Undang-Undang Pemantauan Online

Tim Spyrix mengumpulkan undang-undang dan dokumen penting yang menjelaskan bagaimana perusahaan dapat secara legal memantau aktivitas online karyawan mereka. Mereka juga memberikan panduan tentang bagaimana alat pemantauan dapat digunakan untuk tujuan pribadi.

Aksi Internasional Global

GDPR (Peraturan Perlindungan Data Umum - Uni Eropa)

GDPR adalah peraturan perlindungan data inti Uni Eropa dan berlaku untuk setiap organisasi yang memproses data pribadi individu di Uni Eropa, terlepas dari tempat organisasi tersebut beroperasi. Pemantauan aktivitas daring, pemantauan karyawan, dan segala bentuk pelacakan digital termasuk dalam cakupannya selama melibatkan data pribadi.

Berdasarkan GDPR, pemantauan umumnya sah hanya jika terdapat dasar hukum yang valid, seperti kepentingan yang sah, pemenuhan kontrak, atau memperoleh persetujuan eksplisit. Sebelum menerapkan alat pemantauan, organisasi harus memastikan bahwa pemantauan tersebut diperlukan, proporsional, dan tidak mengganggu privasi individu secara berlebihan.

GDPR mewajibkan perusahaan untuk melakukan Penilaian Kepentingan Sah (Legitimate Interest Assessment/LIA) atau, jika pemantauan cenderung menimbulkan risiko yang lebih tinggi, Penilaian Dampak Perlindungan Data (Data Protection Impact Assessment/DPIA). Evaluasi ini membantu menentukan pembenaran untuk pemantauan dan mengidentifikasi cara untuk mengurangi risiko pengumpulan data.

Transparansi sangat penting. Individu harus diberi informasi yang jelas sebelumnya tentang jenis pemantauan, tujuan, data yang dikumpulkan, dasar hukum, siapa yang akan memiliki akses, dan berapa lama data akan disimpan. Pemantauan yang tidak diungkapkan atau terselubung umumnya dibatasi dan hanya diizinkan dalam keadaan yang sangat terbatas yang ditentukan oleh hukum nasional.

GDPR juga menekankan minimalisasi data, yang mengharuskan organisasi untuk hanya mengumpulkan data yang diperlukan untuk tujuan yang telah ditentukan. Pemantauan terus-menerus atau terlalu mengganggu tanpa justifikasi yang jelas dapat melanggar prinsip-prinsip GDPR.

Untuk alat pemantauan online, kewajiban GDPR yang paling relevan meliputi:

• Memberikan pemberitahuan yang jelas tentang pemantauan.

• Mengumpulkan hanya data yang diperlukan.

• Menggunakan langkah-langkah keamanan teknis dan organisasi yang tepat.

• Mengidentifikasi dan mendokumentasikan dasar hukum untuk pemrosesan.

• Memberikan kesempatan kepada individu untuk menggunakan hak-hak mereka (akses, penghapusan, keberatan, dll.)

Pedoman Privasi OECD (Organisasi untuk Kerja Sama Ekonomi dan Pembangunan)

Pedoman Privasi OECD menyediakan prinsip-prinsip yang diakui secara internasional untuk perlindungan data dan privasi. Meskipun tidak mengikat secara hukum, pedoman ini memengaruhi undang-undang privasi nasional di seluruh dunia dan berfungsi sebagai kerangka kerja untuk penanganan data yang bertanggung jawab.

Pedoman ini menekankan keadilan, transparansi, pembatasan tujuan, kualitas data, perlindungan keamanan, keterbukaan, dan akuntabilitas. Prinsip-prinsip ini mendorong organisasi untuk mengumpulkan data pribadi hanya untuk tujuan yang jelas dan sah serta untuk memastikan bahwa individu memahami bagaimana data mereka digunakan.

Untuk pemantauan daring dan karyawan, Pedoman OECD mendukung praktik yang transparan, proporsional, dan menghormati privasi. Meskipun tidak memuat aturan rinci khusus untuk pemantauan, pedoman ini mendorong tata kelola data yang bertanggung jawab dan menjadi dasar legislasi nasional yang mengatur pemantauan secara langsung.

Dalam praktiknya, pedoman tersebut mendorong organisasi untuk:

• Komunikasikan praktik pemantauan dengan jelas.

• Batasi pengumpulan data hanya pada hal-hal yang diperlukan.

• Lindungi data yang dipantau dari akses tidak sah.

• Tinjau praktik pemantauan secara berkala untuk memastikan keadilan dan kebutuhannya.

