Legi privind monitorizarea online

Echipa Spyrix adună principalele acte și documente juridice care descriu modul în care angajatorii pot monitoriza legal activitățile online ale angajaților lor. De asemenea, oferă îndrumări privind modul în care instrumentele de monitorizare pot fi utilizate în scopuri personale.

Acte internaționale globale

RGPD (Regulamentul general privind protecția datelor - Uniunea Europeană)

GDPR este regulamentul fundamental al Uniunii Europene privind protecția datelor și se aplică oricărei organizații care prelucrează date cu caracter personal ale persoanelor fizice din UE, indiferent de locul în care își desfășoară activitatea organizația. Monitorizarea activității online, monitorizarea angajaților și orice formă de urmărire digitală intră în domeniul său de aplicare ori de câte ori implică date cu caracter personal.

Conform GDPR, monitorizarea este, în general, legală numai atunci când există un temei juridic valid, cum ar fi interesul legitim, îndeplinirea unui contract sau obținerea consimțământului explicit. Înainte de a implementa instrumente de monitorizare, organizațiile ar trebui să se asigure că monitorizarea este necesară, proporțională și nu interferează în mod nejustificat cu viața privată a persoanelor.

GDPR impune companiilor să efectueze o Evaluare a Interesului Legitim (EIL) sau, atunci când monitorizarea este susceptibilă să prezinte riscuri mai mari, o Evaluare a Impactului asupra Protecției Datelor (EIPD). Aceste evaluări ajută la determinarea justificării monitorizării și la identificarea modalităților de reducere a riscurilor legate de colectarea datelor.

Transparența este esențială. Persoanele trebuie să fie informate în mod clar în prealabil cu privire la tipul de monitorizare, scopul, datele colectate, temeiul juridic, cine va avea acces și cât timp vor fi păstrate datele. Monitorizarea nedivulgată sau sub acoperire este, în general, restricționată și permisă numai în circumstanțe foarte restrânse definite de legislația națională.

GDPR pune, de asemenea, accentul pe minimizarea datelor, obligând organizațiile să colecteze doar ceea ce este necesar pentru un scop definit. Monitorizarea continuă sau excesiv de intruzivă, fără o justificare clară, poate încălca principiile GDPR.

Pentru instrumentele de monitorizare online, cele mai relevante obligații GDPR includ:

• Furnizarea unei notificări clare despre monitorizare

• Colectarea doar a datelor necesare

• Utilizarea măsurilor tehnice și organizatorice de securitate adecvate

• Identificarea și documentarea temeiului legal pentru prelucrare

• Permiterea exercitării drepturilor persoanelor (acces, ștergere, opoziție etc.)

Orientările OCDE privind confidențialitatea (Organizația pentru Cooperare și Dezvoltare Economică)

Liniile directoare OCDE privind confidențialitatea oferă principii recunoscute la nivel internațional pentru protecția datelor și a vieții private. Deși nu sunt obligatorii din punct de vedere juridic, acestea influențează legile naționale privind confidențialitatea la nivel mondial și servesc drept cadru pentru gestionarea responsabilă a datelor.

Liniile directoare pun accent pe corectitudine, transparență, limitarea scopului, calitatea datelor, garanțiile de securitate, deschidere și responsabilitate. Aceste principii încurajează organizațiile să colecteze date cu caracter personal numai în scopuri clare și legitime și să se asigure că persoanele înțeleg modul în care sunt utilizate datele lor.

Pentru monitorizarea online și a angajaților, Orientările OCDE susțin practici transparente, proporționale și respectuoase față de confidențialitate. Deși nu conțin reguli detaliate specifice monitorizării, acestea promovează o guvernanță responsabilă a datelor și informează legislația națională care reglementează monitorizarea în mod direct.

În practică, liniile directoare încurajează organizațiile să:

• Comunicați clar practicile de monitorizare

• Limitați colectarea datelor la ceea ce este necesar

• Protejați datele monitorizate împotriva accesului neautorizat

• Revizuiți periodic practicile de monitorizare pentru a le verifica corectitudinea și necesitatea.

Deși nu sunt aplicabile precum GDPR, Orientările OCDE privind confidențialitatea contribuie la conturarea standardelor globale și a celor mai bune practici pentru monitorizarea legală și etică.

