Panduan Kepatuhan GDPR untuk Startup

General Data Protection Regulation (GDPR) adalah seperangkat aturan bagi perusahaan yang menangani data pribadi individu di Wilayah Ekonomi Eropa (EEA). EEA mencakup semua negara Uni Eropa serta Islandia, Liechtenstein, dan Norwegia. GDPR mulai berlaku pada 25 Mei 2018.

GDPR dianggap sebagai undang-undang perlindungan data paling ketat di dunia. GDPR memberi individu kendali lebih besar atas data pribadi mereka dan menetapkan aturan yang lebih ketat bagi perusahaan saat mengumpulkan, menggunakan, dan melindungi data tersebut.

Jika perusahaan tidak mematuhi aturan ini, perusahaan dapat dikenai denda atau sanksi lainnya. Denda maksimum adalah 20 juta Euro atau 4% dari pendapatan tahunan global perusahaan pada tahun sebelumnya, mana yang lebih tinggi.

Kewajiban berdasarkan GDPR

Ada sejumlah kewajiban dan tanggung jawab yang harus dipatuhi perusahaan saat mengumpulkan dan memproses data pribadi warga EEA:

1. Sebelum meluncurkan produk atau layanan baru, luangkan waktu untuk memikirkan bagaimana produk atau layanan tersebut akan mengumpulkan, menyimpan, dan menggunakan data pribadi warga EEA. Jika diperlukan, lakukan penilaian dampak perlindungan data untuk mengidentifikasi dan mengurangi potensi risiko terhadap perlindungan data pribadi.
2. Terapkan langkah-langkah teknis dan organisasional yang sesuai untuk melindungi data pribadi, seperti enkripsi dan penyimpanan yang aman. Pastikan sistem dan layanan Anda selalu diperbarui dengan patch keamanan dan pembaruan terbaru.
3. Saat mengumpulkan data pribadi, hanya minta informasi yang benar-benar diperlukan untuk tujuan spesifik penggunaannya. Hal ini akan membantu Anda meminimalkan jumlah data yang dikumpulkan dan mengurangi risiko kebocoran data.
4. Bersikap transparan kepada pelanggan tentang data pribadi yang Anda kumpulkan, alasan pengumpulannya, dan cara penggunaannya. Berikan informasi yang jelas tentang perlindungan data dan dapatkan persetujuan eksplisit sebelum mengumpulkan data pribadi, kecuali terdapat dasar hukum lain untuk pengumpulan tersebut.
5. Hormati hak pelanggan untuk menolak pemrosesan data pribadi mereka, dan pastikan mereka mengetahui hak tersebut.
6. Tunjuk petugas perlindungan data jika 20 orang atau lebih secara rutin memproses data pribadi, atau jika perusahaan melakukan operasi pemrosesan data yang memerlukan penilaian dampak perlindungan data atau memproses data pribadi untuk transmisi, transmisi anonim, atau riset pasar dan opini.
7. Jika Anda membagikan data pribadi kepada pihak ketiga di luar EEA, terapkan perlindungan yang sesuai seperti klausul kontraktual standar EEA atau Privacy Shield.
8. Gunakan proses double opt-in saat mengirim email untuk memastikan penerima telah memberikan persetujuan untuk menerimanya.
9. Pastikan semua data pribadi akurat dan terbaru, serta siapkan proses untuk memperbarui data saat terjadi perubahan.
10. Jika terjadi kehilangan data atau pelanggaran keamanan, segera ambil tindakan untuk membatasi insiden dan mencegah kerugian lebih lanjut. Siapkan rencana untuk menangani insiden tersebut serta memberi tahu pelanggan dan pihak berwenang terkait.
11. Jika terjadi kebocoran data, beri tahu otoritas pengawas dan pelanggan Anda sesegera mungkin.
12. Simpan catatan semua aktivitas pemrosesan data agar dapat menunjukkan kepatuhan jika terjadi audit oleh otoritas pengawas.

Daftar tersebut memuat kewajiban dan tanggung jawab terpenting yang harus dipatuhi perusahaan berdasarkan GDPR saat mengumpulkan dan memproses data pribadi warga EEA.

