Panduan Pematuhan GDPR untuk Syarikat Pemula

Peraturan Perlindungan Data Umum (GDPR) ialah satu set peraturan untuk syarikat yang mengendalikan data peribadi individu di Kawasan Ekonomi Eropah (EEA). EEA merangkumi semua negara EU serta Iceland, Liechtenstein dan Norway. GDPR mula berkuat kuasa pada 25 Mei 2018.

GDPR dianggap sebagai undang-undang perlindungan data yang paling ketat di dunia. GDPR memberikan individu lebih banyak kawalan terhadap data peribadi mereka dan menetapkan peraturan yang lebih ketat untuk dipatuhi oleh syarikat ketika mengumpul, menggunakan dan melindungi data tersebut.

Jika syarikat tidak mematuhi peraturan ini, syarikat itu mungkin didenda atau dikenakan penalti lain. Denda maksimum ialah sama ada 20 juta Euro atau 4% daripada hasil tahunan global syarikat bagi tahun sebelumnya, yang mana lebih tinggi.

Kewajipan di bawah GDPR

Terdapat beberapa kewajipan dan tanggungjawab yang mesti dipatuhi oleh syarikat ketika mengumpul dan memproses data peribadi daripada warga EEA:

1. Sebelum melancarkan produk atau perkhidmatan baharu, luangkan masa untuk memikirkan cara produk atau perkhidmatan itu akan mengumpul, menyimpan dan menggunakan data peribadi daripada warga EEA. Jika perlu, jalankan penilaian kesan perlindungan data untuk mengenal pasti dan mengurangkan sebarang risiko yang berpotensi terhadap perlindungan data peribadi.
2. Laksanakan langkah teknikal dan organisasi yang sesuai untuk melindungi data peribadi, seperti penyulitan dan penyimpanan selamat. Pastikan sistem dan perkhidmatan anda dikemas kini dengan tampalan keselamatan dan kemas kini terkini.
3. Ketika mengumpul data peribadi, hanya minta maklumat yang benar-benar diperlukan untuk tujuan khusus penggunaannya. Ini akan membantu anda meminimumkan jumlah data yang dikumpul dan mengurangkan risiko pelanggaran data.
4. Bersikap telus kepada pelanggan tentang data peribadi yang anda kumpul, sebab anda mengumpulnya dan cara data itu akan digunakan. Berikan maklumat yang jelas tentang perlindungan data dan dapatkan persetujuan nyata sebelum mengumpul data peribadi, melainkan terdapat asas undang-undang lain untuk pengumpulan tersebut.
5. Hormati hak pelanggan anda untuk membantah pemprosesan data peribadi mereka dan pastikan mereka mengetahui hak ini.
6. Lantik pegawai perlindungan data jika 20 orang atau lebih memproses data peribadi secara berkala, atau jika syarikat menjalankan operasi pemprosesan data yang memerlukan penilaian kesan perlindungan data atau memproses data peribadi untuk penghantaran, penghantaran tanpa nama atau penyelidikan pasaran dan pendapat.
7. Jika anda berkongsi data peribadi dengan pihak ketiga di luar EEA, wujudkan perlindungan yang sesuai seperti klausa kontrak standard EEA atau Privacy Shield.
8. Gunakan proses double opt-in ketika menghantar e-mel untuk memastikan penerima telah memberikan persetujuan untuk menerimanya.
9. Pastikan semua data peribadi tepat dan terkini, serta wujudkan proses untuk mengemas kini data apabila terdapat perubahan.
10. Jika kehilangan data atau pelanggaran keselamatan berlaku, ambil tindakan segera untuk membendung kejadian tersebut dan mencegah kemudaratan selanjutnya. Sediakan pelan tentang cara menangani kejadian sedemikian dan cara memaklumkan pelanggan serta pihak berkuasa yang berkaitan.
11. Sekiranya berlaku pelanggaran data, maklumkan pihak berkuasa penyeliaan dan pelanggan anda secepat mungkin.
12. Simpan rekod semua aktiviti pemprosesan data supaya pematuhan dapat dibuktikan sekiranya diaudit oleh pihak berkuasa penyeliaan.

Senarai ini mengandungi kewajipan dan tanggungjawab paling penting yang mesti dipatuhi oleh syarikat di bawah GDPR ketika mengumpul dan memproses data peribadi warga EEA.

