Ievads: Regulatīvā pāreja Īrijas darbavietās

Kopš īstenošanas 2018. gada 25. maijā Vispārīgā datu aizsardzības regula (GDPR) ir būtiski pārveidojusi to, kā organizācijas visā Eiropā apstrādā personas datus. Īrijā, kurā atrodas daudzu lielu tehnoloģiju uzņēmumu Eiropas galvenā mītne, regulas ietekme uz darbinieku uzraudzības politiku ir bijusi īpaši dziļa. Īrijas darba devēji tagad darbojas saskaņā ar tiesisko regulējumu, kas prasa pārredzamību, atbildību un skaidru pamatojumu jebkurai uzraudzības praksei. Šī pāreja ir prasījusi uzņēmumiem pāriet no neskaidrām uzraudzības kultūrām uz principiālu datu pārvaldību, kurā tiek ievērotas darba ņēmēju pamattiesības uz privātumu, vienlaikus nodrošinot likumīgu uzņēmējdarbības uzraudzību.

GDPR attiecas uz visiem uzņēmumiem, kas apstrādā personas datus ES, neatkarīgi no tā, kur atrodas pats uzņēmums. Īrijas darba devējiem tas nozīmē, ka atbilstības nodrošināšanai ir jāpārvērtē visi darbinieku monitoringa veidi – no e-pasta līdz CCTV, interneta izmantošanas izsekošana līdz atrašanās vietas uzraudzībai. Likmes ir augstas: neatbilstības rezultātā var tikt uzlikti naudas sodi līdz pat 20 miljoniem eiro jeb 4% no gada apgrozījuma pasaulē, atkarībā no tā, kas ir lielāks, un reputācijas kaitējums, kas var graut gan darbinieku, gan klientu uzticēšanos.

Pārskats par VDAR un tās pamatprincipiem

GDPR pamatā ir septiņi galvenie principi, kas regulē personas datu apstrādi: likumība, taisnīgums un pārredzamība; mērķa ierobežošana; datu minimizēšana; precizitāte; glabāšanas ierobežojumi; integritāte un konfidencialitāte (drošība); un atbildība. Katrs princips tieši ietekmē to, kā jāizstrādā un jāīsteno darbinieku uzraudzība. Piemēram, datu minimizācijas princips aizliedz vākt vairāk datu, nekā nepieciešams konkrētam mērķim. Uzraudzības kontekstā darba devējs nevar vienkārši reģistrēt visus darbinieku paziņojumus par ārpuskvalitāti, kas vēlāk varētu rasties; tā vietā uzraudzības jomai jābūt stingri saistītai ar konkrētu uzņēmējdarbības vajadzību, piemēram, drošību, produktivitāti vai tiesisko atbilstību.

Pārredzamība prasa, lai darbinieki būtu skaidri informēti par to, kādi dati tiek vākti, kāpēc, cik ilgi tie tiks glabāti un kam tie būs pieejami. Tas pārsniedz neskaidru politiku, kas ir iekļauta darbinieku rokasgrāmatā; VDAR pilnvaro šo informāciju sniegt kodolīgā, pārredzamā, saprotamā un viegli pieejamā formā. Atbildības princips uzliek darba devējiem pienākumu pierādīt atbilstību – izmantojot dokumentāciju, datu aizsardzības ietekmes novērtējumus (DPIA) un apstrādes darbību uzskaiti. Šīs prasības Īrijas darba devējiem ir padarījušas neiespējamu “iestatīt un aizmirst” pieeju uzraudzībai.

Ar regulu arī ievieš plašākas tiesības privātpersonām, tostarp piekļuves tiesības, labošanu, dzēšanu, apstrādes ierobežošanu, datu pārnesamību un tiesības iebilst. Nodarbinātības kontekstā šīs tiesības dod darbiniekiem iespēju apstrīdēt pārmērīgu vai nepamatotu uzraudzību un pieprasīt labojumus neprecīzos datos. Piemēram, darbinieks, kurš uzskata, ka viņu interneta pārlūkošanas žurnāli ir negodīgi izmantoti disciplinārajā procesā, var pieprasīt piekļuvi šiem datiem un, ja nepieciešams, to dzēšanu, ja saglabāšana vairs nav pamatota.

