Моніторинг електронної пошти на робочому місці: інтереси роботодавця vs таємниця листування працівника

Головна|Напрям "Незалежні медіа"|Медійне право|Аналітика

Автор

аналітик напряму “Незалежні медіа”

p.burdiak@cedem.org.ua

May 27, 2024

В особистому житті для спілкування з рідними, близькими, колегами ми здебільшого використовуємо соціальні мережі. Та на робочому місці одним з основних засобів комунікації залишається електронна пошта.

Присвоювати працівникам службову (корпоративну) електронну пошту для листування щодо робочих справ – стандартна практика для більшості інституцій та компаній. Чимало роботодавців також надають працівникам обладнання – мобільні пристрої, стаціонарні комп’ютери та ноутбуки – для робочих завдань. За допомогою цього обладнання ми й використовуємо корпоративну пошту, а багато працівників додають туди ще й особисті акаунти.

На практиці межі використання електронної пошти в робочих та особистих цілях часто розмиті. Працівники надсилають особисті повідомлення в робочий час з корпоративної пошти, або навпаки – використовують особисту електронну пошту для робочих листувань. Через розмиття цих кордонів виникають питання щодо загрози конфіденційності та приватності таких листувань.

Багато роботодавців запроваджують сувору політику, яка забороняє використовувати корпоративне обладнання чи службову пошту в особистих цілях, тож проводять їх моніторинг. У роботодавців можуть бути технічні можливості отримати доступ не лише до корпоративної пошти, а й до особистої пошти, якщо її використовують на робочому пристрої.

Це викликає низку суперечливих питань. Чи може роботодавець моніторити вашу службову електронну скриньку або особисту електронну пошту, яку ви використовуєте на корпоративних пристроях? Чи є ваші електронні листи на робочому комп’ютері приватними? Як право на таємницю листування застосовується за цих обставин? Ці та інші запитання досліджуємо в аналітиці Центру демократії і верховенства права.

Технічні аспекти моніторингу робочої пошти: як це працює

З погляду компанії є вагомі причини для моніторингу використання службових комп’ютерів, мереж та поштових серверів:

Захист конфіденційної інформації та корпоративних секретів. Корпоративна пошта часто містить важливу інформацію, яка має бути захищеною від сторонніх очей.
Запобігання витоку даних. Моніторинг дозволяє виявляти підозрілі активності та несанкціоновані спроби передачі даних, що може бути критичним для безпеки компанії.
Забезпечення належного використання ресурсів компанії. Контроль корпоративної пошти та обладнання дозволяє переконатися, що ресурси компанії використовуються ефективно та за призначенням.
Виявлення та запобігання порушенням політики безпеки. Моніторинг допомагає відстежувати дотримання внутрішніх правил та стандартів безпеки, що сприяє підтримці високого рівня захищеності інформаційних систем компанії.
Контроль за виконанням працівниками своїх обов’язків. Це дозволяє забезпечити продуктивність працівників і гарантувати, що робочий час витрачається на виконання службових завдань.

Практика моніторингу є досить поширеною, але не всі компанії її застосовують. Це залежить від політики кожної окремої організації, її масштабів, характеру роботи та вимог до захисту інформації. Великі корпорації та установи з високим рівнем конфіденційності даних частіше вдаються до таких заходів.

Компанії можуть проводити моніторинг за допомогою різноманітних технічних способів:

Доступ адміністратора облікового запису до ваших даних. Якщо ваш роботодавець налаштовує корпоративну електронну пошту через провайдерів, таких як Gmail (Google Workspace) або Outlook (Microsoft 365), адміністратори облікового запису можуть мати доступ до кожного листа (чи то він має робочий характер, чи то особистий), який ви надсилаєте та отримуєте, використовуючи робочу пошту.

Так, Google Workspace зазначає, що адміністратор має доступ до всіх даних, які зберігаються у вашому обліковому записі, зокрема до електронних листів.

Microsoft 365 вказує, що адміністратори організації можуть керувати налаштуваннями електронної пошти для своїх користувачів. Сюди належить, зокрема, надання деяким особам у межах організації права читати та керувати поштовими скриньками інших користувачів, і навіть надсилати листи від їхнього імені.

