Следят ли ме на работа? Правата на служителя при мониторинг

Работодателят чете ли служебната ми поща? Длъжен ли е да ми каже за камерите? Може ли GPS-ът в служебната кола да ме следи в събота? Ако си задавате тези въпроси — тази статия е за вас. Отговаряме от гледната точка на служителя: какво има право да прави работодателят, какво е длъжен да ви каже предварително и какво можете да направите, ако границата е премината — както към август 2026 г.

Как да разбера дали ме следят на работа?

Работодателят е длъжен да ви уведоми предварително. По чл. 13 GDPR информацията за всяка форма на мониторинг трябва да ви бъде предоставена в момента на събирането на данните — ясно, конкретно и преди наблюдението да започне. Скрито следене, за което научавате случайно, по правило е нарушение. Ако не сте били уведомени — това само по себе си е сигнал, че нещо не е наред.

Какво трябва да ви е било казано — писмено, разбираемо и конкретно:

• Какви данни се събират и чрез какви технически средства (камери, софтуер, GPS, логове)
• За какви конкретни цели се обработват
• Колко дълго се съхраняват и кой има достъп до тях
• Какви са правата ви — достъп, коригиране, изтриване, възражение, жалба

Обща клауза във вътрешните правила от типа „работодателят може да наблюдава служителите" не е достатъчна. Проверете правилника за вътрешния трудов ред, политиката за лични данни и трудовия си договор; ако компанията има длъжностно лице по защита на данните (ДЛЗД/DPO), можете да се обърнете направо към него — това е част от функциите му. Как се приемат и изменят самите вътрешни актове — правилникът за вътрешния трудов ред и заповедите на работодателя — е въпрос на трудовото право, не на GDPR; за него вижте практиката ни по трудово право.

Може ли работодателят да чете служебната ми поща?

Само в ограничени случаи — и никога тайно. Работодателят може да наблюдава служебната поща само при документиран легитимен интерес (чл. 6, параграф 1, буква „е" GDPR), пропорционална мярка и предварително уведомяване. Личните ви съобщения по правило не подлежат на четене — дори когато са изпратени през служебна система. Тайното четене на кореспонденция е сред най-тежките нарушения.

Водещото решение е Bărbulescu срещу Румъния (жалба № 61496/08, Голяма камара на ЕСПЧ, 5.09.2017 г.): румънски служител е уволнен заради лични съобщения в служебен месинджър, без да е бил ясно уведомен, че съдържанието на кореспонденцията му се следи. ЕСПЧ намира нарушение на чл. 8 ЕКПЧ (право на зачитане на личния живот и кореспонденцията). Съдът формулира критерии, по които се преценява всеки случай на следене на комуникации — за вас като служител най-важните са:

• Били ли сте предварително уведомени — за самото наблюдение, за естеството и обхвата му
• Чете ли се съдържание или само метаданни (кога, до кого, колко) — достъпът до съдържанието изисква много по-сериозна обосновка
• Има ли по-малко интрузивен начин работодателят да постигне целта си
• Какви са последиците за вас — колкото по-тежка е последицата (напр. уволнение), толкова по-строга е преценката

Ако тези условия не са спазени, наблюдението може да се окаже незаконосъобразно — и събраното чрез него да бъде атакувано. Изходът обаче винаги зависи от конкретните факти; шестфакторният тест на ЕСПЧ в пълния му вид сме разгледали в ръководството за работодатели.

Длъжен ли е работодателят да ме уведоми за камерите?

Да. Видеонаблюдението е обработване на лични данни и подлежи на задължението за информиране по чл. 13 GDPR — трябва да знаете къде има камери, защо и колко дълго се пазят записите. Скритите камери по правило са недопустими, а в санитарни и почивни помещения камерите са забранени изобщо. Камери, чиято цел е да оценяват как работите, също са недопустими.

Тясно изключение за скрито видеонаблюдение допусна ЕСПЧ в López Ribalda и др. срещу Испания (жалби № 1874/13 и 8567/13, Голяма камара, 17.10.2019 г.): касиерки в супермаркет са заснети скрито и уволнени за кражби. Съдът (14 на 3 гласа) не намери нарушение на чл. 8 ЕКПЧ — но само защото е имало обосновано подозрение за конкретно сериозно нарушение, наблюдението е било краткотрайно и ограничено до касовата зона и не е имало по-щадяща алтернатива. Това е изключение при подозрение за престъпление, не разрешение за постоянни скрити камери „за всеки случай".

Какво означава това за вас на практика:

• Трябва да има видимо обозначение и предварителна информация за видеонаблюдението
• Записите се пазят ограничено време (в практиката — типично до 30 дни) и достъпът до тях е ограничен
• Камера, насочена постоянно към работното ви място, за да следи как работите — е незаконосъобразна цел според последователната позиция на надзорните органи
• Пълните правила сме описали в статията за видеонаблюдение и GDPR

GPS в служебния автомобил — законно ли е извън работно време?