Darba ņēmēju uzraudzības tiesiskais regulējums Īrijā

Darba devējiem Īrijā jāorientējas uz sarežģīto mijiedarbību starp VDAR noteikumiem, valsts īstenošanas tiesību aktiem (2018. gada Datu aizsardzības likums) un nozaru noteikumiem. Īrijas Datu aizsardzības komisija (DPK) sniedz norādījumus un piemēro noteikumus, tādējādi organizācijām ir būtiski saglabāt pašreizējo ar mainīgajām interpretācijām.

Pārredzamība un piekrišana

Galvenais VDAR princips ir tāds, ka jebkurai personas datu apstrādei ir jābūt likumīgam pamatam. Lai gan piekrišana ir viens no iespējamiem iemesliem, tās izmantošana darba attiecībās ir ļoti ierobežota. Tā kā piemītošā varas nelīdzsvarotība starp darba devēju un darbinieku, piekrišana bieži tiek uzskatīta par brīvi sniegtu tikai izņēmuma apstākļos. Īrijas praksē lielākā daļa darbinieku uzraudzības balstās uz darba devēja likumīgajām interesēm, ar nosacījumu, ka šīs intereses netiek ignorētas ar darba ņēmēja privātuma tiesībām. Tomēr, ja uzraudzība ietver sensitīvus datus, piemēram, biometrisko informāciju vai veselības datus, var būt nepieciešama nepārprotama piekrišana, un darba devējiem jāspēj pierādīt, ka piekrišana tika sniegta brīvprātīgi un informēta, nekaitējot atteikumam.

Pārredzamības pienākumi nozīmē, ka darba devēji nevar paļauties uz vispārēju atbalstu politikai, kas tiek īstenota uz kuģa. Tā vietā viņiem aktīvi jāizplata uzraudzības prakse, ideālā gadījumā izmantojot atsevišķus paziņojumus, paziņojumus par privātumu un regulārus atgādinājumus.

Likumīgās intereses kā likumīgs pamats

Likumīgo interešu pamats ir visbiežāk izmantotais darbinieku uzraudzībai Īrijā. Tomēr tam ir nepieciešams stingrs līdzsvara tests. Darba devējiem ir jānosaka konkrētas, likumīgas intereses (piemēram, tīkla drošība, krāpšanas novēršana, darbības pārvaldība), jānovērtē uzraudzības nepieciešamība, lai sasniegtu šo interešu, un jāizvērtē tās pret darbinieka pamatotām vēlmēm uz privātumu. Šis līdzsvarošanas akts ir jādokumentē likumīgo interešu novērtējumā (LIA). Piemēram, e-pasta datu plūsmas uzraudzība ļaunprātīgas programmatūras atklāšanai, visticamāk, izturēs testu, kamēr pastāvīga darbinieku atslēgastaktu reģistrēšana produktivitātes mērīšanai, iespējams, nebūtu iespējama, ņemot vērā mazāk traucējošās alternatīvas.

Datu aizsardzības ietekmes novērtējumi (DPIA)

DPIA ir jāraksturo datu apstrāde, tās nepieciešamība un proporcionalitāte, jānovērtē riski indivīdiem un jānosaka pasākumi šo risku mazināšanai. Īrijas darba devējiem ir jāveic DPIA pirms jaunu monitoringa tehnoloģiju ieviešanas, piemēram, sejas atpazīšanas, GPS izsekošanas vai uzvedības analīzes programmatūra. DPIA process liek uzņēmumiem iesaistīties privātuma jautājumos, un tas var novest pie uzraudzības sistēmu pārprojektēšanas, lai tās būtu mazāk uzbāzīgas.

Darbinieku monitoringa veidi, kurus ietekmē VDAR

VDAR ietekme ir atkarīga no izmantotās monitoringa metodes. Zemāk mēs izpētījam Īrijas darba vietās visbiežāk lietotās uzraudzības formas un to, kā regula nosaka to izmantošanu.

E-pasta un komunikāciju uzraudzība

Daudzi darba devēji uzrauga biznesa e-pastus, lai nodrošinātu atbilstību uzņēmuma politikai, novērstu datu noplūdi vai pārvaldītu juridiskās e-atklāšanas saistības. Saskaņā ar GDPR, šāda uzraudzība ir jāierobežo un pārredzama. Darba devēji nevar regulāri lasīt saturu visu e-pastu, ja vien nav īpaša, dokumentēts iemesls – piemēram, izmeklēšana pārkāpumu. Automatizēta filtrēšana surogātpasta vai ļaunprātīgu programmatūru ir vispārēji pieņemams, bet jebkura dziļāka pārbaude prasa DPIA un bieži vien likumīga interešu novērtējumu. Darbiniekiem ir jāpasaka, ka e-pasti tiek uzraudzīti, un glabāšanas periods cached e-pastiem ir jāsaglabā līdz minimumam.