Statele Unite

Canada

PIPEDA (Legea privind protecția informațiilor personale și documentele electronice)

• Se aplică organizațiilor din sectorul privat din Canada (cu excepția cazurilor în care legile provinciale îl înlocuiesc).

• Acoperă orice colectare, utilizare sau divulgare de informații personale, inclusiv monitorizarea online și a angajaților.

• Impune organizațiilor să identifice un scop clar pentru monitorizare și să obțină un consimțământ semnificativ, acolo unde este cazul.

• Monitorizarea trebuie să fie rezonabilă, limitată la ceea ce este necesar și efectuată într-un mod transparent.

• Angajații ar trebui să fie informați despre ce este monitorizat, de ce este monitorizat și cum vor fi utilizate informațiile.

• Informațiile personale trebuie protejate cu măsuri de securitate adecvate.

Legile provinciale privind confidențialitatea (Alberta PIPA, British Columbia PIPA, Quebec Legea 25)

• Aplicați la organizațiile din sectorul privat din provinciile lor respective.

• În general, reflectă principiile PIPEDA, dar pot avea reguli mai stricte privind consimțământul, păstrarea datelor și confidențialitatea angajaților.

• Monitorizarea trebuie să fie rezonabilă pentru scopuri comerciale și aliniată cu politici clare și comunicate.

• Angajatorii trebuie să informeze angajații înainte de a colecta informații personale prin intermediul instrumentelor de monitorizare.

• Unele provincii impun politici care explică tipul de date colectate, cât timp sunt păstrate și cine are acces.

• Organizațiile trebuie să ofere angajaților acces la informațiile lor personale, la cerere.

Regatul Unit

RGPD-ul Regatului Unit

• Se aplică prelucrării datelor cu caracter personal în Regatul Unit, inclusiv monitorizarea activității angajaților și a activității online.

• Requires a clear lawful basis for monitoring (often "legitimate interests" or contract).

• Monitorizarea trebuie să fie necesară, proporțională și nu excesiv de intruzivă.

• Angajatorii ar trebui să efectueze o evaluare a riscurilor sau o DPIA pentru monitorizarea riscurilor ridicate (de exemplu, urmărirea continuă, keylogging).

• Accent puternic pus pe transparență: personalul ar trebui să știe ce este monitorizat, de ce și cum vor fi utilizate și stocate datele.

Legea privind protecția datelor din 2018

• Completează GDPR-ul din Marea Britanie și oferă reguli și excepții suplimentare.

• Stabilește dispoziții specifice privind contextul angajării și accesul autorităților de aplicare a legii.

• Consolidează principiile minimizării datelor, limitării scopului și securității pentru monitorizarea datelor.

• Oferă persoanelor dreptul de a accesa datele lor personale și, în unele cazuri, de a se opune anumitor tipuri de monitorizare.

RIPA (Legea privind reglementarea puterilor de investigare)

• Reglementează interceptarea comunicațiilor și utilizarea supravegherii și monitorizării sub acoperire.

• În general, restricționează interceptarea comunicațiilor fără consimțământ sau autoritatea corespunzătoare.

• Monitorizarea sub acoperire a angajaților (fără știrea acestora) este permisă doar în circumstanțe foarte limitate, cum ar fi investigațiile privind abaterile grave și atunci când este proporțională.

Codul ICO privind practicile de angajare (și îndrumările aferente)

• Îndrumări neobligatorii din partea Biroului Comisarului pentru Informații din Regatul Unit privind monitorizarea la locul de muncă.

• Subliniază faptul că monitorizarea ar trebui să fie țintită, nu excesivă și justificată de o nevoie comercială clară.

• Recomandă efectuarea unor evaluări ale impactului înainte de introducerea de noi instrumente de monitorizare.

• Recomandă angajatorilor să creeze politici scrise clare care să explice ce este monitorizat, cum și în ce scopuri.

• Subliniază consultarea, transparența și respectarea așteptărilor rezonabile ale lucrătorilor în ceea ce privește confidențialitatea vieții private.

