Leis de monitoramento online

A equipe da Spyrix reúne as principais leis e documentos que descrevem como os empregadores podem monitorar legalmente as atividades online de seus funcionários. Também fornece diretrizes sobre como as ferramentas de monitoramento podem ser usadas para fins pessoais.

Atos Internacionais Globais

RGPD (Regulamento Geral de Proteção de Dados - União Europeia)

O RGPD é o principal regulamento de proteção de dados da União Europeia e aplica-se a qualquer organização que processe dados pessoais de indivíduos na UE, independentemente do local onde a organização opere. O monitoramento de atividades online, o monitoramento de funcionários e qualquer forma de rastreamento digital estão abrangidos pelo seu âmbito de aplicação sempre que envolvam dados pessoais.

De acordo com o RGPD, a monitorização é geralmente lícita apenas quando existe uma base jurídica válida, como o interesse legítimo, o cumprimento de um contrato ou a obtenção de consentimento explícito. Antes de implementar ferramentas de monitorização, as organizações devem assegurar-se de que a monitorização é necessária, proporcional e não interfere indevidamente com a privacidade dos indivíduos.

O RGPD exige que as empresas realizem uma Avaliação de Interesse Legítimo (AIL) ou, quando a monitorização apresentar riscos mais elevados, uma Avaliação de Impacto sobre a Proteção de Dados (AIPD). Estas avaliações ajudam a determinar a justificação para a monitorização e a identificar formas de reduzir os riscos da recolha de dados.

A transparência é essencial. Os indivíduos devem ser claramente informados antecipadamente sobre o tipo de monitoramento, a finalidade, os dados coletados, a base legal, quem terá acesso e por quanto tempo os dados serão retidos. O monitoramento não divulgado ou secreto é geralmente restrito e permitido apenas em circunstâncias muito específicas definidas pelas leis nacionais.

O RGPD também enfatiza a minimização de dados, exigindo que as organizações coletem apenas o que for necessário para uma finalidade definida. O monitoramento contínuo ou excessivamente intrusivo sem uma justificativa clara pode violar os princípios do RGPD.

Para ferramentas de monitoramento online, as obrigações mais relevantes do GDPR incluem:

Fornecer informações claras sobre o monitoramento.
Coletar apenas os dados necessários
Utilizando medidas de segurança técnicas e organizacionais adequadas.
Identificar e documentar a base legal para o processamento.
Permitir que os indivíduos exerçam seus direitos (acesso, exclusão, objeção, etc.)

Diretrizes de Privacidade da OCDE (Organização para a Cooperação e Desenvolvimento Econômico)

As Diretrizes de Privacidade da OCDE fornecem princípios internacionalmente reconhecidos para a proteção de dados e privacidade. Embora não sejam juridicamente vinculativas, influenciam as leis nacionais de privacidade em todo o mundo e servem como uma estrutura para o tratamento responsável de dados.

As diretrizes enfatizam a equidade, a transparência, a limitação da finalidade, a qualidade dos dados, as medidas de segurança, a abertura e a responsabilidade. Esses princípios incentivam as organizações a coletar dados pessoais apenas para fins claros e legítimos e a garantir que os indivíduos entendam como seus dados são usados.

Para o monitoramento online e de funcionários, as Diretrizes da OCDE apoiam práticas transparentes, proporcionais e respeitosas à privacidade. Embora não contenham regras detalhadas específicas para o monitoramento, elas promovem a governança responsável de dados e orientam a legislação nacional que regulamenta o monitoramento diretamente.

Na prática, as diretrizes incentivam as organizações a:

Comunique claramente as práticas de monitoramento.
Limitar a coleta de dados ao estritamente necessário.
Proteja os dados monitorados contra acesso não autorizado.
Revise regularmente as práticas de monitoramento para garantir imparcialidade e necessidade.

Embora não sejam tão vinculativas quanto o RGPD, as Diretrizes de Privacidade da OCDE ajudam a moldar padrões globais e melhores práticas para o monitoramento ético e lícito.

