GDPR UE

Denda dapat mencapai 4% dari total pendapatan global tahunan karena melanggar GDPR, atau €20 juta. Ini adalah denda maksimum yang dapat dikenakan untuk pelanggaran paling serius, misalnya, tidak memiliki persetujuan pelanggan yang cukup untuk memproses data atau melanggar inti konsep “Privacy by Design”.

Data pribadi adalah setiap informasi yang dapat digunakan untuk mengidentifikasi seseorang secara langsung maupun tidak langsung, seperti nama, foto, alamat email, rincian rekening bank, unggahan di media sosial, informasi medis, atau alamat IP komputer.

Persetujuan harus diberikan dalam bentuk yang jelas dan mudah diakses, dengan tujuan pemrosesan data yang disertakan dalam persetujuan tersebut. Persetujuan harus tidak ambigu, mudah dikenali, dan menggunakan bahasa yang jelas serta mudah dipahami. Persetujuan juga harus semudah untuk dicabut seperti saat diberikan. Saat memproses data pribadi yang sensitif, hanya mekanisme “opt-in” yang dapat diterima.

Jika subjek data berusia di bawah 16 tahun, persetujuan orang tua diperlukan untuk memproses data pribadi anak tersebut. Negara-negara anggota dapat menurunkan usia persetujuan orang tua, tetapi tidak boleh lebih rendah dari usia 13 tahun.

DPO harus ditunjuk dalam hal (a) otoritas publik, (b) organisasi yang melakukan pemantauan sistematis skala besar atau big data, atau (c) organisasi yang terlibat dalam pemrosesan massal data pribadi yang sensitif (Art. 37). Jika organisasi Anda tidak termasuk dalam salah satu kategori ini, maka Anda tidak perlu menunjuk DPO.

Pemberitahuan pelanggaran data

Berdasarkan GDPR, pemberitahuan pelanggaran data akan menjadi wajib di semua negara anggota apabila pelanggaran data berpotensi “menimbulkan risiko terhadap hak dan kebebasan individu.” Pemberitahuan harus dilakukan dalam waktu 72 jam setelah pelanggaran diketahui. Pemroses data juga wajib memberi tahu pengendali data “tanpa keterlambatan yang tidak semestinya” setelah pertama kali menyadari terjadinya pelanggaran data.

Hak untuk mengakses

Subjek data memiliki hak untuk memperoleh konfirmasi dari pengendali data mengenai apakah data pribadi yang berkaitan dengan mereka diproses atau tidak, di mana, dan untuk tujuan apa. Pengendali data wajib menyediakan salinan data pribadi tersebut secara gratis dalam format elektronik.

Hak untuk dilupakan

Dikenal juga sebagai penghapusan data, hak untuk dilupakan memberikan hak kepada subjek data agar pengendali data menghapus data pribadi mereka, menghentikan penyebaran lebih lanjut atas data tersebut, dan berpotensi meminta pihak ketiga untuk menghentikan pemrosesan data tersebut. Data tersebut harus sudah tidak relevan lagi dengan tujuan pemrosesan awal, atau subjek data telah menarik persetujuannya. Perlu dicatat juga bahwa hak ini mengharuskan pengendali untuk membandingkan hak subjek data dengan “kepentingan publik atas ketersediaan data tersebut” ketika mempertimbangkan permintaan semacam ini.

Portabilitas data

Subjek data dapat menerima data pribadi yang berkaitan dengan mereka, yang sebelumnya telah mereka berikan dalam “format yang umum digunakan dan dapat dibaca oleh mesin,” dan memiliki hak untuk mengirimkan data tersebut ke pengendali lain.

Privacy by design

Privasi data harus menjadi inti dari sistem teknologi yang digunakan oleh pengendali dan pemroses untuk mengelola informasi subjek data, bukan sekadar tambahan (add-on).

