Peraturan Perlindungan Data Umum (General Data Protection Regulation) atau GDPR adalah undang-undang Uni Eropa (UE) yang mengatur cara organisasi di dalam dan di luar UE menangani data pribadi penduduk UE. GDPR diadopsi oleh Parlemen Eropa dan Dewan Uni Eropa pada tahun 2016 dan mulai berlaku pada 25 Mei 2018.
Secara khusus, GDPR
- menjelaskan cara yang disetujui secara hukum untuk mentransfer dan memproses data pribadi;
- memerinci bagaimana organisasi harus melindungi data pribadi saat disimpan dan saat dikirimkan; dan
- menetapkan hak penduduk UE atas pengumpulan, penggunaan, dan kepemilikan data pribadi.
GDPR mendefinisikan data pribadi sebagai informasi apa pun yang berkaitan dengan manusia yang dapat diidentifikasi, termasuk pengidentifikasi langsung dan tidak langsung. Pengidentifikasi langsung adalah titik data unik seseorang, seperti nama atau nomor kartu kredit. Pengidentifikasi tidak langsung mencakup sifat-sifat non-unik yang masih dapat mengidentifikasi seseorang, seperti karakteristik fisik dan tanggal lahir.
Dalam istilah GDPR, subjek data adalah orang yang berkaitan dengan data tersebut. Misalnya, jika perusahaan mengumpulkan alamat email, pemilik alamat tersebut akan menjadi subjek data.
Meskipun GDPR adalah undang-undang Eropa, jangkauannya bersifat global. Regulasi ini berlaku bagi semua organisasi di mana pun yang mengumpulkan atau menggunakan data pribadi penduduk UE.
Untuk membantu organisasi memenuhi persyaratan GDPR, IBM meningkatkan komitmen berkelanjutan terhadap privasi data yang terencana. IBM berupaya untuk menanamkan prinsip perlindungan data lebih dalam lagi ke dalam proses bisnisnya. Upaya ini juga memperkuat perlindungan yang sudah ada untuk membatasi akses ke data pribadi, termasuk aplikasi mobile yang mencegah pembagian data pribadi secara default.
Sebagai bagian dari upaya ini, banyak penawaran dan layanan IBM Cloud yang memegang Sertifikasi Kode Etik Cloud Uni Eropa (EU Cloud CoC). Persyaratan EU Cloud CoC menyediakan kerangka kerja bagi Penyedia Layanan Cloud (Cloud Service Provider, CSP) untuk menunjukkan kemampuan mereka dalam mematuhi GDPR. Untuk mengetahui informasi lebih lanjut tentang penawaran dan layanan IBM Cloud spesifik yang telah memperoleh Sertifikasi EU Cloud CoC, kunjungi halaman EU Cloud CoC kami atau baca Verifikasi Deklarasi Kepatuhan kami.
Untuk mendapatkan informasi lebih lanjut tentang IBM Security and Privacy, silakan kunjungi IBM Trust Center.
Untuk mendapatkan informasi lebih lanjut tentang Ketentuan Kontrak Privasi Data IBM, baca Ketentuan IBM, bagian Perlindungan Data.
Untuk mengajukan pertanyaan terkait privasi data, hubungi tim privasi IBM secara langsung di chiefprivacyoffice@ca.ibm.com.
Aturan dan prinsip penanganan data GDPR berlaku untuk semua pengontrol dan pemroses data yang aktif di EEA, yang mencakup semua 27 negara anggota Uni Eropa ditambah Islandia, Liechtenstein, dan Norwegia.
Pengontrol data (pengontrol) adalah organisasi, otoritas publik, atau kelompok atau orang lain yang mengumpulkan data pribadi dan menentukan cara data tersebut digunakan. Sebagai contoh, sebuah situs media sosial yang menyimpan database pengguna akan menjadi pengontrol.
Pemroses data (pemroses) adalah organisasi apa pun yang bertindak terhadap data pribadi dengan cara tertentu, misalnya menganalisis, menyimpan, atau mengubah data tersebut. Sebuah perusahaan dapat menjadi pengontrol sekaligus pemroses. Pemroses juga dapat berupa organisasi pihak ketiga yang memproses data atas nama pengontrol, misalnya penyedia layanan cloud yang menawarkan penyimpanan data dan analisis.
Semua pengontrol dan pemroses yang berbasis di EEA tunduk pada GDPR, meskipun mereka menyimpan dan memproses data di luar EEA.
