О чем материал:
Устройства для считывания мозговой активности перестали быть атрибутом научных лабораторий. ЭЭГ-гарнитуры и другие нейроинтерфейсы — носимые устройства с электродами, которые регистрируют электрическую активность мозга через кожу головы, — уже применяются в логистике, на производстве и в авиации для мониторинга усталости и концентрации. На российском рынке представлены устройства контроля бодрствования водителей, а международные корпорации тестируют наушники со встроенными ЭЭГ-сенсорами для офисных сотрудников.
При этом законодатель пока не урегулировал правовой статус данных мозговой активности. Разбираемся, законно ли собирать данные о мозговой активности сотрудников.
Статус нейроданных в IT-праве: биометрия или информация о здоровье
От того, как квалифицировать нейроданные, зависит режим их обработки: нужно ли письменное согласие, какие есть ограничения, какие штрафы грозят за нарушения. Российское законодательство не выделяет «нейроданные» в отдельную категорию, поэтому приходится применять существующие нормы.
Статья 11 Федерального закона № 152-ФЗ «О персональных данных» определяет биометрические персональные данные как сведения о физиологических и биологических особенностях человека, позволяющие установить его личность. Данные мозговой активности характеризуют физиологические особенности. Однако если работодатель собирает их не для идентификации, а для отслеживания усталости, прямое применение статьи 11 вызывает сомнения.
Одновременно нейроданные могут раскрывать информацию о состоянии здоровья: уровень стресса, когнитивные нарушения, признаки переутомления. Статья 10 того же закона относит сведения о состоянии здоровья к специальным категориям персональных данных, обработка которых по общему правилу запрещена. Исключения предусмотрены для случаев письменного согласия субъекта и ситуаций, прямо указанных в трудовом законодательстве.
Возникает ситуация двойной квалификации: нейроданные потенциально подпадают под действие и статьи 11 (биометрия), и статьи 10 (данные о здоровье). До появления специального регулирования безопаснее применять наиболее строгий режим защиты. Штрафы за утечку биометрических данных по вине оператора составляют 15–20 млн ₽ для юридических лиц согласно части 17 статьи 13.11 КоАП РФ.
Отличия нейроданных от классической биометрии
Европейский регламент по защите данных GDPR определяет биометрические данные шире российского закона: определение включает не только физиологические, но и поведенческие характеристики. Паттерны мозговой активности с большей вероятностью квалифицируются как биометрия в ЕС.
GDPR устанавливает запрет на обработку биометрических данных для целей идентификации, а также данных о здоровье. При этом государства-члены вправе вводить дополнительные ограничения. Нейроданные в европейском контексте получают двойную защиту: как биометрия и как информация о физическом или психическом здоровье.
В 2021 году Чили стала первой страной, закрепившей защиту нейроданных на конституционном уровне. Закон о нейроправах устанавливает особую защиту данных о мозговой активности на основании принципа ментальной неприкосновенности. Концепция нейроправ включает право на психическую неприкосновенность, право на идентичность и право на когнитивную свободу.
| Критерий | Биометрия (ст. 11 152-ФЗ) | Данные о здоровье (ст. 10 152-ФЗ) | Нейроданные |
| Определение в законе | Физиологические и биологические особенности для идентификации | Сведения о состоянии здоровья | Отсутствует |
| Типичные примеры | Отпечатки пальцев, изображение лица, голос | Диагнозы, результаты анализов, медицинские заключения | Показатели ЭЭГ: усталость, концентрация, стресс, эмоциональное состояние |
| Требования к согласию | Письменное согласие обязательно | Письменное согласие обязательно | Правовая неопределенность: рекомендуется письменное согласие по обеим статьям |
| Ограничения обработки | Нельзя требовать обязательного предоставления | Общий запрет с исключениями | Правовая неопределенность: рекомендуется применять оба режима |
| Квалификация в РФ | Прямо урегулировано | Прямо урегулировано | Пробел в законодательстве |
Проблема добровольного согласия в трудовых отношениях
Допустим, работодатель правильно квалифицировал нейроданные и получил письменное согласие работника. Возникает следующая проблема: можно ли считать такое согласие добровольным. В трудовых отношениях работник находится в экономической зависимости от работодателя, и отказ от нейромониторинга может повлечь негативные последствия для карьеры.
Глава 14 Трудового кодекса РФ устанавливает специальные правила обработки персональных данных работника. Статья 86 ТК РФ разрешает обработку только для соблюдения законов, обеспечения личной безопасности работников, контроля количества и качества работы, сохранности имущества. Работодатель не вправе получать сведения, относящиеся к специальным категориям персональных данных, за исключением случаев, предусмотренных федеральными законами.
