संक्षेप में: कोई भी नियोक्ता आपके व्हाट्सएप संदेशों को यूं ही नहीं पढ़ सकता। संदेशों को पढ़ना तभी कानूनी है जब इसमें कोई वैध हित हो, संदेश पढ़ना वास्तव में आवश्यक हो और कोई दूसरा कम दखलंदाजी वाला विकल्प मौजूद न हो, और कर्मचारियों को पहले से ही बता दिया गया हो कि किन संदेशों की निगरानी की जा सकती है और क्यों। एक व्यवस्थित निगरानी व्यवस्था के लिए वर्क्स काउंसिल्स एक्ट के अनुच्छेद 27 के तहत वर्क्स काउंसिल की सहमति भी आवश्यक है। इन शर्तों के बाहर निजी संदेशों को पढ़ना GDPR और कर्मचारी के निजता के अधिकार का उल्लंघन है।
आपका नियोक्ता आपके निजी या कंपनी के फोन पर आपके व्हाट्सएप संदेशों को मनमाने ढंग से नहीं पढ़ सकता। संदेश व्यक्तिगत डेटा होते हैं, इसलिए उन तक पहुंच के लिए सामान्य डेटा संरक्षण विनियमन (GDA) के तहत एक वैध आधार होना आवश्यक है, और रोजगार संबंध में यह आधार लगभग हमेशा नियोक्ता का वैध हित होता है। यह आधार तभी मान्य होता है जब नियोक्ता के पास कोई ठोस कारण हो, वह उस कारण के लिए आवश्यक से अधिक न पढ़े, उसके पास कोई कम दखलंदाजी वाला विकल्प न हो, और उसने कर्मचारियों को पहले से ही सूचित कर दिया हो कि ऐसा हो सकता है।
यह सवाल दो बिल्कुल अलग-अलग स्थितियों में उठता है, और इन्हें शुरू से ही अलग-अलग समझना ज़रूरी है। पहली स्थिति निजी फ़ोन पर निजी संदेश भेजने की है, जहाँ नियोक्ता की स्थिति कमज़ोर होती है और कर्मचारी को लगभग पूर्ण सुरक्षा प्राप्त होती है। दूसरी स्थिति व्यावसायिक संदेश भेजने की है, चाहे वह कंपनी के व्हाट्सएप ग्रुप में हो, कंपनी के खाते में हो या कार्यस्थल के चैट टूल में हो, जहाँ नियोक्ता के पास ज़्यादा अधिकार होते हैं, लेकिन फिर भी वह हर चीज़ पर अपना नियंत्रण नहीं रख सकता। यह लेख इन दोनों स्थितियों, कर्मचारी परिषद की भूमिका और सीमा पार हो जाने पर कर्मचारी क्या कर सकता है, इस पर चर्चा करता है। कंपनी के ईमेल पर स्थिति हमारे उस लेख में अलग से बताई गई है कि क्या आपका नियोक्ता आपके ईमेल पढ़ सकता है , और वहाँ के नियम भी इसी संरचना का पालन करते हैं।
संदेशों को सुरक्षित क्यों रखा जाता है?
एक ही समय में कानून के तीन स्तर लागू होते हैं। यूरोपीय मानवाधिकार सम्मेलन के अनुच्छेद 8 के तहत निजी जीवन और पत्राचार के सम्मान का अधिकार कार्यस्थल पर भी लागू होता है: यूरोपीय मानवाधिकार न्यायालय ने माना है कि एक कर्मचारी को कार्यस्थल पर निजता की उचित अपेक्षा होती है, नियोक्ता को कर्मचारियों को किसी भी निगरानी की प्रकृति और सीमा के बारे में पहले से सूचित करना होगा, और न्यायालय को नियोक्ता के कारणों, अतिक्रमण के दायरे और कम अतिक्रमणकारी साधनों की उपलब्धता पर विचार करना होगा। डच संविधान का अनुच्छेद 10 भी इसी तरह निजी जीवन की रक्षा करता है।
दूसरा स्तर डेटा सुरक्षा का है। संदेश की सामग्री, प्रेषक और प्राप्तकर्ता की पहचान, संदेश भेजने का समय और बातचीत का होना, ये सभी व्यक्तिगत डेटा हैं और इन्हें पढ़ना डेटा प्रोसेसिंग कहलाता है। इसलिए, सामान्य डेटा संरक्षण विनियमन (जनरल डेटा प्रोटेक्शन रेगुलेशन) अपने वैधानिकता, उद्देश्य सीमा, डेटा न्यूनीकरण और भंडारण सीमा के सिद्धांतों के साथ पूरी तरह से लागू होता है। सामान्य डेटा संरक्षण पर हमारा अवलोकन इन सिद्धांतों को स्पष्ट करता है और डच डेटा संरक्षण प्राधिकरण इनकी निगरानी करता है।
तीसरा स्तर रोजगार कानून है। नियोक्ता का निर्देश देने का अधिकार कार्य करने के तरीके से संबंधित है, न कि कर्मचारी के निजी जीवन से। यदि नियोक्ता इस अधिकार का उल्लंघन करता है, तो उसे न केवल डेटा सुरक्षा संबंधी दावे का सामना करना पड़ सकता है, बल्कि बर्खास्तगी के मामले में गंभीर रूप से दोषी पाए जाने का भी खतरा रहता है। यदि नियोक्ता इससे भी आगे बढ़कर किसी ऐसे खाते या उपकरण में घुसपैठ करता है जिस तक उसकी पहुंच नहीं है, तो आपराधिक कानून लागू होता है: कंप्यूटरीकृत प्रणाली में अनधिकृत पहुंच डच आपराधिक संहिता के अनुच्छेद 138ab के तहत एक अपराध है।
