Cara Melindungi Privasi Data Karyawan pada Absensi Pengenalan Wajah

Cara Melindungi Privasi Data Karyawan pada Absensi Pengenalan Wajah

Absensi pengenalan wajah bisa mengurangi pekerjaan manual dan membantu mencegah titip absen. Namun, manfaat tersebut bukan alasan otomatis untuk mengumpulkan data wajah karyawan. Wajah tidak seperti kata sandi yang bisa diganti ketika bocor. Karena itu, keputusan menggunakan Face Recognition sebaiknya dimulai dari pertanyaan tentang privasi, bukan dari daftar fitur yang ditawarkan sistem.

Sebelum sistem diaktifkan, HR perlu bisa menjawab empat pertanyaan dasar: untuk apa data dikumpulkan, data apa yang diproses, siapa yang dapat mengaksesnya, dan kapan data dihapus. Jika jawabannya belum jelas, sistem belum siap digunakan meskipun sudah memiliki fitur touchless, cloud, GPS, atau Liveness Validation.

Mulai dari kebutuhan absensinya, bukan dari fitur wajahnya

Tentukan tujuan penggunaan secara spesifik. Apakah perusahaan ingin mencatat waktu masuk dan keluar, mengurangi titip absen, mendukung check-in karyawan lapangan, atau menghubungkan data kehadiran dengan proses payroll? Tujuan ini perlu dibedakan dari manfaat tambahan yang mungkin dijanjikan oleh sistem.

Otomatisasi dan proses tanpa sentuhan memang membantu operasional. Namun, keduanya tidak membuktikan bahwa pemrosesan data sudah aman atau sesuai ketentuan. Begitu juga dengan liveness. Fitur ini hanya membantu sistem membedakan kehadiran seseorang dari kemungkinan penggunaan foto atau media lain. Liveness tidak menjawab siapa yang menyimpan data, berapa lama data disimpan, atau siapa yang dapat melihatnya.

HR juga perlu menilai apakah cara pemrosesan tersebut sepadan dengan masalah yang hendak diselesaikan. Sistem dapat keliru mengenali wajah karena pencahayaan, sudut kamera, masker, kacamata, objek bergerak, atau perubahan wajah. Tanpa pemeriksaan manusia, kesalahan itu bisa memengaruhi catatan kehadiran, penilaian disiplin, dan penggajian.

Jelaskan kepada karyawan apa yang terjadi pada data mereka

Pemberitahuan kepada karyawan sebaiknya diberikan sebelum wajah mulai diambil. Kalimat seperti “data biometrik diproses” saja belum cukup. Karyawan perlu mendapat informasi yang membantu mereka memahami data apa yang digunakan, untuk tujuan apa, dan apa yang terjadi setelah data masuk ke sistem.

Pemberitahuan setidaknya perlu memuat:

• tujuan penggunaan pengenalan wajah untuk absensi;

• jenis data yang diproses, termasuk citra wajah, template biometrik, hasil pencocokan, dan log kehadiran;

• apakah data lokasi diproses ketika absensi dilakukan melalui aplikasi atau GPS;

• pihak yang terlibat, seperti perusahaan, admin HR, penyedia sistem, atau pihak lain yang relevan;

• siapa yang dapat mengakses setiap jenis data dan untuk keperluan apa;

• masa simpan atau kriteria yang digunakan untuk menentukannya;

• cara mengajukan pertanyaan, koreksi, permintaan terkait data, atau laporan insiden; dan

• prosedur yang berlaku jika verifikasi wajah gagal.

Dasar pemrosesan dan bentuk persetujuan sebaiknya tidak ditentukan hanya dengan menyalin template dari vendor. Dalam hubungan kerja, posisi perusahaan dan karyawan perlu ditinjau secara hati-hati. Verifikasi hukum atas peraturan pelindungan data pribadi Indonesia, termasuk ketentuan mengenai data biometrik, dasar pemrosesan, hak subjek data, keamanan, retensi, dan penghapusan, perlu dilakukan sebelum dokumen final diterbitkan. GDPR juga tidak otomatis berlaku hanya karena sistem menggunakan teknologi pengenalan wajah; cakupan penerapannya perlu diperiksa berdasarkan situasi perusahaan.

