Indyjska ustawa o ochronie danych osobowych w Internecie (Digital Personal Data Protection, DPDP) z 2023 r. jest często opisywana jako przełomowe prawo prywatności. Dla pracowników praktyczne pytanie jest jednak węższe: czy faktycznie ogranicza ona sposób, w jaki pracodawca ich obserwuje? Niedawna analiza prawna opublikowana przez Legal Service India bada kwestie związane z ustawą DPDP a inwigilacją w miejscu pracy w Indiach, w tym monitorowanie przez AI, pracę zdalną oraz to, jak to prawo wypada w porównaniu z unijnym RODO. Krótka odpowiedź brzmi: ustawa oferuje realne zabezpieczenia, ale pozostawia też znaczną przestrzeń na monitorowanie przez pracodawcę.

Co ustawa DPDP mówi o danych pracowników

Punkt wyjścia jest prosty: dane pracowników to dane osobowe. Komentarze do ustawy opisują podstawowe oczekiwania jako określony cel zbierania danych, jasne powiadomienie osoby, której dane dotyczą, oraz zabezpieczenia danych po ich pozyskaniu. Te ramy dotyczą informacji, które pracodawca gromadzi o swoich pracownikach, a nie tylko o klientach.

W praktyce oznacza to, że od pracodawcy, który zbiera dane za pomocą narzędzi monitorujących, oczekuje się, że potrafi wyjaśnić, dlaczego to robi. Pracownicy z kolei mają co do zasady prawo do informacji o tym, co jest zbierane. Powiadomienie i cel to dwie idee warte zapamiętania, ponieważ z nich wynika większość praktycznych praw.

Gdzie monitorowanie przez pracodawcę jest nadal dozwolone

Haczyk tkwi w sposobie, w jaki ustawa traktuje to, co nazywa uzasadnionymi zastosowaniami. Głównym argumentem w analizie jest to, że wyłączenie obejmujące cele związane z zatrudnieniem jest szerokie. Gdy przetwarzanie danych podlega temu wyłączeniu, pracodawcy nie muszą opierać się na tym samym podejściu opartym na zgodzie, które ma zastosowanie w wielu innych kontekstach.

Ma to znaczenie, ponieważ zgoda w miejscu pracy jest już koncepcją niepewną. Pracownik proszony o „zgodę" na monitorowanie jako warunek zatrudnienia rzadko ma wolny wybór. Dopuszczając przetwarzanie związane z zatrudnieniem bez opierania się na zgodzie, prawo arguably uznaje tę rzeczywistość, ale daje też pracodawcom szeroką swobodę w uzasadnianiu inwigilacji jako potrzeby związanej z zatrudnieniem.

Porównanie z RODO w artykule jest tu pouczające. Prawo europejskie jest powszechnie kojarzone z myśleniem proporcjonalnościowym, co oznacza, że monitorowanie powinno być konieczne i nie bardziej inwazyjne niż to potrzebne. Komentatorzy indyjskiego prawa, w tym jedna publikacja branży HR, argumentują, że zgodne z prawem monitorowanie bez proporcjonalności grozi erozją zaufania, nawet jeśli pozostaje w granicach przepisów. Innymi słowy, coś może być dozwolone, a mimo to być złym pomysłem. Czytelnicy śledzący, jak inne jurysdykcje strukturyzują te zasady, mogą również uznać za przydatne zobaczenie, jak mapowane są australijskie zasady ochrony danych dla porównania.

Jak monitorowanie przez AI i praca zdalna testują granice

Tradycyjne monitorowanie w miejscu pracy oznaczało rejestry wejść i filtry poczty e-mail. Nowoczesne narzędzia potrafią znacznie więcej: rejestrować naciśnięcia klawiszy i ruchy myszy, robić zrzuty ekranu, oceniać produktywność i automatycznie oznaczać zachowania. Artykuł Legal Service India wskazuje konkretnie na monitorowanie przez AI i pracę zdalną jako punkty nacisku na ustawę.