Bisnis yang berbasis di luar EEA tunduk pada GDPR jika memenuhi salah satu dari persyaratan berikut:
- Perusahaan secara teratur menawarkan barang dan jasa kepada penduduk EEA, meskipun tidak ada uang yang berpindah tangan.
- Perusahaan secara rutin memantau aktivitas penduduk EEA, misalnya dengan menggunakan cookie pelacak.
- Perusahaan memproses data atas nama pengontrol yang berbasis di EEA.
Satu-satunya kegiatan pemrosesan data yang dikecualikan dari GDPR adalah kegiatan keamanan nasional atau penegakan hukum dan penggunaan data yang murni pribadi.
GDPR menetapkan beberapa prinsip yang harus dipatuhi oleh pengontrol dan pemroses saat menangani data pribadi. Secara umum, prinsip-prinsip ini menyatakan bahwa semua kegiatan pemrosesan harus didefinisikan dengan jelas, transparan, dan adil.
Berdasarkan prinsip pembatasan tujuan, perusahaan harus memiliki tujuan spesifik dan sah untuk setiap data yang mereka kumpulkan. Mereka harus menyampaikan tujuan tersebut kepada pengguna dan hanya mengumpulkan jumlah data minimum yang diperlukan untuk tujuan tersebut.
Perusahaan juga harus menggunakan data secara adil. Mereka harus terus memberikan informasi kepada pengguna tentang pemrosesan data pribadi dan mematuhi aturan perlindungan data. Berdasarkan prinsip pembatasan penyimpanan, perusahaan hanya boleh menyimpan data pribadi sampai tujuannya terpenuhi. Data harus dihapus setelah tidak diperlukan lagi.
GDPR mendefinisikan dasar hukum yang dapat digunakan perusahaan untuk memproses data pribadi. Setidaknya salah satu dari ketentuan ini harus dipenuhi, jika tidak, pemrosesan tersebut akan menjadi ilegal.
Subjek data menyetujui agar datanya diproses. Perusahaan dapat memproses data seseorang jika orang tersebut menyetujuinya. Persetujuan hanya sah jika diberikan secara terinformasi, tegas, dan sukarela.
Untuk mendapatkan persetujuan terinformasi, perusahaan harus menjelaskan dengan gamblang data apa yang dikumpulkan dan cara perusahaan akan menggunakan data tersebut. Untuk mendapatkan persetujuan yang tegas, pengguna harus mengambil tindakan secara sadar untuk menunjukkan persetujuannya, misalnya dengan menandatangani pernyataan atau mencentang kotak. Persetujuan tidak boleh menjadi opsi default, sehingga hal-hal seperti kotak yang sudah lebih dahulu dicentang merupakan hal yang melanggar GDPR. Untuk mendapatkan persetujuan sukarela, perusahaan tidak dapat memengaruhi atau memaksa subjek dengan cara apa pun. Perusahaan tidak dapat meminta persetujuan untuk menggunakan layanan kecuali jika pemrosesan tersebut diperlukan agar layanan dapat berfungsi. Sebagai contoh, sebuah perusahaan mungkin membutuhkan nomor kartu kredit seseorang untuk menjual sesuatu kepada orang tersebut, tetapi perusahaan ini mungkin tidak membutuhkan alamat IP orang yang bersangkutan.
Perusahaan tidak dapat menggabungkan persetujuan jika data sedang diproses untuk beberapa tujuan. Subjek harus dapat menerima atau menolak setiap aktivitas pemrosesan secara terpisah. Organisasi harus menyimpan catatan persetujuan. Subjek dapat menarik persetujuannya kapan pun. Jika subjek telah menarik persetujuan, pemrosesan harus dihentikan.
Data harus diproses untuk melaksanakan kontrak dengan subjek data atau atas nama subjek data. Sebagai contoh, jika seseorang mengajukan pinjaman, bank mungkin perlu memproses data keuangan dan riwayat pekerjaan orang tersebut.
Pengontrol mempunyai kewajiban hukum untuk memproses data. Sebagai contoh, beberapa regulasi layanan kesehatan mewajibkan rumah sakit untuk menyimpan data pasien.
Data harus diproses untuk melindungi kepentingan vital subjek atau orang lain. Hal ini mengacu pada situasi ketika data harus diproses untuk menyelamatkan nyawa seseorang atau mencegah bahaya.
Data harus diproses untuk melaksanakan tugas yang merupakan kepentingan publik atau bagian dari wewenang resmi pengontrol. Jurnalisme adalah contoh umum atas alasan kepentingan publik untuk memproses data pribadi. Instansi pemerintah dapat memproses data pribadi untuk menjalankan fungsi resminya.
