인도의 디지털 개인 데이터 보호(DPDP)법, 2023은 흔히 획기적인 개인정보 보호법으로 묘사된다. 그러나 직원들에게 실질적인 질문은 더 좁다: 이 법이 실제로 고용주가 자신을 감시하는 방식을 제한하는가? Legal Service India가 발표한 최근 법률 분석은 AI 모니터링, 원격 근무, 그리고 이 법이 EU의 GDPR과 어떻게 비교되는지를 포함한 DPDP법 직장 감시 인도 문제를 검토한다. 짧은 답은 이 법이 실질적인 보호를 제공하지만, 동시에 고용주의 모니터링에 상당한 여지를 남긴다는 것이다.
DPDP법이 직원 데이터에 대해 말하는 것
출발점은 간단하다: 직원 데이터는 개인 데이터다. 이 법에 대한 논평은 핵심 기대 사항을 수집 목적의 명확화, affected person에 대한 명확한 고지, 그리고 데이터가 보유된 후의 보호 조치로 설명한다. 이 틀은 고객뿐만 아니라 고용주가 직원에 대해 수집하는 정보에도 적용된다.
실제로 이것은 모니터링 도구를 통해 데이터를 수집하는 고용주가 그렇게 하는 이유를 설명할 수 있어야 함을 의미한다. 직원들은 일반적으로 무엇이 수집되는지 통보받을 권리가 있다. 고지와 목적은 기억할 가치가 있는 두 가지 개념인데, 대부분의 실질적 권리가 여기서 비롯되기 때문이다.
고용주 모니터링이 여전히 허용되는 경우
문제는 이 법이 이른바 정당한 사용(legitimate uses)을 어떻게 취급하는가에 있다. 분석의 핵심 논점은 고용 목적을 포괄하는 예외가 광범위하다는 것이다. 데이터 처리가 그 예외에 해당하는 경우, 고용주는 다른 많은 맥락에서 적용되는 것과 동일한 동의 기반 접근 방식에 의존할 필요가 없다.
이는 중요한데, 직장에서의 동의는 이미 불안정한 개념이기 때문이다. 직업의 조건으로 모니터링에 "동의"하라는 요청을 받은 직원은 자유로운 선택을 거의 하지 못한다. 고용 관련 처리를 동의에 의존하지 않고 허용함으로써, 법은 그 현실을 인정하는 것일 수도 있지만, 동시에 고용주에게 감시를 고용 필요성으로 정당화할 수 있는 넓은 재량을 부여한다.
이 글의 GDPR 비교는 이 점에서 교훈적이다. 유럽법은 비례성(proportionality) 사고방식과 널리 연관되어 있으며, 이는 모니터링이 필요하고 필요 이상으로 침해적이지 않아야 함을 의미한다. 한 HR 출판물을 포함한 인도 법에 대한 논평자들은 비례성 없는 합법적 모니터링이 규칙을 준수하더라도 신뢰를 침식할 위험이 있다고 주장한다. 다시 말해, 어떤 것이 허용될 수 있으면서도 여전히 나쁜 생각일 수 있다. 다른 관할권이 이러한 규칙을 어떻게 구성하는지 따르는 독자들에게는 비교를 위해 호주의 데이터 보호 규칙이 어떻게 매핑되는지 확인하는 것도 유용할 수 있다.
AI 모니터링과 원격 근무가 한계를 시험하는 방법
전통적인 직장 모니터링은 출입 기록과 이메일 필터를 의미했다. 현대 도구는 훨씬 더 많은 것을 할 수 있다: 키 입력과 마우스 움직임을 기록하고, 스크린샷을 찍고, 생산성을 점수화하며, 행동을 자동으로 표시한다. Legal Service India의 글은 특히 AI 모니터링과 원격 근무를 이 법의 압력 지점으로 지적한다.