Estados Unidos

Agir	Onde se aplica	Âmbito do monitoramento	Requisitos principais	Notas para usuários do Spyrix
CCPA	Califórnia	Monitoramento que coleta informações pessoais	Aviso de privacidade, direito de acesso/exclusão, opção de não compartilhamento de dados	Aplica-se se o monitoramento coletar identificadores, registros de atividades ou dados de uso.
CPRA	Califórnia	Monitoring involving "sensitive" data or detailed profiling	Limitação da finalidade, minimização de dados, regras mais rigorosas para dados sensíveis.	Importante quando as ferramentas registram geolocalização, padrões de comportamento ou atividades digitais detalhadas.
ECPA	Federal (EUA)	Interceptação ou acesso a comunicações eletrônicas (e-mail, chat, digitação).	Restrições à interceptação de conteúdo; exceções para empregadores geralmente exigem notificação.	Altamente relevante para registro de teclas digitadas (keylogging), monitoramento de e-mails e captura de conteúdo da tela.
Orientações relacionadas à FLSA	Federal (EUA)	Monitoramento usado para acompanhar horas de trabalho ou produtividade	O controle de horas trabalhadas deve garantir a precisão dos salários; nenhuma atividade não remunerada fora do horário de trabalho é permitida.	Não se trata de uma lei de privacidade, mas afeta a forma como os dados de monitoramento são usados para decisões relativas à folha de pagamento.
Leis de monitoramento específicas de cada estado	Varia de acordo com o estado (NY, CT, DE, CO, VA, UT, etc.)	Monitoramento eletrônico de funcionários e sistemas do local de trabalho	Frequentemente exigem notificação por escrito ou confirmação explícita.	Empregadores com atuação em múltiplos estados se beneficiam de uma política de monitoramento unificada + adições estaduais.

Canadá

PIPEDA (Lei de Proteção de Informações Pessoais e Documentos Eletrônicos)

Aplica-se a organizações do setor privado em todo o Canadá (exceto onde as leis provinciais a substituem).
Abrange qualquer coleta, uso ou divulgação de informações pessoais, incluindo monitoramento online e de funcionários.
Exige que as organizações identifiquem uma finalidade clara para o monitoramento e obtenham um consentimento válido e significativo quando apropriado.
O monitoramento deve ser razoável, limitado ao necessário e conduzido de forma transparente.
Os funcionários devem ser informados sobre o que é monitorado, por que é monitorado e como as informações serão utilizadas.
As informações pessoais devem ser protegidas com medidas de segurança adequadas.

Leis provinciais de privacidade (PIPA de Alberta, PIPA da Colúmbia Britânica, Lei 25 de Quebec)

Candidate-se a organizações do setor privado em suas respectivas províncias.
Em geral, seguem os princípios da PIPEDA, mas podem ter regras mais rígidas em relação ao consentimento, à retenção de dados e à privacidade dos funcionários.
O monitoramento deve ser razoável para fins comerciais e estar alinhado com políticas claras e comunicadas.
Os empregadores devem informar os funcionários antes de coletar informações pessoais por meio de ferramentas de monitoramento.
Algumas províncias exigem políticas que expliquem o tipo de dados coletados, por quanto tempo eles são armazenados e quem tem acesso a eles.
As organizações devem fornecer aos funcionários acesso às suas informações pessoais mediante solicitação.

Reino Unido

Regulamento Geral sobre a Proteção de Dados do Reino Unido

Aplica-se ao processamento de dados pessoais no Reino Unido, incluindo o monitoramento de atividades de funcionários e online.
Requires a clear lawful basis for monitoring (often "legitimate interests" or contract).
O monitoramento deve ser necessário, proporcional e não excessivamente intrusivo.
Os empregadores devem realizar uma avaliação de riscos ou uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) para monitoramento de alto risco (por exemplo, rastreamento contínuo, registro de teclas digitadas).
Forte enfoque na transparência: os funcionários devem saber o que é monitorado, porquê e como os dados serão usados e armazenados.

Lei de Proteção de Dados de 2018

Complementa o RGPD do Reino Unido e fornece regras e isenções adicionais.
Estabelece disposições específicas sobre o contexto de emprego e o acesso das autoridades policiais.
Reforça os princípios de minimização de dados, limitação de finalidade e segurança para dados de monitoramento.
Confere aos indivíduos o direito de acessar seus dados pessoais e, em alguns casos, de se opor a certos tipos de monitoramento.

RIPA (Regulation of Investigatory Powers Act)

Regulamenta a interceptação de comunicações e o uso de vigilância e monitoramento secreto.
Em geral, restringe a interceptação de comunicações sem consentimento ou autorização adequada.
O monitoramento secreto de funcionários (sem o seu conhecimento) só é permitido em circunstâncias muito limitadas, como investigações de condutas graves e quando for proporcional.

