Panduan untuk GDPR: Peraturan Perlindungan Data Umum

Peraturan Perlindungan Data Umum (GDPR) disahkan pada Mei 2018 dalam upaya untuk melindungi warga dari pelanggaran data karena kelalaian atau aktor jahat. Peraturan Eropa adalah salah satu dari banyak peraturan yang mencoba membuat lingkungan digital lebih aman bagi konsumen: CCPA di California, LGPD di Brasil, PIPL di Cina, PIPEDA di Kanada.

GDPR adalah respons terhadap kekhawatiran publik yang berkembang di Eropa atas privasi data. Uni Eropa telah menggunakan peraturan tersebut untuk melindungi perlindungan data di UE dan Wilayah Ekonomi Eropa dengan penegakan aturan yang ketat, wewenang investigasi, dan denda besar untuk ketidakpatuhan atau dalam kasus pelanggaran data.

GDPR memberikan perlindungan data konsumen termasuk:

1. Hak untuk diberitahu
2. Hak akses
3. Hak untuk memperbaiki
4. Hak untuk menghapus
5. Hak untuk membatasi pemrosesan
6. Hak atas portabilitas data
7. Hak untuk menolak
8. Hak terkait dengan pengambilan keputusan dan pembuatan profil otomatis

Siapa yang Perlu Peduli Tentang Kepatuhan GDPR

Tak perlu dikatakan bahwa jika Anda adalah perusahaan Eropa, atau perusahaan yang melakukan bisnis apa pun di Eropa, Anda harus mengetahui persyaratan GDPR.

Bisnis di Amerika Serikat juga harus memperhatikan GDPR karena, meskipun regulasi khusus Eropa, hal itu memengaruhi bisnis di luar UE dan EEA yang juga menangani data konsumen Eropa. Ekonomi global tidak terisolasi dan ada banyak limpahan; Anda harus memeriksa vendor yang bekerja sama dengan Anda untuk memastikan bahwa mereka memenuhi persyaratan kepatuhan untuk menghindari kewajiban apa pun.

Jika Anda adalah perusahaan e-niaga, Anda sebagai pedagang adalah pengontrol data yang bertanggung jawab atas data konsumen Anda. Memilih mitra yang tepat untuk diajak bekerja sama akan menjadi bagian dari cara Anda mencapai kepatuhan penuh. Misalnya, Shopify memiliki banyak sumber daya terkait GDPR untuk membantu Anda memahami kewajiban Anda dan untuk menunjukkan kepatuhan mereka sendiri.

Konsumen AS juga harus memiliki minat pada GDPR karena mungkin menguntungkan mereka tanpa mereka sadari. GDPR menjamin perlindungan tidak hanya untuk warga negara Eropa tetapi juga setiap konsumen yang datanya diperdagangkan di Eropa, seperti mereka yang berkunjung untuk liburan atau bisnis. Ini juga harus berfungsi sebagai pengingat jenis data apa yang dilindungi dan tidak dilindungi di Amerika Serikat.

Sikap Konsumen Terhadap Perlindungan Data

Laporan Privasi & Keamanan Data RSA telah mensurvei lebih dari 7.500 konsumen di seluruh Prancis, Jerman, Italia, Inggris, dan AS tentang “dampak privasi, data, dan peraturan terhadap hubungan mereka dengan bisnis.”

Ini menunjukkan ketidakpercayaan pemasar online dan ketakutan akan peretas karena “Lebih dari 40% responden mengaku memalsukan informasi dan data pribadi saat mendaftar untuk produk dan layanan online” untuk menghindari dipasarkan atau kehilangan data sensitif.

80% responden menyebutkan informasi keuangan dan perbankan sebagai kekhawatiran karena data terekspos dalam pelanggaran data, serta khawatir tentang kata sandi mereka (76%) dan informasi identitas seperti paspor dan SIM (72%).

Demografi menarik lainnya termasuk bahwa 51% responden Jerman protektif atas data genetik mereka, dan 51% generasi muda milenium (usia 18-24) khawatir tentang informasi pribadi yang digunakan untuk pemerasan.

Ada keharusan untuk membangun ruang online yang dapat dipercaya oleh konsumen, tetapi ada juga insentif bagi bisnis untuk meningkatkan praktik keamanan data mereka: 82% responden Inggris mengklaim bahwa mereka akan memboikot perusahaan yang terus-menerus menunjukkan bahwa mereka tidak menghargai melindungi data pelanggan.