Australia și Noua Zeelandă

Legea privind confidențialitatea din 1988 (Australia)

Legea privind confidențialitatea datelor din 1988 stabilește cadrul general pentru modul în care organizațiile australiene gestionează informațiile personale, inclusiv datele colectate prin monitorizarea online și a angajaților. Aceasta impune organizațiilor să colecteze doar informațiile care sunt în mod rezonabil necesare, să fie transparente cu privire la modul în care sunt utilizate aceste informații și să le păstreze în siguranță. Deși legea nu conține reguli detaliate privind supravegherea la locul de muncă, orice monitorizare care identifică o persoană va fi, în general, supusă Principiilor australiene de confidențialitate, în special în ceea ce privește notificarea, limitarea scopului și drepturile de acces. În practică, aceasta înseamnă că angajatorii și furnizorii de servicii care utilizează instrumente de monitorizare ar trebui să definească scopuri comerciale clare, să evite urmărirea excesivă și să își explice practicile în politicile de confidențialitate și documentația internă.

Legile privind supravegherea la locul de muncă (la nivel de stat, Australia)

Mai multe state și teritorii australiene reglementează monitorizarea mai direct prin intermediul legilor privind supravegherea la locul de muncă, cum ar fi Legea privind supravegherea la locul de muncă din 2005 (NSW) și Legea privind confidențialitatea la locul de muncă din 2011 (ACT). Aceste legi controlează de obicei momentul și modul în care angajatorii pot utiliza supravegherea prin camere video, computer și prin urmărire, necesitând adesea o notificare prealabilă scrisă, semnalizare vizibilă și politici clare înainte de începerea monitorizării. Supravegherea ascunsă este strict restricționată și, de obicei, permisă doar cu o autoritate specifică și pentru abateri grave sau investigații privind activități ilegale, nu și pentru urmărirea de rutină a performanței. Pentru instrumentele de monitorizare online, aceasta înseamnă că angajatorii din statele afectate trebuie să le ofere angajaților o notificare clară și în timp util că utilizarea computerului, internetului sau a e-mailului lor poate fi monitorizată și să se asigure că orice monitorizare respectă condițiile legale.

Legea privind confidențialitatea din 2020 (Noua Zeelandă)

Legea privind confidențialitatea din 2020 din Noua Zeelandă modernizează cadrul de confidențialitate al țării și se aplică atât datelor clienților, cât și celor ale angajaților, inclusiv informațiilor colectate prin monitorizarea la locul de muncă sau online. Legea impune organizațiilor să colecteze informații numai în scopuri legale și necesare, să fie transparente cu privire la practicile lor și să ofere persoanelor acces la informațiile lor personale. Îndrumările din partea autorităților de reglementare subliniază faptul că monitorizarea, înregistrarea sau filmarea angajaților trebuie să fie proporționale și ar trebui să fie susținute de politici clare la locul de muncă, elaborate în conformitate atât cu Legea privind confidențialitatea, cât și cu legislația muncii. Angajatorii sunt încurajați să consulte personalul, să explice de ce este necesară monitorizarea și să ia în considerare impactul asupra încrederii și moralului, în special atunci când utilizează instrumente care permit urmărirea continuă sau detaliată.

Zona Asia-Pacific

PDPA (Legea privind protecția datelor cu caracter personal) – Singapore

• Acoperă datele cu caracter personal gestionate de organizații, inclusiv datele angajaților și cele de monitorizare.

• Necesită un scop clar și legal pentru monitorizare.

• În general, este necesar consimțământul sau o altă bază validă.

• Accent puternic pus pe transparență, notificare adecvată și garanții de protecție a datelor.

• Reținerea trebuie limitată la ceea ce este necesar.

PDPA – Malaezia

• Se aplică datelor cu caracter personal prelucrate în contexte comerciale și de angajare.

• Consimțământul este o cerință principală pentru colectarea datelor de monitorizare.

• Datele trebuie prelucrate în mod corect și într-un scop specific, declarat.

• Include reguli privind limitele de păstrare, securitatea datelor și procesatorii terți.

APPI (Legea privind protecția informațiilor cu caracter personal) – Japonia

• Reglează gestionarea datelor cu caracter personal atât ale clienților, cât și ale angajaților.

• Impune organizațiilor să definească și să comunice scopul monitorizării.

• Pune accent pe securitatea datelor și pe supravegherea adecvată a personalului care gestionează informații personale.