Walau bagaimanapun, mungkin terdapat keperluan tambahan yang perlu dipertimbangkan dalam sesetengah keadaan. Sebagai contoh, mungkin terdapat keperluan khusus untuk syarikat yang beroperasi dalam industri tertentu atau memproses jenis data peribadi tertentu.

Oleh itu, anda disarankan untuk mendapatkan nasihat daripada pakar perlindungan data atau menghubungi pihak berkuasa penyeliaan bagi memastikan semua peraturan yang berkenaan dipatuhi.

GDPR untuk Syarikat di Luar EEA

Walaupun umum diketahui bahawa syarikat yang berpangkalan di EEA perlu mematuhi GDPR, tidak semua orang tahu bahawa negara di luar EEA juga perlu mematuhi GDPR dalam keadaan tertentu. Di bawah ialah cara syarikat di luar EEA perlu mematuhinya.

Mengumpul Data Peribadi di Kawasan Ekonomi Eropah

Jika syarikat yang berpangkalan di luar EEA menawarkan barangan atau perkhidmatan kepada individu di EEA, atau memantau tingkah laku mereka, syarikat itu mesti mematuhi keperluan GDPR ketika mengumpul, menggunakan dan melindungi data peribadi individu EEA.

Jika syarikat yang berpangkalan di luar EEA didapati melanggar GDPR, pihak berkuasa EU mempunyai beberapa alat untuk memastikan pematuhan terhadap GDPR.

Sebagai contoh, jika syarikat A.S. didapati melanggar GDPR, pihak berkuasa EU boleh memohon penguatkuasaan penghakiman terhadap syarikat tersebut di mahkamah A.S., bergantung pada sifat pelanggaran dan undang-undang negeri tempat syarikat itu berada.

Selain itu, pihak berkuasa EU juga boleh menggunakan cara lain untuk mendesak syarikat di luar Kawasan Ekonomi Eropah mematuhi GDPR, seperti menyekat akses syarikat itu kepada pasaran EU atau memalukan syarikat itu secara terbuka.

Walau bagaimanapun, EU berkemungkinan tidak akan mengenakan sekatan serta-merta ke atas mana-mana syarikat kecil jika syarikat itu melanggar GDPR. Namun begitu, pematuhan GDPR boleh memberikan manfaat kepada syarikat kecil di luar EEA. Hal ini kerana pematuhan GDPR boleh memberikan peluang perniagaan yang lebih baik kepada syarikat pemula, kerana mereka boleh bekerjasama dengan syarikat lain yang turut mematuhi GDPR.

Selain risiko denda dan penalti lain, syarikat pemula juga mungkin mengalami kerosakan reputasi jika didapati melanggar GDPR. Ini boleh menyukarkan mereka menjalankan perniagaan di EEA dan turut menjejaskan perniagaan mereka di peringkat antarabangsa.

Syarikat yang mematuhi GDPR mungkin lebih menarik kepada pelanggan dan rakan kongsi kerana mereka menunjukkan komitmen untuk melindungi data peribadi dan menghormati privasi individu.

Secara keseluruhannya, GDPR merupakan perkembangan penting bagi syarikat pemula yang mengendalikan data peribadi individu di EEA, dan peraturan ini akan memberikan kesan besar terhadap cara syarikat pemula tersebut mengumpul, menggunakan dan melindungi data itu.

Syarikat pemula di luar EEA perlu lebih prihatin terhadap kewajipan mereka di bawah GDPR dan mengambil langkah untuk memastikan pematuhan bagi mengelakkan risiko denda dan penalti lain, serta kerosakan reputasi.

Bagaimana Jika Anda Tidak Mengumpul Data di EEA?

Perlu diambil perhatian bahawa walaupun syarikat pemula di luar EEA pada masa ini tidak menawarkan barangan atau perkhidmatan kepada individu di EEA atau memantau tingkah laku mereka, pelaksanaan GDPR masih mungkin disarankan.

Hal ini kerana GDPR ialah piawaian global untuk perlindungan data, dan pelaksanaan GDPR boleh membantu syarikat pemula membina reputasi sebagai syarikat yang bereputasi dan boleh dipercayai serta menghargai privasi pelanggan dan rakan kongsinya.