Namun, mungkin terdapat persyaratan tambahan yang perlu dipertimbangkan dalam kasus tertentu. Misalnya, ada persyaratan khusus bagi perusahaan yang beroperasi di industri tertentu atau memproses jenis data pribadi tertentu.

Oleh karena itu, selalu disarankan untuk meminta nasihat dari pakar perlindungan data atau menghubungi otoritas pengawas guna memastikan semua peraturan yang berlaku dipatuhi.

GDPR untuk Perusahaan di Luar EEA

Meskipun sudah banyak diketahui bahwa perusahaan yang berbasis di EEA perlu mematuhi GDPR, belum semua orang mengetahui bahwa negara-negara di luar EEA juga perlu mematuhi GDPR dalam keadaan tertentu. Berikut berbagai cara perusahaan di luar EEA perlu mematuhinya.

Mengumpulkan Data Pribadi di Wilayah Ekonomi Eropa

Jika perusahaan yang berbasis di luar EEA menawarkan barang atau layanan kepada, atau memantau perilaku, individu di EEA, perusahaan tersebut harus mematuhi persyaratan GDPR saat mengumpulkan, menggunakan, dan melindungi data pribadi individu di EEA.

Jika perusahaan yang berbasis di luar EEA terbukti melanggar GDPR, otoritas Uni Eropa memiliki sejumlah alat untuk memastikan kepatuhan terhadap GDPR.

Misalnya, jika perusahaan AS terbukti melanggar GDPR, otoritas Uni Eropa dapat meminta penegakan putusan terhadap perusahaan tersebut di pengadilan AS, bergantung pada sifat pelanggaran dan hukum negara bagian tempat perusahaan tersebut berada.

Selain itu, otoritas Uni Eropa juga dapat menggunakan cara lain untuk menekan perusahaan di luar Wilayah Ekonomi Eropa agar mematuhi GDPR, seperti memblokir akses perusahaan ke pasar Uni Eropa atau mempermalukan perusahaan tersebut di depan publik.

Namun, kecil kemungkinan Uni Eropa akan langsung menjatuhkan sanksi kepada perusahaan kecil mana pun jika perusahaan tersebut melanggar GDPR. Meski demikian, bagi perusahaan kecil di luar EEA sekalipun, mematuhi GDPR dapat memberikan manfaat. Hal ini karena kepatuhan terhadap GDPR dapat memberi startup peluang bisnis yang lebih baik, karena mereka dapat bekerja sama dengan perusahaan lain yang juga mematuhi GDPR.

Selain risiko denda dan sanksi lainnya, startup juga dapat mengalami kerusakan reputasi jika terbukti melanggar GDPR. Hal ini dapat menyulitkan mereka untuk berbisnis di EEA dan juga berdampak pada bisnis mereka secara internasional.

Perusahaan yang mematuhi GDPR mungkin lebih menarik bagi pelanggan dan mitra, karena menunjukkan komitmen untuk melindungi data pribadi dan menghormati privasi individu.

Secara keseluruhan, GDPR merupakan perkembangan penting bagi startup yang menangani data pribadi individu di EEA, dan akan berdampak besar pada cara startup tersebut mengumpulkan, menggunakan, dan melindungi data tersebut.

Startup di luar EEA perlu memberi perhatian khusus pada kewajiban mereka berdasarkan GDPR dan mengambil langkah-langkah untuk memastikan kepatuhan guna menghindari risiko denda dan sanksi lainnya, serta kerusakan reputasi.

Bagaimana Jika Anda Tidak Mengumpulkan Data di EEA?

Perlu diperhatikan bahwa meskipun startup di luar EEA saat ini tidak menawarkan barang atau layanan kepada, atau memantau perilaku, individu di EEA, penerapan GDPR tetap dapat disarankan.

Hal ini karena GDPR merupakan standar global untuk perlindungan data, dan menerapkan GDPR dapat membantu startup membangun reputasi sebagai perusahaan yang tepercaya dan dapat diandalkan serta menghargai privasi pelanggan dan mitranya.

GDPR di Britania Raya (UK)

Setelah UK keluar dari Uni Eropa pada 1 Januari 2021, GDPR tidak lagi berlaku di negara tersebut. Namun, aturan GDPR secara langsung diadopsi ke dalam hukum UK sebagai UK-GDPR, sehingga semua hal yang dibahas di atas tentang GDPR juga berlaku untuk UK.