Meskipun ancaman boikot mungkin tidak cukup menjadi insentif bagi perusahaan untuk mengatur diri sendiri, negara-negara Eropa telah mengembangkan kerangka peraturan yang substansial dan progresif yang memaksa perusahaan untuk menganggap serius masalah keamanan data, dan mereka tidak takut menerapkan denda besar untuk menunjukkan keseriusan masalah.

Jenis Data Pribadi Apa yang Dilindungi oleh GDPR

Sebagai bagian dari peraturan kepatuhan GDPR yang luas, perusahaan harus melindungi data konsumen termasuk:

• Informasi pengenal pribadi (PII), seperti nama, alamat, dan nomor ID.
• Data web, seperti alamat IP, data cookie, dan tag RFID.
• Data kesehatan dan genetik.
• Pendapat politik.
• Orientasi seksual.

Manfaat GDPR

GDPR menyeluruh dan progresif. Denda tinggi yang dikenakan mungkin telah mengganggu Google, tetapi itu adalah sarana untuk mencapai tujuan – tujuan yang lebih aman, lingkungan digital yang lebih aman yang melindungi konsumen dan meminta pertanggungjawaban perusahaan untuk merancang sistem yang lebih baik. CEO Apple Tim Cook telah mengatakan bahwa "itu harus menjadi hukum di seluruh dunia," dan bahwa pemerintah harus mengambil sikap untuk privasi data konsumen.

Meskipun GDPR mungkin tidak berlaku untuk semua perusahaan Amerika Utara, menjadi pengadopsi awal praktik keamanan data bermanfaat bagi bisnis Anda. Michael Fimin, menulis di majalah Forbes, mengakui lima manfaat kepatuhan GDPR.

1. Keamanan Siber yang Ditingkatkan

GDPR “mengharuskan organisasi untuk mengidentifikasi strategi keamanan mereka dan mengadopsi langkah-langkah administratif dan teknis yang memadai untuk melindungi data pribadi warga negara Uni Eropa.” Menerapkan praktik-praktik ini akan mengamankan data Anda dan meningkatkan keamanan siber Anda.

2. Peningkatan Manajemen Data

Saat meninjau pengumpulan dan penyimpanan data Anda, “singkirkan file yang berlebihan, usang, dan sepele (ROT) yang disimpan organisasi Anda”, dan buat data Anda dapat ditelusuri. Karyawan Anda akan lebih efisien jika sistem Anda ramping, dapat diindeks, dan dapat dicari.

3. Peningkatan ROI Dengan Prospek yang Lebih Berkualitas

Ketika Anda telah mengubah kebijakan cookie Anda menjadi kebijakan yang harus diikuti oleh pengguna, Anda mungkin memiliki kumpulan data yang lebih kecil, tetapi karena semua orang di kumpulan itu harus secara aktif membuat keputusan untuk mengizinkan Anda menggunakan data mereka, mereka harus dianggap lebih mumpuni.

4. Kepercayaan Konsumen

Konsumen khawatir tentang bagaimana data mereka dikumpulkan, digunakan, dan terpapar risiko secara online. Melampaui dan melampaui persyaratan Amerika untuk mengamankan data pelanggan Anda ke standar GDPR menyoroti seberapa besar Anda menghargai data pribadi mereka dan seberapa serius Anda menanggapi ancaman pelanggaran data.

5. Diferensiasi Pasar

Menjadi pengadopsi awal memiliki banyak manfaat. Anda dapat melalui banyak iterasi praktik keamanan data untuk menyempurnakan sistem Anda sebelum pengguna yang terlambat memasuki ruang itu, Anda mengantisipasi persyaratan dari setiap peraturan di masa depan dan dapat mencapai kepatuhan sebelum diwajibkan atau dapat diterapkan, dan itu akan memberi Anda diferensiasi pasar di lautan pesaing yang belum bergerak pada keamanan data. Seperti yang dikatakan Fimin, kepatuhan GDPR adalah peluang Anda untuk “menerapkan budaya bisnis baru yang menghargai privasi manusia. GDPR adalah kesempatan Anda untuk unggul.”

