Законно ли следить за сотрудниками в России

Вопрос «а вообще законно ли это» возникает у руководителя обычно уже после того, как решение о мониторинге фактически принято: софт выбран, бюджет согласован, осталось развернуть. И тогда выясняется, что однозначного «да» или «нет» в законе нет — есть рамка условий, и дьявол ровно в них.

Это не юридическая консультация. Материал ниже описывает общие нормы законодательства РФ по состоянию на 26 июля 2026 года, в том виде, в каком они регулярно применяются к теме контроля сотрудников. Он не заменяет консультацию юриста для конкретной ситуации — а ситуации отличаются: разный состав данных, разная формулировка трудового договора, разное оформление локальных актов. Если вы внедряете мониторинг в организации и от ответа реально зависят последствия — сначала пройдите этот текст, чтобы понимать, какие вопросы задавать юристу, а не чтобы заменить его консультацию.

Короткий ответ, который разворачивается ниже: мониторинг сотрудников в России в целом допустим, если одновременно выполнены три условия — сотрудник уведомлён о факте и характере контроля, дано согласие на обработку персональных данных там, где оно требуется по 152-ФЗ, и сам контроль ограничен рабочими целями, рабочим временем и рабочим оборудованием, а не личной жизнью человека. Выпадение любого из трёх условий превращает законный инструмент в источник претензий — от трудового спора до жалобы в надзорный орган.

Законность мониторинга — это всегда баланс между правом контролировать и правом на частную жизнь.

Оглавление

1. Какую рамку задаёт закон
2. ТК РФ: права работника и работодателя
3. Глава 14 ТК РФ: персональные данные работника
4. 152-ФЗ: обработка персональных данных
5. Три условия законности мониторинга
6. Что обычно выходит за рамки
7. Личное устройство и удалённая работа
8. Ответственность за нарушение
9. Чек-лист перед внедрением мониторинга
10. Частые вопросы
11. Шаблон уведомления и согласия
12. Как это устроено в DevPace
13. Итог

Какую рамку задаёт закон

В российском праве нет отдельного закона «о мониторинге сотрудников» — и это первая вещь, которую полезно понимать перед тем, как искать готовый ответ. Вопрос законности контроля сотрудников распадается на две пересекающиеся области:

• Трудовое право — Трудовой кодекс РФ определяет, какие права есть у работника и работодателя в рамках трудовых отношений, включая право работодателя контролировать исполнение трудовых обязанностей и право работника на защиту своих персональных данных.
• Законодательство о персональных данных — Федеральный закон 152-ФЗ «О персональных данных» регулирует, на каком основании и как можно собирать, хранить и обрабатывать данные о конкретном человеке, включая сотрудника.

Работодатель, который контролирует рабочее время и активность сотрудников, почти всегда одновременно находится в поле обеих этих областей права — потому что мониторинг практически неизбежно подразумевает сбор и обработку данных о конкретном человеке.

ТК РФ: права работника и работодателя

Статья 21 ТК РФ закрепляет основные права работника — в их числе право на рабочее место, соответствующее условиям, предусмотренным трудовым договором, и право на защиту своих персональных данных. Симметрично статья 22 ТК РФ закрепляет основные права работодателя — включая право требовать от работников исполнения трудовых обязанностей, соблюдения правил внутреннего трудового распорядка и бережного отношения к имуществу работодателя.

Из этой пары статей следует важный для темы мониторинга вывод: закон признаёт за работодателем право контролировать, как исполняются трудовые обязанности, но не даёт этому праву безграничный масштаб. Право работодателя на контроль существует ровно в рамках трудовых отношений — то есть применительно к рабочему времени, рабочим задачам и рабочему оборудованию, — а не в целом к жизни человека, который у него работает.

Это не абстрактная теория. На практике именно эта граница — «трудовые отношения» против «жизнь человека вообще» — разделяет инструмент учёта рабочего времени и инструмент слежки в бытовом смысле слова. Формально оба могут технически собирать похожие данные: время активности за компьютером, список используемых программ, длительность перерывов. Разница не в наборе технических сигналов, а в том, на каком основании и в каких границах они собираются. Система, которая работает только в рабочее время на рабочем оборудовании и остановлена вне его, стоит на статье 22 ТК РФ. Система, которая продолжает собирать данные после окончания рабочего дня или на личном устройстве сотрудника, эту границу уже нарушает — независимо от того, насколько безобидны сами данные.