कानूनी आधार: सहमति क्यों काम नहीं करती
प्रत्येक डेटा प्रोसेसिंग प्रक्रिया के लिए सामान्य डेटा संरक्षण विनियमन के अनुच्छेद 6 में उल्लिखित वैध आधारों में से किसी एक की आवश्यकता होती है। नियोक्ता अक्सर यह मान लेते हैं कि वे कर्मचारी की सहमति पर भरोसा कर सकते हैं, चाहे वह अनुबंध में दी गई हो या पहले दिन हस्ताक्षरित आईटी नीति में। रोजगार संबंध में यह धारणा गलत है। सहमति स्वेच्छा से दी जानी चाहिए, और नियोक्ता और कर्मचारी के बीच निर्भरता का अर्थ है कि इनकार के परिणाम अक्सर भुगतने ही पड़ते हैं। यूरोपीय डेटा संरक्षण पर्यवेक्षक और डच डेटा संरक्षण प्राधिकरण दोनों ही कार्यस्थल पर दी गई सहमति को लगभग सभी निगरानी स्थितियों में अमान्य मानते हैं, और अनुबंध में कोई खंड जोड़ने से यह समस्या हल नहीं हो जाती।
नियोक्ता का वैध हित ही एकमात्र विकल्प बचता है। कंपनी की संपत्ति और गोपनीय जानकारी की रक्षा करना, धोखाधड़ी या चोरी के ठोस संदेह की जांच करना, वैधानिक कर्तव्य का पालन करना और नेटवर्क की सुरक्षा सुनिश्चित करना, ये सभी वैध हित हो सकते हैं। जिज्ञासा, कर्मचारियों पर सामान्य संदेह, उत्पादकता की जांच करना और प्रबंधन के बारे में लोगों की राय जानना वैध हित नहीं हैं।
वैध हित पर भरोसा करना मात्र औपचारिकता नहीं है। नियोक्ता को यह साबित करना होगा कि उसने हित की पहचान कर ली है, कि डेटा प्रोसेसिंग उसके लिए आवश्यक है, और कर्मचारी के अधिकारों और स्वतंत्रता के बीच संतुलन नियोक्ता के पक्ष में है। यह आकलन निगरानी शुरू होने से पहले दर्ज किया जाना चाहिए, न कि कर्मचारी की शिकायत के बाद दोबारा तैयार किया जाना चाहिए। कर्मचारियों की निगरानी संबंधी अपने दिशानिर्देशों में, डच डेटा संरक्षण प्राधिकरण ने उन शर्तों का उल्लेख किया है जिन्हें वह लागू करता है , और नीति तैयार करने से पहले इसे पढ़ना उपयोगी होगा।
आवश्यकता, आनुपातिकता और सहायकता
आवश्यकता का अर्थ है कि नियोक्ता अपना लक्ष्य किसी अन्य तरीके से प्राप्त नहीं कर सकता। संदेश पढ़ने से पहले, स्पष्ट विकल्पों को आजमाना आवश्यक है: संबंधित व्यक्तियों का साक्षात्कार लेना, सिस्टम लॉग की जाँच करना, लेन-देन की स्वयं जाँच करना, कर्मचारी से स्पष्टीकरण माँगना। यदि इनमें से किसी एक से प्रश्न का उत्तर मिल जाता, तो संदेश पढ़ना आवश्यक नहीं होता और प्रक्रिया गैरकानूनी होती, चाहे परिणाम कितना भी गंभीर क्यों न हो।
आनुपातिकता का अर्थ है कि हस्तक्षेप का उद्देश्य दांव पर लगे मामले के अनुरूप होना चाहिए। किसी कर्मचारी द्वारा ग्राहक डेटाबेस को प्रतिस्पर्धी को बेचने का विश्वसनीय संदेह, किसी अस्पष्ट अनुपस्थिति या व्यय दावों के संदेह की तुलना में कहीं अधिक न्यायसंगत है। एक निश्चित अवधि में हुई एक बातचीत की छानबीन करना उस तरह से आनुपातिक है जिस तरह से किसी फोन का पूरा डेटा निर्यात करना नहीं है।
सहायकता का अर्थ है उपाय का सबसे कम दखल देने वाला रूप चुनना जो प्रभावी भी हो। व्यवहार में इसका अर्थ है खोज शुरू होने से पहले ही उसे सीमित करना: एक सीमित तिथि सीमा, नामित प्रतिभागी, परिभाषित खोज शब्द, और यह नियम कि कोई भी स्पष्ट रूप से निजी जानकारी न पढ़ी जाए। इसका अर्थ यह भी है कि परिणामों को कौन देखेगा, इसे सीमित करना। लिखित निर्देश के तहत एक छोटे, पहचाने गए समूह द्वारा की गई खोज उचित है; लेकिन वह खोज जिसमें एक प्रबंधक अपने डेस्क पर बैठे-बैठे फोन पर खोज करता है, उचित नहीं है।
यहां दो सहायक कर्तव्य भी शामिल हैं। जहां निगरानी व्यवस्थित और व्यापक स्तर पर की जाती है, वहां सामान्य डेटा संरक्षण विनियमन के अनुच्छेद 35 के तहत शुरू करने से पहले डेटा सुरक्षा प्रभाव आकलन आवश्यक है। और जो भी डेटा एकत्र किया जाता है, उसे उद्देश्य की आवश्यकता से अधिक समय तक नहीं रखा जाना चाहिए; किसी साझा ड्राइव पर वर्षों तक पड़ी रहने वाली जांच फ़ाइल एक अलग उल्लंघन है।