Kekurangan GDPR

Kekhawatiran terhadap peraturan yang berat seperti itu adalah bahwa biaya kepatuhan mungkin menjadi penghalang masuknya perusahaan baru di ruang digital, yang telah dianggap sebagai lingkungan yang menghargai risiko, inovasi, dan gangguan dari perusahaan baru. Perusahaan skala cepat mungkin kurang kompetitif dengan pesaing yang lebih besar yang sudah ada di pasar.

Untuk perusahaan yang lebih besar, atau perusahaan yang menangani data pribadi dalam jumlah besar, ada biaya yang terkait dengan mempekerjakan atau mempromosikan Petugas Perlindungan Data yang bertugas mengamankan data dan mematuhi otoritas Eropa. Denda mungkin besar dan kuat, tetapi begitu juga biaya yang terkait dengan kepatuhan. Overhead tambahan mungkin menjadi lonceng kematian bagi UKM.

Kepatuhan adalah sesuatu yang perlu dikelola secara aktif. Perusahaan yang lebih kecil mungkin tidak dapat mengikuti kepatuhan dalam kapasitas yang sama dengan perusahaan yang lebih besar. Ini mempertahankan keunggulan kompetitif yang sudah dimiliki oleh perusahaan-perusahaan besar ini.

Keterbatasan bagaimana perusahaan dapat mengumpulkan, menyimpan, dan menggunakan data akan berdampak pada sisi teknis periklanan yang diandalkan oleh banyak UKM. Tanpa wawasan tentang data berkualitas untuk tujuan pemasaran, perusahaan mengalami kesulitan menjangkau audiens yang dituju, dan konsumen mungkin akan disuguhi iklan yang kurang relevan. Periklanan yang hebat menguntungkan konsumen dan pengiklan ketika produk yang tepat diletakkan di depan mata yang tepat.

Kritik lain terhadap GDPR adalah bahwa hal itu sudah terlalu jauh dan bahwa regulasi yang berlebihan akan menyebabkan konsumen terus-menerus dimintai persetujuan secara online. Entah pengguna akan bertemu dengan spanduk cookie konstan, atau perusahaan tidak akan mengumpulkan data sensitif sejak awal, alih-alih menggunakan analitik data alternatif untuk mencapai kepatuhan tanpa permintaan keikutsertaan yang dibuat untuk pengunjung situs web.

Cara Mencapai Kepatuhan GDPR

Privasi data adalah masalah global, dan GDPR berdampak pada perusahaan mana pun yang menangani data penduduk UE. Jika situs web Anda mengumpulkan data pengguna dengan perangkat lunak analitik, peraturan ini memengaruhi Anda, dan Anda harus beralih dari pengumpulan data opt-out ke opt-in.

Audit data yang Anda kumpulkan.

Pahami jenis data yang Anda proses, cara penyimpanannya, dan siapa di organisasi Anda yang memiliki akses ke data tersebut. Pantau vendor Anda yang mengumpulkan data dari situs web Anda, dan periksa pernyataan mereka tentang kepatuhan terhadap GDPR.

Alamat privasi di setiap tingkat.

Jangan hanya memperhatikan bagaimana sistem dirancang atau bagaimana informasi disimpan, tetapi juga siapa yang memiliki akses lokal ke akun.

Ambil pendekatan berbasis risiko.

Kepatuhan keamanan data membutuhkan kolaborasi; kumpulkan wawasan dan masukan dari semua orang di organisasi Anda. Dengan bersatu untuk mengidentifikasi risiko terbesar Anda dan memprioritaskan perbaikannya, Anda dapat mengenali risiko Anda secara efektif dan mencapai kepatuhan.

Kontrol Data

Konsumen Eropa sekarang memiliki hak yang lebih luas atas bagaimana data pribadi mereka dikumpulkan dan bagaimana data tersebut digunakan, tetapi mereka juga memiliki hak untuk 'portabilitas data', yang berarti bahwa mereka dapat meminta salinan data pribadi yang disimpan tentang mereka atau memintanya diperbaiki atau dihapus.

Bisnis yang banyak berinvestasi di ruang digital dan lalu lintas data pribadi di tingkat mana pun harus mengembangkan praktik dan teknologi yang memungkinkan mereka mematuhi peraturan dengan mudah.