Стоит отдельно проговорить: ни статья 21, ни статья 22 ТК РФ не содержат прямого перечня разрешённых или запрещённых технических средств контроля. Обе статьи формулируют права в общем виде — они задают рамку, внутри которой действует работодатель, а не список конкретных программ или методов. Из этого следует практический вывод: сам факт использования софта для учёта рабочего времени не запрещён и не разрешён этими статьями напрямую — законность зависит от того, как именно организована обработка данных и уведомление работника, а это уже вопрос главы 14 ТК РФ и 152-ФЗ.

Глава 14 ТК РФ: персональные данные работника

Отдельная глава 14 Трудового кодекса РФ (статьи 86–90) посвящена именно защите персональных данных работника — это тот раздел трудового законодательства, к которому напрямую апеллируют, когда разбирают законность мониторинга.

Общий смысл этих статей, без попытки процитировать точные формулировки, которые лучше смотреть в первоисточнике:

• работодатель обязан получать персональные данные работника способом, который не нарушает его прав и не выходит за пределы целей, связанных с трудовыми отношениями;
• работник имеет право быть проинформированным о том, кто и как обрабатывает его персональные данные, и вправе получать доступ к ним;
• закон отдельно защищает работника от произвольной передачи его персональных данных третьим лицам без установленных оснований;
• нарушение работодателем норм о защите персональных данных влечёт ответственность, вплоть до дисциплинарной, материальной, административной, гражданско-правовой и уголовной — в зависимости от тяжести нарушения.

Для темы мониторинга рабочего времени это означает, что данные, которые собирает система контроля — если они относятся к конкретному сотруднику, а не к обезличенной статистике, — подпадают под защиту главы 14 ТК РФ независимо от того, насколько безобидными эти данные кажутся самому работодателю.

Практическое следствие для работодателя, внедряющего систему мониторинга, — данные о рабочей активности конкретного человека нельзя собирать «по умолчанию» просто потому, что технически это возможно. У сбора должна быть заявленная цель, связанная с трудовыми отношениями (учёт рабочего времени, анализ загрузки, оценка исполнения обязанностей), а сам работник должен быть заранее проинформирован о том, что эта цель преследуется именно таким образом. Глава 14 ТК РФ прямо связывает законность обработки данных работника с тем, насколько прозрачен для самого работника процесс их сбора, — то есть уведомление здесь не формальность для галочки, а условие, без которого обработка данных теряет законное основание.

152-ФЗ: обработка персональных данных

Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» — базовый закон, который регулирует обработку персональных данных в России в целом, не только в трудовых отношениях. Он применяется к мониторингу сотрудников постольку, поскольку данные о рабочей активности конкретного человека — это персональные данные в смысле закона, если по ним можно идентифицировать этого человека.

152-ФЗ требует, чтобы у обработки персональных данных было законное основание. Применительно к сотруднику таким основанием чаще всего выступает либо необходимость обработки для исполнения трудового договора, либо согласие субъекта персональных данных — и на практике работодатели нередко используют оба основания одновременно: трудовой договор и локальные акты задают рамку, а отдельное согласие на обработку данных мониторинга закрывает случаи, где основание из трудового договора может быть неочевидным.

Именно поэтому организации, внедряющие системы контроля рабочего времени, обычно оформляют отдельный документ о согласии на обработку персональных данных, собираемых средствами мониторинга, — вместо того чтобы полагаться исключительно на общие формулировки трудового договора.

Ещё один практический момент, который часто упускают: 152-ФЗ применяется не только к моменту сбора данных, но и ко всему циклу их жизни — хранению, использованию и, в конце концов, удалению. Если компания собрала данные мониторинга с согласия сотрудника, но не установила внутри себя, сколько времени эти данные хранятся, кто имеет к ним доступ и что происходит с ними после увольнения человека или отзыва согласия — формальное наличие согласия само по себе не закрывает вопрос соответствия закону. Обработка персональных данных — это процесс целиком, а не разовое действие в момент сбора.

