Panduan pematuhan GDPR untuk syarikat pemula

Peraturan Perlindungan Data Umum (GDPR) ialah satu set peraturan untuk syarikat yang mengendalikan data peribadi individu di Kawasan Ekonomi Eropah (EEA). EEA merangkumi semua negara EU serta Iceland, Liechtenstein dan Norway. GDPR mula berkuat kuasa pada 25 Mei 2018.

GDPR dianggap sebagai undang-undang perlindungan data paling ketat di dunia. Peraturan ini memberikan individu lebih kawalan terhadap data peribadi mereka dan menetapkan peraturan yang lebih ketat untuk dipatuhi oleh syarikat semasa mengumpul, menggunakan dan melindungi data tersebut.

Syarikat yang tidak mematuhi peraturan ini boleh didenda atau dikenakan penalti lain. Denda maksimum ialah 20 juta Euro atau 4% daripada hasil tahunan global syarikat bagi tahun sebelumnya, yang mana lebih tinggi.

Kewajipan di bawah GDPR

Syarikat mesti memenuhi beberapa kewajipan dan tanggungjawab semasa mengumpul dan memproses data peribadi warga EEA:

1. Sebelum melancarkan produk atau perkhidmatan baharu, pertimbangkan cara data peribadi warga EEA akan dikumpul, disimpan dan digunakan. Jika perlu, jalankan penilaian impak perlindungan data untuk mengenal pasti dan mengurangkan sebarang risiko yang berpotensi terhadap perlindungan data peribadi.
2. Laksanakan langkah teknikal dan organisasi yang sesuai untuk melindungi data peribadi, seperti penyulitan dan penyimpanan yang selamat. Pastikan sistem dan perkhidmatan anda sentiasa menggunakan tampalan keselamatan dan kemas kini terkini.
3. Semasa mengumpul data peribadi, minta hanya maklumat yang benar-benar diperlukan untuk tujuan khusus penggunaannya. Ini membantu meminimumkan jumlah data yang dikumpul dan mengurangkan risiko pelanggaran data.
4. Bersikap telus dengan pelanggan tentang data peribadi yang dikumpul, sebab data itu dikumpul dan cara data itu akan digunakan. Berikan maklumat yang jelas tentang perlindungan data dan dapatkan persetujuan nyata sebelum mengumpul data peribadi, melainkan terdapat asas undang-undang lain bagi pengumpulan tersebut.
5. Hormati hak pelanggan untuk membantah pemprosesan data peribadi mereka dan pastikan mereka mengetahui hak ini.
6. Lantik pegawai perlindungan data jika 20 orang atau lebih memproses data peribadi secara berkala, atau jika syarikat menjalankan operasi pemprosesan data yang memerlukan penilaian impak perlindungan data atau memproses data peribadi untuk tujuan penghantaran, penghantaran data yang telah dinyahnamakan, atau penyelidikan pasaran dan pendapat.
7. Jika anda berkongsi data peribadi dengan pihak ketiga di luar EEA, sediakan perlindungan yang sesuai seperti klausa kontrak standard EEA atau Privacy Shield.
8. Gunakan proses pengesahan langganan melalui e-mel (double opt-in) apabila menghantar e-mel untuk memastikan penerima telah memberikan persetujuan untuk menerimanya.
9. Pastikan semua data peribadi tepat dan terkini, serta sediakan proses untuk mengemas kini data apabila berlaku perubahan.
10. Jika berlaku kehilangan data atau pelanggaran keselamatan, ambil tindakan segera untuk membendung insiden tersebut dan mencegah kemudaratan selanjutnya. Sediakan pelan untuk menangani insiden sedemikian serta memaklumkan pelanggan dan pihak berkuasa yang berkaitan.
11. Sekiranya berlaku pelanggaran data, maklumkan pihak berkuasa penyeliaan dan pelanggan anda secepat mungkin.
12. Simpan rekod semua aktiviti pemprosesan data supaya pematuhan dapat dibuktikan sekiranya pihak berkuasa penyeliaan menjalankan audit.

Senarai ini merangkumi kewajipan dan tanggungjawab terpenting yang mesti dipenuhi oleh syarikat di bawah GDPR semasa mengumpul dan memproses data peribadi warga EEA.

