Мониторинг и контроль сотрудников в Беларуси: что вправе делать иностранный наниматель

Мониторинг сотрудников давно стал частью корпоративной инфраструктуры международных компаний. Тайм-трекеры, журналы активности, запись действий пользователей, хранение корпоративной переписки — всё это обычно внедряется сразу во всех офисах по единым правилам.

Проблема в том, что единые правила не всегда работают одинаково в разных странах.

Если в вашей команде есть сотрудники из Беларуси, корпоративную политику обработки персональных данных стоит проверить отдельно. Здесь действуют собственные требования к мониторингу работников, получению согласий, хранению информации и трансграничной передаче данных.

В этой статье разберём, где проходят эти границы и как выстроить систему контроля так, чтобы она соответствовала требованиям белорусского законодательства.

Коротко о главном

• Согласие работника — основное правовое основание для обработки персональных данных в Беларуси. Аналога «законного интереса» из GDPR как самостоятельного основания в законе нет.
• К форме согласия предъявляются очень конкретные требования по составу. Шаблоны, сделанные под GDPR, обычно им не соответствуют.
• Мониторинг разрешён: корпоративная почта, служебные устройства, трекеры продуктивности, видеонаблюдение, GPS. Но только с политикой, письменным уведомлением и корректно оформленным согласием.
• Передача данных в США, Великобританию и большинство стран за пределами ЕС требует отдельного правового обоснования.
• Ответственность — от административной до уголовной, вплоть до лишения свободы на срок до пяти лет по тяжёлым составам.

Три закона, которые нужно знать

Контроль сотрудников регулируют сразу несколько актов, но для нанимателя ключевых три.

Трудовой кодекс Республики Беларусь (№ 296-З от 26 июля 1999 г.) задаёт саму конструкцию трудовых отношений: что и в каком объёме наниматель обязан сообщать работнику о работе с его данными и кому эти данные могут передаваться.

Закон № 99-З «О защите персональных данных» вступил в силу 15 ноября 2021 года и является профильным. Идеологически он близок к GDPR, но требования к содержанию согласия детальнее, а перечень оснований обработки — уже. Надзорный орган — Национальный центр защиты персональных данных (НЦЗПД).

Закон № 455-З «Об информации, информатизации и защите информации» (2008) идёт в связке с 99-З и покрывает более широкий круг вопросов информационной безопасности. Полные тексты законов доступны на Национальном правовом интернет-портале pravo.by.

Статья 28 Конституции задаёт базовое правило — право на защиту от вмешательства в личную жизнь. Всё остальное надстраивается сверху.

Отдельно держите в голове: в 2026 году в Совет Министров должны быть внесены поправки в Закон № 99-З. Они прямо затронут видеонаблюдение, аудиозапись и мониторинг с использованием ИИ. Любая политика, которую вы напишете сегодня, потребует пересмотра, когда поправки вступят в силу.

Согласие — не то, к чему вы привыкли

По части 3 статьи 4 Закона № 99-З согласие — базовое основание обработки. Статья 6 перечисляет исключения (правосудие, охрана жизни и здоровья, отдельные публичные интересы), но контроль сотрудников почти никогда под них не подпадает.

Статья 5 задаёт состав согласия. До его получения работнику должны быть раскрыты:

• наименование и место нахождения оператора;
• конкретные цели обработки;
• полный перечень собираемых данных;
• срок, на который даётся согласие;
• уполномоченные лица — то есть ваши поставщики систем мониторинга;
• полный перечень действий с данными и способы обработки;
• права работника и последствия отказа — понятным языком.

Само согласие оформляется письменно, электронным документом — важно, чтобы факт получения можно было подтвердить. Практические разборы того, что должно быть в согласии на обработку персональных данных работника, публикует, в частности, аналитический портал etalonline.by.

Здесь и лежит основная ловушка. Иностранные наниматели, как правило, приходят с формой, сделанной под GDPR. В таких формах обычно отсутствует часть обязательных пунктов статьи 5. Формально неполное согласие делает обработку данных незаконной со всеми вытекающими.