Interneta un ierīču lietošanas uzraudzība

Apmeklējumu interneta filtrēšana un izsekošana darba vietā ir izplatīta parādība. GDPR pieprasa, lai šāda uzraudzība būtu nepieciešama likumīgam mērķim, piemēram, lai novērstu piekļuvi ļaunprātīgas vietnes vai nodrošinātu uzņēmuma laika produktīvu izmantošanu. Tomēr visu tīmekļa vietņu kategoriju (piemēram, visu ziņu vietņu) vispārēja bloķēšana var būt nesamērīga, ja mazāk ierobežojoši pasākumi (piemēram, laika ierobežojumi) varētu sasniegt to pašu mērķi. Darba devējiem arī jāņem vērā, ka bieži tiek pieļauta neregulāra interneta izmantošana; uzraudzība, kas ietver personas pārlūkošanu, varētu pārkāpt darbinieku privātās dzīves tiesības saskaņā ar Eiropas Cilvēktiesību konvenciju, kuru GDPR pastiprina.

CCTV un videonovērošana

GDPR kopā ar EDPB vadlīnijām par video ierīcēm nosaka stingrus nosacījumus. Kameras jānovieto tikai vietās, kur ir skaidra drošības vajadzība - ne vannas istabās, ģērbtuvēs vai pārrāvuma vietās, kur darbiniekiem ir lielas privātuma cerības. Zīmēm jābūt skaidri redzamām, norādot novērošanas mērķi un kontrolieri. Ierakstītie kadri ir jāglabā droši un jāsaglabā tikai tik ilgi, cik nepieciešams (parasti 30 dienas, ja vien nav noticis starpgadījums). DPC Īrijā ir veicis izpildes pasākumus pret darba devējiem, kuri izmanto CCTV aizsegā vai veiktspējas kontrolei, nevis drošībai.

Atrašanās vietas izsekošana

DPIA ir jārisina ar atrašanās vietas datu atklāšanu saistītie riski, kas var atklāt personas paradumus, reliģisko apmeklējumu vai mājas adreses.

Biometriskais un uzvedības monitorings

Tehnoloģiju attīstība ir novedusi pie pirkstu nospiedumu skeneru izmantošanas, sejas atpazīšanas vai taustiņu dinamikas autentifikācijas vai produktivitātes mērīšanai. Biometriskos datus uzskata par "īpašas kategorijas" datiem VDAR, kas parasti aizliedz to apstrādi, ja vien nav saņemta nepārprotama piekrišana vai citi šauri atbrīvojumi. Īrijā daudzi darba devēji ir attālinājušies no biometriskajiem datiem, lai sekotu līdzi DPC norādījumiem par apmeklējumu. Uzvedības uzraudzība – piemēram, peles kustības analīze – arī ir pretrunīga; tā, visticamāk, prasīs DPIA un var tikt pamatota tikai augsta riska vidē (piemēram, finanšu tirdzniecības grīdās), kur tā ir absolūti nepieciešama krāpšanas novēršanai.

Praktiskās politikas izmaiņas Īrijas darba vietās

Lai ievērotu GDPR, Īrijas uzņēmumiem bija jāpārskata darbinieku uzraudzības politika.

Paziņojums par privātumu un darbinieku rokasgrāmatas atjaunināšana

Darba devēji tagad sniedz detalizētus paziņojumus par privātumu, kuros norādīti monitoringa veidi, juridiskais pamats, mērķi, glabāšanas periodi un darbinieku tiesības. Šie paziņojumi tiek sniegti uz kuģa un atjaunināti, kad vien uzraudzības prakse mainās. Daži uzņēmumi sniedz daudzslāņu paziņojumus: īsu kopsavilkumu, kam seko detalizētāks dokuments. DPC sagaida, ka paziņojumi tiks rakstīti vienkāršā valodā, izvairoties no juridiskās personas.

Ierobežo datu vākšanu līdz minimālajam nepieciešamajam līmenim

Datu minimizācijas princips Īrijas darba devējiem ir licis samazināt uzraudzību. Daudzi tagad izmanto anonimizētus vai apkopotus datus nevis nepārtrauktus datus, bet gan datu rādītāju datus. Piemēram, produktivitātes izsekošana var būt atkarīga no datu apjoma rādītājiem, nevis no nepārtrauktas ekrāna ierakstīšanas. Darba devēji arī nošķir personas un darba datus, piemēram, ļaujot darbiniekiem noteikt mapi vai e-pasta birku kā "personīgu", kas nav iekļauta parastajā uzraudzībā.