पारदर्शिता: नीति सर्वोपरि है
बिना पूर्व सूचना के की गई निगरानी लगभग हमेशा गैरकानूनी होती है, क्योंकि कर्मचारी को इसकी जानकारी नहीं हो सकती। इसलिए नियोक्ता को उपकरणों, नेटवर्क और संचार साधनों के उपयोग पर एक लिखित नीति की आवश्यकता होती है, और यह नीति वास्तव में सुलभ होनी चाहिए, न कि किसी ऐसे परिशिष्ट में छिपी हो जिसे कोई पढ़ता ही न हो।
एक कारगर नीति ठोस सवालों के जवाब देती है। क्या कंपनी के फोन का निजी इस्तेमाल जायज़ है, और किस हद तक? किन सिस्टमों में लॉग दर्ज किए जाते हैं, और ये लॉग कितने समय तक रखे जाते हैं? किन परिस्थितियों में सामग्री देखी जा सकती है, इसका निर्णय कौन लेता है, और जाँच कौन करता है? क्या कर्मचारी को सूचित किया जाता है, और कब? बाद में सामग्री का क्या होता है? एक ऐसी नीति जो केवल किसी भी समय हर चीज़ की निगरानी करने का अधिकार सुरक्षित रखती है, बेकार से भी बदतर है: इसे लागू करना मुश्किल है, और यह अदालत को संकेत देती है कि नियोक्ता ने कभी भी आनुपातिकता के बारे में नहीं सोचा।
समस्या उत्पन्न होने से पहले कर्मचारियों को नीति पढ़ लेनी चाहिए और अस्पष्ट शब्दों को चेतावनी के रूप में लेना चाहिए। "समय-समय पर निगरानी की जा सकती है" या "कंपनी अपने उपकरणों पर मौजूद सभी डेटा तक पहुंच सकती है" जैसे वाक्यांश कानूनी आधार नहीं हैं। ये एक प्रकार का आशय कथन है जिसे डच और यूरोपीय कानून स्वतः मान्यता नहीं देते।
निर्माण परिषद को सहमत होना होगा
नीदरलैंड्स में निगरानी का निर्णय प्रबंधन स्वयं नहीं ले सकता। सामान्यतः कम से कम पचास कर्मचारियों वाली किसी भी कंपनी के पास एक श्रमिक परिषद (ओंडरनेमिंग्सराड) होनी चाहिए, और श्रमिक परिषद अधिनियम के अनुच्छेद 27 के अनुच्छेद 1 के तहत उस परिषद को दो प्रासंगिक व्यवस्थाओं पर केवल सुनवाई का अधिकार ही नहीं, बल्कि सहमति का अधिकार भी प्राप्त है।
- उपधारा k के अंतर्गत, उद्यम में कार्यरत लोगों के व्यक्तिगत डेटा के प्रसंस्करण और संरक्षण से संबंधित कोई भी व्यवस्था।
- उपधारा 1 के अंतर्गत, ऐसी कोई भी व्यवस्था जो कर्मचारियों की उपस्थिति, आचरण या प्रदर्शन का अवलोकन या निगरानी करने के लिए अभिप्रेत या उपयुक्त सुविधाओं से संबंधित हो।
सहमति की आवश्यकता व्यवस्था पर लागू होती है, न कि व्यक्तिगत जांच पर। किसी नियोक्ता को जो निगरानी सॉफ्टवेयर, लॉगिंग प्रणाली, कैमरा सिस्टम या संचार की जांच की अनुमति देने वाली नीति लागू करना चाहता है, उसे पहले कार्य परिषद की लिखित सहमति आवश्यक है। यदि सहमति अस्वीकार कर दी जाती है, तो नियोक्ता उप-जिला न्यायालय से वैकल्पिक अनुमोदन के लिए अनुरोध कर सकता है, जो केवल तभी दिया जाता है जब अस्वीकृति अनुचित हो या निर्णय बाध्यकारी व्यावसायिक कारणों से उचित हो।
इस चरण को नज़रअंदाज़ करने के गंभीर परिणाम होते हैं और अक्सर इस पर ध्यान नहीं दिया जाता। आवश्यक सहमति के बिना लिया गया कोई भी निर्णय अमान्य हो जाता है यदि कार्य परिषद को निर्णय लिए जाने की जानकारी मिलने के एक महीने के भीतर लिखित रूप में इसकी अमान्यता घोषित कर दे, और नियोक्ता को इसे लागू करने से रोका जा सकता है। यदि कोई नियोक्ता किसी कर्मचारी को ऐसी निगरानी व्यवस्था के आधार पर बर्खास्त करता है जिसे कार्य परिषद ने कभी अनुमोदित नहीं किया, तो उसकी समस्या बर्खास्तगी के औचित्य से बिल्कुल अलग हो जाती है।
निजी फोन, कंपनी का फोन और अपना खुद का डिवाइस लाएँ
नियोक्ता जितना सोचते हैं, उपकरण का स्वामित्व उतना मायने नहीं रखता। मायने रखता है संचार की प्रकृति और कर्मचारी उससे क्या उम्मीद कर सकता है।