Если ваш стек мониторинга опирается на форму, написанную в Берлине или Сан-Франциско, её нужно переделывать. Наша команда проводит аудит соответствия для иностранных нанимателей именно по этому перечню вопросов.

Что можно контролировать и на каких условиях

Мониторинг не запрещён — он регулируется. Ниже — по основным категориям.

Корпоративная почта и мессенджеры. Можно — при наличии политики, уведомления и согласия. Сплошное чтение переписки в реальном времени — зона риска: нужна чёткая деловая цель и соразмерный объём контроля.

Служебные ноутбуки и телефоны. Можно. Устройство должно действительно принадлежать нанимателю, работник — быть письменно уведомлён, объём собираемых данных — соразмерен заявленной цели.

Трекеры активности и продуктивности (Hubstaff, Time Doctor, Teramind и аналоги). Разрешены, но всё упирается в раскрытие. Конкретный инструмент должен быть назван в согласии, собираемые им данные — описаны подробно, охват — ограничен рабочим временем.

Скриншоты и клавиатурный ввод. Высокорисковая история. Допустимо только при узкой обоснованной цели, прямом согласии и мерах, исключающих захват личных аккаунтов, банковских сессий и другой частной информации. Если по умолчанию у вас скриншот раз в десять минут без фильтров — ждите вопросов.

Видеонаблюдение в офисе. Можно при наличии информационных табличек, письменной политики и определённых целей. Постоянное наблюдение через веб-камеру за сотрудниками на удалёнке — уже красная зона. НЦЗПД, кстати, публично обобщил проблемные кейсы работодательского видеонаблюдения — материал разбирает ilex.by.

GPS-мониторинг служебного транспорта или полевого персонала. Разрешён при уведомлении, привязке к обоснованной рабочей цели и соразмерности. Слежение за пределами рабочего времени контроль не пройдёт.

Личные устройства (BYOD). Спорно. Смешение личных и рабочих данных на одном устройстве работника без чёткого разграничения — прямая дорога к ответственности. Иностранные наниматели этот момент почти всегда недооценивают.

Пять типичных ошибок иностранных нанимателей

По практике сотен онбордингов повторяются одни и те же пять пробелов.

1. Используется американская или европейская форма согласия — без адаптации под статью 5. Самая частая ошибка.
2. Данные мониторинга уходят на серверы за пределами Беларуси без проверки адекватности защиты или отдельного согласия на трансграничную передачу. К этому вернёмся ниже.
3. Считается, что удалённые сотрудники не подпадают под белорусскую юрисдикцию, потому что наниматель зарегистрирован за рубежом. Применимое право определяется местом нахождения работника, а не местом регистрации компании.
4. В структуре нет назначенного ответственного за защиту персональных данных. Закон № 99-З исходит из того, что у оператора он должен быть.
5. Политика мониторинга существует только на словах. Устного согласия при онбординге недостаточно.

Любого из этих пунктов достаточно, чтобы получить претензии от НЦЗПД. Если планируете первого сотрудника в Беларуси — наш чек-лист по найму работников в Беларуси показывает, что должно быть готово ещё до оффера.

Трансграничная передача — незаметная ловушка

Ваш стек мониторинга почти наверняка отправляет данные за пределы Беларуси. По Закону № 99-З это регулируемое действие.

Беларусь применяет тест «надлежащего уровня защиты». Ему автоматически соответствуют:

• страны — участницы Конвенции Совета Европы № 108;
• государства — члены ЕАЭС.

США, Великобритания и большинство других стран за пределами ЕС автоматически не соблюдают требования. Если ваш дашборд крутится в AWS US-East, а HRIS — на британском SaaS, для передачи нужно отдельное основание. Как правило, это прямое согласие с указанием страны получения и конкретной цели. Общий обзор режима защиты персональных данных в Беларуси, включая правила передачи, есть на портале e-sud.by.

Именно здесь иностранные наниматели чаще всего непреднамеренно нарушают закон. Сам мониторинг внутри страны может быть выстроен корректно, а нарушением оказывается вывоз данных за её пределы.

Ответственность — административная и уголовная

Беларусь в этой сфере к нарушениям относится очень серьезно.