Data harus diproses untuk memenuhi kepentingan yang sah dari pengontrol atau pihak ketiga. Kepentingan yang sah adalah manfaat yang dapat diperoleh perusahaan melalui pemrosesan data. Contohnya mencakup melakukan pemeriksaan latar belakang karyawan atau melacak alamat IP di jaringan perusahaan untuk tujuan keamanan siber. Agar dapat dianggap memiliki kepentingan yang sah, pemrosesan harus bersifat wajib. Perusahaan tidak dapat mengakui memiliki kepentingan yang sah jika dapat menyelesaikan tugas tanpa data yang dimaksud. Ekspektasi subjek data juga harus wajar terhadap pemrosesan tersebut. Jika subjek mungkin akan terkejut mendengar bahwa data mereka digunakan dengan cara tertentu, kemungkinan besar perusahaan tidak memiliki alasan kepentingan yang sah. Hak-hak subjek data umumnya diutamakan daripada kepentingan sah perusahaan.
Organisasi harus menetapkan dan mendokumentasikan dasar-dasar mereka sebelum mengumpulkan data. Mereka harus mengomunikasikan dasar-dasar ini kepada pengguna. Setelah menyampaikan informasi tersebut, perusahaan tidak dapat mengubah dasar-dasar mereka tanpa persetujuan subjek.
GDPR menganggap beberapa jenis data sangat sensitif. Kategori khusus ini mencakup informasi antara lain tentang ras atau etnis seseorang, keyakinan agama, pendapat politik dan data biometrik.
Perusahaan hanya dapat memproses data kategori khusus dalam keadaan yang sangat spesifik. Ini termasuk, tetapi tidak terbatas pada:
Subjek telah memberikan persetujuan eksplisit.
Pemrosesan diperlukan untuk penelitian ilmiah atau sejarah.
Data tentang hukuman pidana hanya dapat dikendalikan oleh otoritas resmi dan diproses atas arahan otoritas tersebut.
Selain mengikuti prinsip-prinsip pemrosesan dan menetapkan dasar hukum untuk semua aktivitas pemrosesan, organisasi harus mengikuti beberapa aturan lain agar sesuai dengan GDPR.
Jika sebuah perusahaan ingin memproses data dengan cara yang menimbulkan risiko signifikan terhadap subjek data, perusahaan harus terlebih dahulu melakukan penilaian dampak perlindungan data. Situasi yang dapat memicu penilaian dapat mencakup pemrosesan otomatis atau pemrosesan data sensitif berskala besar.
Penilaian harus menjelaskan seluk-beluk pemrosesan, menjelaskan alasan perlunya pemrosesan, mengevaluasi risiko, dan mencari cara untuk memitigasi risiko tersebut. Jika penilaian menunjukkan bahwa terdapat risiko signifikan yang tidak dapat dimitigasi, perusahaan harus berkonsultasi dengan otoritas perlindungan data yang relevan sebelum melanjutkan.
Berdasarkan GDPR, beberapa perusahaan wajib menunjuk pejabat perlindungan data (DPO). DPO adalah pejabat independen yang bertanggung jawab atas kepatuhan perusahaan terhadap GDPR. Perusahaan tidak dapat melakukan pembalasan terhadap DPO yang melaksanakan tugasnya.
Tanggung jawab DPO termasuk memberi saran kepada organisasi tentang GDPR dan undang-undang perlindungan data lainnya, mengawasi penilaian dampak perlindungan data, dan bertindak sebagai titik kontak bagi badan regulasi pemerintah dan subjek data.
Semua otoritas publik harus menunjuk DPO. Perusahaan swasta harus menunjuk DPO jika mereka memantau subjek data dalam skala besar atau memproses data kategori khusus sebagai kegiatan inti. Selain itu, perusahaan di luar Eropa harus menunjuk perwakilan di EEA jika mereka secara teratur memproses data penduduk EEA atau data yang sangat sensitif.
Pengontrol data bertanggung jawab atas semua data yang mereka bagikan kepada pemroses dan pihak ketiga. Pengontrol dan pemroses sering kali menandatangani perjanjian pemrosesan data formal untuk mematuhi GDPR. Kontrak yang mengikat ini menguraikan detail seperti jenis pemrosesan yang dapat dilakukan pemroses dan jenis tindakan keamanan yang harus mereka terapkan.
Pemroses pihak ketiga hanya dapat memproses data di bawah arahan pengontrol. Mereka tidak dapat menggunakan data pengontrol untuk kepentingan diri sendiri.