निजी फोन पर नियोक्ता का कोई अधिकार नहीं होता। वह फोन सौंपने या अनलॉक करने के लिए बाध्य नहीं कर सकता, बिना सहमति के उस पर कोई सॉफ्टवेयर इंस्टॉल नहीं कर सकता, और इनकार करने वाला कर्मचारी जांच में बाधा डालने के बजाय अपने अधिकार का प्रयोग कर रहा होता है। केवल इसलिए अनुशासनात्मक कार्रवाई करना कि किसी कर्मचारी ने निजी फोन अनलॉक करने से इनकार कर दिया, नियोक्ता के लिए बहुत जोखिम भरा हो सकता है। निजी उपकरण पर मौजूद सामग्री तक पहुंचने के एकमात्र व्यावहारिक रास्ते आपराधिक प्रक्रिया के माध्यम से होते हैं, जिसमें जांच अधिकारियों के अधिकार होते हैं, या दीवानी कार्यवाही में अदालत के आदेश के माध्यम से।
कंपनी के फोन के मामले में स्थिति थोड़ी जटिल है, लेकिन उलटी नहीं है। यदि निजी उपयोग की अनुमति है, चाहे स्पष्ट रूप से या व्यवहार में, तो कर्मचारी को उस डिवाइस पर निजी बातचीत में निजता की उचित अपेक्षा बनी रहती है, और व्हाट्सएप को सभी लोग निजी संचार के एक माध्यम के रूप में समझते हैं। नियोक्ता किसी परिभाषित और वैध उद्देश्य के लिए आवश्यक जानकारी पर विचार कर सकता है। वह हैंडसेट के स्वामित्व को उस पर मौजूद हर चीज़ को पढ़ने के लाइसेंस के रूप में नहीं मान सकता।
अपने डिवाइस का उपयोग करने की व्यवस्था बीच में आती है और इस पर आमतौर पर जितना ध्यान दिया जाता है, उससे कहीं अधिक ध्यान देने की आवश्यकता है। यदि कोई कर्मचारी काम के लिए अपने निजी फोन का उपयोग करता है, तो नियोक्ता की पहुंच डिवाइस पर एक अलग, प्रबंधित कार्य वातावरण तक सीमित होनी चाहिए: कार्य कंटेनर, कंपनी का ईमेल खाता और प्रबंधित एप्लिकेशन। मोबाइल डिवाइस प्रबंधन सॉफ़्टवेयर जो नियोक्ता को स्थान, इंस्टॉल किए गए एप्लिकेशन या व्यक्तिगत सामग्री देखने की अनुमति देता है, वह व्यवस्था की आवश्यकताओं से परे है। ऐसे सॉफ़्टवेयर को इंस्टॉल करने से पहले, कर्मचारी को लिखित रूप में यह पूछना चाहिए कि यह क्या देख सकता है, नौकरी समाप्त होने पर क्या होगा और क्या रिमोट वाइपिंग निजी डेटा को प्रभावित करती है। ये प्रश्न नीति में शामिल होने चाहिए और कर्मचारी परिषद की इसमें भूमिका होती है।
क्या मेरा नियोक्ता मेरे कार्यालय के फोन पर मेरे व्हाट्सएप संदेश देख सकता है?
तकनीकी रूप से, जितना आप सोचते हैं उससे कहीं अधिक; कानूनी रूप से, बहुत कम। WhatsApp संदेश एंड-टू-एंड एन्क्रिप्टेड होते हैं, इसलिए आपका नियोक्ता कंपनी नेटवर्क या कंपनी वाई-फाई के माध्यम से उन्हें नहीं पढ़ सकता। लेकिन मोबाइल डिवाइस मैनेजमेंट सॉफ़्टवेयर द्वारा प्रबंधित कार्यालय फ़ोन पर, आईटी विभाग यह देख सकता है कि कौन से ऐप्स इंस्टॉल हैं, बैकअप तक पहुंच सकता है या फ़ोन तक भौतिक पहुंच के साथ चैट इतिहास खोल सकता है। कार्यालय कंप्यूटर पर, WhatsApp वेब, आपका इंटरनेट इतिहास और अन्य मैसेजिंग प्लेटफ़ॉर्म नियोक्ता के आईटी सिस्टम या स्क्रीन मॉनिटरिंग टूल के माध्यम से दिखाई दे सकते हैं।
डच कानून के तहत सवाल यह नहीं है कि तकनीकी रूप से क्या संभव है, बल्कि यह है कि क्या अनुमत है। निगरानी का एक वैध उद्देश्य होना चाहिए, यह आवश्यक और आनुपातिक होनी चाहिए, और इसकी जानकारी पहले से ही एक नीति में दी जानी चाहिए। यदि निगरानी व्यवस्थित है, तो कर्मचारी परिषद को पहले इसकी सहमति देनी होगी। किसी व्यक्ति की निजी बातचीत, निजी उपकरण या काम के लिए इस्तेमाल किए जाने वाले निजी मोबाइल नंबर पर वास्तविक संदेशों को पढ़ना केवल असाधारण मामलों में ही वैध है, जैसे कि कदाचार का ठोस और गंभीर संदेह जिसकी जांच कम दखलंदाजी वाले तरीके से नहीं की जा सकती। यूरोपीय संघ के डेटा संरक्षण नियम (जीडीपीआर) लागू होते हैं, चाहे फोन आपका हो या कंपनी का। अमेरिकी कानून के विपरीत, आपके नियोक्ता के पास कंपनी के उपकरणों पर होने वाली गतिविधियों पर असीमित अधिकार नहीं है।
क्या आप जानना चाहते हैं कि आपके नियोक्ता ने आपके बारे में क्या जानकारी एकत्र की है? आप विषय पहुँच अनुरोध (जीडीपीआर के अनुच्छेद 15 के तहत पहुँच का अनुरोध) जमा कर सकते हैं। नियोक्ता को एक महीने के भीतर जवाब देना होगा और आपके बारे में भेजे गए संदेशों या निगरानी लॉग सहित, आपके पास मौजूद व्यक्तिगत डेटा की एक प्रति आपको देनी होगी।