Сторонні інструменти моніторингу електронних листів. Деякі компанії купують спеціальні інструменти моніторингу, що дозволяють роботодавцю переглядати вміст ваших листів, тему та вкладення.

За допомогою спеціалізованого програмного забезпечення роботодавець теоретично може зазирнути не лише у ваш робочий акаунт, але й в особисту пошту, яку ви використовуєте на робочому комп’ютері. Роботодавець може самостійно встановити певні обмеження, щоб зосередитися на моніторингу корпоративної пошти. Втім працівник, який використовує особисту пошту на робочому комп’ютері, не може самостійно обмежити доступ роботодавця до цієї пошти.

Наприклад, такі інструменти моніторингу, як Teramind, дають можливість переглядати емейли як з професійних, так і з особистих поштових скриньок, якщо працівник користується ними на одному комп’ютері. Хоча роботодавці можуть налаштувати певні обмеження доступу до особистих пошт.

Крім доступу до вмісту, теми і вкладення ваших листів, Teramind може навіть виявляти ознаки невдоволення працівників і позначати ненормативну лексику в електронних листах, фіксувати відвідування сайтів для пошуку роботи тощо. На сайті Teramind вказано, що це робиться з метою підтримки ефективності робочих процесів і запобігання витоку конфіденційних даних. Та це програмне забезпечення не має запобіжників, які потенційно заважали б компанії зловживати цим інструментом – наприклад, дисциплінувати працівників, які скаржаться на керівника в електронному листі колезі.

Автоматичні інструменти моніторингу активності. Роботодавці все частіше використовують програмне забезпечення, яке відстежує комп’ютерну активність працівників. Таке програмне забезпечення збирає цілий ряд даних, як-от тривалість перебування на різних веб-сайтах, час пікового використання, улюблені програми і навіть швидкість набору тексту.

Компанія може використовувати ці дані для оцінки продуктивності працівників. Наприклад, якщо керівник помітить надмірне використання Instagram у робочий час замість надсилання робочих листів, він може ініціювати розмову про важливість зосередження на виконанні робочих обов’язків.

Популярними інструментами моніторингу є InterGuard і Hubstaff. Вони надають детальні звіти про активність працівників, зокрема інформацію про час і тип відвіданих веб-сайтів. ActivTrak збирає дані про частоту використання різних програм.

Деякі програми (keyloggers) вміють відстежувати дату і час кожного натиску на клавішу клавіатури чи кнопку миші. Це створює певні виклики конфіденційності у ситуаціях, коли працівники користуються особистою електронною поштою з робочого комп’ютера: кожен натиск на клавіатурі буде збережений, і роботодавець зможе отримати доступ до цих даних.

Відстежувати натискання клавіш і робити скріншоти робочого стола вміють, зокрема, Teramind і TimeCamp.

Міжнародно-правовий погляд на таємницю листування: стандарти конфіденційності робочої пошти

Попри наявність технічних засобів і можливостей моніторингу електронного листування робітників, одним з найгостріших питань є визначення правових засад такого моніторингу. Чи має роботодавець юридичні підстави переглядати електронні скриньки своїх працівників? Як інтерес роботодавця у забезпеченні порядку на робочому місці через емейл-моніторинг співвідноситься з правом працівника на недоторканність особистого життя, зокрема з таємницею листування?

Якщо говорити про міжнародно-правові стандарти, право на таємницю кореспонденції було закріплене ще у Загальній декларації прав людини (ЗДПЛ, 1948), прийнятій Генеральною Асамблеєю ООН у грудні 1948 року. Стаття 12 ЗДПЛ вказує наступне: “Ніхто не може зазнавати безпідставного втручання у його особисте і сімейне життя, безпідставного посягання на недоторканність його житла, таємницю його кореспонденції або на його честь і репутацію. Кожна людина має право на захист закону від такого втручання або таких посягань”

Право на таємницю кореспонденції здебільшого розглядається у ширшому контексті недоторканості особистого життя і конфіденційності приватних комунікацій людини. Це право захищає зміст листів (зокрема електронних), телефонних дзвінків та інших форм комунікації від перехоплення, відкриття або читання неавторизованими особами, зокрема державними органами, роботодавцями або будь-якими третіми особами.