Cara membuat Formulir Pendaftaran yang kompatibel dengan GDPR di Aplikasi Maildroppa

Maildroppa adalah aplikasi pemasaran email yang memungkinkan Anda membuat formulir pendaftaran yang disesuaikan, yang dapat digunakan calon pelanggan untuk mendaftar menerima informasi atau buletin secara berkala dari Anda.

Anda dapat menentukan dengan bebas informasi apa yang diperlukan untuk pendaftaran. Misalnya, nama depan dan belakang, tanggal lahir, serta kewarganegaraan calon pelanggan dapat diminta. Ini tentu saja merupakan data pribadi.

Jika Anda tidak secara teknis mengecualikan orang Eropa untuk mengunjungi situs web dan mengisi formulir pendaftaran Anda, Anda tunduk pada GDPR, meskipun perusahaan Anda berlokasi di luar Wilayah Ekonomi Eropa.

Namun, Maildroppa sangat memudahkan Anda untuk mematuhi GDPR. Anda dapat mengatur apakah pelanggan yang ingin mendaftar ke daftar Anda harus selalu atau tidak pernah melihat dan menandatangani perjanjian pemrosesan data, atau mengatur agar hanya pelanggan dari Uni Eropa, UK, dan Swiss yang harus memberikan persetujuan pada formulir persetujuan GDPR Anda.

Sebagai bisnis, Anda perlu memberi tahu pelanggan tentang jenis data yang Anda kumpulkan, alasan pengumpulannya, serta cara data tersebut disimpan dan diproses. Karena setiap perusahaan berbeda, data yang dikumpulkan dan cara penggunaannya dapat bervariasi. Sebagai pemilik bisnis, penting bagi Anda untuk bersikap transparan kepada pelanggan tentang praktik data Anda dan mematuhi peraturan GDPR.

Sebagai penyedia layanan, Maildroppa memahami tanggung jawab ini—itulah sebabnya kami menawarkan fitur untuk menyesuaikan formulir persetujuan GDPR dengan kebutuhan individual Anda. Aplikasi kami juga menyimpan teks formulir persetujuan GDPR yang telah disetujui pelanggan, sehingga memberi Anda bukti persetujuan tersebut bertahun-tahun kemudian.

Persyaratan GDPR lainnya adalah pelanggan harus melakukan double opt-in untuk buletin Anda. Hal ini memastikan bahwa hanya pelanggan yang telah memberikan persetujuan eksplisit untuk menerima informasi dari Anda, sesuai dengan pernyataan GDPR Anda, yang akan menerimanya. Karena double opt-in merupakan perilaku default Maildroppa, Anda tidak perlu mengambil tindakan tambahan.

Ringkasan

Singkatnya, GDPR adalah seperangkat peraturan yang berlaku bagi perusahaan yang menangani data pribadi individu di EEA. GDPR memberi individu kendali lebih besar atas data pribadi mereka dan memberlakukan aturan yang lebih ketat mengenai cara perusahaan mengumpulkan, menggunakan, dan melindungi data tersebut.

Startup di EEA perlu mengambil langkah-langkah untuk memastikan kepatuhan terhadap GDPR guna menghindari risiko denda dan sanksi lainnya, serta kerusakan reputasi.

Startup di luar Uni Eropa juga perlu memastikan kepatuhan terhadap GDPR jika menawarkan barang atau layanan kepada, atau memantau perilaku, individu di Uni Eropa. Meskipun kecil kemungkinan Uni Eropa akan langsung menerapkan sanksi terhadap setiap perusahaan kecil yang melanggar GDPR, otoritas Uni Eropa memiliki sejumlah alat untuk memastikan kepatuhan.

Jika startup ingin membangun reputasi sebagai perusahaan yang tepercaya dan dapat diandalkan serta menghargai privasi pelanggan dan mitranya, menerapkan GDPR mungkin bermanfaat, bahkan jika startup tersebut tidak berada di Uni Eropa atau tidak berinteraksi dengan individu di dalam Uni Eropa. Terakhir, penting untuk diingat bahwa meskipun UK telah keluar dari Uni Eropa, GDPR tetap berlaku di sana dalam bentuk UK-GDPR.