Статья 88 ТК РФ дополнительно запрещает запрашивать информацию о состоянии здоровья работника, кроме сведений о возможности выполнения трудовой функции. Если нейромониторинг раскрывает данные о психическом состоянии, уровне стресса или когнитивных особенностях, выходящих за рамки оценки трудоспособности, такая обработка может быть признана незаконной.
Часть 3 статьи 11 Федерального закона № 152-ФЗ прямо устанавливает: предоставление биометрических персональных данных не может быть обязательным. Оператор не вправе отказывать в обслуживании при отказе субъекта предоставить биометрию. Распространяется ли этот запрет на трудовые отношения — вопрос открытый. Практика пока не дала ответа, может ли работодатель отказать в приеме на работу кандидату, который не согласен на нейромониторинг.
Практика трудовых конфликтов: границы контроля
Нейромониторинг на рабочем месте уже стал реальностью, хотя судебная практика в России по таким спорам отсутствует. Международные кейсы позволяют оценить типичные риски и подготовиться к возможным конфликтам.
Некоммерческая американская организация Neurorights Foundation проанализировала пользовательские соглашения 30 компаний, продающих потребительские нейроустройства. Все 30 компаний получают владение нейроданными пользователей, 29 из 30 сохраняют неограниченный доступ к данным и право передавать их третьим лицам. Данные о мозговой активности работников потенциально могут попасть к страховым компаниям, рекрутинговым агентствам или другим организациям.
Кейсы из логистики и промышленности
Логистика и промышленность — отрасли, где нейромониторинг уже применяется для контроля безопасности. ЭЭГ-гарнитуры отслеживают усталость водителей коммерческого транспорта. По данным организации по безопасности дорожного движения AAA Foundation for Traffic Safety, около 17% смертельных ДТП в США связаны с усталостью водителей.
На производственных площадках в Китае ЭЭГ-гарнитуры контролируют концентрацию операторов опасного оборудования. Системы на основе искусственного интеллекта анализируют более 20 показателей мозговой активности: уровень усталости, способность к концентрации, эмоциональное состояние, когнитивную загруженность — то есть степень напряжения умственных ресурсов. При выявлении критических показателей система может автоматически останавливать оборудование или направлять работника на отдых.
Международные корпорации тестируют интеграцию нейромониторинга в повседневные устройства. Apple запатентовала наушники со встроенными ЭЭГ-электродами — патент US20230225659A1 описывает систему динамического выбора электродов для измерения активности мозга через ушной канал. Компании NextSense, Neurable и IDUN уже выпускают коммерческие продукты с функцией мониторинга мозговой активности.
Новая версия наушников AirPods сможет улавливать импульсы мозга
Претензии работников в международной практике связаны с рисками нейрослежки и несколькими типичными нарушениями. Исследование Университета Цюриха выделяет три ключевые проблемы: работодатели не информируют о полном объеме собираемых данных, используют нейроданные для целей, не указанных в согласии (оценка производительности, принятие кадровых решений), передают данные третьим лицам без уведомления работника.
Риски дискриминации на основе нейропрофилирования
Помимо вопросов согласия и целей обработки, нейромониторинг создает риск дискриминации и поднимает проблемы нейроэтики в трудовых отношениях. Нейроданные раскрывают информацию о когнитивных способностях работника: скорость обработки информации, способность к многозадачности, устойчивость к стрессу, склонность к рискованным решениям. Такая оценка создает почву для дискриминации при найме, продвижении и увольнении.
Концепция нейроправ, закрепленная в законодательстве Чили, включает защиту от алгоритмов, принимающих решения на основе нейроданных. Право на когнитивную свободу означает, что человек не должен подвергаться негативным последствиям за особенности своей мозговой активности, если они не влияют на выполнение трудовой функции.
В российском контексте использование нейроданных для кадровых решений может квалифицироваться как дискриминация по состоянию здоровья. Статья 3 Трудового кодекса РФ запрещает ограничение трудовых прав по обстоятельствам, не связанным с деловыми качествами работника. Если работодатель отказывает в приеме на работу или увольняет сотрудника на основании показателей мозговой активности, не имеющих прямого отношения к выполнению трудовых обязанностей, такие действия могут быть оспорены в суде.
Отдельный риск — нейропрофилирование: создание «когнитивного портрета» работника на основе паттернов мозговой активности. Такой портрет может включать оценку эмоциональной стабильности, склонности к конфликтам, способности к обучению. Использование этой информации для кадровых решений выходит за рамки законных целей обработки персональных данных, установленных статьей 86 ТК РФ.
Как минимизировать судебные риски при внедрении NeuroTech
Правовая неопределенность не означает невозможность внедрения нейромониторинга. Три принципа помогают выстроить защиту: минимизация собираемых данных, документирование законного интереса, прозрачность для работников.