Аналогічну норму було закріплено у статті 17 Міжнародного пакту про громадянські і політичні права (1966), який Україна (на той час Президія Верховної Ради Української РСР) ратифікувала ще у 1973 році. Пункт 1 статті 17 передбачає, зокрема, що ніхто не повинен зазнавати свавільних чи незаконних посягань на таємницю його кореспонденції.

Після вступу до Ради Європи у листопаді 1995 і подальшої ратифікації Європейської конвенції про захист прав людини і основоположних свобод (ЄКПЛ, 1950) у липні 1997, Україна зобов’язалася дотримуватися положень ЄКПЛ і виконувати рішення Європейського суду з прав людини (ЄСПЛ) щодо імплементації конвенції. Стаття 8 ЄКПЛ регламентує право особи на повагу до її приватного i сімейного життя, до житла і до таємниці кореспонденції.

Європейський суд з прав людини також розглянув кілька справ про баланс між правом на таємницю листування та інтересом роботодавця моніторити електронну пошту на робочому місці.

У справі Copland v. the United Kingdom заявниця скаржилася, що під час роботи в коледжі її телефонні розмови, електронна пошта та користування Інтернетом контролювали за вказівкою заступника директора без її відома. Вона заявила про порушення її права на приватне життя і таємницю кореспонденції за статтею 8 ЄКПЛ.

Відповідно до прецедентної практики телефонні дзвінки з офісних приміщень безпосередньо пов’язані з поняттями “приватне життя” і “кореспонденція” у межах статті 8 ЄКПЛ. Використовуючи логічну інтерпретацію Конвенції Суд зауважив, що такий же рівень захисту повинен поширюватися і на електронні листи, відправлені з роботи, та інформацію, отриману через моніторинг особистого користування інтернетом.

У цій справі суд знайшов порушення статті 8 ЄКПЛ і постановив, що збір і зберігання особистої інформації щодо використання заявницею телефону, електронної пошти та Інтернету – без її відома – становило втручання в її право на повагу до приватного життя і кореспонденції.

В іншій справі – Bărbulescu v. Romania – приватна компанія здійснила моніторинг електронної пошти працівника (заявника) і дізналася, що той використовував корпоративну робочу пошту для спілкування зі своїм братом і нареченою. Його звільнили за порушення політики компанії, яка забороняла використовувати корпоративні ресурси в особистих цілях. Заявник же скаржився, що дії роботодавця порушували його право на повагу до приватного життя і кореспонденції.

Суд постановив, що у цій справі моніторинг електронної пошти заявника був порушенням статті 8 ЄКПЛ. Але порушення тут було не тому, що моніторинг заборонений як такий. Суд наголосив, що національні суди просто не зуміли знайти баланс між інтересами компанії та інтересами працівника, бо не звернули увагу на низку важливих критеріїв, за яких моніторинг електронної пошти міг би вважатися доцільним кроком. Ці критерії включають:

Попередження від роботодавця про можливість моніторингу комунікацій працівника. Таке повідомлення має бути чітким щодо характеру моніторингу та надаватися заздалегідь.
Інформування працівника про обсяг моніторингу, а також про ступінь втручання в його особисте життя та кореспонденцію.
Наявність легітимних підстав, які виправдовують запровадження заходів моніторингу комунікації та доступу до її фактичного змісту. Моніторинг змісту комунікацій вимагає більш докладного обгрунтування.
Можливість досягнення поставленої легітимної мети за допомогою заходів, що передбачають якомога менше втручання в приватне життя і кореспонденцію заявника (менше, ніж безпосередній доступ до змісту комунікацій). Завжди потрібно застосовувати найменш обмежувальні заходи.
Наслідки моніторингу і суворість покарання працівника. Покарання завжди повинно бути пропорційним.
Наявність гарантій для працівника, що заходи з моніторингу не будуть мати надмірного втручання, а роботодавець попередньо повідомлятиме про намір моніторингу вмісту листування.
Наявність доступу працівника до належних засобів правового захисту.

