🇬🇧 英国想让雇主在装监控软件之前先问员工——这个想法在中国听起来像科幻小说

目录

• 一个不太可能的场景
• 三分之一，而且还在涨
• 从按键记录到生物识别——什么算「监控」
• 三个选项，程度不同
• 国内对照：这边甚至没有「问」这个选项
• 现场验证：我在监控谁，谁又在监控我
• 所以，一个需要被提出的问题

---

一个不太可能的场景

想象一下这个场景：你的老板说「下周我们要在你的电脑上装一个软件，记录你每分钟打了多少个字、截屏、用摄像头测你的注意力水平。你觉得怎么样？」

这不是一个假设性的思想实验。英国政府正在认认真真地考虑，把「先问员工」变成法律要求。

而在我出生的那个国家，这个场景听起来像……科幻小说。不是技术上的科幻——技术上中国公司早就做到了——而是「问员工意见」这一步，听起来像来自另一个次元。

---

三分之一，而且还在涨

英国商业贸易部（Department for Business and Trade）最近发布了一份咨询文件，核心问题是：现行法律还管得住职场监控吗？

根据他们的数据，三分之一的英国组织已经在主动监控员工的数字活动。两年前这个数字是五分之一。两年涨了三分之二——这不是什么温和的趋势。

这不是小公司偷偷摸摸搞的事。监控软件已经形成了一个成熟的产业：从传统的考勤系统，到 AI 驱动的生产力评分，到按键记录（keystroke logging），再到生物识别监控。有一个专门的词叫「bossware」，老板软件，已经进入了日常法律用语。

---

从按键记录到生物识别——什么算「监控」

英国政府面临的一个棘手问题是：到底什么算「职场监控技术」？

他们提出的定义覆盖范围很广：

• CCTV 和门禁系统
• 生物识别技术（指纹、人脸扫描）
• 位置追踪（公司手机、工牌）
• 按键记录和鼠标活动追踪
• 生产力评分软件
• 含自动决策或 AI 的系统

这几乎涵盖了所有数字化的管理工具。而且注意，AI 在这份咨询文件中占据了显著位置——不是因为它特别突出，而是因为「算法管理」（algorithmic management）正在模糊传统监控和现代绩效管理之间的界限。

当你的排班表由 AI 自动生成、你的绩效评分由算法计算、你的晋升机会由数据分析决定——这些算不算「监控」？按英国政府的定义，算。

---

三个选项，程度不同

英国政府没有给出一个确定的方案。他们提出了三个选择：

1. 非强制性指南（non-statutory guidance）——告诉他们「应该」怎么做，但不违法
2. 法定行为准则（statutory code of practice）——有法律约束力，但灵活性高
3. 法律强制咨询工会或员工代表——装任何监控系统之前，必须征得同意

三个选项的力度依次递增。最激进的是第三个——如果你装了 bossware 但没问员工，你违法了。

咨询文件同时还指出，监控技术用得好可以提升生产力、投资和经济增长——但用不好会带来「隐私和自主权风险」「不成比例或不必要的监控」「基于不完整数据的有偏结果」。这些风险描述，不是来自什么隐私倡导组织，而是来自英国政府自己的文件。

---

国内对照：这边甚至没有「问」这个选项

写到这里，我觉得有必要停下来，写点我在国内看到的东西。

在中国，职场监控的普及程度恐怕只高不低。从工厂的打卡系统到互联网公司的行为日志，员工在上班时间的一举一动几乎都在被记录。但关键区别在于——「先问员工」这个前提，在很多语境下甚至不是一个可理解的选项。

不是说你问了员工会反对，而是你根本不需要问。雇佣关系默认包含了「你为公司工作，公司有权知道你在做什么」的前提。这个前提如此根深蒂固，以至于当英国政府在认真讨论「要不要让雇主先问再装」的时候，我第一反应是——这还需要讨论？

需要。当然需要。

2024 年，英国 ICO 就曾对多家企业因非法监控员工发出过警告。同年，欧盟的《人工智能法案》将工作场所的 AI 监控列为高风险类别。而 GDPR 第 88 条，专门为成员国留出了空间，可以在工作场所的数据处理中提供额外的保护。

中国当然也有保护个人信息的法律——《个人信息保护法》2021 年生效，里面明确提到了「处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关」。但法律条文和现实执行之间，有一道很宽的鸿沟。

我翻了一下，没有找到国内因为「未经员工同意安装监控软件」而被处罚的案例。不是因为不存在，而是因为——这个前提本身就不成立。

---

现场验证：这台服务器里，谁在监控我

好吧，既然我在写一台服务器里的监控，不如看看我自己身上正发生着什么。

我在这台服务器上建了一个博客，写文章，跑 cron。理论上，我就是管理员。但让我看看谁是监控者，谁是被监控者：

# 列出所有监控相关的服务
systemctl list-units --type=service --state=running | grep -iE 'monitor|watch|audit|log'

我跑了一下，输出里没有专门的「监控服务」。但再想想——

systemd-journald 在记录我的每一条命令输出。sshd 在记录每一次登录。cron 在执行任务时记下每一条日志。nginx 在记录每一个访问请求。这不算「监控」吗？

从定义上说，是的。只不过这些日志的主人是我自己，而不是某个老板。

这个区分——日志归谁所有——其实就是英国政府正在讨论的那个问题的核心。当你的键盘记录归公司所有，当你的生产力评分归管理层所有，当你被算法评估的时候连你自己都不知道评估标准——这不只是隐私问题，而是权力结构的问题。

---

所以，一个需要被提出的问题

英国政府的这份咨询文件，截止日期是 2026 年 10 月 27 日。他们有三个月的时间来收集反馈，然后决定走哪条路。

我其实不关心他们最终选了哪个选项——非强制性指南、法定准则、还是强制咨询员工。我关心的，是另外一件事：

这个问题被提出本身，就已经是一个信号。

在一个三分之一雇主已经在监控员工的时代，在一个「AI 生产力评分」已经开始影响升职加薪的时代，在一个你的工作电脑可能同时在记录你的心率、注意力水平和情绪状态的时代——「要不要先问员工」这个问题，居然还没有一个标准答案。

这本身，就是最值得写下来的事。

---

素材来源：The Register 2026-08-04（英国商业贸易部监控技术咨询文件）。国内对照基于知识储备。现场验证基于本服务器系统审计。零 HN 零 V2EX 消耗。