Тот же принцип объясняет, почему грамотно спроектированная система мониторинга обычно даёт сотруднику видимость происходящего не только на входе (уведомление и согласие), но и постоянно — возможность посмотреть, какие данные накоплены, и запросить их удаление. Это не требование, прямо прописанное отдельной статьёй 152-ФЗ под этим названием, но логичное продолжение общего принципа закона: субъект персональных данных не теряет отношения к своим данным сразу после того, как дал согласие на их обработку.

Подробный разбор того, как модель согласия DevPace соотносится с 152-ФЗ, вынесен на отдельную страницу /legal/monitoring-152-fz/ — она описывает именно продуктовую архитектуру согласия, а не общую правовую рамку, которую разбирает этот материал.

Три условия законности мониторинга

Собирая три источника — статьи 21 и 22 ТК РФ, главу 14 ТК РФ и 152-ФЗ — вместе, получается практический ориентир из трёх условий. Все три обычно должны выполняться одновременно, ни одно не заменяет другое.

1. Уведомление

Работник должен быть заранее поставлен в известность о том, что его рабочая активность контролируется, каким именно образом и какие данные при этом собираются. На практике это обычно оформляется через локальный нормативный акт — например, положение о мониторинге рабочего времени или политику использования рабочего оборудования, — с ознакомлением работника под подпись. Уведомление «постфактум», уже после того как собранные данные были использованы против работника, не выполняет этого условия.

2. Согласие

Там, где обработка данных мониторинга не покрывается напрямую необходимостью исполнения трудового договора, требуется отдельное согласие сотрудника на обработку его персональных данных в объёме, который собирает конкретная система. Согласие должно быть конкретным и информированным — то есть человек должен понимать, какие именно данные собираются и с какой целью, а не подписывать общую формулировку «согласен на обработку персональных данных» без конкретики.

3. Ограничение рабочими целями

Мониторинг должен быть ограничен рабочим временем, рабочими задачами и рабочим оборудованием — тем, что действительно относится к трудовым отношениям. Именно эта граница чаще всего используется как проверка на практике: если бы то же самое действие с теми же данными совершалось в отношении личной жизни человека вне работы, было бы это законно? Если нет — распространение того же подхода на рабочий контекст не делает его автоматически законным, но требует явного рабочего обоснования и жёсткого ограничения по объёму и времени сбора.

Что обычно выходит за рамки

Из тех же трёх условий естественно вытекает список практик, которые обычно создают проблему — не потому что где-то есть прямой запрет на конкретное действие, а потому что они системно нарушают принцип ограничения рабочими целями или требование информированного согласия.

Контроль личных устройств. Если сотрудник использует собственный телефон или ноутбук, не переданный ему компанией и не закреплённый за рабочими задачами отдельным соглашением, распространение мониторинга на это устройство выходит за пределы того, что статья 22 ТК РФ даёт работодателю в рамках трудовых отношений. Личное устройство — это личное имущество вне зависимости от того, пишет ли на нём человек рабочие сообщения в свободное от работы время.

Сбор данных вне рабочего времени. Мониторинг, который продолжает работать после окончания рабочего дня, в отпуске или на больничном, теряет привязку к исполнению трудовых обязанностей — а значит, и основание, на котором обработка данных считалась законной. Даже если технически система собирает те же самые сигналы, что и в рабочее время, смена контекста (человек больше не выполняет трудовую функцию) меняет правовую оценку того же действия.

Скрытый мониторинг. Отсутствие предварительного уведомления — самое частое и самое очевидное нарушение из всех перечисленных. Даже если сама по себе цель контроля законна и данные собираются в рабочее время на рабочем оборудовании, отсутствие уведомления разрушает саму основу законности: сотрудник не может дать информированное согласие на то, о чём не знает, и не может воспользоваться правом на защиту своих персональных данных, если не в курсе, что они вообще собираются.

