Intian digitaalisen henkilötietojen suojan laki (DPDP) vuodelta 2023 kuvataan usein merkittäväksi tietosuojalaiksi. Työntekijöille käytännön kysymys on kuitenkin kapeampi: rajoittaako se todella sitä, miten työnantaja voi tarkkailla heitä? Legal Service Indian äskettäin julkaisema oikeudellinen analyysi tarkastelee DPDP-lain mukaista työpaikkavalvontaa Intiassa, mukaan lukien tekoälypohjaista seurantaa, etätyötä ja sitä, miten laki vertautuu EU:n GDPR:ään. Lyhyt vastaus on, että laki tarjoaa todellista suojaa, mutta jättää myös merkittävää liikkumavaraa työnantajan harjoittamalle seurannalle.

Mitä DPDP-laki sanoo työntekijätiedoista

Lähtökohta on yksinkertainen: työntekijätiedot ovat henkilötietoja. Lakia koskevassa kommentaarikirjallisuudessa keskeisinä odotuksina kuvataan määriteltyä keräämistarkoitusta, selkeää ilmoitusta asianomaiselle henkilölle ja tietojen suojaamista niiden hallussapidon aikana. Tämä kehys koskee tietoja, joita työnantaja kerää henkilöstöstään, ei vain asiakkaita.

Käytännössä tämä tarkoittaa, että työnantajan, joka kerää tietoja seurantatyökalujen avulla, odotetaan pystyvän selittämään, miksi se tekee niin. Työntekijöillä puolestaan on yleensä oikeus tietää, mitä kerätään. Ilmoitus ja tarkoitus ovat kaksi muistamisen arvoista käsitettä, sillä useimmat käytännön oikeudet virtaavat niistä.

Missä työnantajan seuranta on edelleen sallittua

Koukku piilee siinä, miten laki suhtautuu niin sanottuihin oikeutettuihin käyttötarkoituksiin. Analyysin keskeinen väite on, että työllisyystarkoituksia koskeva poikkeus on laaja. Kun tietojenkäsittely kuuluu tämän poikkeuksen piiriin, työnantajien ei tarvitse nojautua samaan suostumuspohjaiseen lähestymistapaan, jota sovelletaan monissa muissa yhteyksissä.

Tällä on merkitystä, koska työpaikkasuostumus on jo valmiiksi horjuva käsite. Työntekijällä, jota pyydetään "hyväksymään" seuranta työsuhteen ehtona, on harvoin vapaa valinta. Sallimalla työhön liittyvän käsittelyn ilman suostumusta laki jossain määrin tunnustaa tämän todellisuuden, mutta antaa samalla työnantajille laajan vapauden perustella valvonta työllisyystarpeena.

GDPR-vertailu artikkelissa on tässä valaiseva. Eurooppalainen laki yhdistetään laajalti suhteellisuusperiaatteeseen, mikä tarkoittaa, että seurannan tulisi olla tarpeellista eikä tunkeutuvampaa kuin on välttämätöntä. Intian lakia kommentoivat tahot, mukaan lukien eräs HR-julkaisu, väittävät, että laillinen seuranta ilman suhteellisuutta uhkaa heikentää luottamusta, vaikka se pysyisikin sääntöjen rajoissa. Toisin sanoen jokin voi olla sallittua ja silti huono idea. Lukijat, jotka seuraavat, miten muut lainkäyttöalueet rakentavat näitä sääntöjä, saattavat myös hyötyä siitä, että näkevät miten Australian tietosuojasäännöt on kartoitettu vertailun vuoksi.

Miten tekoälyseuranta ja etätyö koettelevat rajoja

Perinteinen työpaikkaseuranta tarkoitti kulkulupalokeja ja sähköpostisuodattimia. Nykyaikaiset työkalut pystyvät paljon enempään: tallentamaan näppäinpainalluksia ja hiiren liikkeitä, ottamaan kuvakaappauksia, pisteyttämään tuottavuutta ja merkitsemään käyttäytymistä automaattisesti. Legal Service Indian artikkeli osoittaa erityisesti tekoälyseurannan ja etätyön lain painepisteiksi.

Etätyö hämärtää rajaa eniten. Kun kannettava tietokoneesi on keittiön pöydällä, seurantaohjelmisto voi tallentaa henkilökohtaista selailua, yksityisviestejä tai kotisi taustaa. Laaja työllisyyspoikkeus ei selvästi kerro työnantajalle, missä työ päättyy ja yksityiselämä alkaa. Tarkoituksen ja ilmoituksen periaatteet pätevät edelleen, mutta työkalu, joka kerää kaiken oletusarvoisesti, istuu huonosti yhteen sen ajatuksen kanssa, että kerätään vain se, mitä tarvitaan.