• Terus pantau dan amankan aset digital.
• Letakkan kontrol yang tepat untuk melindungi data dari pelanggaran.
• Membuat data tersedia untuk subjek data dalam 'waktu yang wajar.'

Apa Yang Terjadi Jika Anda Tidak Mematuhi: Hukuman GDPR

Hukuman profil tinggi untuk GDPR sangat besar. Pada tahun pertama aturan baru, Google diberi denda sebesar €50 juta. Intersoft Consulting menulis tentang denda GDPR yang dirancang untuk "efektif, proporsional, dan menghalangi setiap kasus individu."

Peraturan tersebut ditulis dengan struktur denda berjenjang dua untuk perusahaan yang menghukum:

Pelanggaran kecil “dikenakan denda administratif hingga €10 juta, atau dalam kasus usaha, hingga 2 persen dari total omset tahunan di seluruh dunia dari tahun keuangan sebelumnya, mana yang lebih tinggi.”

Pelanggaran serius “dikenakan denda administratif hingga €20 juta, atau dalam kasus usaha, hingga 4 persen dari total omset tahunan di seluruh dunia pada tahun keuangan sebelumnya, mana yang lebih tinggi.”

Hukuman dapat diputuskan dengan pertimbangan:

• sifat, berat dan lamanya pelanggaran dengan mempertimbangkan sifat ruang lingkup atau tujuan pemrosesan yang bersangkutan serta jumlah subjek data yang terpengaruh dan tingkat kerusakan yang dideritanya.
• sifat pelanggaran yang disengaja atau lalai.
• setiap tindakan yang diambil oleh pengontrol atau prosesor untuk mengurangi kerusakan yang diderita oleh subjek data.
• tingkat tanggung jawab pengontrol atau pemroses dengan mempertimbangkan langkah-langkah teknis dan organisasional yang diterapkan oleh mereka.
• pelanggaran sebelumnya yang relevan oleh pengontrol atau prosesor.
• tingkat kerjasama dengan otoritas pengawas, untuk memperbaiki pelanggaran dan mengurangi kemungkinan dampak merugikan dari pelanggaran tersebut.
• kategori data pribadi yang terpengaruh oleh pelanggaran tersebut.
• cara pelanggaran diketahui oleh otoritas pengawas, khususnya apakah, dan jika demikian sejauh mana, pengontrol atau pemroses memberi tahu pelanggaran tersebut.
• di mana tindakan-tindakan sebagaimana dimaksud dalam Pasal 58(2) sebelumnya telah diperintahkan terhadap pengontrol atau pengolah yang bersangkutan sehubungan dengan hal-hal yang sama, kepatuhan terhadap tindakan-tindakan tersebut.
• kepatuhan terhadap kode etik yang disetujui menurut Pasal 40 atau mekanisme sertifikasi yang disetujui menurut Pasal 42.
• faktor lain yang memberatkan atau meringankan yang berlaku untuk keadaan kasus tersebut, seperti keuntungan finansial yang diperoleh, atau kerugian yang dihindari, secara langsung atau tidak langsung, dari pelanggaran tersebut.

Berapa denda rata-rata untuk pelanggaran GDPR?

GDPR menjadi undang-undang pada Mei 2018, dan di sisa tahun itu saja, 91 denda dikeluarkan dengan total €55.955.871. Untuk sebagian besar, denda dalam jumlah besar yang mendapat perhatian paling besar, tetapi tidak semua denda GDPR dipublikasikan atau menjadi berita utama. Saat Anda menghapus denda outlier €50 juta yang diserahkan ke Google dari data, denda GDPR rata-rata yang dihadapi perusahaan adalah sekitar €66.000.

Otoritas Perlindungan Data Belanda (DPA) menerbitkan pedoman mereka untuk menghukum pelanggaran pada Maret 2019. Mereka mengembangkan sistem hukuman berjenjang dengan empat kategori tergantung pada tingkat keparahan pelanggaran.

Kategori I berlaku dalam kasus pelanggaran sederhana atau klerikal, seperti “gagal membagikan detail kontak Data Protection Officer (DPO) perusahaan atau untuk mencatat secara memadai tanggung jawab pemroses atau pengontrol bersama.” Kisaran baik €0 – €200,000; hukuman standar € 100.000.