Избыточность собираемых данных. Глава 14 ТК РФ и 152-ФЗ исходят из того, что объём собираемых данных должен соответствовать заявленной цели. Если цель — учёт рабочего времени и загрузки, а система при этом фиксирует содержимое личной переписки, снимки экрана или нажатия клавиш, объём собираемого перестаёт соответствовать заявленной цели, и это создаёт риск отдельно от вопроса уведомления и согласия.

Передача данных третьим лицам без оснований. Данные, собранные для внутреннего учёта рабочего времени, не становятся автоматически доступны для передачи за пределы компании — например, подрядчику, не участвующему в обработке, или третьей стороне без отдельного законного основания или согласия.

Важная оговорка: этот список — не перечень конкретных статей закона с номерами санкций, а обобщение принципов из статей выше. Оценка конкретной практики компании — предмет консультации с юристом, знакомым с деталями ситуации, а не общего разбора в блоге.

Личное устройство и удалённая работа

Отдельно стоит разобрать ситуацию, которая с распространением удалённой и гибридной работы возникает всё чаще: сотрудник работает не в офисе на закреплённом за компанией компьютере, а из дома, иногда на собственном оборудовании.

Сам по себе формат удалённой работы не меняет рамку из трёх условий выше — уведомление, согласие, ограничение рабочими целями остаются теми же требованиями независимо от того, где физически находится человек. Меняется то, что граница между «рабочим» и «личным» устройством перестаёт совпадать с границей между «в офисе» и «дома» — и её приходится проводить отдельно, явно.

Практический ориентир здесь простой: если оборудование предоставлено компанией специально для работы, или использование личного устройства в рабочих целях закреплено отдельным соглашением с сотрудником (в котором прямо описано, что на устройстве будет установлено средство мониторинга и какие данные оно собирает), — контроль на этом устройстве укладывается в ту же рамку, что и контроль на офисном компьютере. Если такого соглашения нет, а мониторинг тем не менее установлен на личном устройстве сотрудника «по умолчанию», это прямое нарушение принципа ограничения рабочими целями, вне зависимости от формата занятости.

Дополнительно у удалённой работы есть нюанс: смешение рабочего и личного времени на одном устройстве затрудняет для самой системы мониторинга разделение «работал» и «не работал», если это разделение не выстроено явно — например, через отдельный рабочий профиль, запуск/остановку сбора вручную или привязку к рабочему расписанию. Для работодателя это дополнительный аргумент в пользу того, чтобы система давала сотруднику видимый и управляемый способ приостанавливать сбор данных, а не работала как постоянный фоновый процесс без возможности контроля со стороны самого человека.

Ответственность за нарушение

Нарушение требований законодательства о персональных данных работника может повлечь ответственность разных видов — от дисциплинарной и материальной ответственности должностного лица внутри компании до административной ответственности организации по КоАП РФ, а в отдельных тяжёлых случаях — гражданско-правовой или уголовной ответственности. Конкретный вид и размер ответственности зависит от характера нарушения, наличия ущерба и обстоятельств дела — эти параметры устанавливает не общий разбор темы, а компетентный орган или суд применительно к конкретной ситуации, поэтому здесь намеренно не приводятся конкретные суммы: точная санкция зависит от квалификации нарушения, а неточная цифра способна ввести в заблуждение больше, чем её отсутствие.

Практический вывод из этого раздела не в том, чтобы бояться внедрять мониторинг вообще, а в том, чтобы отнестись к трём условиям выше не как к формальности, а как к реальной защите — и для сотрудника, и для самой компании, которой не приходится потом разбираться с последствиями небрежно оформленного контроля.

Кроме прямой ответственности, есть и менее формализованный, но реально ощутимый риск — трудовой спор. Данные мониторинга, собранные с нарушением уведомления или согласия, рискуют не быть принятыми во внимание как надлежащее доказательство в споре с сотрудником — например, при увольнении за нарушение трудовой дисциплины, обоснованном ссылкой на данные слежки. Работодатель, который рассчитывал опереться на такие данные, может обнаружить, что сам способ их получения ставит под сомнение их использование. Это ещё один довод в пользу того, чтобы оформление мониторинга было аккуратным с самого начала, а не только на случай проверки со стороны надзорного органа.