व्यावसायिक चैट एक अलग मामला है।
हर संदेश निजी नहीं होता। कंपनी के व्हाट्सएप ग्रुप में ग्राहक के बारे में भेजा गया संदेश, नियोक्ता द्वारा उपलब्ध कराए गए कार्यस्थल चैट टूल पर हुई बातचीत, या ग्राहक संपर्क के लिए उपयोग किए जाने वाले कंपनी खाते पर हुई बातचीत व्यावसायिक संचार का हिस्सा है। यह नियोक्ता के नियंत्रण वाले सिस्टम पर रिकॉर्ड किया जाता है, यह प्रशासन का हिस्सा है, और कुछ क्षेत्रों में इसे नियामक कारणों से सुरक्षित रखना आवश्यक होता है।
यहां भी नियोक्ता की स्वतंत्रता असीमित नहीं है। वही सिद्धांत लागू होते हैं: एक निश्चित उद्देश्य, उस उद्देश्य के लिए आवश्यक डेटा से अधिक डेटा का उपयोग न करना, लॉग किए गए और रखे गए डेटा में पारदर्शिता, और निजी मामलों के कार्यस्थल पर सामने आने पर क्या करना है, इसके लिए एक नियम (जैसा कि होना तय है)। कार्यस्थल पर जन्मदिन के उपहार पर चर्चा करने वाले सहकर्मी अपनी निजी जिंदगी को त्याग नहीं देते। कर्मचारियों के लिए व्यावहारिक मार्गदर्शन यही है: निजी बातचीत को कार्यस्थल के चैनलों और उपकरणों से दूर रखें, क्योंकि अलगाव जितना स्पष्ट होगा, दोनों पक्षों की कानूनी स्थिति उतनी ही मजबूत होगी।
जब लक्षित पहुंच वैध हो
कुछ ऐसी परिस्थितियाँ होती हैं जिनमें नियोक्ता जाँच-पड़ताल कर सकता है, और दोनों पक्षों के लिए यह जानना सहायक होता है कि जाँच-पड़ताल कैसी है। प्रक्रिया हमेशा एक जैसी होती है: गंभीर कदाचार का ठोस और स्पष्ट संदेह, सबसे कम हस्तक्षेप वाले चरण से शुरू होने वाली जाँच, और एक सीमित खोज जिसका दस्तावेजीकरण साथ-साथ किया जाता है।
मान लीजिए कि किसी कर्मचारी पर अपने ग्राहकों की फाइलें किसी प्रतिस्पर्धी कंपनी को भेजने का संदेह है। कानूनी जांच की शुरुआत ठोस तथ्यों से होती है: कौन सी फाइलें डाउनलोड की गईं, कब, किस खाते से, और क्या यह पैटर्न संदेह से मेल खाता है। यदि इससे तथ्य सिद्ध हो जाते हैं, तो संदेशों को छुआ तक नहीं जाता। यदि ऐसा नहीं होता है, और शेष प्रश्न का उत्तर केवल संचार के माध्यम से ही मिल सकता है, तो नियोक्ता पहले से ही जांच का दायरा निर्धारित करता है, उसे प्रासंगिक अवधि और अपने द्वारा उपलब्ध कराए गए उपकरणों पर प्रासंगिक चैनल तक सीमित रखता है, एक परिभाषित समूह द्वारा जांच करवाता है, और जांच के कारणों को रिकॉर्ड करता है। कर्मचारी को जांच के निष्कर्षों से अवगत कराना और उनका स्पष्टीकरण सुनना प्रक्रिया का एक अभिन्न अंग है, न कि कोई वैकल्पिक औपचारिकता।
इसी तरह की जांच का गैरकानूनी तरीका जाना-पहचाना है। पूरे विभाग के फोनों में निगरानी सॉफ्टवेयर इंस्टॉल किया जाता है, महीनों की बातचीत को इस उम्मीद में पढ़ा जाता है कि शायद कुछ सुराग मिल जाए, और इस दौरान उन लोगों के निजी संदेशों की भी जांच की जाती है जिन पर कभी किसी बात का शक नहीं था। यह विधि आवश्यकता, अनुपात और सहायकता के सिद्धांतों का पूरी तरह से उल्लंघन करती है, और भले ही इससे सबूत मिले हों, यह इसे सही साबित नहीं करता।
गुप्त निगरानी, जिसमें कर्मचारी को पहले से सूचित नहीं किया जाता, अपवाद है। इस पर तभी विचार किया जा सकता है जब कर्मचारी को सूचित करने से उद्देश्य विफल हो जाए, संदेह गंभीर और विशिष्ट हो, उपाय समय और दायरे में सीमित हो, और कर्मचारी को बाद में सूचित किया जाए। कोई भी ऐसी प्रक्रिया जो स्थायी गुप्त व्यवस्था बन जाती है, अपवाद नहीं रह जाती।
अवैध रूप से प्राप्त साक्ष्यों का क्या होता है?