Código de Práticas de Emprego do ICO (e orientações relacionadas)

Orientações não vinculativas do Gabinete do Comissário de Informação do Reino Unido sobre monitoramento no trabalho.
Ressalta que o monitoramento deve ser direcionado, não excessivo, e justificado por uma clara necessidade comercial.
Recomenda a realização de avaliações de impacto antes da introdução de novas ferramentas de monitoramento.
Recomenda aos empregadores que criem políticas escritas claras explicando o que é monitorado, como e para quais fins.
Enfatiza a consulta, a transparência e o respeito pelas expectativas razoáveis de privacidade dos trabalhadores.

Austrália e Nova Zelândia

Lei de Privacidade de 1988 (Austrália)

A Lei de Privacidade de 1988 estabelece a estrutura geral de como as organizações australianas lidam com informações pessoais, incluindo dados coletados por meio de monitoramento online e de funcionários. Ela exige que as organizações coletem apenas as informações razoavelmente necessárias, sejam transparentes sobre como essas informações são usadas e as mantenham seguras. Embora a Lei não contenha regras detalhadas sobre vigilância no local de trabalho, qualquer monitoramento que identifique um indivíduo estará geralmente sujeito aos Princípios Australianos de Privacidade, especialmente no que diz respeito à notificação, limitação de finalidade e direitos de acesso. Na prática, isso significa que empregadores e prestadores de serviços que utilizam ferramentas de monitoramento devem definir objetivos comerciais claros, evitar rastreamento excessivo e explicar suas práticas em políticas de privacidade e documentação interna.

Leis de vigilância no local de trabalho (nível estadual, Austrália)

Diversos estados e territórios australianos regulamentam o monitoramento de forma mais direta por meio de leis de vigilância no local de trabalho, como a Lei de Vigilância no Local de Trabalho de 2005 (Nova Gales do Sul) e a Lei de Privacidade no Local de Trabalho de 2011 (Território da Capital Australiana). Essas leis geralmente controlam quando e como os empregadores podem usar câmeras, computadores e sistemas de rastreamento para vigilância, muitas vezes exigindo aviso prévio por escrito, sinalização visível e políticas claras antes do início do monitoramento. A vigilância oculta é rigorosamente restrita e geralmente permitida apenas com autorização específica e para investigações de condutas graves ou atividades ilegais, não para o acompanhamento rotineiro de desempenho. Para ferramentas de monitoramento online, isso significa que os empregadores nos estados afetados devem fornecer aos funcionários um aviso claro e oportuno de que o uso de seus computadores, internet ou e-mail pode ser monitorado e garantir que qualquer monitoramento esteja em conformidade com as condições legais.

Lei de Privacidade de 2020 (Nova Zelândia)

A Lei de Privacidade da Nova Zelândia de 2020 moderniza a estrutura de privacidade do país e se aplica tanto a dados de clientes quanto de funcionários, incluindo informações coletadas por meio de monitoramento no local de trabalho ou online. A lei exige que as organizações coletem informações apenas para fins lícitos e necessários, sejam transparentes sobre suas práticas e deem aos indivíduos acesso às suas informações pessoais. As orientações dos órgãos reguladores enfatizam que o monitoramento, a gravação ou a filmagem de funcionários devem ser proporcionais e devem ser respaldados por políticas claras no local de trabalho, desenvolvidas em conformidade com a Lei de Privacidade e a legislação trabalhista. Os empregadores são incentivados a consultar os funcionários, explicar por que o monitoramento é necessário e considerar o impacto na confiança e no moral, especialmente ao usar ferramentas que permitem o rastreamento contínuo ou detalhado.

Área da Ásia-Pacífico

PDPA (Lei de Proteção de Dados Pessoais) – Singapura

Abrange dados pessoais tratados por organizações, incluindo dados de funcionários e dados de monitoramento.
É necessário um propósito claro e legal para o monitoramento.
Geralmente é necessário o consentimento ou outra base legal válida.
Forte enfoque na transparência, notificação adequada e medidas de proteção de dados.
A retenção deve ser limitada ao estritamente necessário.