Таємниця листування в українському законодавстві

Міжнародні зобов’язання України забезпечити таємницю кореспонденції знайшли своє відображення у національному законодавстві країни:

Стаття 31 Конституції України гарантує кожному таємницю листування, телефонних розмов, телеграфної та іншої кореспонденції. Винятки можуть бути встановлені лише судом у випадках, передбачених законом, з метою запобігти злочинові чи з’ясувати істину під час розслідування кримінальної справи, якщо іншими способами одержати інформацію неможливо.
Стаття 14 Кримінального процесуального кодексу України зазначає, що під час кримінального провадження кожному гарантується таємниця листування, телефонних розмов, телеграфної та іншої кореспонденції, інших форм спілкування. Виняток – судові рішення у випадках, передбачених цим Кодексом.
Стаття 306 Цивільного кодексу закріплює, що фізична особа має право на таємницю листування, телеграм, телефонних розмов, телеграфних повідомлень та інших видів кореспонденції. Виняток –- дозвіл суду у випадках, встановлених законом.
Стаття 6 Закону України “Про поштовий зв’язок” забезпечує охорону таємниці інформації у сфері надання послуг поштового зв’язку.

За порушення таємниці листування, телефонних розмов, телеграфної чи іншої кореспонденції, що передаються засобами зв’язку або через комп’ютер в українському законодавстві передбачена кримінальна відповідальність (стаття 163 Кримінального кодексу України). Предметом злочину є, зокрема, повідомлення, які передаються або були передані через електронну пошту і становлять таємницю громадянина (громадян). Однак відомості та повідомлення, які містяться в службовій кореспонденції, не можуть бути визнані предметом цього злочину.

Незаконне ознайомлення зі службовою кореспонденцією, телефонними розмовами, телеграфними та іншими повідомленнями та їх розголошення за наявності для того підстав можуть розглядатися як комерційне шпигунство (ст. 231), розголошення комерційної таємниці (ст. 232), розголошення державної таємниці (ст. 328), передача відомостей, що становлять конфіденційну інформацію, яка є власністю держави (ст. 330), розголошення відомостей військового характеру (ст. 422).

У національному законодавстві відсутні спеціальні положення, які б докладно регламентували застосування права на таємницю листування у контексті використання працівником засобів електронної комунікації на роботі. Водночас на Україну поширюються вищезгадані зобов’язання і стандарти щодо таємниці листування відповідно до Європейської конвенції з прав людини і прецедентної практики Європейського суду з прав людини. Відтак, роботодавцям, які хочуть запровадити моніторинг електронної пошти своїх працівників, варто дотримуватися вищенаведених критеріїв, визначених ЄСПЛ.

Конфіденційність використання електронної пошти на роботі на практиці

Використання електронної пошти на роботі може набувати різних проявів. Розглянемо питання конфіденційності найбільш типових з них:

Використання корпоративної пошти для робочих завдань.
Використання корпоративної пошти для особистих справ.
Використання особистої пошти для робочих листувань.

Використання корпоративної пошти для робочих завдань

Функцію моніторингу за електронними поштами працівників у компаніях зазвичай виконують адміністратори корпоративної пошти або інші спеціально уповноважені особи чи підрозділи організації.

Щоб розставити крапки над “і” в питаннях конфіденційності корпоративної електронної пошти, компанії часто включають в свої політики відповідні довідники/інструкції для працівників. Вони окреслюють правила використання робочої електронної пошти, встановлюють певні обмеження для працівників і прописують положення щодо можливості моніторингу електронної пошти. Влаштовуючись на роботу, працівник своїм підписом засвідчує факт ознайомлення з цими інструкціями, чим надає згоду на дотримання встановлених правил та можливий моніторинг.

Так, Положення про порядок використання ресурсів локальної обчислювальної мережі в Державній судовій адміністрації України, територіальних управліннях Державної судової адміністрації України, місцевих та апеляційних судах загальної юрисдикції закріплює, що електронна пошта надається працівникам виключно для виконання своїх службових обов’язків. Її використання в особистих цілях заборонене. Цей документ теж вказує, що адміністратор має право вести спостереження за поштовими відправленнями користувачів Мережі.

Положення про відомчу електронну пошту Державної архівної служби України теж регламентують порядок використання робочої електронної пошти працівників. Зазначається, що службове листування повинно відбуватися лише з використанням відомчої електронної пошти. Працівникам заборонено передавати електронні повідомлення, що містять конфіденційну інформацію з обмеженим доступом, недостовірну інформацію, шкідливі файли та програми, а також заборонені українським законодавством матеріали. Адміністратор здійснює контроль над дотриманням правил і забезпечує функціонування системи відомчої електронної пошти у взаємодії з IT-спеціалістами Укрдержархіву та архівних установ.