Не. Проследяването на местоположението ви извън работно време засяга личния ви живот и излиза извън всяка легитимна цел на работодателя. Ако ви е разрешено да ползвате автомобила и за лични цели, трябва да съществува възможност проследяването да се изключва извън работно време. GPS в работно време е допустим — но при конкретна цел и предварително уведомяване.

Становище 2/2017 (WP249) на Работната група по чл. 29 признава законни цели като логистика, оптимизация на маршрути и отчитане на работа на терен — но изрично изключва следенето на служителя в личното му време. Ако установите, че служебният автомобил (или служебният телефон) отчита местоположението ви вечер и през почивните дни, имате право да поискате информация на какво основание става това и да възразите.

Може ли да следят интернет активността и клавиатурата ми?

Тоталното следене — не. Софтуер, който записва всяко натискане на клавиш (keylogging), прави периодични снимки на екрана или снима през уеб камерата, се приема от европейските надзорни органи за почти винаги непропорционален — защото неизбежно улавя и лични данни: пароли, лична кореспонденция, банкови операции. Интернет логовете са допустими само при конкретна, предварително обявена цел.

Това важи с пълна сила и при дистанционна работа: работата от вкъщи не дава на работодателя повече права — напротив, рискът софтуерът за наблюдение да „влезе" в дома и личния ви живот е по-висок, а преценката за пропорционалност е още по-строга. Инструменти за измерване на „продуктивност", които профилират поименно всяко ваше действие, поставят същите проблеми.

Отделен режим важи за биометричните данни (пръстов отпечатък, лицево разпознаване — например за отчитане на работно време): те са специална категория данни по чл. 9 GDPR, чието обработване е по принцип забранено и допустимо само по изключение. Работодател, който въвежда биометрично отчитане само за удобство, при наличие на по-щадящи алтернативи (карта, код), трудно може да защити такава мярка.

Таблица: вид мониторинг → условия → вашите права

Таблицата обобщава общите положения по GDPR, практиката на ЕСПЧ и насоките на европейските надзорни органи; конкретната преценка винаги зависи от фактите.

Имам ли право да видя какви данни са събрани за мен?

Да — и това е най-силният ви пръв ход. По чл. 15 GDPR имате право да получите от работодателя потвърждение дали обработва ваши лични данни, достъп до самите данни и копие от тях — включително данните от мониторинг: логове, доклади от софтуер за наблюдение, GPS история, видеозаписи, на които сте вие.

Практически правила:

• Срок: работодателят отговаря без ненужно забавяне и по правило в срок до един месец (чл. 12, параграф 3 GDPR); при сложни искания срокът може да бъде удължен с още два месеца, за което трябва да бъдете уведомени
• Безплатно: първото копие се предоставя безплатно (чл. 15, параграф 3)
• Граница: правото на копие не може да засяга неблагоприятно правата на други лица (чл. 15, параграф 4) — например от видеозапис може да получите кадрите с вас, а не с колегите ви
• Форма: подайте искането писмено (имейл е достатъчен) и пазете копие — то е доказателство при последваща жалба

Мълчанието или отказът по искане за достъп е самостоятелно нарушение, което можете да отнесете до КЗЛД.

Какво мога да направя, ако ме следят незаконно?

Имате няколко пътя — и те не се изключват взаимно. Започнете с писмено искане и възражение до работодателя; ако това не даде резултат, следват жалба до КЗЛД, сигнал до Инспекцията по труда и съдебен иск. Всяка стъпка оставя писмена следа, която укрепва следващата. Ето последователността, която обикновено има най-голям смисъл:

1. Искане за достъп (чл. 15 GDPR) — писмено: какви данни се събират, от кога, на какво основание, кой има достъп
2. Възражение (чл. 21 GDPR) — когато обработването се основава на легитимен интерес, можете да възразите; работодателят трябва да докаже, че неговите законни интереси имат преимущество над вашите права, или да преустанови обработването
3. Жалба до КЗЛД (чл. 77 GDPR) — безплатна; срокът е 6 месеца от узнаване на нарушението, но не по-късно от 2 години от извършването му (чл. 38, ал. 1 ЗЗЛД). Как се подава правилно — в отделната ни статия Жалба до КЗЛД
4. Сигнал до ИА „Главна инспекция по труда" — когато наблюдението е преплетено с нарушения на трудовото законодателство (напр. дисциплинарни мерки, основани на незаконен мониторинг); ГИТ осъществява контрол по спазването на трудовото законодателство (чл. 399 КТ)
5. Съдебна защита (чл. 79 GDPR) и обезщетение (чл. 82 GDPR) — за имуществени и неимуществени вреди (стрес, накърнено лично пространство); повече в статията ни за обезщетение при нарушение на GDPR. Дали и колко ще бъде присъдено зависи от конкретните факти и доказателства

Свържете се с нас

Ако смятате, че сте обект на прекомерно или скрито наблюдение, можем да прегледаме фактите, да оценим шансовете и да подготвим искане, възражение или жалба от ваше име — свържете се с нас за консултация. А ако сте работодател, който иска да въведе законосъобразен мониторинг — насоките за вас са в ръководството за HR директори.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.