Bedakan foto wajah, template biometrik, dan log kehadiran

Dalam pekerjaan sehari-hari, semua data tersebut sering disebut “data wajah”. Padahal, foto, template biometrik, hasil pencocokan, dan log kehadiran memiliki fungsi, akses, serta risiko yang berbeda.

Jenis data	Fungsi dalam absensi	Kontrol yang perlu diperiksa
Citra atau foto wajah	Gambar yang diambil saat pendaftaran atau verifikasi.	Siapa yang dapat melihatnya, lokasi penyimpanan, perlindungan saat dikirim, dan kapan dihapus.
Template biometrik	Representasi atau karakteristik wajah yang digunakan untuk pencocokan.	Bagaimana template dibuat, disimpan, dibatasi aksesnya, dan dihapus ketika tidak lagi diperlukan.
Hasil pencocokan	Hasil bahwa verifikasi berhasil, ditolak, atau memerlukan pemeriksaan.	Siapa yang dapat melihat hasilnya dan bagaimana kesalahan dapat ditinjau atau dikoreksi.
Log kehadiran	Catatan waktu, status masuk atau keluar, dan perubahan catatan absensi.	Pemisahan akses dari data wajah, audit perubahan, serta penggunaan dalam payroll atau administrasi kehadiran.
Lokasi absensi	Informasi lokasi ketika GPS atau fitur lokasi diaktifkan.	Pemberitahuan terpisah, tujuan penggunaan, akses, masa simpan, dan penghapusan.

Petakan alur data dari awal sampai akhir: wajah diambil, sistem melakukan pencocokan, hasilnya menjadi catatan kehadiran, pihak tertentu mengakses catatan, lalu data disimpan dan akhirnya dihapus. Dengan peta ini, HR dapat melihat apakah penyedia hanya menyediakan layanan teknis atau juga memproses data atas instruksi perusahaan. Peran dan tanggung jawab setiap pihak perlu dituangkan serta diverifikasi sesuai kondisi pemrosesan.

Tentukan akses dan masa simpan sebelum sistem berjalan

Admin HR belum tentu perlu melihat foto atau template biometrik untuk memperbaiki log kehadiran. Akses sebaiknya diberikan berdasarkan kebutuhan kerja, bukan jabatan semata. Sebagian admin mungkin cukup mengakses status kehadiran, sedangkan akses ke data wajah atau pengaturan sistem dibatasi untuk personel yang memang membutuhkannya.

Catat aktivitas akses dan perubahan catatan agar perusahaan dapat menelusuri siapa yang membuka data atau mengubah hasil absensi. Pengamanan saat data disimpan dan dikirim juga perlu dikonfirmasi melalui dokumentasi teknis penyedia. Jangan menganggapnya sudah aman hanya karena sistem menggunakan cloud atau disebut aman dalam materi pemasaran.

Retensi perlu ditetapkan berdasarkan tujuan. Data tidak seharusnya disimpan tanpa batas hanya karena sistem masih aktif. HR perlu menentukan apa yang terjadi ketika karyawan berhenti menggunakan absensi wajah, hubungan kerja berakhir, atau tujuan pemrosesan sudah tidak ada. Ketentuan ini perlu mencakup foto, template, hasil pencocokan, log kehadiran, dan lokasi secara terpisah jika karakter datanya berbeda.

Siapkan juga kanal untuk permintaan akses, koreksi, atau penghapusan, serta prosedur penanganan insiden keamanan. Batas waktu dan kewajiban hukumnya perlu diverifikasi berdasarkan aturan yang berlaku agar perusahaan tidak membuat janji yang keliru dalam pemberitahuan kepada karyawan.

Satu perusahaan bisa memiliki konteks absensi yang berbeda

Ilustratif. Sebuah perusahaan logistik menggunakan kamera di pintu masuk untuk karyawan kantor dan aplikasi seluler untuk kurir. Karyawan kantor melakukan verifikasi wajah saat datang, sedangkan kurir melakukan check-in di lokasi pengiriman. Sistem menyimpan hasil absensi dan, jika fitur lokasi diaktifkan, data lokasi.

