アイルランドの従業員監視ポリシーでGdprの影響

はじめに:アイルランドの職場における規制シフト

2018年5月25日施行以来、一般データ保護規則(GDPR)は、欧州の組織が個人データを処理する方法を根本的に変革しました。アイルランドでは、多くの主要な技術会社の欧州本部を運営しています。従業員の監視ポリシーに対する規制の影響は特に有益です。アイルランドの雇用主は、透明性、説明責任、およびあらゆる監視慣行の明確正当性を要求する法的枠組みの下で運営しています。このシフトは、企業が不透明な監視文化から従業員の行動を原則的に検証する必要があり、従業員の人権を尊重しつつ、従業員が法令遵守を尊重することを可能にします。

GDPRは、会社自体が拠点を置く場所に関係なく、EU内の個人のデータを処理するすべての企業に適用されます。アイルランドの雇用主にとって、これは、EメールロギングからCCTVへのすべての形態、インターネットの使用状況追跡から位置監視まで、コンプライアンスのために再評価されるものを意味します。屋台は高い:非コンプライアンスは、最大€20百万または4%の年間全体的な売上高の罰金を科すことができます。これは、より高い、評判の高い損傷であり、顧客と顧客の信頼関係を築きます。

GDPRは、個人データの処理を準拠法とする7つの主要な原則に基づいて構築されています。合法性、公平性、透明性; 目的の制限; データ最小化; 正確さ; ストレージの制限; 完全性および機密性(セキュリティ)。および説明責任。各原則は、従業員の監視が設計および実施されるべき方法に直接影響します。例えば、データの最小化の原則は、特定の目的のために必要以上のデータを収集することを禁止します。監視コンテキストでは、雇用主は、単にオフチャンスメントに関するすべての従業員の通信を記録することはできません。代わりに、セキュリティが重要であるべきか、または、そのような状況を監視する必要があります。

透明性は、従業員が収集したデータについて明確に通知する必要がある、なぜ、それが保持される期間、そして誰がアクセスできるかを要求します。これは、従業員のハンドブックに埋め込まれた漠然としたポリシーを超えて行きます。GDPRは、情報が簡潔で、透明で、無知で、そして容易にアクセス可能な形で提供されることを宣言します。説明責任原則は、コンプライアンスを実証する義務、文書、データ保護影響評価(DPIAs)、および処理活動の記録を通して、より詳細な手順を提示します。これらの要件は、アイルランドの監視および規制を「忘れることを忘れないでください」と、それを忘れないでください。

規制は、アクセス権、修正、消去、処理の制限、データポータビリティ、およびオブジェクトの権利を含む個人のための強化された権利も紹介しています。雇用のコンテキストでは、従業員が過度または不当な監視やデータの不正確な修正にチャレンジする権限を与えます。例えば、インターネット閲覧ログを信じる従業員は、懲戒プロセスで使用されていない、必要な場合は、そのデータへのアクセスを要求することができます。必要に応じて、削除が正当化されていない場合は、その削除が要求されます。

アイルランドにおける従業員のモニタリングに関する法的枠組み

アイルランドの雇用主はGDPR規定、国が法律(データ保護法2018)、およびセクター固有の規則を実装する複雑な対話をナビゲートしなければなりません。アイルランドデータ保護委員会(DPC)は、組織が進化する解釈を最新の状態に保つために不可欠であるように、ルールを指導し、実施します。

透明性と一貫性

GDPRの中央のテネは、個人データの処理が適法にしなければならないことです。同意は1つの可能なものの、雇用関係におけるその使用は大幅に円滑です。雇用主と従業員の間の固有の電力不均衡のため、同意は例外的な状況でのみ自由に考慮されることが多いです。アイルランドの慣行では、ほとんどの従業員は雇用主の正当な利益ではなく、従業員のプライバシーの権利を侵害するという理由から、従業員の同意は、機密情報を含むことができるか否認性を証明するかどうかを証明しなければなりません。必要な情報は、または、その理由を把握し、必要な情報を含む。

透明性の義務とは、雇用主が、オンボーディング中にポリシーのブランケット受容に依存できないことを意味します。代わりに、彼らは積極的に監視慣行を伝えなければならない、別の通知、プライバシーステートメント、および定期的なリマインダーを介して理想的に。従業員データのDPCのガイダンスは、透明性が継続的な義務であることを強調し、ワンタイム通知ではありません。