Walau bagaimanapun, keperluan tambahan mungkin perlu dipertimbangkan dalam keadaan tertentu. Contohnya, mungkin terdapat keperluan khusus untuk syarikat yang beroperasi dalam industri tertentu atau memproses jenis data peribadi tertentu.

Oleh itu, anda sentiasa disarankan untuk mendapatkan nasihat daripada pakar perlindungan data atau menghubungi pihak berkuasa penyeliaan bagi memastikan semua peraturan yang berkenaan dipatuhi.

GDPR untuk syarikat di luar EEA

Umum mengetahui bahawa syarikat yang berpangkalan di EEA perlu mematuhi GDPR. Namun, tidak semua orang tahu bahawa negara di luar EEA juga perlu mematuhinya dalam keadaan tertentu. Di bawah, kami menerangkan pelbagai keadaan yang memerlukan syarikat di luar EEA mematuhi GDPR.

Mengumpul data peribadi di Kawasan Ekonomi Eropah

Jika syarikat yang berpangkalan di luar EEA menawarkan barangan atau perkhidmatan kepada individu di EEA, atau memantau tingkah laku mereka, syarikat itu mesti mematuhi keperluan GDPR semasa mengumpul, menggunakan dan melindungi data peribadi individu tersebut.

Jika syarikat yang berpangkalan di luar EEA didapati melanggar GDPR, pihak berkuasa EU mempunyai beberapa kaedah untuk memastikan peraturan ini dipatuhi.

Contohnya, jika syarikat A.S. didapati melanggar GDPR, pihak berkuasa EU boleh memohon agar penghakiman terhadap syarikat tersebut dikuatkuasakan di mahkamah A.S., bergantung pada sifat pelanggaran dan undang-undang negeri tempat syarikat itu berada.

Selain itu, pihak berkuasa EU juga boleh menggunakan cara lain untuk mendesak syarikat di luar Kawasan Ekonomi Eropah mematuhi GDPR, seperti menyekat akses syarikat itu kepada pasaran EU atau mengecamnya secara terbuka.

Walau bagaimanapun, EU berkemungkinan tidak akan serta-merta mengenakan sekatan terhadap syarikat kecil yang melanggar GDPR. Namun, pematuhan GDPR tetap boleh memberikan manfaat kepada syarikat kecil di luar EEA. Pematuhan ini boleh membuka peluang perniagaan yang lebih baik kepada syarikat pemula kerana mereka boleh bekerjasama dengan syarikat lain yang turut mematuhi GDPR.

Selain menghadapi risiko denda dan penalti lain, reputasi syarikat pemula juga boleh terjejas jika didapati melanggar GDPR. Ini boleh menyukarkan mereka menjalankan perniagaan di EEA dan turut menjejaskan perniagaan mereka di peringkat antarabangsa.

Syarikat yang mematuhi GDPR mungkin lebih menarik kepada pelanggan dan rakan kongsi kerana mereka menunjukkan komitmen untuk melindungi data peribadi dan menghormati privasi individu.

Secara keseluruhannya, GDPR merupakan perkembangan penting bagi syarikat pemula yang mengendalikan data peribadi individu di EEA. Peraturan ini akan memberikan kesan besar terhadap cara syarikat tersebut mengumpul, menggunakan dan melindungi data berkenaan.

Syarikat pemula di luar EEA perlu memberikan perhatian khusus kepada kewajipan mereka di bawah GDPR dan mengambil langkah untuk memastikan pematuhan bagi mengelakkan risiko denda, penalti lain serta kesan buruk terhadap reputasi.

Bagaimana jika anda tidak mengumpul data di EEA?

Walaupun syarikat pemula di luar EEA pada masa ini tidak menawarkan barangan atau perkhidmatan kepada individu di EEA atau memantau tingkah laku mereka, pelaksanaan GDPR masih wajar dipertimbangkan.

Ini kerana GDPR ialah piawaian global bagi perlindungan data, dan pelaksanaan GDPR boleh membantu syarikat pemula membina reputasi yang baik sebagai syarikat yang boleh dipercayai serta menghargai privasi pelanggan dan rakan kongsinya.

GDPR di United Kingdom (UK)

Selepas UK meninggalkan EU pada 1 Januari 2021, GDPR tidak lagi terpakai di negara tersebut. Walau bagaimanapun, peraturan GDPR dimasukkan secara langsung ke dalam undang-undang UK sebagai UK-GDPR. Oleh itu, semua perkara yang dibincangkan di atas tentang GDPR turut terpakai di UK.

