Informācijas tehnoloģiju izmantošana darba vietā kļūst arvien plašāk izplatīta. Piemēram, tiek izmantotas profilēšanas programmas, kas prēmiju aprēķināšanas vajadzībām ņem vērā darbinieku pavadīto laiku datorā un konkrētās programmās vai arī vērtē darba laikā izmantotās interneta adreses. Tāpat darba devēji bieži vien veic e-pasta un interneta kontroli vai sarunu ierakstīšanu, lai kontrolētu darbinieka dienas gaitas un to produktivitāti. Šajā rakstā – par to, kādos gadījumos tas ir atļauts un kurā brīdī darba devēja uzraudzības pasākumi vai to apjoms pārkāpj darbinieka privātumu.
Darba devēja tiesības un pienākumi
Darba devējs ir tiesīgs kontrolēt un ierobežot interneta izmantošanu (piemēram, aizliegt konkrētas interneta lapas lietošanu) un saziņas līdzekļu izmantošanu (noteikt sūtījumu apjomu, uzstādīt mēstuļu filtru u.c.), lai –
- nodrošinātu tīklu drošību pret apdraudējumiem, piemēram, ar dažāda veida kaitīgo programmatūru lietošanas aizliegumu;
- samazinātu risku pieļaut pārmērīgu interneta un saziņas līdzekļu lietošanu personīgām vajadzībām (preču iegāde, diskusijas sociālajos tīklos, ceļojumi u.c.).
Taču vienlaikus darba devējam ir pienākums informēt darbiniekus par personas datu apstrādes mērķiem un pamatojumu saskaņā ar Vispārīgo datu aizsardzības regulu.
1
Piemēram, Eiropas Cilvēktiesību tiesa savā 2007. gada 3. aprīļa spriedumā lietā Copland pret Apvienoto Karalisti secināja, ka ir noticis Eiropas Cilvēktiesību Konvencijas 8. panta prasību pārkāpums, jo uzņēmums nebija izdevis iekšējos noteikumus, kas regulētu apstākļus, kādos darba devējs var uzraudzīt to, kā darbinieki izmanto telefonu, e-pastu un internetu.
Uzņēmumā slepeni tika uzraudzīts, kā koledžas darbiniece izmantoja telefonu, e-pastu un internetu, lai noskaidrotu, vai viņa pārmērīgi neizmanto koledžas ierīces personiskām vajadzībām.
Papildus darba devēja informēšanas pienākumam jāņem vērā, ka darbinieks jāinformē arī par darba devēja veikto kontroles pasākumu apjomu un raksturu.
Piemēram, Eiropas Cilvēktiesību tiesa savā 2017. gada 5. septembra spriedumā lietā Bărbulescu pret Rumāniju secināja, ka neskatoties uz to, ka darbinieks tika informēts par uzņēmuma iekšējiem noteikumiem, darba devējs nebija informējis par uzraudzības darbību apjomu un raksturu, kā arī par iespēju piekļūt saziņas saturam. Attiecīgi tika pārkāpts Eiropas Cilvēktiesību Konvencijas 8. pants.
Darba devējs lūdza darbiniekam atvērt Yahoo Messenger kontu darba vajadzībām. Darba devējs divas reizes paziņoja, ka darbinieka e-pasta saziņa tiek uzraudzīta. Darbinieks tika atbrīvots no darba pēc tam, kad darba devējs konstatēja, ka Yahoo Messenger konts ticis izmantots personiskām vajadzībām.
Ko darba devējs nav tiesīgs darīt
- Darba devējs nav tiesīgs saņemt automātiskas kopijas no visām saņemtajām un nosūtītajām darbinieka e-pasta vēstulēm. Tas ir pārmērīgi.
- Darba devējs nedrīkst brīvi lasīt darbinieku e-pasta sūtījumus pat gadījumā, ja tiek lietotas darba devēja ierīces. Tas ir pārmērīgi.
- Darba devējs nedrīkst saglabāt informāciju par visām darbībām, ko darbinieks veicis datorā, izņemot gadījumu, kad, izpildoties noteiktiem kritērijiem, jānodrošina īpaši augsta līmeņa drošības aizsardzība. Pretējā gadījumā šāda veida darbinieku darbību uzraudzīšana ir nelikumīga.
- Darba devējam nav tiesību piekļūt darbinieku lietotājvārdiem un parolēm. Tomēr, ja darbinieks ir prombūtnē un darbinieka rīcībā esošā informācija ir nepieciešama, lai izpildītu noteiktas funkcijas un uzdevumus, darba devējs var pieprasīt sistēmas administratoram piekļuves datus. Tas pats attiecas uz e-pastu darbinieka prombūtnē.
- Servera auditācijas pierakstus drīkst glabāt noteiktu termiņu.
- Darbinieku sarunu ierakstīšanu jaunu darbinieku apmācības vajadzībām nedrīkst veikt ilgstošā periodā vai pastāvīgi. Nav atļauts veikt darbinieku sarunu ierakstīšanu bez noteikta mērķa un pamatojuma. Jāvērtē, vai šo mērķi ir iespējams sasniegt, īstenojot citus pasākumus vai apstrādājot personas datus mazākā apjomā.
Ieteikumi darba devējiem
Iesakām informēt darbiniekus par –
- personas datu apstrādes mērķiem un pamatojumu;
- darba devēja veikto kontroles pasākumu apjomu un raksturu;
- iespējamiem personas datu saņēmējiem;
- likumā paredzēto tiesību izmantošanu (piemēram, tiesības piekļūt saviem datiem un tiesības veikt tajos labojumus atbilstoši Regulas 13. un 14. pantam).
Iesakām šos noteikumus noformēt kā atsevišķu dokumentu, nevis iekļaut tos organizācijas vai uzņēmuma vispārīgajos noteikumos.
___________________________________
1 Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) – arī 13. panta 1. punkta c) apakšpunkts un 14. panta 1. punkta c) apakšpunkts
