Евросоюз

Еврокомиссия объявила о том, что компании гиг-экономики (gig economy), привлекающие работников без оформления в штат, должны быть более прозрачными в части использования средств алгоритмического управления и мониторинга. По мнению экспертов, если эти правила вступят в силу, их следует распространить на всех работников, управление которыми осуществляется с помощью автоматизированных систем.

Как и в случае с другими законами ЕС, соответствующие правила затронут в том числе и американские компании, работающие на территории стран Союза.

Предложенная Комиссией директива в отношении алгоритмического управления является одним из трех представленных недавно наборов мер. Предлагается, в частности, предоставить полноценный статус сотрудника всем, кто поддерживает взаимодействие с «цифровыми трудовыми платформами» (digital labor platform). К ним относятся системы предприятий, занимающихся перевозками пассажиров (например, Uber и Lyft), компаний, специализирующихся на услугах доставки (Deliveroo), а также платформы неофициальной занятости в сфере бытовых услуг (TaskRabbit).

По оценкам Комиссии, в ЕС насчитывается 28 млн гиг-работников. Ожидается, что в 2025 году их число возрастет до 43 млн.

Предложения в отношении алгоритмического управления призваны обеспечить работникам защиту от любого негативного воздействия автоматизированных систем, используемых для контроля труда на условиях временной занятости.

«Мы видим еще один шаг вперед в осознании рисков, порождаемых алгоритмическим управлением, – указал профессор трудового права университета KU Leuven (Бельгия) Валерио де Стефано. – И он будет сопровождаться проявлением повышенного внимания со стороны Еврокомиссии».

Алгоритмическое управление

Алгоритмическое управление – ключевой компонент цифровых трудовых платформ. Он включает в себя инструменты и методы, используемые для автоматизации различных аспектов процесса координации деятельности работников, в том числе распределения задач и отслеживания эффективности их труда. Вместо контроля со стороны человека все здесь опирается на сбор данных и наблюдение.

Однако использование алгоритмического управления вызывает опасения в отношении отслеживания и оценки системами, представляющими собой «черный ящик», всего, что связано с работниками. При этом у работников практически нет возможности оспаривать принятые ими решения.

В отчете, опубликованном некоммерческой организацией Worker Info Exchange, отмечается распространенность слежки за гиг-работниками и отсутствие у них средств правовой защиты при возникновении разногласий. В качестве примера приводится блокирование сервисами агрегаторов такси учетных записей водителей из-за сбоев программного обеспечения распознавания лиц.

Пагубные последствия алгоритмического управления и мониторинга работников освещались в ноябрьском отчете британских парламентариев. «Поскольку работники испытывают постоянное давление со стороны средств микроуправления и автоматической оценки, повсеместный мониторинг и технологии определения целей оказывают выраженное негативное воздействие на их психическое и физическое состояние», – указывают члены межпартийной парламентской группы в документе под названием «Новый рубеж: искусственный интеллект на работе».

«Автоматическое распределение задач и измерение производительности по своей сути не должны вызывать проблем, – отметила вице-президент Gartner Хелен Пойтевин. – Однако проблемы могут возникнуть из-за чрезмерной зависимости от технологии и недостаточно плотного взаимодействия с человеком. Если у вас, к примеру, нет никакой системы поддержки, которая помогала бы работникам расти и учиться, или машины ошибаются, а положительный имидж продолжает играть важную роль. Нужна поддержка на месте».

Предложения Еврокомиссии направлены на повышение прозрачности при использовании инструментов алгоритмического управления для гиг-работников. Они включают в себя:

— Информирование работников о характере использования автоматизированных систем для принятия решений и действий, «оказывающих существенное влияние» на условия труда.

— Исключение из собираемых о сотрудниках данных сведений, в которых нет явной необходимости. Особенно это касается разговоров личного характера и информации, связанной с их здоровьем и эмоциональным состоянием.

— Контроль со стороны человека за функционированием автоматизированных систем. Необходимо исключить для работников риски для здоровья и их психологического состояния, обусловленные алгоритмическим принятием решений.

— Предоставление работникам возможности оспаривать автоматизированные решения, влияющие на их трудовую деятельность. Особенно актуально это для людей, не оформленных в штат, которые регулярно сталкиваются с закрытием или приостановкой действия их учетной записи без объяснения причин.

— Предъявление к поставщикам платформ требования проводить консультации с представителями работников перед внесением существенных изменений в функционирование систем принятия решений.