正当な利益としてローフル・バシス

正当な利益ベースは、アイルランドの従業員の監視に最も一般的に使用される。しかし、それは厳格なバランステストを必要とします。雇用主は、特定の正当な利益(例えば、ネットワークセキュリティ、不正防止、パフォーマンス管理)を識別し、その利益を達成するために監視の必要性を評価し、従業員の妥当な期待にそれを秤量しなければなりません。このバランスをとる行為は、正当な利益(例えば、従業員のセキュリティ、不正防止、パフォーマンス管理)に文書化されなければならない、マルウェアの追跡が不可能な場合、マルウェアの追跡は、マルウェアの追跡が重要でないと判断される可能性があります。

データ保護影響評価(DPIAs)

GDPRは、個人の権利と自由に対するリスクが高い結果をもたらす可能性があるあらゆる処理のためのDPIAsを義務付けています。従業員の監視は、特に、体系的、大規模な行動監視を伴う場合、ほとんどこの要件をトリガーします。DPIAは、処理、その必要、および比例を記述しなければなりません。個人に対するリスクを評価し、これらのリスクを軽減するための措置を概説します。アイルランドの雇用主は、新しいテクノロジーを実装する前にDPIAを行わなければなりません。例えば、顔の監視、GPSによる監視、またはプライバシー保護の低下を防止するために、ソフトウェアを監視します。

GDPRのインパクトは、使用した監視方法によって異なります。以下では、アイルランドの職場における監視の最も一般的な形態と、規制が使用方法について説明します。

メールとコミュニケーションの監視

多くの雇用主は、企業方針の遵守、データの漏洩を防ぎ、または法的電子開示義務の管理を保証するために、ビジネスメールを監視します。GDPRの下では、そのような監視は、制限され、透明でなければなりません。雇用主は、特定の、文書化された理由が、誤った対策への調査である限り、すべての電子メールの内容を定期的に読むことはできません。スパムまたはマルウェアの自動化されたフィルタリングは一般的に許容されますが、より深い検査はDPIAを必要とし、多くの場合、正当な利益評価が必要です。従業員は、誤ったメールが保持されるべきであることを確認しなければなりません。

インターネット・デバイス利用監視

訪問したウェブサイトのワークプレースインターネットフィルタリングと追跡は一般的です。GDPRは、悪意のあるサイトへのアクセスを防止したり、会社のタイムの生産性向上のために、正当な目的のためにそのような監視が必要である必要があります。ただし、ブランケットは、ウェブサイトのカテゴリ全体(例えば、すべてのニュースサイト)のブロックリストが、制限措置(例えば、時間ベースの制限)が同じ目標を達成できる場合、その不利益を分配することができる。雇用者は、個人的権利を侵害する機会を考慮する必要があります。

CCTVおよびビデオ監視

職場のCCTVは、セキュリティ上の理由で広く普及しています。 GDPRは、ビデオデバイス上のEPBガイドラインと共に、厳しい条件を課します。カメラは、明確なセキュリティの必要性がないこと、バスルームではなく、部屋を変更したり、従業員がプライバシーの期待が高い場所を破壊する領域でのみ配置されなければなりません。署名は、明確に表示され、監視の目的とコントローラを固定する必要があります。記録された映像は、必要に応じて保存され、必要な限り(通常30日が実行されていない限り)保持されなければなりません。運転監視のためにDPCが実行されていない場合、DPCは、または実行中に使用した。

位置追跡

従業員に発行された会社車両やモバイル機器のGPS追跡はますます一般的です。そのような追跡が比例しているGDPR要求。例えば、配送ドライバーのルートを追跡して、物流を最適化することは正当なものかもしれませんが、作業時間外にフィールドワーカーの位置の継続的な追跡はプライバシーに違反する可能性があります。雇用者は、作業シフト中にのみ動作するようにジオフェンシングを設定し、デバイスが義務上にあるときに追跡を無効にする必要があります。DPIAは、個人的な習慣を明らかにする場所データのリスクを対処しなければなりません。