• Monitorizarea trebuie să fie proporțională și aliniată cu politicile interne.

• Angajații pot avea drepturi de acces și corectare, în funcție de context.

Legea privind protecția informațiilor personale (PIPL) – China

• Lege cuprinzătoare privind protecția datelor, care acoperă datele de la locul de muncă și datele consumatorilor.

• Necesită un scop clar, minimizarea datelor și transparență pentru monitorizare.

• Consimțământul poate fi necesar, în special atunci când monitorizarea implică date sensibile sau detaliate.

• Stabilește cerințe stricte privind păstrarea, securitatea și documentarea prelucrării.

• Oferă persoanelor drepturi de acces, corectare și solicitare a ștergerii datelor monitorizate.

America Latină

LGPD (Lei Geral de Proteção de Dados) – Brazilia

LGPD din Brazilia reglementează orice utilizare a datelor cu caracter personal, inclusiv informațiile colectate prin monitorizare online sau la locul de muncă. Organizațiile au nevoie de o bază juridică clară pentru monitorizare și trebuie să explice scopul acesteia. Monitorizarea ar trebui să fie limitată la ceea ce este necesar, efectuată în mod transparent și susținută de măsuri de securitate adecvate. Persoanele au dreptul de a accesa, corecta și solicita ștergerea datelor lor cu caracter personal.

Legile naționale privind confidențialitatea în Argentina, Mexic și Chile

Aceste țări au legi naționale privind protecția datelor care se aplică datelor cu caracter personal colectate prin intermediul instrumentelor de monitorizare. Cerințele comune includ existența unui scop legitim, informarea persoanelor cu privire la monitorizare și păstrarea datelor în siguranță. Monitorizarea ar trebui să fie rezonabilă și proporțională, iar persoanele au, în general, dreptul de a accesa sau actualiza informațiile lor. Deși regulile specifice diferă, transparența și necesitatea sunt așteptări constante în întreaga regiune.

Zona Orientului Mijlociu

Legea privind protecția datelor din Emiratele Arabe Unite (DPL / PDPL)

Legea federală privind protecția datelor din Emiratele Arabe Unite se aplică organizațiilor care prelucrează date cu caracter personal despre persoane din Emiratele Arabe Unite, inclusiv angajați. Pentru monitorizare, aceasta necesită un scop clar și legal, limitează colectarea datelor la ceea ce este necesar și pune un accent puternic pe transparență și securitate. Organizațiile ar trebui să informeze personalul cu privire la orice monitorizare, să își documenteze motivele pentru aceasta și să pună în aplicare politici și garanții interne pentru gestionarea datelor monitorizate.

Legea privind protecția datelor din Qatar

Legea privind confidențialitatea datelor cu caracter personal din Qatar acoperă datele cu caracter personal prelucrate electronic sau destinate prelucrării electronice. Aceasta recunoaște dreptul unei persoane la confidențialitatea datelor și, în general, necesită consimțământul sau un alt temei legitim înainte de prelucrarea datelor cu caracter personal, inclusiv a datelor colectate prin intermediul sistemelor de monitorizare. Organizațiile trebuie să implementeze măsuri de securitate adecvate, să fie transparente cu privire la modul în care sunt utilizate datele cu caracter personal și să respecte drepturile persoanelor de a accesa și corecta informațiile lor.

Legea saudită privind protecția datelor cu caracter personal (PDPL)

PDPL (Legea privind protecția datelor) din Arabia Saudită se aplică prelucrării datelor cu caracter personal despre persoanele din Regat, de către organizații din interiorul sau din afara țării. Pentru monitorizare, aceasta impune organizațiilor să definească scopuri clare, să adopte politici de confidențialitate scrise și să informeze persoanele cu privire la modul în care datele lor vor fi colectate și utilizate. Consimțământul este o bază importantă pentru prelucrare în multe cazuri, deși legea permite și prelucrarea din anumite motive comerciale, juridice și de interes public. Angajatorii care utilizează instrumente de monitorizare sunt așteptați să protejeze datele monitorizate, să limiteze accesul și să gestioneze informațiile angajaților în conformitate cu regulile de transparență, securitate și păstrare ale PDPL.