[비즈한국] Perusahaan terkadang membuat keputusan yang sulit dijelaskan hanya dengan uang. Memahami hukum atau sistem yang tersembunyi di baliknya dapat membantu kita memahami latar belakangnya secara lebih mendetail. 'Tips Bermanfaat dalam Hukum Bisnis (Al-Sseul-Bi-Beop)' menyajikan petunjuk untuk membantu memahami alur bisnis.
Jika perusahaan baru mengetahui fakta bahwa mantan karyawan membawa data perusahaan saat mereka keluar, apa yang bisa dilakukan perusahaan? Kesimpulannya, tidak banyak yang bisa dilakukan pada saat itu. Pengadilan cenderung memandang negatif gugatan yang diajukan perusahaan terhadap karyawan. Bahkan jika sudah ada surat pernyataan keamanan atau surat perjanjian kerahasiaan, sering kali efektivitas dokumen tersebut disangkal, dan tuntutan ganti rugi atau penalti berdasarkan dokumen tersebut sering kali ditolak. Baru-baru ini, meskipun ada bukti bahwa seorang karyawan mengirimkan data perusahaan dalam jumlah besar melalui KakaoTalk tepat sebelum pensiun, klaim perusahaan tetap ditolak dengan alasan bahwa "tindakan tersebut diperlukan untuk pekerjaan dan KakaoTalk memang biasa digunakan untuk keperluan tugas."
Oleh karena itu, perlindungan informasi bukanlah masalah respons pasca-kejadian, melainkan masalah desain pra-kejadian. Namun, desain tersebut harus lebih spesifik daripada yang sering dibayangkan orang. Poin yang menimbulkan kebingungan dalam kasus kebocoran informasi adalah nilai dari informasi tersebut. Orang-orang cenderung mencoba membuktikan nilai informasi tersebut dengan alasan bahwa karena informasi yang bocor memiliki nilai yang luar biasa, maka perusahaan harus mendapatkan ganti rugi.
Namun, ini adalah argumen yang mudah dipatahkan. Seseorang dapat berargumen bahwa informasi bisnis umum, yang bukan merupakan teknologi tingkat tinggi, dapat dibuat oleh siapa saja jika diberi waktu. Selain itu, membuktikan bahwa informasi tersebut sangat penting hingga memengaruhi nasib perusahaan adalah hal yang hampir mustahil. Dengan kata lain, pendekatan untuk menghitung kerugian dengan mengevaluasi nilai informasi secara objektif sering kali tidak realistis.
Oleh karena itu, praktik terbaru lebih fokus pada bagaimana informasi tersebut dikelola daripada nilai informasinya. Putusan Pengadilan Distrik Seoul Utara 2023Gadan100497 mengabulkan klaim ganti rugi terhadap mantan karyawan dan memerintahkan pembayaran sebesar 15 juta won. Dalam kasus ini, karyawan tersebut saat menandatangani kontrak kerja telah berjanji untuk tidak menyebarkan atau menggunakan rahasia dagang dan dokumen rahasia yang diketahui selama bekerja, baik saat masih menjabat maupun setelah berhenti. Namun, ia membocorkan informasi pelanggan dan informasi isu yang menjadi objek perjanjian, dan fakta tersebut dikonfirmasi dengan bukti objektif.
Perusahaan menyediakan laptop dan PC kantor kepada karyawan untuk mencegah kebocoran informasi penting, namun karyawan ini secara sepihak memberi tahu bahwa ia akan menggunakan laptop pribadi dan mengunduh informasi pelanggan ke laptop tersebut. Pengadilan memutuskan bahwa meskipun kerugian terjadi, dalam kasus di mana jumlah spesifik sulit dibuktikan, pengadilan dapat menentukan jumlah ganti rugi yang wajar berdasarkan prinsip hukum, dengan mempertimbangkan kronologi dan cara kebocoran, apakah karyawan tersebut bergabung dengan pesaing atau mendirikan bisnis sendiri, serta apakah ada klien yang pergi, dan faktor lainnya.
Implikasi dari putusan ini ada tiga. Pertama, surat perjanjian kerahasiaan harus dibuat dengan jelas. Yang paling penting bukanlah nilai objektif informasi, melainkan apakah pengelolaan secara fisik dan hukum telah dilakukan. Kedua, fakta kebocoran harus dibuktikan dengan metode objektif. Artinya, kebocoran informasi harus dicatat dan dikelola dengan metode teknis setiap saat. Ketiga, hasil apa yang ditimbulkan oleh kebocoran tersebut hanyalah faktor pertimbangan dalam penghitungan jumlah kerugian.
Alur serupa dapat dilihat di tempat lain. Melihat revisi Undang-Undang Subkontrak baru-baru ini dan praktik penegakan hukum oleh Komisi Perdagangan Adil (FTC), interpretasi yang dominan adalah bahwa jika informasi dikelola sebagai rahasia dan dinilai memiliki nilai bisnis, maka perlindungan terhadapnya adalah hal yang wajar, daripada memperdebatkan seberapa besar nilai objektif informasi tersebut. Berapa banyak nilai ekonomi yang diciptakan oleh informasi tersebut bukanlah poin utama yang diperdebatkan.
Singkatnya, yang harus dibuktikan perusahaan bukanlah "seberapa hebat informasi ini", melainkan "apakah kami telah memperlakukan informasi ini sebagai rahasia". Meninggalkan jejak pengelolaan adalah kekuatan tanggapan hukum. Ada enam cara untuk meninggalkan jejak tersebut.
