Namun, perusahaan tidak boleh asal mengambil atau mengakses data tanpa dasar hukum yang jelas.
Dalam Pasal 20 ayat (1) UU PDP, disebutkan bahwa pengendali data, dalam hal ini perusahaan, wajib memiliki dasar pemrosesan data pribadi.
Jika suatu data tidak berhubungan langsung dengan kepentingan perusahaan, maka data tersebut seharusnya tetap menjadi bagian dari privasi karyawan.
Jadi, perusahaan dilarang keras untuk mengakses data tersebut tanpa izin dari karyawan yang bersangkutan.
Bagaimana Jika Perusahaan Mengakses Data Tanpa Izin?
Jika perusahaan terbukti mengakses data pribadi karyawan tanpa izin yang sah, mereka dapat dikenai sanksi berdasarkan Pasal 57 ayat (2) UU PDP.
Ada beberapa jenis sanksi administratif yang bisa dikenakan, di antaranya:
1. Peringatan Tertulis
2. Penghentian sementara kegiatan pemrosesan data pribadi
3. Penghapusan atau pemusnahan data pribadi yang telah diambil
4. Denda administratif
Sanksi ini tentunya cukup berat, dan hal ini menjadi peringatan agar perusahaan lebih berhati-hati dalam mengelola data pribadi karyawan.
Tidak hanya itu, jika perusahaan terbukti memproses data pribadi untuk tujuan keuntungan pribadi yang merugikan karyawan, mereka bisa dijerat pidana dengan ancaman penjara maksimal lima tahun dan/atau denda hingga Rp5 miliar!