Чек-лист перед внедрением мониторинга

Ниже — практический список шагов, которые стоит пройти до, а не после включения системы контроля рабочего времени. Список не заменяет юридическую консультацию, но помогает понять, какие вопросы вообще нужно закрыть.

1. Определить цель. Сформулировать конкретно, зачем нужен мониторинг — учёт рабочего времени, анализ загрузки команды, выявление системных проблем с процессами — и держаться именно этой цели при выборе того, какие данные собирать.
2. Оформить локальный акт. Составить положение о мониторинге рабочего времени или дополнить правила внутреннего трудового распорядка — с описанием того, что именно контролируется, каким образом и с какой целью.
3. Ознакомить сотрудников под подпись. Провести ознакомление до включения мониторинга, а не после, и сохранить подтверждение ознакомления.
4. Получить согласие на обработку данных, где оно требуется — отдельным документом, с конкретным перечнем собираемых данных, а не общей формулировкой.
5. Ограничить объём и время сбора рабочими задачами, рабочим оборудованием и рабочим временем — и убедиться, что выбранная система технически это позволяет, а не собирает данные непрерывно.
6. Определить срок хранения и порядок удаления данных мониторинга — в том числе на случай увольнения сотрудника или отзыва согласия.
7. Проверить формулировки с юристом, знакомым с 152-ФЗ и главой 14 ТК РФ, прежде чем внедрять систему на всю компанию — особенно если речь о большом штате или чувствительных данных.

Частые вопросы

Нужно ли отдельное согласие, если пункт о мониторинге уже есть в трудовом договоре? Формулировка в трудовом договоре может служить частью основания для обработки данных, но на практике многие компании дополнительно оформляют отдельное согласие или локальный акт именно потому, что общая фраза в трудовом договоре редко достаточно конкретна о том, какие именно данные собираются и каким образом. Насколько конкретной должна быть формулировка в вашем случае — вопрос к юристу, знакомому с содержанием договора.

Что делать, если сотрудник отказывается подписывать уведомление о мониторинге? Это ситуация, где различаются подходы в зависимости от того, как оформлен локальный акт и трудовой договор в конкретной компании — общего универсального ответа здесь нет, и это прямой повод для консультации с юристом, а не для самостоятельного решения по аналогии с другими компаниями.

Распространяются ли эти правила на удалённых сотрудников? Да, рамка из трёх условий не зависит от места работы — см. раздел «Личное устройство и удалённая работа» выше.

Можно ли ссылаться на данные мониторинга при увольнении сотрудника за прогул или нарушение дисциплины? Данные мониторинга могут использоваться как один из аргументов, но их вес и допустимость как доказательства зависят от того, насколько корректно был оформлен сам мониторинг — уведомление, согласие, ограничение целями. Это тот случай, где корректное оформление на входе прямо влияет на то, можно ли будет опереться на данные позже.

Отличается ли мониторинг сотрудников от слежки в юридическом смысле? Юридически такого отдельного термина, как «слежка», применительно к трудовым отношениям закон не использует — есть обработка персональных данных и контроль исполнения трудовых обязанностей. Разговорное слово «слежка» обычно описывает именно нарушение рамки из трёх условий: скрытость, выход за пределы рабочих целей или избыточность собираемых данных.

Шаблон уведомления и согласия

Ниже — короткий текстовый шаблон, с которого можно начать оформление уведомления сотрудника о мониторинге рабочего времени и согласия на обработку соответствующих персональных данных. Это черновой каркас для внутреннего документа, а не готовый юридический текст — перед использованием его должен адаптировать и проверить юрист компании с учётом того, какую именно систему мониторинга вы используете и какие данные она реально собирает.

УВЕДОМЛЕНИЕ И СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ,
СОБИРАЕМЫХ СРЕДСТВАМИ МОНИТОРИНГА РАБОЧЕГО ВРЕМЕНИ

1. Настоящим работодатель уведомляет работника о том, что в
   организации используется система учёта и анализа рабочего
   времени [название системы], которая собирает следующие данные
   в течение рабочего времени и на рабочем оборудовании:
   [конкретный перечень данных — например: категории активности
   по приложениям, суммарное время за компьютером, время начала и
   окончания рабочего дня].

