Bevis på arbeid, ikke overvåking

I Brussel skrives reglene for hvordan arbeidstakere kan følges med på akkurat nå, mellom direktivet om plattformarbeid, algoritmisk styring og AI-forordningen anvendt på arbeidslivet. I mellomtiden må de som sender lag ut i felten allerede registrere timene, bevise dem når noen bestrider dem, og gjøre det uten å trå over personvernet til folk. Det er en vanskelig balanse, og på denne balansen hviler mye av tilliten mellom dem som organiserer arbeidet og dem som utfører det.

GeoTapp er født inne i dette problemet, ikke ved siden av det. Derfor, i stedet for å love, skriver vi ned hva verktøyet gjør og ikke gjør, med rettskildene åpent fram og grensene sagt rett ut. Det som følger kan leses, etterprøves og siteres. Den som finner et svakt punkt oppfordres til å si fra: et samsvarsdossier er verdt det som holder, ikke det som høres bra ut.

Prinsippet er ett eneste: registrere hendelsen, ikke følge personen.

GeoTapp henter posisjonen kun i selve stemplingsøyeblikket, ved inngang og utgang, og ikke gjennom dagen. Mellom ett stempel og det neste finnes ingen sporing: ingen sporlinje av bevegelser, ingen posisjon samlet inn i det skjulte, ingen digital skygging. Bildet som følger stemplingen kan kun tas med direktekameraet, det går ikke an å laste opp et bilde fra galleriet. Dataene som samles inn er redusert til det minst mulige nødvendige ved et bevisst valg i utformingen, ikke som en ettertanke.

Det GeoTapp ikke gjør er like viktig. Det følger ikke arbeidstakeren utenfor arbeidstid, profilerer ikke atferd, måler ikke fagforeningsaktivitet, leser ikke følelsestilstander, bygger ikke poengsummer på folk. Det er nettopp det området Europaparlamentet har pekt ut som noe som bør forbys, og GeoTapp står allerede utenfor det.

Dataminimering (art. 5 nr. 1 bokstav c i personvernforordningen): posisjonen hentes kun ved stempling, ikke kontinuerlig.

Formålsbegrensning (art. 5 nr. 1 bokstav b): formålet er bevis på utført arbeid, ikke fjernkontroll av personen.

Behandlingsgrunnlag (art. 6): oppfyllelse av arbeidsforholdet og en dokumentert berettiget interesse, sammen med informasjonen til den ansatte.

Åpenhet (art. 12 til 14): arbeidstakeren får tydelig informasjon. GeoTapp stiller til rådighet en mal for GPS-informasjon, gratis og nedlastbar.

Innebygd vern (art. 25): den minimale innsamlingen er verktøyets standardatferd, ikke et valg som må slås på.

I Norge er behandling av personopplysninger i arbeidslivet regulert av personvernforordningen (GDPR), med Datatilsynet som tilsynsmyndighet, og av arbeidsmiljøloven med tilhørende forskrift om kameraovervåking og innsyn i opplysninger. Bruk av et verktøy som kan gi opplysninger om arbeidstakeres bevegelser krever at tiltaket er forholdsmessig, at det har et saklig formål, og at arbeidstakeren får forhåndsinformasjon. Drøfting med tillitsvalgte hører med der virksomheten har det.

GeoTapp plasserer seg innenfor denne rammen som et verktøy som letter samsvar, ikke som en snarvei som omgår det. Behandlingsansvarlig er fortsatt arbeidsgiveren, med sine plikter: GeoTapp leverer et verktøy utformet for å holde seg innenfor reglene, og ressursene for å anvende dem. For andre europeiske land samler EU-kartet over GPS og arbeidstakere trettini nasjonale faktaark, etterprøvd for hånd, med plikter, ansvarlig myndighet og sanksjoner i hvert land.

Når GeoTapp sier «bevis på arbeid», menes noe som holder mot en innsigelse, og for å holde må det være vanskelig å forfalske og umulig å endre i ettertid. Forsvaret er lagdelt.

Bildeopptaket er låst til direktekameraet: verdien som identifiserer denne modusen er fastsatt i klientene og, framfor alt, etterprøves av databasens regler i skriveøyeblikket, som avviser et stempel med en annen modus. For hvert bilde beregner klienten et kryptografisk fingeravtrykk med SHA-256, en nødvendig betingelse for å gå videre.

Arbeidsøktene er uforanderlige når de først er opprettet: starttidspunktet, posisjonen registrert ved stemplingen og brukerens identitet kan ikke endres av den ansatte, og sletting er forbeholdt administratorene. Økter med posisjon oppstår kun gjennom en funksjon på serversiden med administrative rettigheter, ikke ved direkte skriving fra appen, slik at operatøren ikke kan tilbakedatere et stempel, flytte posisjonen eller få det til å forsvinne.

Oppdagelsen av falsk GPS virker allerede før stemplingen starter. På Android-enheter er kontrollen lagdelt, med en liste over kjente spoofing-apper, sjekk av tillatelser for fiktiv posisjon og av tegn på rooting: slår den til, blir stemplingen blokkert, ikke bare markert. På iOS brukes operativsystemets eget signal som angir en programvaresimulert posisjon. I tillegg fanges «teleportering» opp, altså en forflytning i en fysisk umulig hastighet mellom to stempler.

Hver stempling etterlater til slutt et spor i en revisjonslogg på serversiden, med tidspunktet generert av serveren og ikke av enheten, og ingen klient kan skrive i den loggen, ikke engang en administrator.

Dette er den delen mange ville utelatt, og det er nettopp den som gjør resten troverdig. GeoTapp gjør spoofing vanskelig og bevitner konteksten rundt stemplingen, men lover ikke det umulige, og å si det er en form for respekt overfor den som leser.

Serveren etterprøver ikke koordinatene kryptografisk på nytt: den kontrollerer at de er plausible og innenfor en eventuell geofence, men stoler på posisjonen enheten oppgir. Enhetsattesteringen bekrefter at appen kommer fra de offisielle kanalene, men beskytter ikke mot en klient som er endret og analysert av noen med de rette ferdighetene. Modusen «kun direktekamera» er en ærlig erklæring fra enheten, ikke et kryptografisk bevis serveren kan gjenta på selve bildet. Kontrollene er mer fullstendige på telefonen enn på klokken. Og framfor alt fritar verktøyet ikke virksomheten fra rollen som behandlingsansvarlig: plikten til informasjon, til drøfting der det trengs, til forholdsmessighet er fortsatt dens.

Sagt på en annen måte: GeoTapp hever lista og dokumenterer hendelsen, det selger ikke usårbarhet. De som lover usårbarhet har som regel aldri måttet bevise den i en rettssal.

Alt som trengs for å anvende disse prinsippene er offentlig og gratis: EU-kartet over GPS og arbeidstakere med faktaark for de trettini landene, malen for GPS-informasjon, kalkulatoren for sanksjoner, overvåkingsindeksen. Etterprøvd ved kilden, fritt å bruke og sitere med angivelse av hvor det kommer fra. De er der fordi det å bringe arbeidet i samsvar med reglene ikke burde være et privilegium for dem som har råd til en juridisk avdeling.

De tekniske påstandene i dette dokumentet er utarbeidet og signert av Michele Angelo Petraroli, grunnlegger av GeoTapp, som tar ansvaret for dem og stiller seg til rådighet for etterprøving og motforestillinger. Godkjenningen fra en arbeidsrettsadvokat og et personvernombud vil bli lagt til i neste versjon av dokumentet.