英国データ監視機関の報告書の焦点は何ですか？
英国個人データ保護監督機関 (ICO) は2023年10月3日、UK GDPRおよび2018年データ保護法 (DPA 2018) に準拠した従業員の監視に関する最終ガイダンス（以下「ガイダンス」といいます。）を公開しました。
従業員の監視について、どのような法的要件が示されていますか？
雇用主は、職場における監視の実施について、従業員（フリーランス、コンサルタント、外注業者、被雇用者を含みます。）に対して明確にしなければなりません。従業員の予見可能性を考慮するためには、その背景が鍵となります。企業は、監視に関して以下の点を検討すべきです。
- 透明性：従業員は、監視の性質、範囲、および理由を知らされるべきです。透明性の原則は、従業員と企業の間の信頼関係を維持するために不可欠です。雇用主は、正当な理由がない限り、従業員またはその代表者（労働組合など）からの意見を求め、文書化すべきです。
- 目的と介入性：監視の目的を明確に定め、それを遂行するために最小限の介入的手段を用いるべきです。これにより、監視が必要なものであり、侵害的なものでないことが確実となります。
- 法的根拠：データ保護法を確実に遵守するために、従業員のデータ処理には法的根拠がなければなりません。
- 明確なコミュニケーション：雇用主は、監視に関する情報を従業員が理解しやすい明確な方法で伝える必要があります。
- 関連性：監視を通じて収集される情報は、関連性のあるものに限定されるべきであり、それは雇用主のプライバシーに関する通知において明記されるべきです。
- データ保護影響評価（「DPIA」）：従業員の権利に高いリスクをもたらす可能性のある監視活動については、雇用主はDPIAを実施すべきです。これによりリスクが確実に特定され、軽減されます。
- 個人情報へのアクセス要求 (SARs)：従業員は、監視を通じて収集された個人情報にアクセスするために、SARを行うことができることを知らされるべきです。
- 人工知能：従業員を監視する雇用主は、以下の条件に該当する場合、UK GDPR第22条の自動意思決定に関する制限の対象となります。(1) 意思決定が完全に自動化されていること、(2) 法的または類似の重要な影響を持つこと - 例えば、従業員の生産性を完全に自動化された監視のみに基づいて報酬を決定することは第22条に該当します。
- 生体データ：生体データが個人を独自に識別するために使用される場合、DPIAが必要となります。勤怠管理に生体データを使用する場合、雇用主は生体データを使用することで目的を達成する以外に何か代替策があるかどうかを検討しなければなりません。また、そのような方法を使用する場合、特別なセキュリティ対策が必要かどうかも検討しなければなりません。
- 録音および録画：ICOの見解では、録音は純粋に録画よりも介入的なものです。「継続的な録音と録画は非常に介入的であり、ほとんどの状況でそれを正当化できる可能性は低いでしょう。」
コンプライアンスが必要な理由は何ですか？
コロナによるパンデミック発生後、雇用主は従業員のパフォーマンスを把握するためにデータに目を向けるようになっています。これは、従業員が在宅勤務を選んだり、雇用主の合意を得てハイブリッドな働き方をする人が増えているためです。従業員は1998年人権法第8条に基づき、私生活を尊重される権利を有します。在宅勤務の増加は、自宅におけるプライバシーに対する要求が職場よりも大きくなる可能性が高いことを意味します。
英国の企業は、データプライバシー法違反による高額な制裁金リスクと風評被害を防止するために、UK GDPRの規則に従う傾向があります。
3CSにできること
3CSのデータプライバシーおよび雇用法のチームは、国内外の専門知識を持ち、企業コンプライアンスの法的サービスを幅広く提供しています。従業員監視に関するさらなる情報や、上記の問題に関する法的問題についてのご相談については、担当者へお問合せください。