Pengontrol di EEA hanya dapat mentransfer data ke pemroses di "negara ketiga" di luar EEA dalam kondisi tertentu. Mereka dapat dengan bebas mentransfer data ke negara ketiga mana pun yang dianggap memiliki undang-undang privasi data yang memadai oleh Komisi Eropa. Pengontrol juga dapat mentransfer data ke pemroses individu yang perlindungannya dianggap memadai oleh Komisi Eropa. Jika baik negara maupun pemroses tidak mendapatkan persetujuan dari Komisi Eropa, transfer mungkin masih diizinkan jika pengontrol dapat memastikan data akan dilindungi.
Pengontrol dan pemroses harus menerapkan langkah-langkah keamanan organisasi dan teknis untuk melindungi data pribadi.
Langkah-langkah organisasi mencakup beberapa proses, antara lain memberi pelatihan seputar aturan GDPR kepada karyawan dan menerapkan kebijakan tata kelola data secara formal.
Kontrol keamanan teknis mencakup perangkat lunak, perangkat keras, dan alat teknologi lainnya. Sebagai contoh, enkripsi dan teknik pseudonimisasi lainnya dapat menyulitkan peretas untuk membobol data pribadi. Misalnya:
- Manajemen identitas dan akses, pencegahan kehilangan data, dan alat keamanan data lainnya dapat menegakkan izin sehingga hanya orang yang tepat yang dapat mengakses data pribadi untuk alasan yang tepat. Solusi pencadangan data dapat memulihkan data yang rusak atau dihapus.
- Platform manajemen informasi dan peristiwa keamanan (security information and event management, SIEM) dapat melacak aktivitas jaringan dan mendeteksi pelanggaran atau penyalahgunaan data, sehingga organisasi dapat merespons insiden dengan lebih cepat.
- Meskipun adanya kerentanan jaringan mungkin tidak melanggar GDPR, hal ini dapat menyebabkan pelanggaran dengan mempermudah peretas menyasar data yang dilindungi. Solusi manajemen kerentanan dan manajemen permukaan serangan dapat membantu perusahaan menemukan dan mengatasi kerentanan tersebut.
GDPR mengarahkan perusahaan untuk mengadopsi prinsip perlindungan data dengan sengaja dan secara default. Dengan kata lain, organisasi harus menjadikan keamanan data sebagai faktor kunci dalam setiap proses, produk, dan sistem yang mereka rancang atau terapkan. Prinsip-prinsip perlindungan data harus menjadi dasar dari semua hal yang dilakukan perusahaan, bukan hanya sebagai tambahan.
Pengontrol harus melaporkan sebagian besar pelanggaran data pribadi kepada otoritas pengawas dalam waktu 72 jam. Jika pelanggaran menimbulkan risiko bagi subjek data—seperti pencurian uang atau identitas—perusahaan harus memberi tahu subjek yang terdampak.
Pemberitahuan pelanggaran harus dikirim langsung kepada korban. Pengumuman publik tidak memadai, kecuali jika komunikasi langsung tidak memungkinkan. Pemberitahuan harus menyertakan perincian tentang jenis data yang dicuri, risiko terhadap subjek, dan cara perusahaan menangani situasi tersebut. Pemberitahuan tersebut juga harus memberi tahu subjek tentang cara menghubungi DPO atau perwakilan lain terkait dengan masalah. Perusahaan tidak perlu memberi tahu subjek apabila pelanggaran tersebut kecil kemungkinannya untuk menimbulkan risiko nyata terhadap subjek. Sebagai contoh, pemberitahuan tidak diperlukan apabila data yang dicuri terenkripsi ketat dan tidak dapat digunakan oleh peretas.
GDPR menetapkan sejumlah hak untuk subjek data dalam yurisdiksinya.
Subjek data berhak mengetahui siapa yang memiliki data mereka, cara mereka mendapatkannya, dan apa yang mereka lakukan dengan data tersebut.
Subjek data memiliki hak untuk mengakses data apa pun yang dimiliki perusahaan.
Subjek data memiliki hak untuk mengoreksi data pribadi yang tidak akurat atau sudah usang.
Terkadang disebut sebagai "hak untuk dilupakan", ini adalah hak subjek untuk meminta perusahaan menghapus data mereka. Perusahaan harus mematuhinya, kecuali jika kepentingan perusahaan terhadap data (misalnya, kewajiban hukum untuk menyimpan catatan tertentu) lebih besar daripada hak ini.