Droši datu glabāšanas un saglabāšanas plāni

GDPR ir nepieciešami tehniski un organizatoriski pasākumi drošības nodrošināšanai. Monitoringa dati – vai tie būtu žurnāli, CCTV video vai GPS koordinātas – jāuzglabā ar šifrēšanu, piekļuves kontroli un regulārām dublēšanām. Saglabāšanas grafiki ir stingri noteikti; daudzi Īrijas uzņēmumi tagad automātiski dzēš monitoringa datus pēc 30 dienām, ja vien tas nav daļa no aktīvas izmeklēšanas. Piekļuve monitoringa datiem ir ierobežota ar personāla, drošības un vadības personālu ar īpašu nepieciešamību zināt.

Darbinieku datu piekļuves tiesības

Darbinieki tagad regulāri pieprasīt piekļuvi saviem monitoringa datiem saskaņā ar tiesībām subjekta piekļuves. Darba devējiem ir jāatbild mēneša laikā un jānodrošina kopiju rīcībā esošo datu, ieskaitot jebkurus žurnālus, ziņojumus, vai piezīmes. Tas ir piespiedis uzņēmumus uzturēt precīzus ierakstus un spēj izskaidrot pamatojumu jebkura monitoringa. Dažas organizācijas ir izveidojušas iekšējos procesus darbiniekiem, lai apstrīdētu uzraudzības datu izmantošanu disciplinārās darbībās.

Īstenošanas uzdevumi

Neraugoties uz skaidrākām reglamentējošām vadlīnijām, Īrijas darba devēji saskaras ar pastāvīgām problēmām, īstenojot VDAR atbilstošu uzraudzību.

Nepieciešamas uzraudzības līdzsvarošana ar tiesībām uz privātumu

Pamata spriedze saglabājas: darba devējiem ir jāaizsargā aktīvi, jānodrošina drošība un jāpārvalda veiktspēja, kamēr darba ņēmējiem ir likumīgas privātuma paļāvības. Likumīgo interešu līdzsvarošanas tests ne vienmēr ir vienkāršs, jo īpaši tādās jaunās situācijās kā attālināts darbs. Līdz ar hibrīddarba un mājas darba pieaugumu daudzi Īrijas darba devēji ir sākuši izmantot attālinātas uzraudzības rīkus – pārbaudīt datora darbību, veikt laikapstākļus ekrānšāviņos vai izmantot tīmekļa kameru uzraudzību. DPC ir signalizējis, ka šāda prakse ir pakļauta tiem pašiem GDPR noteikumiem un to var būt grūtāk pamatot, kad darbinieki atrodas savās mājās, kur privātuma gaidas ir vēl lielākas.

Vienošanās vadība darba attiecībās

Kā jau minēts, piekrišana reti kad ir tīrs likumīgs pamats uzraudzībai. Tomēr dažas tehnoloģijas, jo īpaši biometriskās sistēmas, stumj darba devējus, lai saņemtu piekrišanu. Uzdevums ir nodrošināt, ka piekrišana ir patiesi brīvprātīga, kas nozīmē, ka darbinieki var atteikties bez negatīvām sekām. Daudzi Īrijas uzņēmumi ir izvēlējušies pilnībā atteikties no biometriskajām sistēmām par labu mazāk traucējošām alternatīvām, piemēram, tuvības kartēm vai mobilajai autentifikācijai. Tomēr tas var radīt berzi un palielināt drošības riskus, ja tiek izvēlēta mazāk izturīga sistēma.

Datu drošība un pārtveršanas paziņojums

Pašas monitoringa sistēmas vāc lielu daudzumu potenciāli sensitīvu datu, padarot tos par pievilcīgu mērķi kiberuzbrukumiem. Darbinieku monitoringa datubāzes pārkāpums varētu pakļaut pārlūkošanas vēsturi, atrašanās vietas pēdas vai pat biometriskos datus. Saskaņā ar GDPR darba devējiem 72 stundu laikā jāpaziņo DPC par pārkāpumu, kas rada risku indivīdiem. DPC ir aktīvi izmeklējis pārkāpumus, kas saistīti ar uzraudzības sistēmām, un ir izdoti naudas sodi par atbilstošu drošības pasākumu trūkumu. Tas ir piespiedis Īrijas darba devējus ieguldīt līdzekļus spēcīgā šifrēšanā, regulārās drošības revīzijās un incidentu reaģēšanas plānos.