Предложения Комиссии основаны на действующем регламенте ЕС об общем регулировании защиты данных (General Data Protection Regulation, GDPR), учитывающем интересы работников в части сбора данных. Но, по словам де Стефано, GDPR не обеспечивает такой же ясности в отношении алгоритмического управления, как правила, предлагаемые для гиг-работников. В Комиссии отмечают, что при отстаивании своих прав в рамках GDPR они сталкиваются с определенными трудностями.

Не ограничиваясь временной занятостью

Профессор права Оксфордского университета Джеремиас Адамс-Прасл приветствует правила, предлагаемые в отношении автоматизированных систем принятия решений.

«Вокруг статуса работников, подключаемых к платформе, ходило много споров, а выдвинутая директива охватывает не только эти, но и многие другие вопросы, – подчеркнул он, назвав предложения по-настоящему важным шагом вперед. – Действие правил должно распространяться на всех работников, контролируемых сегодня автоматизированными системами, а не только на тех, кто трудится на условиях временной занятости. Ошибочно рассматривать временную занятость как изолированную часть рынка труда. Я посоветовал бы законодателям подумать о распространении соответствующих правил на всех работников, не ограничиваясь лишь теми из них, кто подключен к платформе».

В последние годы алгоритмическое управление и мониторинг внедряются компаниями в различных отраслях. Довольно часто с алгоритмическим контролем и мониторингом приходится сталкиваться сотрудникам складов. Многие их действия отслеживаются и направляются с помощью программного обеспечения. В ретейле работодатели иногда используют программное обеспечение для автоматического планирования смен.

Традиционные рабочие места также все чаще подвергаются контролю со стороны инструментов мониторинга, с помощью которых эффективность их труда отслеживается во время пандемии COVID-19. Широкое распространение получили средства автоматической записи скриншотов и регистраторы нажатия клавиш.

«Аналогичная тенденция наблюдается на рабочих местах по всему социально-экономическому спектру, но зарождение многих из этих технологий мы наблюдали по большей части в области временной занятости, – указал Адамс-Прассл. – Именно этим и объясняется реакция регуляторов на положение дел в этой сфере».

«Сегодня главная задача заключается в том, чтобы распространить защиту директивы ЕС о цифровой трудовой платформе на всех работников, – заявил де Стефано. – В противном случае мы получим, по сути, сегментированный рынок труда, где будут защищены только работники, подключенные к цифровым трудовым платформам».

Подготовка почвы

Подобно любому другому закону ЕС, новые правила в отношении алгоритмического управления могут иметь серьезные последствия и за пределами 27 стран, входящих в состав Евросоюза.

Если предложения Европейской комиссии будут приняты, компании из других стран, ведущие свою экономическую деятельность в ЕС, должны будут соблюдать правила, утвержденные в этом регионе. Адамс-Прассл подчеркнул значимость своего рода «эффекта Брюсселя», выражающегося в том, что влияние европейского законодательства (в частности, GDPR) в значительной мере распространяется на другие страны и регионы. И он вполне может материализоваться в том числе и в части правил, которые относятся к людям, работающим на условиях временной занятости.

Несмотря на то, что американские компании не имеют непосредственного отношения к GDPR, многие из них оказываются затронуты этим законом. И, выпуская продукт, соответствующий правилам GDPR, они распространяют его по всему миру. Так что влияние эффекта Брюсселя не стоит недооценивать. В конечном итоге последняя итерация превращается в новый ожидаемый стандарт для всей платформы.

Прежде чем предложения будут приняты, они должны пройти обсуждение в Европарламенте и Совете Европы. Никаких установленных сроков вступления их в силу пока нет. А поскольку правила должны пройти процедуру согласования между государствами-членами, ввод их в действие ожидается не ранее 2024 года.

В апреле Европейский парламент принял нормы Общего регулирования защиты данных (General Data Protection Regulation, GDPR). От бизнеса требуют обеспечить защиту персональных данных и конфиденциальности граждан Европейского Союза при выполнении транзакций внутри государств, входящих в ЕС. Вместе с тем GDPR регулирует пересылку персональных данных за пределы Евросоюза. Компании, ведущие бизнес в странах ЕС и обрабатывающие персональные данные их граждан, должны выполнить соответствующие требования к 25 мая 2018 года.

Положения эти согласованы между всеми 28 странами Евросоюза, а значит, компании должны соблюдать внутри ЕС единые стандарты. Требования этих стандартов исключительно высоки и большинству компаний понадобятся значительные инвестиции в реализацию и администрирование необходимых мер. (Подчеркнем, что эти требования распространяются и на многие российские компании, которые могут даже и не подозревать об этом; например, отечественный интернет-магазин может оказаться «оператором» клиентских данных посетившего его гражданина ЕС, а потому должен надлежащим образом обрабатывать, хранить и защищать их. — Прим. ред.)