Praca zdalna najbardziej zaciera granicę. Gdy twój laptop stoi na kuchennym stole, oprogramowanie monitorujące może rejestrować prywatne przeglądanie stron, prywatne wiadomości lub tło twojego domu. Szerokie wyłączenie dla celów zatrudnienia nie mówi jasno pracodawcy, gdzie kończy się praca, a zaczyna życie prywatne. Zasady celu i powiadomienia nadal obowiązują, ale narzędzie, które domyślnie zbiera wszystko, nie współgra dobrze z ideą zbierania tylko tego, co konieczne.

Nie dotyczy to wyłącznie Indii. Meta podobno zaczęła instalować oprogramowanie, które rejestruje naciśnięcia klawiszy i aktywność myszy pracowników na potrzeby trenowania AI u swoich pracowników w USA. Niezależnie od tego, co ktoś myśli o tym programie, pokazuje on, jak dane z miejsca pracy stają się coraz cenniejsze poza prostym nadzorem, co rodzi nowe pytania o granice celu wszędzie tam, gdzie takie narzędzia są wdrażane.

Co to oznacza dla Ciebie

Jeśli pracujesz w Indiach, ustawa DPDP daje ci użyteczny punkt wyjścia, ale nie gwarancję ochrony przed monitorowaniem. Twój pracodawca prawdopodobnie może monitorować systemy służbowe w uzasadnionych celach związanych z zatrudnieniem. To, czego możesz rozsądnie oczekiwać, to przejrzystość: określony cel, powiadomienie o tym, co jest zbierane, oraz odpowiednie zabezpieczenie tych danych.

Jeśli używasz VPN, zrozum jego ograniczenia w tym kontekście. VPN szyfruje twój ruch między urządzeniem a serwerem VPN, ale nie ukrywa tego, co rejestruje oprogramowanie monitorujące zainstalowane na twoim urządzeniu. Na laptopie zarządzanym przez firmę narzędzia endpointowe widzą aktywność, zanim zostanie ona zaszyfrowana. Używanie VPN na urządzeniu służbowym może również naruszać politykę firmy, więc sprawdź to, zanim spróbujesz.

Co pracownicy mogą zrobić, aby chronić swoją prywatność

Nie musisz być prawnikiem, aby podjąć rozsądne kroki:

  • Poproś o informację o ochronie prywatności. Zażądaj pisemnych informacji o tym, co twój pracodawca zbiera i dlaczego. Wskazówki praktyków prawa sugerują poproszenie o takie powiadomienie, jeśli podlegasz monitorowaniu opartemu na AI.
  • Przejrzyj to, na co się zgodziłeś. Sprawdź swoją umowę o pracę, politykę IT i wszelkie formularze zgody pod kątem klauzul dotyczących monitorowania.
  • Oddziel pracę od życia prywatnego. Trzymaj prywatne konta, przeglądanie stron i wiadomości z dala od urządzeń służbowych i sieci firmowych.
  • Używaj urządzeń prywatnych do zadań prywatnych. Jeśli na urządzeniu służbowym jest zainstalowane oprogramowanie monitorujące, zakładaj, że widzi wszystko, co na nim robisz.
  • Znaj swoje narzędzia. Zrozumienie, jak działa nowoczesne monitorowanie, ułatwia zadawanie świadomych pytań. Nasz przewodnik o nadzorze opartym na AI wyjaśnia, jak działają te systemy i jak ograniczyć swoją ekspozycję.

Najważniejsze wnioski

Ustawa DPDP traktuje informacje o pracownikach jako dane osobowe i oczekuje celu, powiadomienia i zabezpieczeń. Ale szerokie wyłączenie związane z zatrudnieniem oznacza, że ustawa DPDP a inwigilacja w miejscu pracy w Indiach będzie prawdopodobnie kształtowana bardziej przez politykę pracodawcy i przyszłą interpretację niż przez ścisłe ograniczenia monitorowania dzisiaj. Narzędzia AI i praca zdalna będą stale testować, gdzie kończy się rozsądny nadzór.

Twoje najlepsze podejście jest praktyczne: zadawaj pytania, czytaj to, co podpisujesz, i trzymaj swoje dane osobowe z dala od systemów służbowych. Aby pójść dalej, przeczytaj nasz przewodnik o ochronie prywatności przed zbieraniem danych przez AI i poświęć kilka minut w tym tygodniu na audyt tego, co działa na twoich urządzeniach służbowych i prywatnych.