कर्मचारी अक्सर यह मान लेते हैं कि निजता का उल्लंघन होने पर सबूत अनुपयोगी हो जाते हैं। डच दीवानी कार्यवाही में, जिनमें रोजगार संबंधी मामले भी शामिल हैं, ऐसा नहीं है। सत्य को स्थापित करने का हित सर्वोपरि होता है, और निजता नियमों के उल्लंघन से प्राप्त साक्ष्य को केवल असाधारण परिस्थितियों में ही रद्द किया जाता है। उल्लंघन के गंभीर परिणाम होते हैं: यह एक अलग दावे का आधार बन सकता है, यह नियोक्ता के प्रति न्यायालय के दृष्टिकोण को प्रभावित कर सकता है, और यह एक जटिल बर्खास्तगी मामले को नियोक्ता के विरुद्ध मोड़ सकता है। लेकिन जो कर्मचारी यह उम्मीद कर रहा है कि साक्ष्य को बस खारिज कर दिया जाएगा, वह आमतौर पर गलत उम्मीद कर रहा है। निजता और बर्खास्तगी के बीच संबंध पर हमारे लेख में चर्चा की गई है, जो व्हाट्सएप संदेशों के आधार पर तत्काल बर्खास्तगी से संबंधित है ।
जब कोई सहकर्मी संदेश सौंपता है
व्यवहार में, नियोक्ता आमतौर पर इसकी जाँच नहीं करता है। चैट में शामिल कोई व्यक्ति स्क्रीनशॉट भेज देता है, या किसी सहकर्मी को फ़ोन पर कुछ दिखाया जाता है और वह इसकी रिपोर्ट कर देता है। इससे विश्लेषण बदल जाता है, क्योंकि नियोक्ता ने किसी भी चीज़ तक पहुँच नहीं बनाई होती; उसे केवल जानकारी प्राप्त होती है।
डेटा प्राप्त करना ही सब कुछ नहीं है। जिस क्षण से नियोक्ता के पास सामग्री आती है, वह व्यक्तिगत डेटा संसाधित कर रहा होता है, और वही प्रश्न लागू होते हैं: क्या इसका उपयोग करने में कोई वैध हित है, क्या इसका उपयोग करना आवश्यक है, और क्या इसका दायरा उस हित की आवश्यकता तक ही सीमित है? यदि कोई नियोक्ता केवल एक स्क्रीनशॉट प्राप्त करता है और पूरी बातचीत की मांग करता है, या रिपोर्टिंग सहयोगी को डेटा एकत्र करना जारी रखने के लिए कहता है, तो वह डेटा प्राप्त करने की स्थिति से निगरानी की स्थिति में आ गया है और उसे पूर्ण परीक्षण को पूरा करना होगा।
कर्मचारी की स्थिति यहाँ उम्मीद से कहीं अधिक कमजोर है। किसी सहकर्मी को भेजा गया संदेश भेजने वाले के नियंत्रण से बाहर हो जाता है, और प्राप्तकर्ता आमतौर पर इसे आगे भेजने के लिए स्वतंत्र होता है। नियोक्ता द्वारा इसे गैरकानूनी रूप से प्राप्त करने का तर्क शायद ही कभी सफल होता है, खासकर तब जब प्रतिभागी ने इसे स्वेच्छा से सौंपा हो। फिर भी, संदर्भ और पूर्णता पर बहस की जा सकती है: एक लंबी बातचीत में से चार संदेशों का स्क्रीनशॉट एक अधूरा चित्र है, नियोक्ता यह जानता है, और जो नियोक्ता शेष जानकारी मांगे बिना या कर्मचारी की बात सुने बिना इस पर कार्रवाई करता है, उसने ठीक से जांच नहीं की है। ऐसे मामलों में, नियोक्ता के सामने ऐसी सामग्री आने पर, सुरक्षित तरीका यह है कि सूचना देने वाले व्यक्ति से पूरी बातचीत प्राप्त की जाए, यह रिकॉर्ड किया जाए कि इसे कैसे प्राप्त किया गया, और कोई भी निष्कर्ष निकालने से पहले कर्मचारी की बात सुनी जाए।
तीन ऐसी स्थितियाँ जो अक्सर गलत हो जाती हैं
पहला कारण है बीमारी के कारण अनुपस्थिति। यदि कोई नियोक्ता कर्मचारियों की बीमारी की पुष्टि करने के लिए उनके संदेशों को पढ़ता है या सोशल मीडिया की जाँच करता है, तो वह स्वास्थ्य संबंधी डेटा संसाधित कर रहा है, जिसे सबसे अधिक सुरक्षा प्राप्त है। नियोक्ता कर्मचारी से यह पूछ सकता है कि वह कब तक काम पर लौटने की उम्मीद करता है और क्या काम से संबंधित कारणों से उसकी अनुपस्थिति हुई; लेकिन वह बीमारी की प्रकृति के बारे में नहीं पूछ सकता और न ही उसे रिकॉर्ड कर सकता है। ये प्रश्न कंपनी के डॉक्टर द्वारा पूछे जाने चाहिए।
दूसरा कारण गुप्त रूप से की जा रही अतिरिक्त गतिविधियों का संदेह है। किसी सहायक नौकरी पर प्रतिबंध है या नहीं, यह अनुबंध और सहायक रोजगार संबंधी वैधानिक नियमों पर निर्भर करता है, और संदेशों को पढ़ना किसी व्यक्ति के निजी जीवन में उसकी गतिविधियों का पता लगाने का सबसे कम दखलंदाजी वाला तरीका नहीं है।
तीसरा कारण पुनर्गठन या पहले से ही बढ़ चुका विवाद है। एक बार विवाद शुरू हो जाने पर, यदि कोई नियोक्ता उसमें इस्तेमाल करने के लिए संचार सामग्री खोजना शुरू कर देता है, तो अदालत इसे किसी घटना की जांच करने के बजाय एक फाइल बनाने के रूप में देखेगी, और इस हस्तक्षेप को उसी के अनुरूप महत्व दिया जाएगा।
अगर आपके नियोक्ता ने आपके संदेश पढ़ लिए हैं तो क्या करें?