GDPR di United Kingdom (UK)

Selepas UK meninggalkan EU pada 1 Januari 2021, GDPR tidak lagi terpakai di negara tersebut. Walau bagaimanapun, peraturan GDPR dimasukkan secara langsung ke dalam undang-undang UK sebagai UK-GDPR, jadi segala perkara yang dibincangkan di atas tentang GDPR turut terpakai di UK.

Cara mencipta Borang Pendaftaran yang mematuhi GDPR dalam Aplikasi Maildroppa

Maildroppa ialah aplikasi pemasaran e-mel dan membolehkan anda mencipta borang pendaftaran tersuai, yang membolehkan bakal pelanggan mendaftar untuk menerima maklumat berkala atau surat berita daripada anda.

Anda bebas menentukan maklumat yang diperlukan untuk pendaftaran. Sebagai contoh, nama pertama dan nama keluarga, hari lahir serta kewarganegaraan bakal pelanggan boleh diminta. Ini sememangnya data peribadi.

Jika anda tidak menyekat secara teknikal orang Eropah daripada melawat laman web anda dan mengisi borang pendaftaran, anda tertakluk kepada GDPR, walaupun syarikat anda berada di luar Kawasan Ekonomi Eropah.

Walau bagaimanapun, Maildroppa memudahkan anda mematuhi GDPR. Anda boleh menetapkan sama ada pelanggan yang ingin mendaftar ke senarai anda mesti sentiasa atau tidak perlu melihat dan menandatangani perjanjian pemprosesan data, atau menetapkan bahawa hanya pelanggan dari EU, UK dan Switzerland perlu memberikan persetujuan melalui borang persetujuan GDPR anda.

Sebagai perniagaan, anda perlu memaklumkan pelanggan tentang jenis data yang anda kumpul, sebab anda mengumpulnya dan cara data itu disimpan serta diproses. Oleh sebab setiap syarikat berbeza, data yang dikumpul dan cara penggunaannya juga boleh berbeza. Sebagai pemilik perniagaan, penting untuk anda bersikap telus kepada pelanggan tentang amalan data anda dan mematuhi peraturan GDPR.

Sebagai penyedia perkhidmatan, Maildroppa memahami tanggungjawab ini — sebab itulah kami menawarkan ciri untuk menyesuaikan borang persetujuan GDPR mengikut keperluan individu anda. Aplikasi kami juga menyimpan wording borang persetujuan GDPR yang telah dipersetujui oleh pelanggan, sekali gus memberikan bukti persetujuan tersebut bertahun-tahun kemudian.

Satu lagi keperluan GDPR ialah pelanggan mesti melakukan double opt-in untuk surat berita anda. Ini memastikan hanya pelanggan yang telah memberikan persetujuan nyata untuk menerima maklumat daripada anda, seperti yang dinyatakan dalam penyata GDPR anda, akan menerimanya. Memandangkan double opt-in ialah tingkah laku lalai Maildroppa, tiada langkah tambahan diperlukan.

Ringkasan

Ringkasnya, GDPR ialah satu set peraturan yang terpakai kepada syarikat yang mengendalikan data peribadi individu di EEA. GDPR memberikan individu kawalan yang lebih besar terhadap data peribadi mereka dan mengenakan peraturan yang lebih ketat tentang cara syarikat mengumpul, menggunakan dan melindungi data tersebut.

Syarikat pemula di EEA perlu mengambil langkah untuk memastikan pematuhan terhadap GDPR bagi mengelakkan risiko denda dan penalti lain, serta kerosakan reputasi.

Syarikat pemula di luar EU juga perlu memastikan pematuhan terhadap GDPR jika mereka menawarkan barangan atau perkhidmatan kepada individu di EU atau memantau tingkah laku mereka. Walaupun EU berkemungkinan tidak akan mengenakan sekatan serta-merta terhadap setiap syarikat kecil yang melanggar GDPR, pihak berkuasa EU mempunyai beberapa alat untuk memastikan pematuhan.

Jika syarikat pemula ingin membina reputasi sebagai syarikat yang bereputasi dan boleh dipercayai serta menghargai privasi pelanggan dan rakan kongsinya, pelaksanaan GDPR mungkin bermanfaat, walaupun mereka tidak berada di EU atau berinteraksi dengan individu di dalam EU. Akhir sekali, penting untuk diingat bahawa walaupun UK telah meninggalkan EU, GDPR terus terpakai di sana dalam bentuk UK-GDPR.