GDPR содержит 99 статей, которые определяют требования и права, предоставляемые гражданам ЕС, операции и структуру норм регулирования, а также штрафные санкции. Наиболее существенное влияние на бизнес окажут несколько статей.

Статья 5: обработка и хранение персональных данных. Все персональные данные должны обрабатываться прозрачно, в соответствии с действующим законодательством и в целях, определенных их владельцами. Данные разрешено хранить «в форме, позволяющей идентифицировать их субъекта не дольше, чем это необходимо для целей, в которых обрабатываются персональные данные». Все персональные данные должны обрабатываться с учетом требований к безопасности и обеспечению защиты от несанкционированного доступа, потерь и повреждений, с использованием подходящих технических и организационных средств. Указанные средства не регламентированы, но если данные потеряны или украдены, компания может быть обвинена в несоблюдении нормативных требований.

Статьи 6, 7 и 8: согласие. Обработка персональных данных должна осуществляться в соответствии с требованиями законодательства; каждый индивидуум должен дать согласие на использование его персональных данных. Собранные данные должны быть нужны для выполнения задач или транзакций, инициированных индивидуумом. Исключение составляют запросы органов государственной власти.

Статья 15: право доступа. Граждане стран Евроcоюза имеют право знать, какие персональные данные хранит компания, и как они используются.

Статья 17: право на забвение и уничтожение данных. Граждане стран Евроcоюза вправе требовать прекращения обработки и удаления их персональных данных по первому требованию.

Статья 20: право на перенос данных. Граждане стран Евроcоюза имеют право на перенос своих персональных данных из одной компании в другую по запросу.

Статьи 25 и 32: защита данных. Компании должны предоставлять гражданам стран Евроcоюза «разумный» уровень защиты данных и конфиденциальности. Что понимается под «разумным уровнем», неясно.

Статья 35: оценка воздействия. Компании должны проводить оценку воздействия защиты данных с целью выявления рисков для граждан стран Евроcоюза. В оценке необходимо указать, каким образом компания намерена управлять этими рисками.

Статьи 37, 38 и 39: ответственные за защиту данных. В некоторых компаниях необходимо ввести должность ответственного за защиту данных, который будет контролировать выполнение стратегии в области безопасности и соответствие нормам GDPR. Ответственный должен назначаться, если компания обрабатывает или хранит большие объемы данных о гражданах ЕС, обрабатывает или хранит специальные персональные данные, регулярно осуществляет мониторинг субъектов данных либо относится к органам государственной власти. По оценке Международной ассоциации специалистов в области конфиденциальности (International Association for Privacy Professionals, IAPP), в целом потребуется заполнить 28 тыс. таких вакансий.

Статья 50: международные компании. Международные компании, собирающие и обрабатывающие данные граждан ЕС, должны соответствовать нормам GDPR.

Статья 83: штрафные санкции. На компании может быть наложен штраф в размере 20 млн евро или 4% глобального годового оборота, в зависимости от того, какая сумма окажется больше.

- Michael Nadeau. What are the GDPR requirements? CSO. June 29, 2017

Регулирующий акт Евросоюза «Общие положения о защите данных» (General Data Protection Regulation, GDPR) стал одним из самых строгих законов, касающихся защиты персональных данных. Директива вступит в силу 25 мая 2018 года и кардинально изменит способы сбора и использования персональных данных, поэтому европейские (и не только) компании должны полностью пересмотреть свои механизмы обработки клиентской информации. Старый подход «лучше заплатить штраф, чем выполнять требования закона» здесь не работает, поскольку регулирующие органы получат право накладывать крупные штрафы за серьезное нарушение акта — вплоть до 20 млн евро (примерно 1,5 млрд руб.) или 4% годового дохода компании.

Основные положения GDPR включают право на забвение, непрерывную защиту персональных данных, гарантии конфиденциальности, целостности и доступности данных, оповещения о несанкционированном доступе к данным в течение 72 часов, принцип минимизации данных, передачи и переноса данных. При этом понятие «персональные данные» определено широко и включает в себя все данные, относящиеся как к установленной личности, так и к тем пользователям, чью личность можно установить.

Как повлияет GDPR на российский бизнес

В связи с экстерриториальностью, акт GDPR создает риск крупных штрафов и для российских компаний. Даже если граждане ЕС не являются клиентами или партнерами бизнеса, автоматический сбор данных (например, cookies) уже считается мониторингом персональной активности. По сути, под регулирование GDPR попадают любые интернет-компании. Сырьевые, крупные промышленные и финансовые компании должны соблюдать GDPR, поскольку имеют филиалы в странах ЕС. Отдельной строкой проходят транспортные компании: РЖД, «Аэрофлот», S7 Airlines и другие, реализующие онлайн-продажи билетов. Такие компании хранят и обрабатывают данные граждан ЕС. Кроме того, регламентированная GDPR обязанность раскрывать информацию о нарушении конфиденциальности может нанести репутации компании не меньший ущерб, чем штрафы.