Meskipun tidak dapat ditegakkan secara hukum seperti GDPR, Pedoman Privasi OECD membantu membentuk standar global dan praktik terbaik untuk pemantauan yang sah dan etis.

Amerika Serikat

Kanada

PIPEDA (Undang-Undang Perlindungan Informasi Pribadi dan Dokumen Elektronik)

• Berlaku untuk organisasi sektor swasta di seluruh Kanada (kecuali jika undang-undang provinsi menggantikannya).

• Mencakup setiap pengumpulan, penggunaan, atau pengungkapan informasi pribadi, termasuk pemantauan daring dan karyawan.

• Mengharuskan organisasi untuk mengidentifikasi tujuan yang jelas untuk pemantauan dan memperoleh persetujuan yang bermakna jika diperlukan.

• Pemantauan harus wajar, terbatas pada hal-hal yang diperlukan, dan dilakukan secara transparan.

• Karyawan harus diberi tahu tentang apa yang dipantau, mengapa hal itu dipantau, dan bagaimana informasi tersebut akan digunakan.

• Informasi pribadi harus dilindungi dengan pengamanan yang sesuai.

Undang-Undang Privasi Provinsi (Alberta PIPA, British Columbia PIPA, Hukum Quebec 25)

• Ajukan lamaran ke organisasi sektor swasta di provinsi masing-masing.

• Secara umum mencerminkan prinsip-prinsip PIPEDA tetapi mungkin memiliki aturan yang lebih ketat terkait persetujuan, penyimpanan, dan privasi karyawan.

• Pemantauan harus wajar untuk tujuan bisnis dan selaras dengan kebijakan yang jelas dan dikomunikasikan.

• Pihak pemberi kerja wajib memberitahukan karyawan sebelum mengumpulkan informasi pribadi melalui alat pemantauan.

• Beberapa provinsi mewajibkan kebijakan yang menjelaskan jenis data yang dikumpulkan, berapa lama data tersebut disimpan, dan siapa yang memiliki akses.

• Organisasi wajib memberikan akses kepada karyawan untuk mengakses informasi pribadi mereka jika diminta.

Britania Raya

GDPR Inggris

• Berlaku untuk pemrosesan data pribadi di Inggris Raya, termasuk pemantauan aktivitas karyawan dan daring.

• Requires a clear lawful basis for monitoring (often "legitimate interests" or contract).

• Pemantauan harus diperlukan, proporsional, dan tidak terlalu mengganggu.

• Pihak pemberi kerja harus melakukan penilaian risiko atau DPIA untuk pemantauan risiko yang lebih tinggi (misalnya, pelacakan berkelanjutan, perekaman penekanan tombol).

• Fokus kuat pada transparansi: staf harus mengetahui apa yang dipantau, mengapa, dan bagaimana data akan digunakan dan disimpan.

Undang-Undang Perlindungan Data 2018

• Melengkapi GDPR Inggris dan memberikan aturan serta pengecualian tambahan.

• Menetapkan ketentuan khusus mengenai konteks pekerjaan dan akses penegakan hukum.

• Memperkuat prinsip-prinsip minimalisasi data, pembatasan tujuan, dan keamanan untuk pemantauan data.

• Memberikan hak kepada individu untuk mengakses data pribadi mereka dan, dalam beberapa kasus, untuk menolak jenis pemantauan tertentu.

RIPA (Undang-Undang Pengaturan Kekuasaan Investigasi)

• Mengatur penyadapan komunikasi dan penggunaan pengawasan serta pemantauan rahasia.

• Secara umum membatasi penyadapan komunikasi tanpa persetujuan atau wewenang yang sah.

• Pemantauan terselubung terhadap karyawan (tanpa sepengetahuan mereka) hanya diperbolehkan dalam keadaan yang sangat terbatas, seperti investigasi pelanggaran serius dan bila proporsional.

Kode Praktik Ketenagakerjaan ICO (dan panduan terkait)

• Pedoman tidak mengikat dari Kantor Komisioner Informasi Inggris tentang pemantauan di tempat kerja.

• Menekankan bahwa pemantauan harus terarah, bukan berlebihan, dan dibenarkan oleh kebutuhan bisnis yang jelas.

• Merekomendasikan pelaksanaan penilaian dampak sebelum memperkenalkan alat pemantauan baru.

• Menyarankan para pemberi kerja untuk membuat kebijakan tertulis yang jelas yang menjelaskan apa yang dipantau, bagaimana caranya, dan untuk tujuan apa.

• Menekankan konsultasi, transparansi, dan penghormatan terhadap harapan wajar pekerja akan privasi.

