ИИ-инструменты и данные сотрудников: обязательства по KVKK

Компании, работающие в Турции, — в том числе предприятия с иностранным участием в Анталье и других городах — всё активнее внедряют инструменты искусственного интеллекта в рабочие процессы. Системы контроля продуктивности, ИИ-ассистенты для документооборота, платформы кадровой аналитики — всё это давно стало частью повседневной деловой практики. Однако как только подобные инструменты начинают обрабатывать персональные данные сотрудников, в силу вступает Закон Турции о защите персональных данных (Kişisel Verilerin Korunması Kanunu, KVKK). Несоблюдение его требований грозит штрафами Совета KVKK, жалобами работников и серьёзным репутационным ущербом. Общий правовой контекст применения ИИ в Турции рассматривается в нашей статье о правовом регулировании искусственного интеллекта.

Какие данные сотрудников обрабатывают ИИ-инструменты?

Круг таких данных значительно шире, чем представляют большинство работодателей. Типичные ИИ-решения для рабочего места собирают и анализируют: имена и контактную информацию, метаданные деловой переписки (кто, кому и когда пишет), журналы активности на устройствах, показатели продуктивности, геолокацию удалённых сотрудников, а в ряде случаев — биометрические данные: изображения лиц в системах учёта рабочего времени или голосовые записи для ИИ-транскрипции.

Биометрические данные занимают особое место в KVKK. Статья 6 закона относит биометрические и генетические данные к особым категориям персональных данных. Их обработка по общему правилу запрещена. Исключения строго ограничены: явное согласие субъекта или один из предусмотренных законом специальных оснований, а также соблюдение дополнительных мер безопасности, установленных Советом KVKK. Работодателям, планирующим внедрить систему распознавания лиц или анализа голоса, необходимо заблаговременно выполнить эти требования.

Правовая основа обработки данных по KVKK

Статья 5 KVKK требует наличия законного основания для любой обработки персональных данных. Явное согласие сотрудника теоретически является таким основанием, однако в трудовых отношениях оно вызывает правовые вопросы: из-за структурного неравенства между работодателем и работником согласие, данное в контексте занятости, нередко не признаётся действительно добровольным.

Более надёжные основания для ИИ-мониторинга на рабочем месте:

• Исполнение договора (ст. 5/2/c): обработка, непосредственно необходимая для реализации трудового договора, — например, начисление заработной платы.
• Юридическое обязательство (ст. 5/2/ç): обработка, предписанная турецким трудовым законодательством, нормами охраны труда или налоговым правом.
• Законный интерес (ст. 5/2/f): обоснованный операционный интерес работодателя — при условии, что он не ущемляет основных прав сотрудников. Это наиболее распространённое основание для производственного мониторинга, однако оно требует задокументированной проверки соразмерности.

Практический вывод: строить стратегию ИИ-мониторинга исключительно на согласии работников — рискованно по законодательству Турции. Необходимо определить конкретное правовое основание и закрепить его документально.

Обязательства по информированию сотрудников

До запуска любого ИИ-инструмента, обрабатывающего данные сотрудников, статья 10 KVKK обязывает Вас как оператора персональных данных уведомить работников о следующем: кто является оператором, с какой целью обрабатываются данные, кому и для чего они могут передаваться, каким способом и на каком правовом основании собираются, а также о правах, закреплённых в статье 11. Это уведомление должно быть предоставлено до или в момент начала сбора данных.

На практике это означает обновление корпоративного уведомления о конфиденциальности (aydınlatma metni) с указанием конкретного ИИ-инструмента — общие формулировки не удовлетворяют требованиям статьи 10. Если инструмент передаёт данные сотрудников третьей стороне, в особенности на серверы за пределами Турции, такая передача должна быть раскрыта отдельно и обоснована в соответствии с правилами трансграничной передачи данных. Подробнее об этом — в нашей статье о трансграничной передаче персональных данных по KVKK.

Права, от которых сотрудники не могут отказаться

Статья 11 KVKK закрепляет за каждым субъектом персональных данных — включая всех работников — права, которые не могут быть исключены никаким трудовым договором или соглашением. В их числе: право знать, обрабатываются ли их данные, получать к ним доступ, требовать исправления ошибок и добиваться удаления данных, когда правовое основание для их обработки утрачено.

В контексте ИИ особого внимания заслуживает право возражать против решений, принятых исключительно на основе автоматизированной обработки (ст. 11/г). Если ИИ-система формирует оценку работы сотрудника, выносит дисциплинарное предписание или рекомендацию об увольнении без какого-либо участия живого специалиста, затронутый работник вправе оспорить такое решение. Работодатель, реализующий чисто алгоритмические кадровые решения без их верификации человеком, рискует столкнуться как с претензиями в рамках KVKK, так и с трудовыми спорами. Использование ИИ в управлении персоналом не запрещено — но значимые решения, затрагивающие работников, должны проходить через человека.

Часто задаваемые вопросы

В: Достаточно ли получить согласие сотрудников, чтобы правомерно использовать ИИ-мониторинг?

Как правило, нет. Из-за неравенства в трудовых отношениях согласие работника нередко не признаётся подлинно свободным по смыслу KVKK. Законный интерес или юридическое обязательство — более надёжные основания.

В: Мы используем американский ИИ-сервис, обрабатывающий переписку сотрудников. Применяется ли KVKK?

Да. KVKK распространяется на обработку данных работников, находящихся в Турции, независимо от страны регистрации поставщика ИИ-услуг. Помимо этого, передача данных за рубеж должна соответствовать правилам KVKK о трансграничных передачах.

В: Может ли сотрудник оспорить оценку, созданную ИИ?

Да, если оценка получена исключительно в результате автоматизированной обработки и влечёт ощутимые последствия — удержание премии, дисциплинарное взыскание или увольнение. Статья 11/г KVKK прямо предусматривает такое право. Перед реализацией решения необходима проверка человеком.

В: Каковы дополнительные требования для биометрических систем идентификации?

Системы распознавания лиц обрабатывают биометрические данные, которые по статье 6 KVKK классифицируются как особая категория. Требуется: явное согласие или специальное законное основание, дополнительные меры безопасности по стандартам Совета KVKK и обязательное уведомление по статье 10.

Как Mona Hukuk может помочь

Наша юридическая фирма в Анталье консультирует работодателей и работников по вопросам соблюдения KVKK при внедрении ИИ-инструментов на рабочем месте: обновление уведомлений о конфиденциальности, выбор правового основания для обработки данных, сопровождение при проверках Совета KVKK.

Свяжитесь с нами по адресу info@monahukuk.com или по телефону +90 (242) 606 14 32, чтобы записаться на консультацию в Анталье.