Kategori II berlaku jika perusahaan tidak memenuhi kewajiban dan persyaratan GDPR tertentu. Kisaran baik €120.000 – €500.000; hukuman standar € 310.000.

Kategori III berlaku ketika perusahaan menolak untuk bersikap transparan dengan penggunanya atau dengan Otoritas Perlindungan Data Belanda (DPA), menolak untuk memberi tahu DPA tentang pelanggaran, atau menolak untuk bekerja sama dengan DPA. Kisaran baik €300.000 – €750.000; penalti standar €525.000.

Kategori IV berlaku ketika perusahaan terlibat dalam pemrosesan data sensitif yang melanggar hukum, pembuatan profil ilegal, atau menolak untuk mematuhi arahan khusus dari DPA Belanda. Kisaran baik €450.000 – €1.000.000; penalti standar €725.000*
*Hanya jika berlaku €20.000.000 / 4% dari omset tahunan

Contoh Penting dari Penegakan GDPR

Pada Musim Gugur 2020, Marriott dan British Airways sama-sama dikenai denda besar menyusul pelanggaran data terpisah pada 2018 yang berdampak buruk bagi konsumen.

British Airways | $25,85 juta | Inggris Raya, 2020

British Airways didenda $25,85 juta, dan 400.000 data pelanggan mereka telah dibobol dalam pelanggaran data. Denda yang diberikan kepada mereka oleh Kantor Komisaris Informasi (ICO) adalah untuk kelemahan keamanan data mereka setelah penyelidikan menemukan bahwa mereka telah memproses “sejumlah besar data pribadi tanpa langkah-langkah keamanan yang memadai.”

Meskipun denda itu adalah denda terbesar yang diberikan ICO, mereka awalnya mengusulkan denda $229 juta sebelum mempertimbangkan dampak ekonomi Covid-19 terhadap industri penerbangan. ICO juga memberikan kredit kepada BA untuk “peningkatan yang cukup besar untuk keamanan TI-nya” setelah serangan dan untuk mematuhi penyelidik – keduanya membantu menurunkan total denda asli.

Marriott Internasional | $23,8 juta | Inggris Raya, 2020

Pada tahun 2020, Hotel Marriott dikenai denda $23,8 juta karena pelanggaran data yang mengekspos 339 juta catatan tamu, yang memengaruhi 30 juta pengguna di seluruh UE. Hal yang menarik tentang kasus Marriott adalah bahwa pelanggaran asli telah dilakukan pada tahun 2014 tetapi tidak ditemukan hingga tahun 2018, dan “hukuman hanya mencakup sebagian pelanggaran yang terjadi pada tanggal 25 Mei 2018 — ketika GDPR mulai berlaku. .”.

Seperti denda British Airways, yang diberikan hanya beberapa minggu sebelum denda Marriott, pemerintah Inggris mengurangi jumlah total denda dari $123 juta karena dampak ekonomi Covid-19 serta upaya mitigasi dan kepatuhan dari perusahaan.

Google | $57 juta | Prancis, 2018

Google, sejak dimulainya GDPR, telah membuat marah regulator data Prancis. Pada tahun 2018, perusahaan didenda €50 juta karena “kurangnya transparansi, informasi yang tidak memadai, dan kurangnya persetujuan yang sah mengenai personalisasi iklan.”

Google | $121 juta | Prancis, 2020

Pada akhir 2020, regulator Prancis kembali memberi Google denda sebesar €100 juta, meskipun Google saat ini sedang memperjuangkan jumlah tersebut di pengadilan. Denda itu karena ketika pengguna mengunjungi google.fr "tujuh cookie ditempatkan pada peralatan terminal mereka, sebelum tindakan apa pun dari pihak mereka."

Amazon | $42 juta | Prancis, 2020

Amazon juga didenda €35 juta oleh regulator Prancis untuk pelanggaran cookie yang sama. Otoritas Prancis menetapkan bahwa baik Google maupun Amazon tidak memenuhi “persyaratan informasi sebelumnya, jelas, dan lengkap untuk pengguna, atau persyaratan untuk mendapatkan persetujuan mereka dan bahwa mekanisme untuk menentang cookie ini sebagian rusak.”

H&M | $41,3 juta | Jerman, 2020

Sementara contoh penegakan GDPR terkenal lainnya disebabkan oleh konsumen yang terpengaruh oleh pelanggaran data dan praktik perusahaan, denda H&M adalah karena mengawasi karyawannya sendiri secara ilegal di Jerman.