Australia & Selandia Baru

Undang-Undang Privasi 1988 (Australia)

Undang-Undang Privasi 1988 menetapkan kerangka kerja menyeluruh tentang bagaimana organisasi di Australia menangani informasi pribadi, termasuk data yang dikumpulkan melalui pemantauan daring dan karyawan. Undang-undang ini mewajibkan organisasi untuk hanya mengumpulkan informasi yang secara wajar diperlukan, untuk bersikap transparan tentang bagaimana informasi tersebut digunakan, dan untuk menjaganya tetap aman. Meskipun Undang-Undang ini tidak memuat aturan pengawasan tempat kerja yang terperinci, setiap pemantauan yang mengidentifikasi individu umumnya akan tunduk pada Prinsip Privasi Australia, terutama mengenai pemberitahuan, pembatasan tujuan, dan hak akses. Dalam praktiknya, ini berarti pemberi kerja dan penyedia layanan yang menggunakan alat pemantauan harus mendefinisikan tujuan bisnis yang jelas, menghindari pelacakan yang berlebihan, dan menjelaskan praktik mereka dalam kebijakan privasi dan dokumentasi internal.

Undang-Undang Pengawasan Tempat Kerja (tingkat negara bagian, Australia)

Beberapa negara bagian dan wilayah di Australia mengatur pemantauan secara lebih langsung melalui undang-undang pengawasan tempat kerja, seperti Undang-Undang Pengawasan Tempat Kerja 2005 (NSW) dan Undang-Undang Privasi Tempat Kerja 2011 (ACT). Undang-undang ini biasanya mengatur kapan dan bagaimana pemberi kerja dapat menggunakan kamera, komputer, dan pelacakan pengawasan, seringkali mensyaratkan pemberitahuan tertulis sebelumnya, papan tanda yang terlihat, dan kebijakan yang jelas sebelum pemantauan dimulai. Pengawasan tersembunyi sangat dibatasi dan biasanya hanya diizinkan dengan wewenang khusus dan untuk investigasi pelanggaran serius atau aktivitas ilegal, bukan untuk pelacakan kinerja rutin. Untuk alat pemantauan daring, ini berarti pemberi kerja di negara bagian yang terkena dampak harus memberikan pemberitahuan yang jelas dan tepat waktu kepada karyawan bahwa penggunaan komputer, internet, atau email mereka dapat dipantau, dan memastikan bahwa setiap pemantauan sesuai dengan ketentuan undang-undang.

Undang-Undang Privasi 2020 (Selandia Baru)

Undang-Undang Privasi Selandia Baru 2020 memodernisasi kerangka kerja privasi negara tersebut dan berlaku untuk data pelanggan dan karyawan, termasuk informasi yang dikumpulkan melalui pemantauan di tempat kerja atau daring. Undang-undang ini mewajibkan organisasi untuk mengumpulkan informasi hanya untuk tujuan yang sah dan diperlukan, untuk bersikap terbuka tentang praktik mereka, dan untuk memberi individu akses ke informasi pribadi mereka. Panduan dari regulator menekankan bahwa pemantauan, perekaman, atau pengambilan gambar karyawan harus proporsional dan harus didukung oleh kebijakan tempat kerja yang jelas yang dikembangkan sesuai dengan Undang-Undang Privasi dan hukum ketenagakerjaan. Pemberi kerja didorong untuk berkonsultasi dengan staf, menjelaskan mengapa pemantauan diperlukan, dan mempertimbangkan dampaknya terhadap kepercayaan dan moral, terutama ketika menggunakan alat yang memungkinkan pelacakan berkelanjutan atau terperinci.

Kawasan Asia-Pasifik

PDPA (Undang-Undang Perlindungan Data Pribadi) – Singapura

• Mencakup data pribadi yang ditangani oleh organisasi, termasuk data karyawan dan data pemantauan.

• Membutuhkan tujuan pemantauan yang jelas dan sah.

• Persetujuan atau dasar hukum sah lainnya umumnya diperlukan.

• Fokus yang kuat pada transparansi, pemberitahuan yang tepat, dan perlindungan data.

• Penyimpanan data harus dibatasi hanya pada hal-hal yang diperlukan.

PDPA – Malaysia

• Berlaku untuk data pribadi yang diproses dalam konteks komersial dan ketenagakerjaan.

• Persetujuan adalah persyaratan utama untuk mengumpulkan data pemantauan.

• Data harus diproses secara adil dan untuk tujuan tertentu yang telah dinyatakan.

• Mencakup aturan tentang batasan penyimpanan data, keamanan data, dan pengolah data pihak ketiga.

APPI (Undang-Undang Perlindungan Informasi Pribadi) – Jepang

• Mengatur penanganan data pribadi pelanggan dan karyawan.

