老闆监督员工电脑很合理?不止客户受到个资法保护,员工的隐私也

发布时间:2020-07-31 编辑: 查看次数:652

老闆监督员工电脑很合理?不止客户受到个资法保护,员工的隐私也

不少企业基于保护商业机密、盘点智财避免侵权等等因素,早就开始对员工的电脑进行监控。 个人资料保护法  于  七月一日上路 ,这让企业有更大的压力与正当性要求 IT 部门扩大规模布署这类监控技术,作为保护客户个资的「安全维护措施」。而员工在公司 (说不定连回家以后也是) 使用电脑 / 平板 / 手机的一言一行,也将有更多机会与细节会曝露在僱主或上司的目光之下。

本文要提醒员工:个资法保护的对象并不只有客户,也包含你自己 — 尤其是自备机器上班 (BYOD) 的情况 — 你也有权利依据个资法向公司询问自身隐私资料如何被使用。 也要提醒企业:不要迷信技术,把「安全维护措施」通通交给软体。

从降低企业自身风险与责任的角度来看,保护个资的「安全维护措施」最好这幺做:不能以「个资法要求保护客户隐私」为由偷看员工电脑,员工的个资也受到个资法保护

个资法的立意良好,对于  旧版施行细则  应如何修正,法务部也慎重地  预告修正草案并徵询各界意见 ,充分展现其对于民意的尊重。法条就留给法律专家分析;本文仅仅针对  施行细则当中的第九条「适当安全维护措施」 提出一个观察:某些企业很可能会以「个资法要求保护客户隐私」为由,在员工的电脑上安装各种监控软体,监看员工的一举一动 —  在声称保护客户隐私的同时,却也矛盾地侵犯了员工的隐私。

但重视个人隐私权的员工应该要注意到: 个资法并未限定保护对象只有客户。公司对员工 — 例如透过企业内部的监控软体 — 进行「个人资料之蒐集、处理及利用」一样也要受到个资法的规範!

也就是说,一方面个资法的施行,让企业绷紧神经强化内部控管以保护客户隐私,另一方面却也同时让员工本身开始有法律依据可以争取「不被监控」的权利。你在公司使用 e-mail、 msn 等等个人通讯软体,是否疑似被公司监视 / 侧录? (可疑迹象:速度比其他网站慢、会掉信、掉讯息、管理阶层知道你的秘密 → 公司可能安装 DPI 深度封包检测软体侵犯你的隐私) 劳工团体、各行业的工会应该更积极地针对此事提醒劳工捍卫自身权益。

从员工角度来看 — 带自己的电脑来上班,公事、私事都被监管了?

对于公司在办公室所配发的电脑,一般员工也许早已很能接受遭到监控。(其实你并不需要百分之百照单全收。) 但至少在一个场域里,员工特别应该勇敢站起来捍卫自身权益:BYOD。

Bring Your Own Device 就是带你自己的笔电 / 手机来上班。员工如果 只从「自己的电脑 / 手机配备比公司的棒」的角度着眼 ,或许会欣喜地迎接 BYOD。但是从另一个角度来看, 公司的 IT 部门是否有权利监视、遥控、甚至销毁员工自己拥有、带入办公室的电脑 / 平板 / 手机 (或其中资料) 呢?

既然公司的机密资料进了员工自购的电脑 / 平板 / 手机,公司甚至可能还帮员工付部分的通讯费用,那幺公司上述行为的正当性似乎也就确实提高了一些。员工是否意识到:公司 IT 部门以「保护商业机密、盘点智财避免侵权、保护客户个资」为由,在自己的电脑 / 平板 / 手机安装了监控软体,有可能会:

公司做这些事情的时候,会通知我吗?我的电脑 / 平板 / 手机在非上班时间也受到控管吗?公司里有哪些人有权限可以看到我手机及电脑里面的上述种种个人资料?如果我这部电脑 / 平板 / 手机跟家人共用,他是否也受到监控?如果我这部电脑 / 平板 / 手机因为疑似 (我或他人) 不当使用而遭锁机或没收检查,公司对我有没有相对应的补救措施,例如允许或帮我把我私人的资料救出来、借我一部备用机等等?我离职的时候,公司还保留着这些资料吗?