Tämä ei ole ainutlaatuista Intialle. Metan kerrotaan aloittaneen ohjelmiston asentamisen, joka tallentaa työntekijöiden näppäinpainalluksia ja hiiren toimintaa tekoälyn koulutusta varten sen yhdysvaltalaiselle henkilöstölle. Mitä mieltä tahansa tästä ohjelmasta onkaan, se osoittaa, miten työpaikkatiedoista tulee yhä arvokkaampia pelkän valvonnan ulkopuolella, mikä herättää uusia kysymyksiä tarkoitusrajoituksista kaikkialla, missä tällaisia työkaluja otetaan käyttöön.

Mitä tämä tarkoittaa sinulle

Jos työskentelet Intiassa, DPDP-laki antaa sinulle hyödyllisen lähtökohdan, mutta ei takeita seurantaa vastaan. Työnantajasi voi todennäköisesti seurata työjärjestelmiä oikeutettuja työllisyystarkoituksia varten. Se, mitä voit kohtuudella odottaa, on läpinäkyvyys: ilmoitettu tarkoitus, ilmoitus siitä, mitä kerätään, ja asianmukainen tietoturva näille tiedoille.

Jos käytät VPN:ää, ymmärrä sen rajoitukset tässä yhteydessä. VPN salaa liikenteesi laitteesi ja VPN-palvelimen välillä, mutta se ei piilota sitä, mitä laitteellesi asennettu seurantaohjelmisto tallentaa. Yrityksen hallinnoimassa kannettavassa tietokoneessa päätepistetyökalut näkevät toiminnan ennen kuin se koskaan salataan. VPN:n käyttäminen työlaitteella voi myös rikkoa yrityksen käytäntöjä, joten tarkista ennen kuin yrität.

Mitä työntekijät voivat tehdä suojellakseen yksityisyyttään

Sinun ei tarvitse olla lakimies tehdäksesi järkeviä toimenpiteitä:

  • Pyydä tietosuojailmoitus. Pyydä kirjalliset tiedot siitä, mitä työnantajasi kerää ja miksi. Oikeusalan ammattilaisten ohjeet kehottavat pyytämään tämän ilmoituksen, jos olet tekoälypohjaisen seurannan kohteena.
  • Tarkista, mihin olet suostunut. Tarkista työsopimuksesi, IT-käytäntösi ja mahdolliset suostumuslomakkeet seurantalausekkeiden varalta.
  • Erota työ ja yksityiselämä. Pidä henkilökohtaiset tilit, selailu ja viestintä poissa yrityksen laitteilta ja verkoista.
  • Käytä henkilökohtaisia laitteita henkilökohtaisiin tehtäviin. Jos työlaitteelle on asennettu seurantaohjelmisto, oleta, että se näkee kaiken, mitä siellä teet.
  • Tunne työkalusi. Nykyaikaisen seurannan toiminnan ymmärtäminen helpottaa tietoisten kysymysten esittämistä. Oppaamme tekoälypohjaisesta valvonnasta selittää, miten nämä järjestelmät toimivat ja miten altistumistasi voi vähentää.

Keskeiset opit

DPDP-laki kohtelee työntekijätietoja henkilötietoina ja edellyttää tarkoitusta, ilmoitusta ja suojatoimia. Mutta laaja työllisyyteen liittyvä poikkeus tarkoittaa, että DPDP-lain mukaista työpaikkavalvontaa Intiassa muovaavat todennäköisemmin työnantajan käytännöt ja tuleva tulkinta kuin tiukat rajoitukset seurannalle tänään. Tekoälytyökalut ja etätyö koettelevat jatkossakin sitä, mihin kohtuullinen valvonta päättyy.

Paras lähestymistapasi on käytännöllinen: esitä kysymyksiä, lue mitä allekirjoitat ja pidä henkilökohtaiset tietosi poissa työjärjestelmistä. Jos haluat mennä pidemmälle, lue oppaamme yksityisyyden suojaamisesta tekoälyn tietojenkeruulta ja käytä muutama minuutti sen tarkistamiseen, mitä työ- ja henkilökohtaisilla laitteillasi on käynnissä tällä viikolla.