Jika subjek meyakini bahwa datanya tidak akurat, digunakan secara tidak sah, atau tidak lagi diperlukan untuk tujuan perusahaan, subjek dapat meminta perusahaan untuk membatasi penggunaan datanya. Perusahaan harus mematuhi permintaan tersebut, kecuali jika perusahaan dapat membuktikan bahwa mereka memiliki kepentingan lebih utama dalam memproses data.
Subjek memiliki hak untuk memindahkan data mereka dari satu perusahaan ke perusahaan lain. Perusahaan harus memfasilitasi transfer data pribadi dengan menyimpan data dalam format yang dapat dibagikan atau mengirimkannya kepada pihak ketiga atas permintaan subjek.
Subjek data dapat menolak pemrosesan data mereka kapan pun. Perusahaan harus menghentikan pemrosesan, kecuali dan hingga perusahaan dapat membuktikan bahwa pihaknya memiliki alasan sah dan utama untuk melakukannya.
GDPR mendefinisikan pembuatan profil sebagai penggunaan pemrosesan otomatis untuk mengevaluasi beberapa aspek dari seseorang, misalnya memprediksi performa kerja atau perilaku penelusuran web. Perusahaan tidak dapat menggunakan pemrosesan otomatis untuk mengambil keputusan penting tanpa persetujuan dari orang-orang yang terdampak. Subjek berhak mengajukan keberatan atas keputusan yang diambil hanya berdasarkan pemrosesan otomatis. Mereka dapat memberi masukan atas keputusan tersebut dan meminta perusahaan menunjuk karyawan manusia untuk meninjau keputusan tersebut.
GDPR ditegakkan oleh badan regulasi publik yang disebut otoritas perlindungan data (data protection authority, DPA), yang juga dikenal sebagai otoritas pengawas. Setiap negara anggota memiliki DPA tersendiri, yang memiliki yurisdiksi atas perusahaan-perusahaan yang berbasis di negara yang bersangkutan. Otoritas pengawas dapat mengaudit perusahaan, mendengar keluhan dari subjek data, dan menyelidiki pelanggaran. Jika potensi pelanggaran menyangkut subjek dari beberapa negara, penyelidikan dipimpin oleh otoritas pengawas di negara tempat perusahaan atau perwakilannya berada.
Jika terjadi ketidakpatuhan, otoritas pengawas dapat mengenakan denda dan memaksa organisasi untuk melakukan perubahan tertentu. Mereka dapat memaksa perusahaan untuk memenuhi permintaan subjek data dan menghentikan aktivitas pemrosesan data terlarang.
Dewan Perlindungan Data Eropa (European Data Protection Board, EDPB) memfasilitasi koordinasi antar-DPA dan memastikan penerapan aturan GDPR yang konsisten di seluruh EEA.
Denda karena ketidakpatuhan bisa sangat besar. Pelanggaran ringan, misalnya memproses data anak tanpa izin orang tua, dapat mengakibatkan denda hingga 10.000.000 EUR atau 2% dari pendapatan organisasi yang bersangkutan di seluruh dunia pada tahun sebelumnya, mana pun yang lebih tinggi.
Pelanggaran besar, misalnya memproses data untuk tujuan yang melanggar hukum, dapat mengakibatkan denda hingga 20.000.000 EUR atau 4% dari pendapatan organisasi yang bersangkutan di seluruh dunia pada tahun sebelumnya—sekali lagi, mana pun yang lebih tinggi.
Melindungi data penting dan menyederhanakan alur kerja kepatuhan. Guardium Insights memperkokoh keamanan data dengan kemampuan kuat yang membantu mengungkap data bayangan, melindungi informasi sensitif, memberikan visibilitas pusat di seluruh hybrid cloud, dan mengotomatiskan penegakan kebijakan kepatuhan.
Membangun infrastruktur yang aman dan dapat diskalakan dengan biaya lebih rendah. Menerapkan aplikasi baru secara instan dan menskalakan beban kerja yang sangat penting dan sensitif berdasarkan permintaan—semuanya dalam platform yang sangat aman.
Tingkatkan kewaspadaan terhadap pelanggaran data dengan memahami penyebabnya dan faktor-faktor yang dapat meningkatkan atau mengurangi biaya. Belajarlah dari pengalaman lebih dari 550 organisasi yang menjadi korban pelanggaran data.
PII adalah informasi apa pun yang dapat digunakan untuk mengungkap identitas individu tersebut, contohnya nomor jaminan sosial, nama lengkap, atau alamat email.
Perjalanan dimulai dengan kerangka kerja tata kelola data multimodal, didukung oleh arsitektur data yang kuat seperti data fabric.