The Dark Side of BYOD – Privacy, Personal Data Loss and Device Seizure 一文提醒员工:「如果你不怕听到答案的话,你应该向公司提出上面这些问题。」个资法固然不能解决上述所有问题,至少让员工可以依法对公司提出上述隐私相关部分的问题。值得一提的是:据说最受欢迎的 BYOD 装置是苹果的产品;但苹果在为企业设计行动装置管理 (MDM) 的时候,似乎主要是 从公司控管  (而不是从员工隐私与自主权) 的角度出发。

再来从公司 — 特别是 IT 人员 — 的角度来看,这套软体要有「警告」机制、不是「禁止」

首先指出一个重要的基本观念:安装在使用者的机器上的任何监控软体,永远都无法彻底阻止有心人士偷渡资料。 软体应该「协助员工避免意外」洩漏公司机密资料 (包含客户隐私资料),而不是「禁止员工主动」外洩公司机密资料。

DRM 遥控数位枷锁的失败 ,就是一个很好的警惕。DRM 原本意图封锁的,是受到智慧财产权所保护的数位内容;现在因应个资法,未来市场上也可能会出现一些软体声称可以封锁员工电脑上的客户隐私资料。两者企图封锁的内容固然不同,但面对的技术困难与侵犯用户人权的事实则是一致的。事实上还有先前中国大陆……企图封锁言论  呃,根据官方说法,是要封锁色情 …… 的 「绿坝」 也一样。

从软体设计的角度来看, 意欲封锁资讯的内容固然不同 (版权有限的数位内容 / 不和谐的言论 / 色情 / 客户隐私);软体的逻辑和面对的挑战都是一样的。

协助员工保护客户隐私的软体 (以下简称「客户隐私保护软体」),其设计原则应该摒弃 DRM 或绿坝的心态 / 思考模式,改从封锁第五和第六类资讯的心态 / 思考模式出发 — 阻挡垃圾信及防毒软体。 再一次地,封锁垃圾信的技术也必须面对上述各种应用所面对的类似技术问题 (例如:要不要进入压缩档和映象档 zip/7z/tgz/tbz/iso/….. 里面检查?要不要进行图→文转换 OCR?要不要进行深度封包检测 DPI? ……)

但垃圾信过滤软体或防毒软体 vs. DRM 或绿坝的最大的差别在于: 垃圾信过滤软体或防毒软体尊重使用者最终的判断, 把最后的决定权交回到使用者手上。任何垃圾信件过滤软体都提供误判回报,并且让使用者可以自行新增删除过滤条件。

设计客户隐私保护软体,也应有相同的心态:它的任务应该是  警告  而不是  禁止  员工,减少员工  意外  传送  电脑判断 疑似  客户隐私的资料 (及公司机密) 的机会。因为这个根本上的  心态 / 思考模式  差异,让垃圾信过滤软体和防毒软体免于 DRM 软体及绿坝的窘境 — 后二者的演算法见不得人 ,所以从资讯安全的角度来看,不符合 Kerckhoffs’ principle,是必败的技术。

採用这个心态 / 思考模式来设计客户隐私保护软体,也更能促使软体设计者尽量减少回报与记录员工的电脑活动, 降低企业对 员工隐私 保护的法律重担 。例如,如果我来设计这类软体,可能只会将员工的「警告过滤器设定档的更新历史」跟「软体判断封锁但员工认定放行」的资料记录并传回公司主机。

还有,为了提高安全性,我会尽量捡既有的自由软体来改,并公布修改后的程式码 — 这也比较符合个资法七、八、九条强调「告知」的概念,遇到法律争议时,可以用这点展现公司尊重员工隐私的诚意。我不会  用苦行僧的方式从头开发 ,更不会採购自己看不见原始码的软体安装到员工的电脑上。如果有一天员工依据个资法,要求公司告知公司透过电脑对他所蒐集的个人隐私资讯时,开诚布公释放原始码的这种策略比较有利于公司自保 — 比较容易说明公司蒐集员工资料的行为符合个资法第五条的「尊重、 诚实、 信用、 不踰越、 有正当合理关联」。

另一方面, 软体  尊重员工最终判断,并不表示公司同意员工可以自行决定任意洩漏客户隐私或公司的其他机密。这只表示公司具有正确的资讯安全意识: 软体不可能百分之百正确判断每一笔资料是否为客户隐私或公司其他机密。 软体尊重员工的最终判断,反而让软体作者可以放心大胆地从严判断、诚实以告,对于任何可能洩密的未检查或已检查但没把握的途径都不厌其烦地提醒员工。 (「您有一个无法辩识的映象档未经本程式扫描。 请手动挂载并启动本程式扫描。」)