Положення про організацію та користування корпоративною електронною поштою в Сумському державному університеті теж окреслює головні правила використання корпоративної пошти і уповноважує Центр технічного обслуговування інформаційних систем вести моніторинг користування корпоративною електронною поштою. Таврійський національний університет імені В. І. Вернадського наділяє адміністратора корпоративної електронної пошти повноваженнями моніторити її використання.

Використання корпоративної пошти для особистих справ

Компанії та установи створюють працівникам корпоративні пошти для виконання робочих завдань. Тому використовувати корпоративну пошту для позаслужбових цілей, як правило, заборонено.

Якщо ж працівник таки користується робочою поштою для вирішення власних справ (надсилання емейлів друзям, реєстрації на сторонніх онлайн-ресурсах), він не лише порушує встановлені компанією правила і ризикує отримати санкцію, але й ставить під загрозу свої інтереси та інтереси компанії.

Інтереси працівника зазнають шкоди, оскільки він втрачає конфіденційність власних листувань, адже компанія може потенційно отримати до них доступ у процесі штатного моніторингу робочої пошти.

Інтереси компанії страждають від можливої компрометації корпоративної пошти. Вона може стати відомою зловмисникам, які спробують отримати несанкціонований доступ до неї, надсилати спам та фішингові листи. Крім того, використання робочої пошти в особистих цілях призводить до зайвого навантаження на робочі канали комунікації (що особливо важливо в критичних умовах та умовах обмеженого зв’язку).

Наприклад, Міністерство оборони України закликає використовувати свою службову електронну адресу (@mil.gov.ua) не для “листування з коханою”, реєстрації в соціальних мережах, на форумах чи розважальних сайтах, а виключно у службових цілях.

У Міноборони наголошують, що позаслужбове використання електронної пошти часто призводить до зламу або отримання несанкціонованого доступу до акаунту працівника, включення корпоративної пошти до бази даних зловмисників для подальшого збору інформації, збільшення навантаження на канали зв’язку та затримки в передачі важливої інформації.

Отже, якщо працівник використовує корпоративну пошту для відправки особистих повідомлень, він ставить під загрозу конфіденційність своїх листувань. Якщо політика компанії передбачає можливість запровадити систему моніторингу корпоративної пошти, моніторинг зможе виявити не лише робочі, але й особисті повідомлення працівника.

Використання особистої пошти для робочих листувань

Деякі українські організації забороняють своїм працівникам використовувати особисту електронну пошту для комунікації щодо робочих питань і процесів, оскільки це породжує низку викликів. Це стосується, зокрема, питань інтелектуальної власності та безпеки.

Інтелектуальна власність, яку працівник створює у межах трудових відносин, як правило, належить роботодавцю. Навіть якщо працівник використовує свою особисту електронну пошту або власний комп’ютер для завдань, пов’язаних з роботою, створена в результаті цієї діяльності інтелектуальна власність залишається власністю роботодавця (якщо це було передбачено договором між роботодавцем та працівником). Однак за умови використання особистої пошти роботодавець може не мати доступу до контенту, створеного працівником. Це може ускладнити реалізацію права компанії на інтелектуальну власність.

Крім того, приватні електронні пошти часто є більш вразливими до зламу. Інформацію, передану через позаслужбові онлайн-інструменти, можуть легше та швидше перехопити зловмисники.

Міноборони зазначає, що навіть на перший погляд нікому не потрібну інформацію можна перехопити й отримати важливі дані. Наприклад, простий акт списання дизпалива допомагає припустити, скільки техніки є в підрозділі, чи вона прогрівається або переміщується. Фотографія відомості про роздані подушки і матраци може розповісти про кількісний склад підрозділу.

З огляду на вищезгадані труднощі, компанії й установи зазвичай забороняють використання особистої пошти для робочих листувань. Так, Міноборони закликає використовувати лише військову пошту на @mil.gov.ua. Її захищені сервери знаходяться на надійному вузлі зв’язку, “а не в сусідньому підвалі”.