バイオメトリックと行動監視

技術の進歩は、認証または生産性測定のために指紋スキャナー、顔認証、またはキーストロークの動的の使用につながりました。バイオメトリックデータは、一般的に明示的な同意やその他の狭い免除が適用される場合を除き、処理を禁止するGDPRの下で「特別なカテゴリ」データと考えられています。アイルランドでは、多くの雇用主は、DPCガイダンスがリスクを強調した後に出席追跡するためにバイオメトリックから離れました。マウスの動き分析などの行動モニタリングは、マウスの動きを分析するだけでなく、必要に応じて、必要に応じて、Fastiglylylylylylylylysは、必要な環境を防止する可能性があります。

アイルランドの職場における実践的な政策変化

GDPRに準拠するために、アイルランドの企業は従業員の監視ポリシーをオーバーホールする必要がありました。以下のような実用的な変更は、多くの組織で標準的です。

プライバシーに関する通知と従業員のハンドブックの更新

雇用主は、監視の種類、法的根拠、目的、保持期間、および権利従業員が持っているタイプの詳細なプライバシー通知を提供します。これらの通知は、監視慣行が変更されるたびに、オンボーディングおよび更新されます。一部の企業は、層付き通知を提供します。短い要約は、より詳細な文書に従います。 DPCは、通知は、法律を避け、明白な言語で書かれていると期待しています。

最小限の必要にデータ収集を制限する

データミニマライゼーションの原則は、アイルランドの雇用主が監視をスケールアップしました。ネットワークトラフィックを全て記録する代わりに、匿名化または集計されたデータを可能な限り使用しています。例えば、生産性のトラッキングは、連続した画面録画ではなく、出力メトリックに依存する可能性があります。雇用主は、個人データと仕事データを分離しています。例えば、従業員がルーチン監視から除外されるフォルダまたはメールタグを「個人」として指定できるようにします。

セキュアなデータストレージと保持スケジュール

GDPRは、セキュリティを確保するために技術的および組織的な対策が必要です。ログ、CCTVの映像、またはGPS座標などのデータを監視するだけでなく、暗号化、アクセス制御、定期的なバックアップで保存されます。保持スケジュールは厳密に定義されています。多くのアイリッシュ企業がアクティブな調査の一環としてない限り、30日後に自動的に監視データを削除します。モニタリングデータへのアクセスは、特定の必要性からKnow.now.とHR、セキュリティ、管理担当者に制限されています。

従業員データアクセス権

従業員は、監視データへのアクセスを、対象アクセス権の右側にある規則的に要求します。雇用主は1ヶ月以内に応答し、ログ、レポート、メモなど、保持されたデータのコピーを提供する必要があります。これは、企業が正確な記録を維持し、監視のための合理的を説明することができるようにするために強制的な企業を持っています。一部の組織は、従業員が懲戒活動における監視データの使用に取り組むために内部プロセスを確立しています。

導入課題

より明確に規制のガイダンスにもかかわらず、アイリッシュ雇用主はGDPR準拠のモニタリングを実施する際の永続的な課題に直面しています。

プライバシーの権利の監視ニーズのバランス

コアテンションは残っています:雇用主は、資産を保護し、安全を確保し、パフォーマンスを管理する必要があります。従業員はプライバシーの正当な期待を持っています。正当な利益バランステストは、必ずしも簡単ですが、特にリモートワークのような新しい状況ではあります。ハイブリッドと家庭の作業の増加に伴い、多くのアイリッシュ雇用主は、コンピュータアクティビティをチェックし、タイムドスクリーンショットを撮ったり、ウェブカムモニタリングを使用して、遠隔監視ツールを使い始めています。 DPCは、そのような慣行がGDPRが同じであることを強調表示していると、従業員が、プライバシーを検証するだけでなく、従業員が期待する可能性が高い場合であっても、より高い状況を把握しています。

雇用関係における一貫した管理

指摘したように、同意は監視のために非常にきれいな法的根拠です。しかし、特にバイオメトリックシステム - プッシュ雇用主が同意を求めることを確実にする。この課題は、従業員が負の結果を招くことなく拒否できるという認識が本当に自主的であることを確実にすることです。多くのアイリッシュ企業が、近接カードやモバイルベースの認証などの少ない侵入的な選択肢を支持して、放棄されたバイオメトリックシステムを選択しました。しかし、これは、より強固なシステムを選択した場合、摩擦を作成することができ、セキュリティリスクを増やす可能性があります。