 尊重员工的选择与判断,而不是监管他们,才能培养出优良企业文化

推荐採取如此心态 / 思考模式的原因,不只是技术考量,更重要的是企业文化考量。

第一,最终的责任归属 ( accountability,不是 responsibility) 因而落在员工身上,而不是落在难以究责的软体供应商身上。被软体提醒的员工如果遇到没有把握的状况,应该主动请示相关主管,这才是保护客户隐私资料负责的态度与流程。

第二,尊重员工 (的隐私与自主权),是尊重客户 (的隐私与自主权) 的第一步。 企业主 /CEO/CIO/ 其他高层 /IT 员工 这些人对于基层员工隐私的态度,究竟是认真地予以尊重,或是仗着本身的业务优势而为所欲为?看在所有员工眼中,这将造成一种具有潜移默化效果的  企业文化 。当员工有机会接触客户资料的时候,也会有类似的心态。

最终,资讯总是渴望自由。不论你我喜不喜欢,除了对所有员工 (还有访客)  挖眼睛挖耳朵改植 DRM 版本以封锁类比漏洞 (analog hole) 之外,技术方法是不可能完封资讯的。而且, 企业资安出问题的原因经常是因为员工疏忽,而不是因为员工恶意外洩或外人入侵。 技术只能稍微提高门槛,让资讯不容易因为员工疏忽而外洩;也就是说,从技术的角度来看,「监控员工」并不是保护客户个资 (及公司机密) 的好方法。单单从技术观点来看,最重要的是:员工资讯安全意识的教育训练 (你们的 CIO 还没叫大家  丢弃旧版 IE 吗!?)、 密码限制存取、 (最后,如果有额外的资源,才是……) 软体检查警告。

更何况,比技术更重要的事,是提升员工对公司的向心力以及尊重他人隐私的文化。而「採用软体监控员工」恰好会大大地破坏这两者,对于保护客户个资的目标来说,最终很可能得不偿失。

CIO 如果还是坚持继续延续过去「一切问题用採购软体搞定」的错误心态,主张採用「监控员工以确保客户隐私不外流」的矛盾策略的话,除了会产生上述员工将失去向心力、可能会不顾情面依法强势捍卫隐私 (尤其是离职员工)、 …… 等等问题之外,还会遇到许多实作上的困扰。

企业内高阶主管的电脑要不要接受监控?IT 部门员工的电脑要不要接受监控?谁来确认这些人也受到监控?CIO 建议要把监控的业务委外给软体厂商吗? (如果我是老闆,听到这个建议,就先开除  这个欠缺职业道德的 CIO 。) 如果不委外,那幺谁才是最终握有监控纪录档密码的企业内部 KGB 特务警察头子?当个资外洩时,特务头子是否永远免责,不会受到怀疑?或者特务头子永远是第一个被怀疑的?IT 部门整天接受来自客户及员工「依据个资法第三条」的查询请求,还能做其他的事吗?做这等烦锁小事的,显然不是特务头子,那幺全公司的个资都握在这个年轻小子手上,而他与其他员工彼此猜忌,客户个资会更安全吗?

最后,也要提醒各事业主管机关:进行行政检查时, 不要过度解释「安全维护措施」、不要对监控软体有不切实际的期待、不要迫使企业以保护客户隐私为名,在员工电脑 / 平板 / 手机上安装监控软体,实行侵犯员工隐私之实。 各事业主管机关 (Hi,教育部!) 如果过度解释,迫使企业牺牲员工隐私,,恐怕不是造成 「企业大门,民主止步」 (照原文直译应该是「工厂大门……」) ,就是造成「离职员工依据个资法控告企业主侵犯隐私」的案件大增。不论是何者,对社会都不是好事,也都违背了个资法的初衷。

只看法条,不用  心  去感受法律的原始良善用意,恐龙法官就是这幺产生的。法律专业的他们,这幺做也许还有一点藉口;一般人自己如果也这幺做,以后还好意思批评恐龙法官吗?

从事业主管机关到企业内部上下,请让我们一起用  心  去感受法律的原始良善用意,彼此 释出诚意  以换得对方的信任和体谅,一起建立「尊重所有人 — 客户与员工 — 隐私」的文化,一起处理导入保护个资作业流程当中所遇到的问题。

(图片来源:PNNL – Pacific Northwest National Laboratory, CC Licensed)