Какие меры следует предпринять бизнесу

Для выполнения требований GDPR организации должны внедрить самые эффективные и строгие практики управления данными и политики безопасности. Важный первый шаг в этом направлении – понять, где и как компания собирает, использует и хранит персональные данные (на серверах организации или в облаке), какие системы используют эти данные и кто имеет к ним доступ. Некоторые CIO считают, что приложениями управлять относительно несложно, а основную проблему представляют неструктурированные данные, которые легко распространяются по внутренним системам и рабочим ноутбукам и поэтому часто «утекают» в чужие облака и клиентские устройства.

Казалось бы, с точки зрения выполнения требований GDPR легче управлять структурированными данными приложений, однако быстрое увеличение числа приложений на крупных предприятиях резко усложняет управление этими данными. К тому же крупные предприятия должны обеспечить соблюдение требований GDPR и для неструктурированных данных, хранящихся на серверах, в системах электронной почты и на клиентских устройствах. Это крайне сложная задача, поскольку почти 80% всех используемых в бизнесе данных приходится на неструктурированные. Возможно ли обеспечить соответствие требованиям GDPR в типичной современной компании, где для управления данными применяются различные, никак не интегрированные между собой продукты? Это трудная задача, но вполне осуществимая.

Единая платформа управления данными – эффективное решение проблемы

Многие организации выбрали стратегию консолидации на одной унифицированной платформе управления данными. Такая платформа дает четкую картину всех приложений и неструктурированных данных компании, помогает обеспечить соответствие ключевым принципам GDPR, а при необходимости – продемонстрировать соблюдение требований законодательства регулирующим органам.

Если платформа выполняет все процессы управления данными, то ИТ-отдел может создать контентный индекс всех данных компании, тогда как при использовании нескольких отдельных продуктов это зачастую сделать невозможно. Такой индекс создаст прочный фундамент для политик управления информацией и предоставит CIO общую картину данных и контроль над ними, которые нужны для выполнения самых строгих требований по защите персональных данных.

Интегрированный подход дает полное представление в масштабе организации о том, где находятся персональные данные, поэтому становится возможным оптимизировать контроль над доступом к данным, консолидировать усилия по обеспечению информационной безопасности и выделить среди них приоритетные. В то же время организация сможет предоставить информацию по соблюдению законодательства. Кроме того, автоматизируется применение политик сохранения информации для всего ландшафта данных, а значит, резко сокращаются риски, связанные с клиентскими устройствами.

Анализ данных гарантирует, что конфиденциальные данные получат необходимый уровень защиты, а если произойдет нарушение конфиденциальности, то удастся намного быстрее оценить последствия этого инцидента. Если данные будут испорчены, необходимо их быстрое восстановление внутри ИТ-инфраструктуры организации или в облаке, а также оперативное оповещение о нарушении конфиденциальности.

Использование существующих ИТ-процессов для консолидации данных

Может показаться, что для консолидации всех данных организации на одной унифицированной платформе потребуется большое количество изменений в существующем ИТ-ландшафте, создание новых процессов и подсистем и дополнительные инвестиции. Но это не совсем так. Дело в том, что в каждой организации уже присутствуют ИТ-процессы, которые работают со всеми или почти со всеми данными, – это процессы создания резервных копий и архивов. Они могут быть разрозненными или централизованными, использовать различные технологические решения, но они есть в том или ином виде. Для решения задач, описанных выше, достаточно посмотреть на эти процессы шире, добиться их унификации, использовать единые современные инструменты для их реализации. И создаваемый единый репозиторий архивов и резервных копий вполне будет выполнять задачи контроля, анализа и управления данными предприятия.

До вступления в силу GDPR осталось меньше года, и организациям необходимо за оставшееся время обеспечить соответствие требованиям этого закона. Главное препятствие на пути обеспечения требований GDPR – медленное внедрение новых бизнес-процессов и технологий в компаниях. Хотя еще есть время для исправления ситуации, проблема осложняется тем, что сейчас компании пытаются успеть выполнить требования директивы, часть из которых нечетко сформулирована и нуждается в серьезной технологической экспертизе.

До первого прецедентного случая трудно прогнозировать применение GDPR по отношению к российским компаниям. Ясно одно: защита и менеджмент данных в этом году снова станут ключевым вопросом для ИТ-директоров крупнейших российских компаний.

– Андрей Вышлов, глава представительства Commvault в России