सोच-समझकर कार्रवाई करें और कुछ भी डिलीट न करें। विवाद उत्पन्न होने के बाद संदेशों को डिलीट करना छिपाने जैसा प्रतीत होता है, भले ही वह ऐसा न हो, और बाद की कानूनी कार्यवाही में इसका इस्तेमाल आपके खिलाफ किया जा सकता है।
सबसे पहले यह पता लगाएं कि क्या हुआ था। नियोक्ता से लिखित में पूछें कि संदेशों तक किस आधार पर पहुँचा गया, वास्तव में क्या पहुँचा गया, किसने पहुँचा, कब और किस उद्देश्य से पहुँचा, और उसके बाद उस सामग्री का क्या हुआ। डेटा विषय होने के नाते आपको यह जानकारी प्राप्त करने का अधिकार है, और सामान्य डेटा संरक्षण विनियमन के तहत पहुँच के अनुरोध पर नियोक्ता को एक महीने के भीतर उत्तर देना अनिवार्य है, जटिल अनुरोधों के लिए इसे दो महीने तक बढ़ाया जा सकता है। यह उत्तर ही आपके द्वारा आगे की जाने वाली किसी भी कार्रवाई का आधार होगा।
फिर रास्ता चुनें। नियोक्ता या डेटा सुरक्षा अधिकारी (यदि कोई हो) के समक्ष आंतरिक शिकायत दर्ज करना सबसे तेज़ तरीका है और अक्सर तब पर्याप्त होता है जब उल्लंघन नीति के बजाय गलत निर्णय के कारण हुआ हो। यदि समस्या आपकी व्यक्तिगत स्थिति के बजाय निगरानी व्यवस्था में ही निहित है, तो कर्मचारी परिषद सही निकाय है। डच डेटा सुरक्षा प्राधिकरण में शिकायत दर्ज करना निःशुल्क है और कोई भी डेटा विषय इसे दर्ज कर सकता है; प्राधिकरण स्वयं निर्णय लेता है कि जांच करनी है या नहीं, और यह मुआवज़ा प्राप्त करने का तरीका नहीं बल्कि एक पर्यवेक्षी मार्ग है।
यदि आप मुआवज़ा या निषेधाज्ञा चाहते हैं, तो दीवानी न्यायालय ही एकमात्र मंच है। सामान्य डेटा संरक्षण विनियमन उल्लंघन से होने वाली भौतिक और अभौतिक क्षति के लिए मुआवज़े का अधिकार देता है, और डच अदालतें अभौतिक क्षति के लिए सीमित मुआवज़ा प्रदान करती हैं: केवल मानसिक पीड़ा पर्याप्त नहीं है, और नुकसान को प्रमाणित करना आवश्यक है। रोज़गार के संदर्भ में, अधिक प्रभावी दावा अक्सर गोपनीयता का दावा नहीं होता है। यदि निगरानी को बर्खास्तगी का आधार बनाया जाता है, तो यह तर्क कि नियोक्ता ने गंभीर रूप से दोषी तरीके से कार्य किया है, अकेले डेटा संरक्षण दावे से कहीं अधिक महत्वपूर्ण हो सकता है। नीदरलैंड्स में कर्मचारी अधिकारों का हमारा अवलोकन व्यापक स्थिति को स्पष्ट करता है।
कर्मचारियों के लिए व्यावहारिक मार्गदर्शन
आपकी सुरक्षा करने वाली आदतें सामान्य और प्रभावी होती हैं। निजी बातचीत को अपने फोन पर ही रखें और कंपनी के हार्डवेयर और नेटवर्क से दूर रखें, क्योंकि इससे निजता की अपेक्षा स्पष्ट हो जाती है, न कि विवाद का विषय। कार्य समूह में लिखी गई किसी भी बात को पेशेवर रिकॉर्ड का हिस्सा मानें, क्योंकि वह है। जांचें कि कार्य संबंधी चैट का बैकअप आपके व्यक्तिगत क्लाउड खाते में सहेजा जा रहा है या नहीं, और क्या आपके फोन पर कार्य संबंधी एप्लिकेशन आपकी अपेक्षा से अधिक सिंक हो रहे हैं।
यदि आपसे कोई फ़ोन सौंपने या अनलॉक करने के लिए कहा जाए, तो पूछें कि किस आधार पर, वास्तव में क्या देखा जाएगा और कौन देखेगा। इसका उत्तर लिखित में लें। निजी डिवाइस को अनलॉक करने से इनकार करना आपका अधिकार है; कंपनी के डिवाइस के मामले में, जाँच का दायरा स्पष्ट करने और आपकी उपस्थिति में जाँच करने का अनुरोध करें। यदि आपसे अपने फ़ोन पर प्रबंधन सॉफ़्टवेयर स्थापित करने के लिए कहा जाए, तो पूछें कि यह क्या देख सकता है और आपके जाने के बाद क्या होता है।
नियोक्ताओं के लिए व्यावहारिक मार्गदर्शन
इसे सही ढंग से करने में कोई खर्च नहीं आता; गलत तरीके से करने में खर्च आता है। कार्य का क्रम निर्धारित है। सबसे पहले नीति लिखें, जिसमें यह बताया गया हो कि किसकी निगरानी की जाएगी, क्यों, किसके द्वारा और डेटा कितने समय तक रखा जाएगा। व्यवस्था को लागू करने से पहले कार्य परिषद की सहमति प्राप्त करें और उस सहमति को रिकॉर्ड करें। यदि निगरानी व्यवस्थित या व्यापक है, तो डेटा सुरक्षा प्रभाव मूल्यांकन करें।
जब कोई घटना घटित हो, तो तुरंत छानबीन करने की प्रवृत्ति का विरोध करें। प्रश्न को स्पष्ट करें, सभी विश्वसनीय स्रोतों का उपयोग करें, और यदि वास्तव में जानकारी की आवश्यकता हो, तो कुछ भी खोलने से पहले उसका दायरा लिखित रूप में निर्धारित करें: अवधि, माध्यम, प्रतिभागी, खोज शब्द, और परिणाम देखने के लिए अधिकृत व्यक्ति। कर्मचारी की बात सुनें। सामग्री को सुरक्षित रखें, उसका उपयोग केवल उसी उद्देश्य के लिए करें जिसके लिए उसे एकत्र किया गया था, और उद्देश्य पूरा होने पर उसे हटा दें।
दो गलतियाँ बार-बार सामने आती हैं। पहली गलती है किसी उपकरण के स्वामित्व को लाइसेंस मान लेना, जबकि ऐसा नहीं है। दूसरी गलती है औचित्य को बाद में संशोधित करना, वैध हित को केवल कर्मचारी की शिकायत के बाद ही लिखित रूप में दर्ज करना, जो कि बिल्कुल वैसा ही है जैसा है। एक नियोक्ता जो नीति, कर्मचारी परिषद की सहमति, लिखित कार्यक्षेत्र निर्धारण निर्णय और जाँच की गई जानकारी का रिकॉर्ड प्रस्तुत कर सकता है, वह मजबूत स्थिति में होता है, भले ही जाँच में कुछ भी न पाया जाए। डच डेटा गोपनीयता कानून पर हमारी मार्गदर्शिका संबंधित दायित्वों को विस्तार से बताती है।
ज़्यादातर पूछे जाने वाले सवाल
क्या मेरा नियोक्ता मेरे द्वारा पहले से डिलीट किए गए संदेशों को पढ़ सकता है?