• Mengharuskan organisasi untuk mendefinisikan dan mengkomunikasikan tujuan pemantauan.

• Menekankan keamanan data dan pengawasan yang tepat terhadap staf yang menangani informasi pribadi.

• Pemantauan harus proporsional dan selaras dengan kebijakan internal.

• Karyawan mungkin memiliki hak akses dan koreksi tergantung pada konteksnya.

PIPL (Hukum Perlindungan Informasi Pribadi) – Tiongkok

• Undang-undang perlindungan data komprehensif yang mencakup data tempat kerja dan konsumen.

• Membutuhkan tujuan yang jelas, minimalisasi data, dan transparansi untuk pemantauan.

• Persetujuan mungkin diperlukan, terutama ketika pemantauan melibatkan data sensitif atau terperinci.

• Menetapkan persyaratan ketat terkait penyimpanan, keamanan, dan dokumentasi pemrosesan.

• Memberikan hak kepada individu untuk mengakses, memperbaiki, dan meminta penghapusan data yang dipantau.

Amerika Latin

LGPD (Lei Geral de Proteção de Dados) – Brasil

Undang-Undang Perlindungan Data Pribadi (LGPD) Brasil mengatur setiap penggunaan data pribadi, termasuk informasi yang dikumpulkan melalui pemantauan daring atau di tempat kerja. Organisasi memerlukan dasar hukum yang jelas untuk pemantauan dan harus menjelaskan tujuannya. Pemantauan harus dibatasi pada hal-hal yang diperlukan, dilakukan secara transparan, dan didukung oleh langkah-langkah keamanan yang memadai. Individu memiliki hak untuk mengakses, memperbaiki, dan meminta penghapusan data pribadi mereka.

Hukum Privasi Nasional di Argentina, Meksiko, dan Chili

Negara-negara ini memiliki undang-undang perlindungan data nasional yang berlaku untuk data pribadi yang dikumpulkan melalui alat pemantauan. Persyaratan umum meliputi tujuan yang sah, memberi tahu individu tentang pemantauan, dan menjaga keamanan data. Pemantauan harus wajar dan proporsional, dan individu umumnya memiliki hak untuk mengakses atau memperbarui informasi mereka. Meskipun aturan spesifik berbeda, transparansi dan kebutuhan merupakan harapan yang konsisten di seluruh wilayah.

Kawasan Timur Tengah

Hukum Perlindungan Data UEA (DPL / PDPL)

Undang-undang perlindungan data federal UEA berlaku untuk organisasi yang memproses data pribadi tentang individu di UEA, termasuk karyawan. Untuk pemantauan, undang-undang ini mensyaratkan tujuan yang jelas dan sah, membatasi pengumpulan data hanya pada yang diperlukan, dan sangat menekankan transparansi dan keamanan. Organisasi harus memberi tahu staf tentang pemantauan apa pun, mendokumentasikan alasan pemantauan tersebut, dan menerapkan kebijakan internal serta perlindungan untuk menangani data yang dipantau.

Hukum Perlindungan Privasi Data Qatar

Undang-undang privasi data pribadi Qatar mencakup data pribadi yang diproses secara elektronik atau yang ditujukan untuk pemrosesan elektronik. Undang-undang ini mengakui hak individu atas privasi data dan umumnya mensyaratkan persetujuan atau dasar hukum yang sah lainnya sebelum memproses data pribadi, termasuk data yang dikumpulkan melalui sistem pemantauan. Organisasi harus menerapkan langkah-langkah keamanan yang tepat, bersikap transparan tentang bagaimana data pribadi digunakan, dan menghormati hak individu untuk mengakses dan memperbaiki informasi mereka.

Hukum Perlindungan Data Pribadi Saudi (PDPL)

Undang-Undang Perlindungan Data Pribadi (PDPL) Arab Saudi berlaku untuk pemrosesan data pribadi tentang individu di Kerajaan, oleh organisasi di dalam atau di luar negeri. Untuk pemantauan, undang-undang ini mengharuskan organisasi untuk menetapkan tujuan yang jelas, mengadopsi kebijakan privasi tertulis, dan memberi tahu individu tentang bagaimana data mereka akan dikumpulkan dan digunakan. Persetujuan merupakan dasar penting untuk pemrosesan dalam banyak kasus, meskipun undang-undang ini juga mengizinkan pemrosesan untuk alasan bisnis, hukum, dan kepentingan publik tertentu. Pemberi kerja yang menggunakan alat pemantauan diharapkan untuk melindungi data yang dipantau, membatasi akses, dan menangani informasi karyawan sesuai dengan aturan transparansi, keamanan, dan penyimpanan PDPL.