Административная ответственность — за незаконную обработку данных работника. НЦЗПД инициирует проверки как самостоятельно, так и по обращениям. Результаты публичны.

Уголовная ответственность — по статьям 203-1 и 203-2 Уголовного кодекса. Санкции — от штрафа и ареста до ограничения или лишения свободы на срок до пяти лет. К квалифицирующим составам относятся, в частности, умышленный незаконный сбор персональных данных без согласия, причинивший существенный вред, и непринятие мер защиты, повлекшее несанкционированное распространение данных с тяжёлыми последствиями.

Иностранные головные офисы иногда исходят из того, что административный штраф можно «проглотить» и работать дальше. Исход плохой: репутационные потери от публичной проверки НЦЗПД и операционный удар по локальному менеджменту в случае уголовного дела кратно дороже любого штрафа.

Как выстроить мониторинг чисто

Если вы нанимаете в Беларуси, вариантов по большому счёту три.

Открыть юрлицо. Все обязательства ложатся на вас: и статья 5, и ответственный за защиту ПДн, и коммуникация с НЦЗПД, и локализованные политики мониторинга. Осмысленно на масштабе.

Работать с самозанятыми и ИП. Дешевле и легче, но разговор про мониторинг усложняется: у подрядчиков сильнее аргументы независимости, а риски переквалификации отношений в трудовые в Беларуси вполне реальны.

Использовать Employer of Record. EOR становится юридическим нанимателем в Беларуси. Согласия, политики, договоры на обработку данных и отношения с НЦЗПД оформляются по белорусскому праву с первого дня. Операционный контроль остаётся за вами — задачи, оценка результатов, свой стек инструментов. Комплаенс-слой — на локальном специалисте.

Для большинства иностранных команд до 30 человек в Беларуси EOR — самый быстрый путь к рабочей конструкции без необходимости создавать локальную юридическую компетенцию.

Часто задаваемые вопросы

Можно ли использовать Hubstaff, Time Doctor или Teramind с работниками из Беларуси?

Да — при условии, что конкретный инструмент назван в согласии, соответствующем статье 5, охват ограничен рабочим временем, а трансграничная передача данных на серверы вендора имеет самостоятельное правовое основание. Проблема не в инструменте — проблема в оформлении вокруг него.

Распространяется ли закон на компанию, зарегистрированную за пределами Беларуси?

Да. Закон применяется к обработке персональных данных лиц, находящихся в Беларуси, независимо от того, где зарегистрирован наниматель. Наём резидента Беларуси автоматически включает эти требования.

Признаётся ли в Беларуси согласие в стиле GDPR?

По умолчанию — нет. GDPR-формы обычно не содержат части обязательных элементов статьи 5 Закона № 99-З: срока согласия, полного перечня действий с данными, уполномоченных лиц, конкретных формулировок о правах работника. Адаптировать форму — задача на день. Оставить как есть — риск, несоразмерный экономии.

Можно ли контролировать личный ноутбук работника, если он используется для работы?

Крайне осторожно и в небольшом объёме. BYOD-мониторинг — один из самых уязвимых сценариев по белорусскому праву. Наниматели, которые относятся к этому серьёзно, либо выдают служебное устройство, либо ограничивают контроль изолированным рабочим контейнером.

Кто в Беларуси занимается защитой персональных данных?

Национальный центр защиты персональных данных (НЦЗПД), созданный Указом Президента № 422 от октября 2021 года. У него полномочия по разъяснениям, предписаниям и проверкам, а материалы по серьёзным нарушениям передаются в правоохранительные органы. Актуальные разъяснения публикуются на официальном сайте cpd.by.

Что делать, если сотрудники уже в штате, а мониторинг под Закон № 99-З не произведён?

Перезаключить согласия, оформить письменную политику мониторинга, разобраться с трансграничной передачей, при необходимости — пригласить локального партнёра на комплаенс-аудит. Ретроактивное исправление всегда дешевле проверки. Напишите нам — организуем разбор.

Если сотрудники уже в штате, а как ваш стек мониторинга ложится на Закон № 99-З все еще вопрос открытый, его стоит решать до инцидента, а не после. Свяжитесь с командой eor.by — пройдёмся по вашей текущей ситуации.