Cara mencipta borang pendaftaran yang mematuhi GDPR dalam aplikasi Maildroppa

Maildroppa ialah aplikasi pemasaran e-mel yang membolehkan anda mencipta borang pendaftaran tersuai. Melalui borang ini, bakal pelanggan boleh mendaftar untuk menerima maklumat berkala atau buletin e-mel daripada anda.

Anda bebas menentukan maklumat yang diperlukan untuk pendaftaran. Contohnya, anda boleh meminta nama pertama, nama keluarga, tarikh lahir dan kewarganegaraan bakal pelanggan. Semua ini merupakan data peribadi.

Jika anda tidak menggunakan sekatan teknikal untuk menghalang orang Eropah daripada melawat laman web dan mengisi borang pendaftaran anda, anda tertakluk kepada GDPR walaupun syarikat anda berada di luar Kawasan Ekonomi Eropah.

Maildroppa memudahkan anda mematuhi GDPR. Anda boleh menetapkan supaya pelanggan yang ingin mendaftar ke senarai e-mel anda sentiasa diwajibkan, atau tidak pernah diwajibkan, untuk melihat dan menandatangani perjanjian pemprosesan data. Anda juga boleh menetapkan supaya hanya pelanggan dari EU, UK dan Switzerland perlu memberikan persetujuan melalui borang persetujuan GDPR anda.

Sebagai perniagaan, anda perlu memaklumkan pelanggan tentang jenis data yang dikumpul, sebab data itu dikumpul serta cara data itu disimpan dan diproses. Oleh sebab setiap syarikat berbeza, data yang dikumpul dan cara penggunaannya juga boleh berbeza. Sebagai pemilik perniagaan, anda perlu bersikap telus dengan pelanggan tentang amalan pengendalian data anda dan mematuhi peraturan GDPR.

Sebagai penyedia perkhidmatan, Maildroppa memahami tanggungjawab ini. Sebab itulah kami menawarkan ciri untuk menyesuaikan borang persetujuan GDPR mengikut keperluan khusus anda. Aplikasi kami turut menyimpan teks borang persetujuan GDPR yang telah dipersetujui oleh pelanggan, supaya anda mempunyai bukti persetujuan tersebut walaupun bertahun-tahun kemudian.

Satu lagi keperluan GDPR ialah pelanggan mesti mengesahkan langganan buletin e-mel anda melalui e-mel (double opt-in). Ini memastikan hanya pelanggan yang telah memberikan persetujuan nyata untuk menerima maklumat daripada anda, seperti yang dinyatakan dalam pernyataan GDPR anda, akan menerimanya. Oleh sebab double opt-in ialah tetapan lalai Maildroppa, anda tidak perlu mengambil langkah tambahan.

Ringkasan

Ringkasnya, GDPR ialah satu set peraturan yang terpakai kepada syarikat yang mengendalikan data peribadi individu di EEA. GDPR memberikan individu lebih kawalan terhadap data peribadi mereka dan mengenakan peraturan yang lebih ketat tentang cara syarikat mengumpul, menggunakan dan melindungi data tersebut.

Syarikat pemula di EEA perlu mengambil langkah untuk memastikan pematuhan GDPR bagi mengelakkan risiko denda, penalti lain serta kesan buruk terhadap reputasi.

Syarikat pemula di luar EU juga perlu memastikan pematuhan GDPR jika mereka menawarkan barangan atau perkhidmatan kepada individu di EU atau memantau tingkah laku mereka. Walaupun EU berkemungkinan tidak akan serta-merta mengenakan sekatan terhadap setiap syarikat kecil yang melanggar GDPR, pihak berkuasa EU mempunyai beberapa kaedah untuk memastikan pematuhan.

Jika syarikat pemula ingin membina reputasi yang baik sebagai syarikat yang boleh dipercayai serta menghargai privasi pelanggan dan rakan kongsinya, pelaksanaan GDPR mungkin bermanfaat walaupun syarikat itu tidak berpangkalan di EU atau berinteraksi dengan individu di EU. Akhir sekali, penting untuk diingat bahawa walaupun UK telah meninggalkan EU, GDPR terus terpakai di sana dalam bentuk UK-GDPR.