Pemberitahuan untuk kedua kelompok tidak cukup jika hanya menyatakan bahwa perusahaan menggunakan absensi biometrik. Karyawan perlu tahu kapan wajah diproses, data apa yang dihasilkan, apakah lokasi ikut dicatat, serta siapa yang dapat mengakses data wajah, log kehadiran, dan lokasi. Akses ke data lokasi mungkin hanya diperlukan oleh fungsi tertentu, sementara akses ke citra wajah hanya dibutuhkan untuk administrasi sistem. Perbedaan ini perlu terlihat dalam pengaturan dan kebijakan internal.

Verifikasi gagal bukan berarti karyawan mangkir

Penolakan selfie bukan bukti bahwa karyawan tidak hadir. Pencahayaan yang buruk atau sudut wajah yang tidak sesuai dapat menyebabkan verifikasi gagal. Masker, kacamata, dan objek bergerak juga dapat memengaruhi hasil pencocokan.

Ilustratif. Seorang karyawan melakukan check-in melalui selfie, tetapi sistem menolak verifikasi karena pencahayaan atau sudut wajah. Perusahaan tidak langsung mencatatnya sebagai tidak hadir. Karyawan menggunakan metode alternatif yang sudah diberitahukan, kemudian admin memeriksa log dan alasan kegagalan sebelum memperbaiki catatan jika memang diperlukan.

Jalur fallback sebaiknya sudah ditentukan sebelum sistem digunakan. Metode alternatif dapat mengikuti kebijakan kehadiran perusahaan, tetapi harus jelas bagi karyawan. Kegagalan teknis juga tidak boleh otomatis diperlakukan sebagai pelanggaran disiplin. Setiap koreksi perlu memiliki jejak perubahan, sementara akses admin dibatasi pada data yang dibutuhkan untuk pemeriksaan.

Pemisahan ini juga membantu melindungi proses payroll. Catatan yang belum terverifikasi perlu ditinjau sebelum memengaruhi keterlambatan, potongan, lembur, atau status kehadiran. Sistem membantu menyediakan bukti dan alur kerja; keputusan administrasi tetap membutuhkan kontrol yang dapat ditelusuri.

Checklist sebelum absensi wajah diaktifkan

• Tujuan penggunaan data wajah sudah spesifik dan dapat dijelaskan tanpa jargon teknis.

• Perusahaan sudah membedakan citra wajah, template biometrik, hasil pencocokan, log kehadiran, dan lokasi.

• Pemberitahuan kepada karyawan menjelaskan tujuan, jenis data, pihak yang terlibat, akses, retensi, dan kanal pertanyaan.

• Dasar pemrosesan dan bentuk persetujuan telah ditinjau berdasarkan konteks hubungan kerja dan aturan yang berlaku.

• Hak akses admin dibatasi, dan aktivitas akses atau perubahan catatan dapat ditelusuri.

• Masa simpan serta metode penghapusan telah ditentukan untuk setiap jenis data.

• Ada prosedur permintaan akses, koreksi, penghapusan, dan pelaporan insiden.

• Ada metode alternatif ketika wajah gagal dikenali, dan kegagalan verifikasi tidak otomatis menjadi ketidakhadiran.

• Dokumentasi penyedia mengenai alur data, penyimpanan, akses, dan fitur teknis sudah diperiksa.

• Poin yang belum jelas telah ditinjau oleh penasihat hukum atau pihak teknis yang kompeten sebelum aktivasi.

Keputusan menggunakan absensi berbasis pengenalan wajah sebaiknya dibuat setelah perusahaan mampu menjelaskan seluruh siklus datanya, bukan hanya menunjukkan bahwa kamera dapat mengenali wajah. Jika tujuan, akses, retensi, penghapusan, atau jalur koreksi belum siap, menunda aktivasi merupakan pilihan proses yang lebih bertanggung jawab daripada mengumpulkan data terlebih dahulu lalu mencari jawabannya kemudian.