PDPA – Malásia

Aplica-se a dados pessoais tratados em contextos comerciais e laborais.
O consentimento é um requisito fundamental para a coleta de dados de monitoramento.
Os dados devem ser tratados de forma justa e para uma finalidade específica e declarada.
Inclui regras sobre limites de retenção, segurança de dados e processadores terceirizados.

APPI (Lei de Proteção de Informações Pessoais) – Japão

Regula o tratamento de dados pessoais tanto de clientes quanto de funcionários.
Exige que as organizações definam e comuniquem a finalidade do monitoramento.
Enfatiza a segurança dos dados e a supervisão adequada da equipe que lida com informações pessoais.
O monitoramento deve ser proporcional e alinhado com as políticas internas.
Os funcionários podem ter direito de acesso e correção, dependendo do contexto.

PIPL (Lei de Proteção de Informações Pessoais) – China

Lei abrangente de proteção de dados que cobre dados do local de trabalho e do consumidor.
Requer um objetivo claro, minimização de dados e transparência no monitoramento.
O consentimento pode ser necessário, especialmente quando o monitoramento envolve dados sensíveis ou detalhados.
Estabelece requisitos rigorosos quanto à retenção, segurança e documentação do processamento.
Confere aos indivíduos o direito de acessar, corrigir e solicitar a exclusão dos dados monitorados.

América latina

LGPD (Lei Geral de Proteção de Dados) – Brasil

A LGPD (Lei Geral de Proteção de Dados) brasileira regulamenta qualquer uso de dados pessoais, incluindo informações coletadas por meio de monitoramento online ou no local de trabalho. As organizações precisam de uma base legal clara para o monitoramento e devem explicar sua finalidade. O monitoramento deve ser limitado ao necessário, realizado de forma transparente e respaldado por medidas de segurança adequadas. Os indivíduos têm o direito de acessar, retificar e solicitar a exclusão de seus dados pessoais.

Leis Nacionais de Privacidade na Argentina, México e Chile

Esses países possuem leis nacionais de proteção de dados que se aplicam aos dados pessoais coletados por meio de ferramentas de monitoramento. Os requisitos comuns incluem ter uma finalidade legítima, informar os indivíduos sobre o monitoramento e manter os dados seguros. O monitoramento deve ser razoável e proporcional, e os indivíduos geralmente têm o direito de acessar ou atualizar suas informações. Embora as regras específicas variem, a transparência e a necessidade são expectativas consistentes em toda a região.

Área do Oriente Médio

Lei de Proteção de Dados dos Emirados Árabes Unidos (DPL / PDPL)

A lei federal de proteção de dados dos Emirados Árabes Unidos aplica-se a organizações que processam dados pessoais de indivíduos nos Emirados Árabes Unidos, incluindo funcionários. Para o monitoramento, exige-se uma finalidade clara e legal, limita-se a coleta de dados ao estritamente necessário e há forte ênfase na transparência e segurança. As organizações devem informar os funcionários sobre qualquer monitoramento, documentar os motivos para tal e implementar políticas e salvaguardas internas para o tratamento dos dados monitorados.

Lei de Proteção de Dados Pessoais do Qatar

A lei de privacidade de dados pessoais do Catar abrange dados pessoais processados eletronicamente ou destinados ao processamento eletrônico. Ela reconhece o direito do indivíduo à privacidade de seus dados e, em geral, exige consentimento ou outra justificativa legítima antes do processamento de dados pessoais, incluindo dados coletados por meio de sistemas de monitoramento. As organizações devem implementar medidas de segurança adequadas, ser transparentes sobre como os dados pessoais são utilizados e respeitar o direito dos indivíduos de acessar e corrigir suas informações.

Lei Saudita de Proteção de Dados Pessoais (PDPL)

A Lei de Proteção de Dados Pessoais da Arábia Saudita (PDPL) aplica-se ao processamento de dados pessoais de indivíduos no Reino, por organizações dentro ou fora do país. Para o monitoramento, exige-se que as organizações definam finalidades claras, adotem políticas de privacidade por escrito e informem os indivíduos sobre como seus dados serão coletados e usados. O consentimento é uma base importante para o processamento em muitos casos, embora a lei também permita o processamento por certos motivos comerciais, legais e de interesse público. Espera-se que os empregadores que utilizam ferramentas de monitoramento protejam os dados monitorados, limitem o acesso e tratem as informações dos funcionários em conformidade com as regras de transparência, segurança e retenção da PDPL.