Pertama, surat pernyataan bukan hanya untuk diterima, tetapi harus dirancang. Banyak perusahaan merasa tenang setelah menerima satu lembar surat pernyataan saat karyawan masuk. Namun, isi dari surat tersebut lebih penting daripada fakta bahwa dokumen itu telah dilengkapi. Pertama, informasi yang dilindungi harus didefinisikan ulang. Jika cakupannya terlalu luas, dapat memicu perdebatan mengenai ketidakadilan, dan jika terlalu sempit, manfaat dari dokumen tersebut akan hilang. Begitu pula dengan denda perjanjian. Jika jumlahnya berlebihan, klausul itu sendiri bisa dianggap tidak sah, sehingga lebih aman untuk mendesain ulang agar proporsional dengan gaji yang sebenarnya dibayarkan. Selain itu, harus dipastikan adanya persetujuan awal untuk melakukan investigasi forensik pada perangkat elektronik saat dicurigai adanya kebocoran. Tanpa persetujuan ini, proses pengamanan bukti di masa depan akan terhambat.
Kedua, tidak ada kontrol hukum tanpa kontrol teknis. Perlindungan aset informasi tidak selesai hanya dengan dokumen hukum. Perusahaan harus menerapkan langkah-langkah seperti memindahkan data perusahaan ke cloud agar tidak ada salinan yang tertinggal di perangkat pribadi, serta menginstal program pemantauan keamanan pada PC kantor agar riwayat penggunaan dan pengeluaran file dapat diperiksa secara terpusat. Langkah teknis ini lebih bermakna karena selain mencegah kebocoran, juga menyisakan bukti objektif tentang kapan, siapa, dan apa yang dikeluarkan. Fakta bahwa perusahaan menyediakan perangkat kantor dalam putusan yang disebutkan sebelumnya juga berpengaruh dalam konteks yang sama. Namun, karena adopsi teknologi bukanlah tujuan akhir, perlu berkonsultasi terlebih dahulu dengan perusahaan keamanan agar selaras dengan sistem kontrol dan pengelolaan hukum.
Ketiga, peraturan jangan hanya dibuat, tetapi harus dijalankan. Peraturan keamanan harus dibuat sebagai bagian dari peraturan kerja, disahkan oleh dewan direksi, dan dipasang di intranet perusahaan. Peraturan tersebut harus secara eksplisit menyatakan bahwa tindakan mengirim data perusahaan melalui KakaoTalk atau Telegram pribadi, di luar saluran komunikasi resmi dan tanpa memandang tujuan pekerjaan atau penerimanya, dianggap sebagai pelanggaran aturan perusahaan. Alasan ini menjadi jelas jika kita mengingat contoh di mana alasan "kebutuhan pekerjaan" diterima oleh pengadilan. Selanjutnya, lakukan pemantauan PC karyawan secara berkala untuk membuat laporan audit keamanan dan membagikan hasilnya. Ini karena perusahaan harus mampu menunjukkan secara objektif bahwa peraturan tersebut tidak sekadar deklarasi, tetapi benar-benar dilaksanakan.
Keempat, sebelum ada peraturan, harus ada edukasi. Sebelum menagih surat pernyataan dan memberlakukan peraturan keamanan, edukasi yang menjelaskan tujuannya harus dilakukan. Kontrol yang datang tiba-tiba akan menimbulkan penolakan, dan penolakan tersebut akan menjadi bahan untuk memperdebatkan efektivitas perjanjian di masa depan. Rekaman bahwa edukasi telah dilakukan merupakan bukti bahwa perusahaan serius dalam mengelola informasi.
Kelima, pintu terakhir adalah prosedur pengunduran diri. Prosedur respons saat pensiun harus distandarisasi. Mulai dari wawancara dengan karyawan yang berhenti, pengembalian perangkat elektronik, pelaksanaan forensik jika perlu, hingga penulisan surat konfirmasi pengembalian dan penghancuran data, semuanya harus diatur dalam dokumen dan diterapkan tanpa pengecualian. Sebagian besar perselisihan terjadi pada rentang waktu singkat ini di mana bukti dibuat atau dimusnahkan.
Keenam, kendalikan namun berikan kompensasi. Kebijakan di mana perusahaan menyediakan PC kantor secara individu, melarang penggunaan laptop pribadi, dan membatasi penggunaan messenger pribadi adalah kebijakan yang merepotkan bagi karyawan. Oleh karena itu, perlu mempertimbangkan pemberian tunjangan perlindungan informasi secara terpisah. Selain meningkatkan penerimaan karyawan, fakta bahwa ada kompensasi yang sepadan dengan kontrol tersebut dapat menguntungkan perusahaan ketika efektivitas perjanjian dipertanyakan di masa depan.
Menyimpulkan poin-poin di atas: Pertama, yang meyakinkan pengadilan bukanlah nilai informasi, melainkan jejak pengelolaan. Kedua, surat pernyataan, peraturan keamanan, kontrol teknis, dan prosedur pengunduran diri bukanlah langkah-langkah yang terpisah, melainkan bekerja sebagai satu paket. Ketiga, biaya yang dikeluarkan untuk semua langkah ini jauh lebih murah dibandingkan biaya dan waktu yang dihabiskan untuk satu kasus gugatan kebocoran informasi. Aset informasi perusahaan adalah hasil dari kepercayaan dan upaya yang terakumulasi selama bertahun-tahun. Melindunginya bukan dimulai setelah insiden terjadi, melainkan harus dimulai saat ini, ketika belum terjadi apa-apa.