Принцип минимизации данных
Он закреплен в GDPR и соответствует духу российского законодательства. Согласно статье 5 Федерального закона № 152-ФЗ, обработка персональных данных должна соответствовать заявленным целям и не быть избыточной. Для нейромониторинга это означает несколько практических требований.
Собирать агрегированные показатели вместо «сырых» данных ЭЭГ. Если цель мониторинга — предотвращение аварий из-за усталости водителя, достаточно сигнала «усталость обнаружена» или «не обнаружена». Полная запись мозговой активности для этой цели избыточна.
Ограничить время хранения данных. Если нейромониторинг используется для оперативного контроля безопасности, нет оснований хранить данные после завершения смены. Автоматическое удаление снижает риски утечки.
Исключить вторичное использование. Если согласие работника получено на мониторинг усталости, использование тех же данных для оценки производительности или кадровых решений выходит за пределы согласия и может быть признано незаконным.
Технические меры защиты: шифрование при передаче и хранении, обезличивание (отделение нейроданных от идентификаторов работника), ограничение круга лиц с доступом. Все меры рекомендуется документировать в локальном акте организации.
Обоснование законного интереса работодателя
Статья 86 Трудового кодекса РФ ограничивает цели обработки персональных данных работника: соблюдение законов, личная безопасность, контроль количества и качества работы, сохранность имущества. Работодатель должен документально подтвердить связь между мониторингом и законной целью.
Наиболее убедительное обоснование — безопасность на работах с повышенной опасностью. Водители грузового транспорта, операторы опасного оборудования, пилоты, диспетчеры — для этих категорий работников контроль усталости непосредственно связан с предотвращением аварий и защитой жизни. Здесь интерес работодателя в мониторинге совпадает с интересом самого работника и общества.
При документировании законного интереса рекомендуется включить в локальный акт: описание рисков со ссылкой на статистику аварий и требования охраны труда, обоснование невозможности достичь цели менее инвазивными методами (почему регулярные медосмотры недостаточны), перечень должностей с обязательным мониторингом.
Прозрачность для работников
Работник должен понимать, какие данные о нем собираются, как они используются и кто имеет к ним доступ. Прозрачность снижает риск оспаривания согласия как полученного под давлением или путем введения в заблуждение.
Информирование работника включает: понятное описание технологии (что измеряет устройство, какие показатели фиксируются, как интерпретируются результаты), перечень лиц с доступом к данным (непосредственный руководитель, служба охраны труда, IT-отдел), порядок использования результатов (что происходит при выявлении признаков усталости, влияет ли это на оценку работы), права работника (как отозвать согласие, получить доступ к данным, потребовать их удаления).
Рекомендуется проводить разъяснительную работу до начала внедрения: ознакомить работников с технологией, ответить на вопросы, собрать обратную связь. Это формирует доверие и снижает вероятность конфликтов.
Чек-лист: юридическое сопровождение внедрения нейромониторинга
- Определить правовую квалификацию данных. Провести анализ: какие именно показатели будут собираться, могут ли они использоваться для идентификации (биометрия), раскрывают ли информацию о здоровье.
- Получить письменное согласие работника. Согласие должно содержать: конкретные цели обработки, перечень собираемых показателей, срок хранения данных, информацию о лицах с доступом к данным, порядок отзыва согласия.
- Обосновать необходимость и пропорциональность в локальном акте. Включить: описание рисков безопасности, связь мониторинга с предотвращением этих рисков, обоснование невозможности достичь цели иным способом.
- Минимизировать объем данных. Собирать только агрегированные показатели, необходимые для заявленной цели. Исключить сбор «сырых» данных ЭЭГ, если для контроля безопасности достаточно бинарного сигнала.
- Исключить вторичное использование. Закрепить в локальном акте запрет на использование нейроданных для кадровых решений (прием, увольнение, премирование), передачу третьим лицам, создание когнитивных профилей работников.
- Установить срок хранения с автоматическим удалением. Определить минимально необходимый срок хранения, настроить автоматическое удаление данных по истечении срока.
- Обеспечить техническую защиту. Внедрить шифрование при передаче и хранении, обезличивание данных, контроль доступа, журналирование операций с данными.
Нейромониторинг на рабочем месте — не вопрос отдаленного будущего. Устройства для контроля мозговой активности уже используются в российских логистических компаниях и на производствах. Правовой статус нейроданных при этом остается неопределенным, что создает риски и для работодателей, и для работников.
Разберитесь в защите персональных данных на практике и выстройте систему, которая выдержит проверку Роскомнадзора. Пройдите комплексное обучение в Moscow Digital School, чтобы уверенно работать с 152-ФЗ, трансграничной передачей данных и GDPR. Запишитесь на курс и получите сертификацию Data Protection Officer.