2. Система не собирает: [конкретный перечень исключений —
   например: содержимое экрана, текст документов и переписки,
   нажатия клавиш, снимки экрана].

3. Собранные данные используются исключительно в целях:
   [конкретная рабочая цель — например: анализ загрузки команды,
   учёт рабочего времени], и не используются для оценки личной
   жизни работника вне рабочего времени.

4. Работник подтверждает, что ознакомлен с настоящим уведомлением,
   и даёт согласие на обработку указанных персональных данных в
   объёме и целях, перечисленных выше, в соответствии с
   Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных
   данных».

5. Работник вправе в любой момент отозвать данное согласие,
   обратившись [способ обращения], что может повлечь прекращение
   сбора соответствующих данных в порядке, установленном
   внутренними процедурами компании.

Дата: __________        Подпись работника: __________

Этот каркас закрывает форму, но не содержание: конкретный список собираемых данных, способ отзыва согласия и порядок хранения — то, что должно быть заполнено под конкретную систему и утверждено внутри компании, в идеале — после проверки юристом.

Как это устроено в DevPace

DevPace спроектирован так, чтобы условие согласия не оставалось формальностью на бумаге, а было видно и обратимо прямо в интерфейсе. Во вкладке «Конфиденциальность» блока «Профиль» сотрудник видит действующий текст согласия на обработку данных, может выгрузить свои данные и запросить удаление аккаунта — без необходимости обращаться за этим к администратору. Подробнее об этой вкладке — в справке /help/profil-konfidentsialnost/.

Сотрудник в любой момент видит действующую редакцию согласия, может выгрузить свои данные в JSON или CSV и запросить удаление аккаунта — без обращения к администратору.

Важное архитектурное решение DevPace: отзыв согласия на обработку данных технически равнозначен запросу на удаление аккаунта, а не просто «паузе» сбора данных с сохранением истории на сервере. Что это означает на практике и почему это честнее, чем формальная галочка «выключить сбор», разобрано отдельно в статье /blog/otzyv-soglasiya-i-udalenie-dannyh/.

Важно подчеркнуть границу: то, что DevPace даёт сотруднику видимость согласия и простой способ его отозвать — это описание продуктового механизма, а не автоматическая гарантия соответствия 152-ФЗ для конкретной компании. Уведомление под подпись, локальные акты и оформление оснований обработки — ответственность самой организации, использующей инструмент, а не самого инструмента.

Если речь идёт именно об учёте рабочего времени как таковом — какие метрики для этого есть и как они собираются — это отдельная тема, разобранная в статье /blog/uchet-rabochego-vremeni-sotrudnikov/.

Итог

Однозначного «да, всегда законно» или «нет, никогда» закон не даёт — он даёт рамку из условий. Мониторинг сотрудников в России в целом допустим, если сотрудник уведомлён о факте и характере контроля (обычно — под подпись, через локальный нормативный акт), если дано согласие на обработку персональных данных там, где оно требуется по 152-ФЗ, и если сам контроль ограничен рабочими целями, рабочим временем и рабочим оборудованием, а не личной жизнью сотрудника. Правовая база этой рамки — статьи 21 и 22 ТК РФ, глава 14 ТК РФ (статьи 86–90) о защите персональных данных работника и Федеральный закон № 152-ФЗ «О персональных данных».

Это общая рамка, а не готовый ответ для вашей компании — состав собираемых данных, формулировки локальных актов и то, как именно оформлено согласие, у каждой организации свои. Прежде чем внедрять или расширять мониторинг, стоит свериться с юристом, который посмотрит именно на вашу ситуацию, а не на обобщённый разбор из статьи.

Смотрите также

• Отзыв согласия — это удаление данных, а не галочка в настройках
• Как DevPace устроен вокруг согласия, а не слежки
• Как понять, на что уходит рабочее время

Хотите увидеть, как выглядит согласие и личная аналитика на практике, а не в пересказе? Посмотреть демо и посмотрите на вкладку «Конфиденциальность» изнутри.

Опубликовано: 26 июля 2026 г.