Державна архівна служба України теж не дозволяє використовувати сторонні сервіси у службових цілях. Використання персональних електронних пошт для офіційного листування забороняється. Як виняток, направляти на персональну електронну пошту можна тільки офіційні листи-відповіді, і тільки якщо ця пошта зазначена у листі-запиті або іншому розпорядчому документі.

Попри поширену заборону використовувати особисту пошту для роботи, питання конфіденційності цих листувань, коли вони таки трапляються, є суперечливим.

З технічного погляду роботодавець може здійснювати моніторинг особистої електронної пошти працівника, якщо той використовує її на своєму робочому пристрої (смартфоні, планшеті, ноутбуці тощо). Наприклад, використання програм keyloggers дає компанії можливість відслідковувати дату і час кожного натиску на клавішу клавіатури чи кнопку миші корпоративного пристрою (хай то повідомлення з робочої пошти чи особистої пошти). За цих умов виникають запитання щодо підстав, легітимності та пропорційності такого моніторингу.

Якщо говорити про правове підгрунтя, ми вже зазначали, що українське законодавство чітко не регулює питання моніторингу особистої електронної пошти працівника приватної компанії, яку той використовує на робочому пристрої для виконання робочих завдань, чи питання доступу до вмісту особистої пошти державного службовця за умови наявності там робочих листувань.

У цьому контексті цікаво розглянути досвід Великої Британії у сфері доступу до приватних електронних пошт держслужбовців. Закон про свободу інформації (Freedom of Information Act), ухвалений парламентом Сполученого Королівства у 2000 році, встановлює “право доступу” громадськості до інформації, що знаходиться у володінні органів державної влади. При розробці інструкцій застосування закону на практиці Офіс інформаційного комісара створив окремий посібник, що пояснює тонкощі доступу до інформації, дотичної до діяльності державних органів, яка зберігається на приватних електронних поштах та інших медійних майданчиках.

Так, Закон про свободу інформації поширюється і на офіційну інформацію, що зберігається в приватних електронних скриньках (як-от Gmail, ProtonMail, Yahoo Mail) та інших медіаплатформах (наприклад, WhatsApp, Signal, Telegram, Twitter, Facebook Messenger), якщо вона зберігається чи розповсюджується від імені посадовця при виконанні службових завдань. Водночас, інформація в приватній електронній пошті, що не стосується діяльності державних органів, не підпадає під дію Закону про свободу інформації. Тож коли надходить запит на доступ до публічної інформації, державні органи Великої Британії повинні розглянути всі місця, де може зберігатися відповідна інформація. Це може включати й приватні електронні скриньки держслужбовців.

Відтак, використання приватних електронних пошт та інших цифрових платформ для виконання службових обов’язків – комплексне питання, яке потребує належного врегулювання.

Висновки

Електронна пошта є невід’ємною частиною сучасних робочих процесів. Її використання для обміну інформацією між співробітниками та зовнішніми партнерами значно полегшує роботу. Та оскільки роботодавці мають можливість моніторити електронну пошту працівників за певних умов, постає питання конфіденційності електронної кореспонденції. Виникають труднощі з балансуванням інтересів компанії і права працівників на таємницю листування.

Українське законодавство гарантує право на таємницю листування. Це право закріплене у Конституції України, Кримінальному процесуальному кодексі України, Цивільному кодексі України та інших нормативних актах. Проте в Україні немає спеціальних положень, які б комплексно регламентували тонкощі моніторингу електронної пошти на робочому місці.

Право на таємницю листування закріплено й у міжнародно-правових актах, таких як Загальна декларація прав людини, Міжнародний пакт про громадянські і політичні права та Європейська конвенція про захист прав людини. Європейський суд з прав людини встановив критерії, які роботодавцям слід враховувати при запровадженні моніторингу корпоративної електронної пошти працівників, щоб дотримуватися права на приватність. Для цього компанії розробляють спеціальні політики користування корпоративною електронною поштою. Політики зазвичай дозволяють використання корпоративної пошти лише у робочих цілях і передбачають можливість моніторингу.

Для моніторингу електронних пошт використовують різноманітні технічні методи. Це може включати доступ адміністратора до облікових записів працівників, використання сторонніх інструментів моніторингу та автоматичних інструментів відстеження активності в інтернеті.