आम तौर पर, नहीं। एक बार जब आप अपने डिवाइस से कोई संदेश ठीक से डिलीट कर देते हैं, तो आपका नियोक्ता किसी भी सामान्य माध्यम से उस तक नहीं पहुँच सकता। उनके नज़रिए से, वह डिजिटल निशान मिट जाता है।
हालाँकि, औपचारिक कानूनी जाँच के लिए एक महत्वपूर्ण अपवाद है। अदालती आदेश की दुर्लभ स्थिति में, फ़ोरेंसिक विशेषज्ञ हटाए गए डेटा को पुनर्प्राप्त कर सकते हैं। लेकिन यह एक चरम स्थिति है और इसका कार्यस्थल की मानक निगरानी से कोई लेना-देना नहीं है। साथ ही, याद रखें कि जब तक आपने "सभी के लिए हटाएँ" सुविधा का तुरंत उपयोग नहीं किया है, तब तक आपकी चैट में मौजूद दूसरे व्यक्ति के पास एक प्रति मौजूद रहेगी।
अगर मैं अपने ऑफिस के कंप्यूटर पर व्हाट्सएप वेब का इस्तेमाल करूं तो क्या होगा?
कंपनी के कंप्यूटर पर व्हाट्सएप वेब का इस्तेमाल करना निजता के लिए एक बड़ा जोखिम है। यह बहुत संभव है कि आपके नियोक्ता ने ऐसा सॉफ़्टवेयर इंस्टॉल किया हो जो स्क्रीन गतिविधि पर नज़र रख सकता है, कीस्ट्रोक्स लॉग कर सकता है, या नेटवर्क ट्रैफ़िक ट्रैक कर सकता है।
हालाँकि आपके संदेश इंटरनेट पर घूमते समय अभी भी एंड-टू-एंड एन्क्रिप्टेड होते हैं, मॉनिटरिंग सॉफ़्टवेयर उन्हें डिस्प्ले होते ही सीधे आपकी स्क्रीन से कैप्चर कर सकता है। यह डिजिटल रूप से वैसा ही है जैसे कोई आपके कंधे पर चढ़कर पढ़ रहा हो।
सबसे सुरक्षित तरीका यही है कि सभी निजी संचार अपने निजी फ़ोन पर ही रखें, कंपनी के स्वामित्व वाले हार्डवेयर और नेटवर्क से पूरी तरह दूर। इससे सबसे स्पष्ट सीमा बनती है और आपको सबसे मज़बूत कानूनी सुरक्षा मिलती है।
क्या यह बात सिग्नल या टेलीग्राम जैसे अन्य ऐप्स पर भी लागू होती है?
जी हाँ, बिलकुल। डच और यूरोपीय संघ के कानूनों, विशेष रूप से GDPR के तहत मिलने वाली मज़बूत गोपनीयता सुरक्षा, संचार की क्रिया से जुड़ी है , न कि आपके द्वारा उपयोग किए जाने वाले विशिष्ट ऐप से। आपकी निजता का मौलिक अधिकार और आपकी "निजता की उचित अपेक्षा" किसी भी मैसेजिंग सेवा पर होने वाली व्यक्तिगत बातचीत पर लागू होती है, चाहे वह Signal हो, Telegram हो या कोई अन्य प्लेटफ़ॉर्म।
किसी नियोक्ता को इन ऐप्स पर संदेशों की निगरानी के बारे में सोचने से पहले बिल्कुल उन्हीं सख्त कानूनी कसौटियों—आवश्यकता, आनुपातिकता और पारदर्शिता—को पूरा करना होगा। कानूनी सिद्धांत सार्वभौमिक हैं।
मेरे बॉस ने मेरा फोन देखने को कहा है। मेरे अधिकार क्या हैं?
आपको अपना निजी फ़ोन किसी को सौंपने या उसे अपने नियोक्ता के लिए अनलॉक करने की कोई बाध्यता नहीं है। बस इतना ही।
कार्यस्थल पर उपलब्ध कराए गए फ़ोन के लिए, आपकी कंपनी की आईटी नीति सबसे पहले ध्यान देने योग्य है। लेकिन कंपनी के डिवाइस के साथ भी, कोई नियोक्ता आपको बिना किसी वैध और गंभीर कारण के व्हाट्सएप जैसे निजी ऐप को खोलने के लिए मजबूर नहीं कर सकता—ऐसा कारण जो उन कठोर कानूनी मानकों को पूरा करता हो जिनकी हमने चर्चा की है।
अगर आप दबाव महसूस करते हैं, तो बेहतर होगा कि आप शांति से बता दें कि आप अपना निजी डेटा साझा करने में सहज नहीं हैं और उन्हें एचआर से बात करने का सुझाव दें। अगर दबाव जारी रहता है, तो अगला सबसे अच्छा कदम किसी कानूनी प्रतिनिधि से सलाह लेना है।
Law & More हम कार्यस्थल पर निगरानी के संबंध में कर्मचारियों और नियोक्ताओं को सलाह देते हैं, जिसमें संदेशों की जांच की वैधता का आकलन करने से लेकर ऐसी नीति तैयार करना शामिल है जो कर्मचारी परिषद और डच डेटा संरक्षण प्राधिकरण की जांच में खरी उतरे। यदि निगरानी के परिणामस्वरूप बर्खास्तगी हुई है, तो हम दोनों पहलुओं का एक साथ आकलन करते हैं। हमसे संपर्क करें। रोजगार वकीलों अपनी स्थिति पर चर्चा करने के लिए.
कैसे Law & More हम इस मामले में आपकी मदद कर सकते हैं, इसके बारे में हमारी वेबसाइट पर विस्तार से बताया गया है। रोजगार वकील इस पृष्ठ पर ज़ूम कई वीडियो ट्यूटोरियल और अन्य साहायक साधन प्रदान करता है।