Otoritas Perlindungan Data Hamburg (HmbBfDI) mengumumkan denda tersebut, yang terbesar di Jerman sejak penerapan GDPR, setelah perusahaan tersebut terbukti memantau kehidupan pribadi karyawannya secara berlebihan. Setidaknya sejak 2014, beberapa anggota staf telah menjadi sasaran “rekaman ekstensif detail tentang kehidupan pribadi mereka”.

“Setelah absen seperti liburan dan cuti sakit, para pemimpin tim pengawas melakukan apa yang disebut Welcome Back Talks dengan karyawan mereka. Setelah pembicaraan ini, dalam banyak kasus tidak hanya pengalaman liburan konkret karyawan yang direkam, tetapi juga gejala penyakit dan diagnosa,” kata HmbBfDI. “Selain itu, beberapa penyelia memperoleh pengetahuan luas tentang kehidupan pribadi karyawan mereka melalui pembicaraan pribadi dan lantai, mulai dari detail yang agak tidak berbahaya hingga masalah keluarga dan keyakinan agama.”

Praktik pengumpulan data terungkap pada Oktober 2019 setelah kesalahan internal memungkinkan informasi dapat diakses selama beberapa jam. Prof. Dr. Johannes Casper, Komisaris Hamburg untuk Perlindungan Data dan Kebebasan Informasi, mengatakan tentang denda tersebut: “Jumlah denda yang dikenakan oleh karena itu cukup dan efektif untuk mencegah perusahaan melanggar privasi karyawan mereka.”

Pemikiran Kami Tentang GDPR

GDPR adalah tindakan progresif dan komprehensif yang menetapkan standar untuk perlindungan data yang melindungi konsumen, dan itu adalah hal yang baik untuk individu. Hukuman dirancang agar proporsional dan efektif, untuk memaksa perusahaan melihat seberapa serius masalah perlindungan data dan untuk mencegah ketidakpatuhan.

Saya orang Eropa, jadi saya mungkin bias; GDPR sejalan dengan kepekaan Eropa saya. Tetapi prioritas saya adalah dengan perusahaan yang saya berikan nilai, dan saya percaya bahwa praktik keamanan data yang ditingkatkan juga merupakan kepentingan terbaik mereka.

Ya, perubahan tersebut mungkin menimbulkan beberapa kesulitan bagi perusahaan yang tidak dapat mematuhi dengan cukup cepat atau membayar biaya untuk mempekerjakan profesional kepatuhan untuk mengelola risiko tertentu. Namun, dendanya cukup mahal untuk mempertimbangkan berinvestasi pada profesional kepatuhan atau setidaknya mengaudit risiko Anda yang ada.

Ini membantu bahwa lembaga penegak data Eropa bekerja dengan pengontrol data untuk mengurangi dampak dari setiap, atau potensi, pelanggaran. Bukan hanya karena mereka memberikan hukuman, mereka secara aktif ingin lingkungan digital menjadi lebih aman, lebih cerdas, dan lebih baik; untuk mengembalikan kepercayaan konsumen di ruang digital; dan untuk memberikan hak dan perlindungan kepada pengguna atas data pribadi mereka.

Dengan pendekatan keikutsertaan untuk pemasaran ulang kepada pengunjung situs web Anda, pemasaran ulang dapat menjadi lebih ramping. Anda dapat diyakinkan bahwa pengguna di daftar Anda membuat keputusan sadar untuk ikut serta di sana. Memiliki sistem untuk mengatur dan mengaudit data Anda sendiri juga membersihkan banyak gangguan dalam data; menghapus data yang berlebihan, usang, dan sepele (ROT). Data Anda akan menjadi emas, Anda ingin melindunginya, dan tim Anda akan menjadi lebih efisien untuk itu.

Kami bukan pengacara; kami tidak dapat membantu Anda mengaudit dan mencapai kepatuhan dalam keamanan siber, tetapi kami dapat membangun situs web hebat yang akan memenuhi persyaratan GDPR, dan kami dapat bekerja bersama tim manajemen data Anda untuk menciptakan lingkungan digital yang akan membangun kepercayaan konsumen terhadap merek Anda dan memenuhi tujuan bisnis Anda.