Informasi yang harus disediakan kepada subjek data saat data dikumpulkan telah didefinisikan secara rinci dan meliputi:

• Identitas dan detail kontak pengendali data serta DPO
• Tujuan pemrosesan, yaitu maksud data pribadi tersebut digunakan
• Dasar hukum pemrosesan
• Jika berlaku, kepentingan sah yang dikejar oleh pengendali atau pihak ketiga
• Jika berlaku, penerima atau kategori penerima data pribadi
• Jangka waktu penyimpanan data pribadi, atau jika tidak memungkinkan, kriteria yang digunakan untuk menentukan jangka waktu tersebut
• Adanya hak untuk mengakses, memperbaiki, atau menghapus data pribadi
• Hak atas portabilitas data
• Hak untuk menarik persetujuan kapan saja
• Hak untuk mengajukan keluhan kepada otoritas pengawas

Yang penting, jika data tidak diperoleh secara langsung dari subjek data (misalnya menggunakan daftar pihak ketiga), daftar informasinya bervariasi dan mencakup dari sumber mana data pribadi tersebut berasal:

• Adanya profiling serta informasi yang bermakna mengenai logika yang digunakan, signifikansi, dan konsekuensi yang diperkirakan dari pemrosesan tersebut bagi subjek data.
• GDPR menjadi kendala besar bagi pemasar yang memperoleh data dari daftar pihak ketiga.

Pasal 6 regulasi GDPR menyatakan bahwa pengumpul data hanya dapat memproses data secara sah apabila, antara lain, memiliki kepentingan sah atau persetujuan. Untuk menentukan apakah Anda memiliki kepentingan sah, diperlukan “penilaian yang cermat” terhadap ekspektasi dan konteks data yang Anda kumpulkan.

Ada godaan untuk menggunakan interpretasi kepentingan sah secara luas demi menghindari kebutuhan akan persetujuan. Kami tidak menganjurkan penggunaan pandangan kepentingan sah yang terbuka sebagai cara untuk membenarkan pengumpulan data. GDPR memberikan beberapa contoh, seperti pemrosesan data pribadi untuk mencegah penipuan, tujuan administratif internal yang berkaitan dengan karyawan dan klien, keamanan jaringan, serta pelaporan potensi aktivitas kriminal atau ancaman terhadap keamanan publik.

Masih ada area abu-abu di sekitar kepentingan sah, dan definisinya akan menjadi lebih jelas dari waktu ke waktu. Rekomendasi jangka pendek adalah membiasakan diri untuk bertanya, “apakah tujuan yang sama dapat dicapai tanpa memproses data pribadi?” Jika jawabannya ya, maka praktik terbaik adalah menghindari kepentingan sah sebagai dasar pemrosesan data; Anda sebaiknya memperoleh persetujuan.

1. Siapkan rencana proaktif untuk kepatuhan GDPR Anda.
2. Tinjau pemberitahuan dan kebijakan privasi, serta pastikan telah memenuhi tingkat kepatuhan GDPR.
3. Siapkan rencana untuk menghadapi kemungkinan pelanggaran keamanan.
4. Audit persetujuan yang Anda miliki.
5. Jadikan persetujuan pemasaran sebagai opt-in.
6. Tinjau bagian kepentingan sah dalam ketentuan tersebut bersama penasihat hukum Anda untuk memastikan hal ini mencakup organisasi Anda dalam penggunaan data pembeli guna memproses dan mengelola pesanan tersebut.
7. Buat bahasa persetujuan tentang penggunaan data pribadi mudah ditemukan dan dibaca.
8. Buat rencana tindakan untuk permintaan subjek data kepada organisasi Anda terkait penggunaan data mereka.
9. Bertanggung jawablah atas kepatuhan Anda.
10. Latih karyawan Anda.
11. Miliki proses yang jelas, tertulis, dan telah diaudit.
12. Tunjuk DPO jika diperlukan.
13. Pastikan mitra pengendali/pemroses Anda juga patuh.

GDPR berlaku bagi organisasi, pengendali, dan pemroses data yang berada di dalam maupun di luar UE, yang menawarkan barang atau jasa kepada subjek data di UE. GDPR juga berlaku bagi organisasi, seperti organisasi pemasaran atau pihak yang memasok maupun menggunakan data yang memantau perilaku subjek di UE.

Pengendali menentukan tujuan, kondisi, dan cara pemrosesan data pribadi, sedangkan pemroses memproses data pribadi tersebut atas nama pengendali.