Мониторинг на служители за HR директори — Microsoft 365, GPS, мейли и какво позволява законът

След пандемията и масовото преминаване към дистанционна работа, инструментите за наблюдение на служители станаха стандартна корпоративна практика — Microsoft 365 Productivity Score, GPS на служебни коли, мониторинг на имейл комуникация. Но колко от тези инструменти са законни в България? Отговорът е по-ограничителен, отколкото повечето HR директори очакват. Решенията на ЕСПЧ Bărbulescu и López Ribalda, насоките на ЕКЗД и позициите на КЗЛД — заедно с чл. 6 GDPR (легитимен интерес и пропорционалност) — определят строги граници. Това ръководство дава практически анализ за HR директори, юрисконсулти и длъжностни лица по защита на данните.

Защо темата гори сега — дистанционна работа и AI

След 2020 г. границата между „работна среда" и „личен живот" се размиха. Служителите работят от дома, използват служебни лаптопи за лични задачи и обратно. Работодателите реагираха с по-агресивни инструменти за наблюдение — от софтуер за проследяване на работното време до системи с изкуствен интелект за оценка на производителността.

Резултатът: експлозия на жалби до КЗЛД от служители. Според годишния отчет на КЗЛД за 2024 г., видеонаблюдението остава водещият сектор по брой жалби, като значителна част са от служители срещу работодатели.

Правна рамка — четирите източника

Мониторингът на служители се регулира от четири правни източника, които работят паралелно:

6-факторният тест на ЕСПЧ (Bărbulescu)

Решението на Голямата камара на ЕСПЧ по делото Bărbulescu срещу Румъния (жалба № 61496/08, 5.09.2017 г.) постави фундаменталния тест за всеки инструмент за мониторинг. Делото касаеше румънски служител, уволнен заради лични съобщения по служебен Yahoo Messenger акаунт. ЕСПЧ установи нарушение на чл. 8 ЕКПЧ.

Преди да внедрите кой да е инструмент за мониторинг, трябва да проверите шестте фактора:

1. Уведомяване — Дали и как е уведомен служителят за естеството на мониторинга? Изричното, ясно и предварително уведомяване е почти задължителна предпоставка.
2. Обхват и интрузия — Колко интрузивен е мониторингът? Чете ли само метаданни (време, обем) или съдържание? Постоянен ли е или таргетиран?
3. Обоснованост — Какъв е легитимният интерес на работодателя? Конкретно посочен и пропорционален ли е?
4. По-малко интрузивна алтернатива — Възможна ли е алтернатива с по-малка намеса в правата на служителя? (Технически контроли, обучение, политика и т.н.)
5. Последици за служителя — Какво следва от мониторинга? Уволнение е тежка последица, която изисква по-висока пропорционалност.
6. Процесуални гаранции — Какви защитни механизми са въведени? (Преглед от длъжностно лице, ограничен достъп, право на обяснение.)

Защо съгласието на служителите НЕ работи

Една от най-честите HR грешки: „Ще накараме служителите да подпишат съгласие за мониторинг — и ще сме защитени." Не работи.

Работната група по чл. 29 (предшественик на EDPB) в Становище 2/2017 (WP249) изрично постанови:

„Служителите почти никога не са в позиция да дадат, откажат или оттеглят свободно съгласието си — поради зависимостта, която произтича от трудовото правоотношение."
— Работната група по чл. 29, WP249, юни 2017 г.

Това означава, че съгласието по чл. 6, ал. 1, б. „а" GDPR не е валидно правно основание в трудово правоотношение в почти всички случаи. Алтернативите:

• Законово задължение (чл. 6, ал. 1, б. „в") — например задължителна сигурност в производствени дейности с висок риск
• Легитимен интерес (чл. 6, ал. 1, б. „е") — с документиран тест за легитимен интерес (LIA — Legitimate Interest Assessment), показващ пропорционалност
• Изпълнение на договор (чл. 6, ал. 1, б. „б") — само за конкретни цели, изрично свързани с трудовия договор

За пълен анализ на правните основания, прочетете нашия материал за легитимния интерес и теста тест за легитимен интерес.

Microsoft 365 Productivity Score — какво е разрешено

През октомври 2020 г. Microsoft пусна функция „Productivity Score" в Office/Microsoft 365 — оценка от 100 точки, измерваща активността на всеки служител в комуникация, срещи, сътрудничество и мобилност. По данни на международни анализатори (Computer Weekly, Privacy International), инструментът даваше на администраторите достъп до над 70 показателя и детайлни данни за всеки служител, включително брой имейли, време в срещи и активност извън работно време.

