Закон Індії про цифровий персональний захист даних (DPDP) 2023 року часто називають знаковим законом про приватність. Для працівників, однак, практичне питання вужче: чи справді він обмежує те, як роботодавець за ними спостерігає? Нещодавній юридичний аналіз, опублікований Legal Service India, розглядає питання спостереження на робочому місці за законом DPDP в Індії, зокрема ШІ-моніторинг, віддалену роботу та те, як цей закон порівнюється з GDPR ЄС. Коротка відповідь: закон пропонує реальний захист, але також залишає значний простір для спостереження з боку роботодавця.

Що закон DPDP говорить про дані працівників

Відправна точка проста: дані працівників — це персональні дані. Коментарі до закону описують основні очікування як визначену мету збору, чітке повідомлення особі, якої це стосується, та гарантії захисту даних після їх отримання. Ця система застосовується до інформації, яку роботодавець збирає про своїх співробітників, а не лише до клієнтів.

На практиці це означає, що роботодавець, який збирає дані через інструменти моніторингу, повинен бути здатним пояснити, навіщо він це робить. Працівники, своєю чергою, зазвичай мають право знати, що саме збирається. Повідомлення та мета — це дві ідеї, які варто запам'ятати, адже більшість практичних прав випливає саме з них.

Де спостереження роботодавця все ще дозволене

Загвоздка в тому, як закон трактує те, що він називає законними використаннями. Центральний аргумент аналізу полягає в тому, що виключення, яке охоплює цілі трудових відносин, є широким. Якщо обробка даних підпадає під це виключення, роботодавцям не потрібно покладатися на той самий підхід, заснований на згоді, який застосовується в багатьох інших контекстах.

Це важливо, тому що згода на робочому місці вже сама по собі є хитким поняттям. Працівник, якого просять "погодитися" на спостереження як умову працевлаштування, рідко має вільний вибір. Дозволяючи обробку, пов'язану з трудовими відносинами, без опори на згоду, закон, можливо, визнає цю реальність, але він також дає роботодавцям широку свободу виправдовувати спостереження як виробничу необхідність.

Порівняння з GDPR у статті тут повчальне. Європейське право широко асоціюється з мисленням про пропорційність, тобто моніторинг має бути необхідним і не більш інтрузивним, ніж потрібно. Коментатори індійського закону, зокрема одне HR-видання, стверджують, що законний моніторинг без пропорційності ризикує підірвати довіру, навіть якщо він залишається в межах правил. Іншими словами, щось може бути дозволеним і все одно поганою ідеєю. Читачам, які стежать за тим, як інші юрисдикції структурують ці правила, також може бути корисно побачити як зіставлені правила захисту даних Австралії для порівняння.

Як ШІ-моніторинг і віддалена робота випробовують межі

Традиційне спостереження на робочому місці означало журнали пропусків і фільтри електронної пошти. Сучасні інструменти здатні на значно більше: записувати натискання клавіш і рухи миші, робити знімки екрана, оцінювати продуктивність і автоматично позначати поведінку. Публікація Legal Service India конкретно вказує на ШІ-моніторинг і віддалену роботу як на точки тиску для закону.

Віддалена робота розмиває межу найбільше. Коли ваш ноутбук стоїть на кухонному столі, програмне забезпечення для моніторингу може фіксувати особистий перегляд, приватні повідомлення або фон вашого дому. Широке виключення для трудових відносин не дає чіткої відповіді роботодавцю, де закінчується робота і починається приватне життя. Принципи мети та повідомлення все ще застосовуються, але інструмент, який за замовчуванням збирає все, погано узгоджується з ідеєю збору лише того, що потрібно.

Це не унікально для Індії. Повідомляється, що Meta почала встановлювати програмне забезпечення, яке записує натискання клавіш і активність миші працівників для навчання ШІ серед своїх співробітників у США. Що б хто не думав про цю програму, вона показує, як дані з робочого місця стають дедалі ціннішими поза межами простого нагляду, що породжує нові питання про межі мети всюди, де такі інструменти розгортаються.

Що це означає для вас

Якщо ви працюєте в Індії, закон DPDP дає вам корисну відправну позицію, але не гарантію проти спостереження. Ваш роботодавець, імовірно, може спостерігати за робочими системами з законних виробничих цілей. На що ви можете розумно очікувати — це прозорість: заявлена мета, повідомлення про те, що збирається, і належний захист цих даних.

Якщо ви користуєтеся VPN, розумійте його обмеження в цьому контексті. VPN шифрує ваш трафік між пристроєм і VPN-сервером, але він не приховує те, що записує програмне забезпечення для моніторингу, встановлене на вашому пристрої. На ноутбуці, керованому компанією, інструменти на кінцевих пристроях бачать активність ще до того, як вона буде зашифрована. Використання VPN на робочому пристрої також може порушувати політику компанії, тож перевірте, перш ніж спробувати.

Що працівники можуть зробити для захисту своєї приватності

Вам не потрібно бути юристом, щоб зробити розумні кроки:

  • Попросіть повідомлення про приватність. Запросіть письмову інформацію про те, що ваш роботодавець збирає і навіщо. Рекомендації юридичних практиків радять просити це повідомлення, якщо ви підпадаєте під ШІ-моніторинг.
  • Перегляньте, на що ви погодилися. Перевірте свій трудовий договір, IT-політику та будь-які форми згоди на наявність положень про моніторинг.
  • Розділяйте роботу та особисте життя. Тримайте особисті акаунти, перегляд і обмін повідомленнями подалі від пристроїв і мереж компанії.
  • Використовуйте особисті пристрої для особистих справ. Якщо на робочому пристрої встановлено програмне забезпечення для моніторингу, припускайте, що воно може бачити все, що ви там робите.
  • Знайте свої інструменти. Розуміння того, як працює сучасний моніторинг, полегшує постановку поінформованих питань. Наш посібник про спостереження на основі ШІ пояснює, як працюють ці системи та як зменшити свою вразливість.

Ключові висновки

Закон DPDP розглядає інформацію про працівників як персональні дані та очікує мету, повідомлення і гарантії. Але широке виключення, пов'язане з трудовими відносинами, означає, що спостереження на робочому місці за законом DPDP в Індії, ймовірно, формуватиметься більше політикою роботодавця та майбутнім тлумаченням, ніж суворими обмеженнями моніторингу сьогодні. ШІ-інструменти та віддалена робота продовжуватимуть випробовувати, де закінчується розумний нагляд.

Ваш найкращий підхід — практичний: ставте питання, читайте те, що підписуєте, і тримайте свої персональні дані подалі від робочих систем. Щоб дізнатися більше, прочитайте наш посібник про захист приватності від збору даних ШІ і знайдіть кілька хвилин цього тижня, щоб перевірити, що запущено на ваших робочих та особистих пристроях.