원격 근무가 가장 경계를 흐린다. 노트북이 부엌 식탁 위에 있을 때, 모니터링 소프트웨어는 개인 브라우징, 사적인 메시지, 또는 집의 배경을 포착할 수 있다. 광범위한 고용 예외는 고용주에게 업무가 어디서 끝나고 사생활이 어디서 시작되는지 명확히 알려주지 않는다. 목적과 고지의 원칙은 여전히 적용되지만, 기본적으로 모든 것을 수집하는 도구는 필요한 것만 수집한다는 개념과 불편하게 맞물린다.
이것은 인도만의 문제가 아니다. Meta는 미국 직원들을 대상으로 AI 훈련을 위해 직원의 키 입력과 마우스 활동을 기록하는 소프트웨어를 설치하기 시작한 것으로 보도되었다. 그 프로그램에 대해 어떻게 생각하든, 그것은 직장 데이터가 단순한 감독을 넘어 점점 더 가치 있게 되고 있음을 보여주며, 그러한 도구가 배치되는 어디에서든 목적 제한에 대한 새로운 질문을 제기한다.
이것이 당신에게 의미하는 것
인도에서 일한다면, DPDP법은 유용한 출발점을 제공하지만 모니터링에 대한 보장은 아니다. 고용주는 정당한 고용 목적을 위해 업무 시스템을 모니터링할 가능성이 높다. 합리적으로 기대할 수 있는 것은 투명성이다: 명시된 목적, 수집되는 것에 대한 고지, 그리고 그 데이터에 대한 적절한 보안.
VPN을 사용한다면, 이 상황에서 그 한계를 이해해야 한다. VPN은 기기와 VPN 서버 사이의 트래픽을 암호화하지만, 기기에 설치된 모니터링 소프트웨어가 기록하는 것을 숨기지는 않는다. 회사 관리 노트북에서는 엔드포인트 도구가 암호화되기 전에 활동을 본다. 업무 기기에서 VPN을 사용하는 것도 회사 정책을 위반할 수 있으므로 시도하기 전에 확인해야 한다.
직원들이 개인정보를 보호하기 위해 할 수 있는 일
현명한 조치를 취하기 위해 변호사가 될 필요는 없다:
- 개인정보 처리방침을 요청하라. 고용주가 무엇을 왜 수집하는지에 대한 서면 정보를 요청하라. 법률 실무자들의 지침은 AI 기반 모니터링의 대상이 되는 경우 이 고지를 요청할 것을 제안한다.
- 동의한 내용을 검토하라. 고용 계약서, IT 정책, 그리고 모니터링 조항에 대한 동의서를 확인하라.
- 업무와 사생활을 분리하라. 개인 계정, 브라우징, 메시징을 회사 기기와 회사 네트워크에서 멀리하라.
- 개인적인 일에는 개인 기기를 사용하라. 업무 기기에 모니터링 소프트웨어가 설치되어 있다면, 거기서 하는 모든 것을 볼 수 있다고 가정하라.
- 도구를 파악하라. 현대 모니터링이 어떻게 작동하는지 이해하면 정보에 기반한 질문을 더 쉽게 할 수 있다. AI 기반 감시에 관한 우리의 가이드는 이러한 시스템이 어떻게 작동하고 노출을 줄이는 방법을 설명한다.
핵심 요점
DPDP법은 직원 정보를 개인 데이터로 취급하며 목적, 고지, 보호 조치를 기대한다. 그러나 광범위한 고용 관련 예외는 DPDP법 직장 감시 인도가 오늘날 모니터링에 대한 엄격한 제한보다는 고용주 정책과 향후 해석에 의해 더 많이 형성될 가능성이 높다는 것을 의미한다. AI 도구와 원격 근무는 합리적인 감독이 어디서 끝나는지 계속 시험할 것이다.
최선의 접근 방식은 실용적이다: 질문하고, 서명하는 것을 읽고, 개인 데이터를 업무 시스템에서 멀리하라. 더 나아가려면 AI 데이터 수집으로부터 개인정보 보호에 관한 우리의 가이드를 읽고, 이번 주에 업무 및 개인 기기에서 실행 중인 것을 감사하는 데 몇 분을 투자하라.