Реакцията: вълна от критики през ноември-декември 2020 г. от Privacy International, журналисти и експерти по защита на данните. Microsoft бързо премахна индивидуалните идентификатори — днес Productivity Score показва само агрегирани данни на ниво организация.

Видеонаблюдение на работното място

В България видеонаблюдението на работното място се основава на чл. 6, ал. 1, б. „е“ GDPR (легитимен интерес на работодателя) във връзка с чл. 5, ал. 1, б. „в“ GDPR (минимизация и пропорционалност), а допустимостта се извежда последователно от поредица становища на КЗЛД, насоките на ЕКЗД (Guidelines 3/2019 за видеонаблюдение) и практиката на ЕСПЧ. Основното правило: видеонаблюдението е допустимо само ако е необходимо — тоест когато целта не може да се постигне с други, по-малко интрузивни средства.

Какво е допустимо

• Сигурност на сградата и имуществото — паркинги, входове, складове
• Специфични регулаторни изисквания — фармацевтична, химическа, ядрена индустрия
• Високорискови производствени дейности с риск за живота
• Кешови операции — банки, финансови институции (с ограничения)

Какво е НЕдопустимо (КЗЛД позиция)

• Оценка на изпълнението на трудовите задължения — категорично забранено
• Измерване на производителност или работно време като основна цел
• Камери в санитарни и почивни помещения — абсолютно забранени
• Камери, насочени към работни маси за наблюдение на служители
• Прекомерно дълго съхранение на записите (типично — до 30 дни)

Скрито видеонаблюдение — допустимо ли е?

В López Ribalda and Others v Spain (Голяма камара на ЕСПЧ, 17 октомври 2019 г., 14 на 3 гласа) Съдът призна, че скрито видеонаблюдение в работно помещение може да бъде допустимо — но само в строго ограничени случаи: при обосновано подозрение за престъпление (в случая — кражби в супермаркет), кратък период, ограничен обхват, и липса на по-малко интрузивна алтернатива.

GPS на служебни автомобили

GPS на служебни коли е законен — но при стриктни условия. Работната група по чл. 29 в Становище 2/2017 (WP249) дава ясни насоки:

Задължителни мерки: писмено информиране на служителя; ако автомобилът се ползва и за лични цели — техническа възможност за изключване на устройството в извънработно време; ясно ограничение на достъпа до данните; срок на съхранение пропорционален на целта (типично до 6 месеца).

Мониторинг на имейл и електронни комуникации

Bărbulescu v Romania установи фундаменталния стандарт: работодателят не може да чете лични съобщения, дори ако са изпратени през служебни системи, без ясно предварително уведомление и обоснован легитимен интерес.

Препоръчителна практика:

• Ясна политика, която различава служебни от лични съобщения, разпространена сред всички служители при наемане
• Технически контроли — например забрана на лични имейл домейни на служебни системи (gmail.com, abv.bg)
• Сканиране за зловреден софтуер и сигурност — допустимо, но без четене на съдържание
• При нужда от разследване — пропорционална, таргетирана проверка с участие на длъжностно лице по защита на данните и юрисконсулт
• Документация за всеки случай на достъп до имейл — кой, кога, защо
• Спазване на адвокатска и медицинска тайна, ако такава е приложима

Чеклист за HR директора

Преди внедряване на каквато и да е система за мониторинг на служители:

• Извършен 6-факторен тест по Bărbulescu — документиран писмено
• Извършена оценка на въздействието (DPIA) по чл. 35 GDPR за висок риск
• Документиран тест за легитимен интерес (LIA — Legitimate Interest Assessment) — ако ползвате чл. 6, ал. 1, б. „е"
• Писмено уведомяване на всички служители — преди внедряването
• Включване в трудовите договори / правилника за вътрешния трудов ред
• Консултация с длъжностно лице по защита на данните
• Преглед на алтернативи — поне 2 по-малко интрузивни опции, документирано
• Технически ограничения — изключване в извънработно време (за GPS)
• Срок на съхранение — пропорционален и документиран (обикновено 30 дни за видео)
• Контрол на достъпа — кой може да преглежда данните и кога
• Процедура за искания на субекти — как служител може да поиска копия
• Годишен преглед на необходимостта от продължаване на мониторинга

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират HR директори и юрисконсулти на над 90 компании в България — банки, телекоми, държавни органи, технологични фирми — за внедряване на инструменти за мониторинг и съответствие с практиката на ЕСПЧ, КЗЛД и Кодекса на труда.