データセキュリティとブレーク通知

モニタリングシステムは、潜在的に機密性の高いデータの大量収集を行い、サイバー攻撃に対する魅力的なターゲットを構成します。従業員のモニタリングデータベースの侵害は、閲覧履歴、位置情報、または生体認証データさえも公開できます。GDPRの下では、雇用主は、個人に対するリスクを保ちつつ、72時間以内にDPCに通知しなければなりません。DPCは、モニタリングシステムに関連する侵害に積極的に取り組んでおり、罰金は適切なセキュリティ対策の欠如を発足しました。この監査は、定期的に実施されたセキュリティ対策を定期的に実施し、強力なセキュリティ対策を講じています。

将来の展望とコンプライアンスの動向

GDPRの従業員モニタリングへの影響は、アイルランドやヨーロッパにおける技術的変化、規制の指針、執行行動によっても進化しています。

eプライバシーポリシー

提案されたePrivacy規則(現交渉の下で)は、電子通信監視に影響を及ぼします。まだ力がないが、メタデータを含む通信の機密性のための特定の規則を設定することにより、GDPRを補完します。採用されると、アイリッシュ雇用主は、従業員のメール、メッセージ、およびコールの詳細を追跡するための厳格な規則を遵守する必要があります。コミュニケーションコンテンツのあらゆる介入に対する同意を肯定的に要求します。

AIと自動意思決定

増加して、監視データは、パフォーマンス予測、不正検知、さらには自動化されたファイリングの決定のためにAIモデルを訓練するために使用されています。 GDPR第22条は、個人が法的な効果や同様の重要な影響をもたらす自動処理に基づいて決定されるべきではない権利を与えます。これは、雇用主が従業員をランク付けするAIツールをデプロイしたり、懲戒処分のためにそれらをフラグするアイルランドの重要な戦場になります。雇用主は、自動化された決定が説明可能で、競争可能で、人間が監督していることを確認する必要があります。

執行の期待

アイルランドDPCは、欧州で最も活発な規制当局の1つになりました。データ保護侵害の大きな技術会社に対して重要な罰金を科しています。それらの問題の多くは、消費者データに関心を寄せていますが、同じ原則は従業員データに適用されます。 DPCの作業計画には、さまざまなセクターにおける従業員データの処理に関する調査が含まれます。アイルランドの雇用主は、リモート作業者の監視と生体認証システムを中心に、増加したスクラッチニー、期待できます。積極的なコンプライアンス - 定期的な監査、DPIA、スタッフによるペンティスティックな訓練を避けます。

コンテンツ

GDPRは、アイルランドで従業員の監視を形づけ、監査の未チェックの監視から、透明性、必需性、プライバシーの権利を尊重した原則的なアプローチに焦点を移動しています。アイリッシュ雇用主は、すべての監視慣行、堅牢な文書化、従業員のデータの権利を尊重し、明確に正当化を要求する法的枠組みの下で運営しています。課題は、特にプライバシー、緩和に関するビジネスニーズのバランスを整え、同意の問題のナビゲート、および新しい技術への適応に適応する一方で、規制は明確ではありません。ただし、信頼性は保証されません。

組織は、今後も、政策を更新し、定期的にDPIAを実行し、データ保護委員会の指導を行なう必要があります。監視システムの設計にプライバシーを埋め込むことで、アイルランドの雇用主は、生産性と個人的尊厳を重視する職場文化を育成しながら、運用目標を達成することができます。規制は効果的な管理の障壁ではありません。適切に実施されたとき、責任あるガバナンスの枠組みであり、雇用主と従業員の両方に利益をもたらす。

さらなる読書のために、公式 []を参照してください。アイルランドデータ保護委員会のGDPR概要]、のテキスト]の完全テキスト規制(EU) 2016/679]、 []]]ビデオ監視に関するEDPBガイドライン。実用的な雇用主ガイダンスのために、 ICO ICO のGDPR: [FLT:]]が、および [[FLT:]]] GDPR:[FLT:]は、ビデオ監視対象:[FLT:[FLT:[FLT:]のガイドライン:[FLT:[FLT:]:[FLT:]:[F]:[F]:[FLT:[F]:[FLT:[FLT:]:[F]:[F]:[FLT:[F]:[F]:[FLT:[F]:[F]:[F]:[F]:[F]:[FLT