цель, а потом система «незаметно» расширилась до детального журнала посещённых страниц — без пересмотра документа и без нового уведомления сотрудников. Формально цель обработки изменилась, а бумага — нет.

Данные, не относящиеся к трудовым обязанностям. Геолокация вне контекста конкретной рабочей задачи (например, курьера или выездного специалиста), содержание личной переписки в мессенджерах, установленных на рабочем устройстве, — это данные, которые редко можно обосновать целью «учёт рабочего времени», даже если формально согласие подписано. Согласие снимает не любой риск, а только риск отсутствия правового основания как такового — если основание есть, но объём данных всё равно избыточен относительно цели, это отдельная и самостоятельная проблема.

Именно поэтому одного лишь оформленного согласия недостаточно — важно понимать, на что конкретно оно распространяется. Разбор того, как правильно и конкретно должно быть сформулировано согласие сотрудника на обработку данных мониторинга, — в статье «Согласие на обработку данных сотрудника».

Как выбрать систему мониторинга через призму 152-ФЗ

Когда компания выбирает или настраивает инструмент учёта рабочего времени, вопрос «избыточны ли данные» стоит задавать до внедрения, а не после жалобы. Практический маршрут:

1. Сформулировать цель заранее — учёт часов, анализ загрузки, выявление системных перегрузок в команде — и держаться именно её при выборе набора метрик.
2. Проверить, что система умеет считать агрегированно, а не только вести полный журнал действий. Если инструмент навязывает сплошной снимок экрана как единственный способ получить аналитику — это сигнал, что архитектура продукта не рассчитана на принцип минимизации.
3. Отключить всё, что не нужно для заявленной цели. Многие системы включают кейлоггер, скриншоты или трекинг геолокации по умолчанию — их стоит явно выключить, если цель компании — именно учёт времени, а не полный контроль содержания работы.
4. Определить срок хранения и порядок удаления собранных данных — в том числе на случай увольнения сотрудника. Что именно происходит с накопленными данными после увольнения или отзыва согласия, разобрано в статье «Удаление данных сотрудника».
5. Дать сотруднику видимость собственных данных — возможность посмотреть, что накоплено, и обратиться с вопросом или запросом на удаление, а не только пассивно подписать документ на входе.

Частые вопросы

Можно ли по 152-ФЗ собирать скриншоты рабочего экрана? Технически можно, но это резко повышает требования к обработке: скриншот способен захватить содержание переписки или документов, не относящееся к самому факту работы. Такой сбор редко обосновывается целью «учёт рабочего времени» и требует отдельного, более веского правового основания и явного уведомления, а не входит в базовый мониторинг по умолчанию.

Считается ли учёт времени по категориям приложений персональными данными? Да, если данные привязаны к конкретному сотруднику, а не обезличены до общей статистики отдела. Даже агрегированная метрика «два часа в категории “коммуникации”» — персональные данные в смысле 152-ФЗ, если её можно связать с конкретным человеком, но это не делает такой сбор незаконным — он просто должен соответствовать заявленной цели и требованию об уведомлении.

Что делать, если уже внедрённая система мониторинга собирает больше данных, чем нужно? Разумный шаг — пересмотреть настройки и отключить избыточные функции, привести локальный акт в соответствие с реальным составом данных и переуведомить сотрудников об актуальном объёме мониторинга. Откладывать этот пересмотр рискованнее, чем провести его: несоответствие между документом и фактической обработкой — то, что обычно всплывает при проверке или споре.

Нужно ли отдельное согласие для каждой новой метрики, которую добавляет система мониторинга? Зависит от того, выходит ли новая метрика за рамки уже оформленной цели и существующего основания обработки. Если метрика — детализация той же цели (например, разбивка общего времени по категориям вместо одной суммы), отдельное согласие может не потребоваться. Если метрика вводит принципиально новый тип данных — это повод пересмотреть согласие и уведомление заново, а не рассчитывать, что старая формулировка покрывает всё автоматически.

Отличается ли требование к объёму данных для удалённых сотрудников? Нет, принцип минимизации из статьи 5 152-ФЗ действует одинаково независимо от формата работы. Меняется только техническая реализация — при удалённой работе учёт обычно идёт программными средствами на устройстве сотрудника, а не через офисную систему контроля доступа, но требование ограничивать состав данных заявленной целью остаётся тем же.

Вывод

152-ФЗ не отвечает на вопрос «мониторинг сотрудников — это законно?» одним словом — он задаёт критерий: данные, которые собирает система, должны соответствовать объёму и цели, заявленной работодателем. Агрегированные метрики рабочего времени и загруженности обычно проходят этот критерий легко. Детальные содержательные данные — скриншоты, переписка, кейлоггер, геолокация вне рабочих задач — требуют отдельного обоснования и почти всегда повышают юридический риск без пропорционального управленческого выигрыша. Практический ориентир при выборе или настройке инструмента мониторинга простой: если для ответа на управленческий вопрос достаточно агрегированной цифры — не собирайте то, что за ней стоит в деталях.

Смотрите также

• Законно ли следить за сотрудниками в России
• Отзыв согласия на обработку данных

Опубликовано: 22 июля 2026 г.