Nākotnes perspektīvas un atbilstības tendences

VDAR ietekme uz darbinieku uzraudzību joprojām attīstās, ko veicina tehnoloģiju pārmaiņas, regulatīvās vadlīnijas un izpildes pasākumi Īrijā un visā Eiropā.

e-privātuma regula

Ierosinātā e-privātuma regula (pašlaik tiek apspriesta) vēl vairāk ietekmēs elektronisko sakaru uzraudzību. Lai gan vēl nav spēkā, tā papildinās VDAR, nosakot īpašus noteikumus par komunikāciju konfidencialitāti, tostarp metadatu konfidencialitāti. Pēc pieņemšanas Īrijas darba devējiem būs jāievēro stingrāki noteikumi par darbinieku e-pastu, ziņojumu un zvanu informācijas izsekošanu, kas potenciāli prasa piekrišanu jebkādai komunikācijas satura pārtveršanai.

AI un automatizēta lēmumu pieņemšana

Arvien biežāk monitoringa dati tiek izmantoti, lai apmācītu AI modeļus darbības prognozēs, krāpšanas konstatēšanā vai pat automatizētos lēmumu pieņemšanas lēmumos par apšaudi. VDAR 22. pants dod indivīdiem tiesības nepakļauties lēmumam, kas balstīts tikai uz automatizētu apstrādi, kas rada juridiskas sekas vai līdzīgi nozīmīgu ietekmi. Tas kļūs par galveno kaujas lauku Īrijā, jo darba devēji izvietos AI rīkus, kas ierindo darbiniekus vai atzīmē tos disciplīnas dēļ. Darba devējiem jānodrošina, ka visi automatizētie lēmumi ir izskaidrojami, apstrīdami un tiem ir cilvēku veikta pārraudzība.

Izpildes prognozes

Lai gan daudzi no šiem sodiem attiecas uz patērētāju datiem, tie paši principi attiecas uz darbinieku datiem. DAK darba programmā ir iekļauti pētījumi par darbinieku datu apstrādi dažādās nozarēs. Īrijas darba devēji var sagaidīt pastiprinātu kontroli, jo īpaši saistībā ar attālo darbinieku uzraudzību un biometriskajām sistēmām. Proaktīva atbilstība – izmantojot regulāras revīzijas, DPIA un personāla apmācību – būs būtiska, lai izvairītos no sodiem.

Secinājums

GDPR ir pārveidojusi darbinieku uzraudzību Īrijā, galveno uzmanību pievēršot nevis nekontrolētai uzraudzībai, bet principiālai pieejai, kuras pamatā ir pārredzamība, nepieciešamība un privātuma tiesību ievērošana. Īrijas darba devēji tagad darbojas saskaņā ar tiesisko regulējumu, kas prasa skaidru pamatojumu ikvienai uzraudzības praksei, stabilai dokumentācijai un darbinieku datu tiesību ievērošanai. Lai gan joprojām pastāv problēmas — jo īpaši, lai līdzsvarotu likumīgās uzņēmējdarbības vajadzības ar privātumu, pārvaldot piekrišanas jautājumus un pielāgojoties jaunajām tehnoloģijām —, trajektorija ir skaidra: atbilstība nav fakultatīva, un neatbilstības izmaksas pārsniedz soda naudas, iekļaujot uzticības un reputācijas zaudēšanu.

Organizācijām ir jāturpina atjaunināt savu politiku, regulāri jāīsteno DPIA un jāsadarbojas ar Datu aizsardzības komisijas norādījumiem.Iesaistot privātumu uzraudzības sistēmu izstrādē, Īrijas darba devēji var sasniegt savus darbības mērķus, vienlaikus veicinot darba kultūru, kas augstu vērtē gan produktivitāti, gan personas cieņu. Regula nav šķērslis efektīvai pārvaldībai; tā ir atbildīgas pārvaldības sistēma, kas, pareizi īstenota, dod labumu gan darba devējiem, gan darba ņēmējiem.

Lai veiktu sīkāku analīzi, skatīt amatpersonas [Irish Data Protection Commission's GDPR overview pilnu tekstu REGULATION (EU) 2016/679] un EDPB vadlīnijas par videonovērošanu. Praktiskai darba devēju vadībai Apvienotās Karalistes ICO nodarbinātības datu vadlīnijas arī piedāvā noderīgas paralēles Apvienotās Karalistes GDPR.