- GDPR (General Data Protection Regulation) adalah regulasi Uni Eropa yang mengatur pemrosesan dan perlindungan data pribadi individu.
- GDPR dapat berlaku bagi perusahaan di luar Uni Eropa ketika aktivitas pemrosesan datanya memenuhi cakupan teritorial regulasi.
- GDPR mengatur prinsip pemrosesan data, hak pemilik data, kewajiban organisasi, serta mekanisme penegakan.
- Penerapan GDPR perlu diterjemahkan ke dalam kontrol atas data, akses, retensi, pihak ketiga, keamanan, dan dokumentasi.
- Kelola dokumen bisnis dengan kontrol akses, workflow, keamanan, dan jejak aktivitas yang terarah melalui Mekari Sign.
Data pribadi berpindah melalui banyak proses bisnis setiap hari. Marketing menggunakannya untuk mengelola prospek, HR menyimpan informasi karyawan, sedangkan Legal dan Procurement menemukannya di berbagai kontrak dan dokumen kerja sama.
Ketika data melewati banyak proses dan melibatkan banyak pihak, perusahaan perlu mengetahui siapa yang mengaksesnya, untuk apa data digunakan, serta berapa lama informasi tersebut disimpan. Pengaturan seperti ini menjadi bagian dari data governance yang menghubungkan kebijakan dengan proses dan tanggung jawab dalam organisasi.
Kebutuhan untuk mengatur pemrosesan data juga menjadi perhatian dalam regulasi perlindungan data di berbagai wilayah. Salah satu kerangka yang paling dikenal adalah GDPR (General Data Protection Regulation), regulasi Uni Eropa yang mengatur perlindungan individu dalam pemrosesan data pribadi.
GDPR mulai berlaku pada 25 Mei 2018 dan menetapkan prinsip, hak individu, serta kewajiban organisasi dalam mengelola data pribadi. Cakupannya juga dapat menjangkau perusahaan di luar Uni Eropa dalam kondisi tertentu, sehingga bisnis di Indonesia perlu memahami kapan aktivitas pemrosesan datanya masuk dalam cakupan GDPR.
Apa Itu GDPR?
GDPR merupakan Regulation (EU) 2016/679 yang mengatur perlindungan individu terkait pemrosesan data pribadi dan pergerakan data pribadi di Uni Eropa. Regulasi ini juga memberikan hak kepada individu serta menetapkan kewajiban bagi organisasi yang memproses data mereka.
Ruang lingkup GDPR mencakup berbagai aktivitas pemrosesan data. Tujuan pemrosesan, dasar hukum, transparansi, keamanan, masa penyimpanan, dan pemenuhan hak individu menjadi bagian dari pengelolaan yang perlu diperhatikan perusahaan.
| Aspek | Penjelasan |
|---|---|
| Nama | General Data Protection Regulation |
| Dasar hukum | Regulation (EU) 2016/679 |
| Berlaku sejak | 25 Mei 2018 |
| Fokus | Perlindungan individu dalam pemrosesan data pribadi |
| Cakupan | Organisasi di EU dan organisasi tertentu di luar EU |
Kerangka GDPR dapat diterapkan pada berbagai bentuk pemrosesan data, sehingga perusahaan perlu melihat aktivitas yang mereka lakukan dan jenis data yang mereka kelola. Regulation (EU) 2016/679 di EUR-Lex memuat ketentuan lengkap mengenai ruang lingkup, prinsip, hak data subject, serta kewajiban organisasi.
Apa Saja Prinsip dan Hak dalam GDPR?
GDPR menetapkan tujuh prinsip utama sebagai dasar pemrosesan data pribadi. Prinsip tersebut membantu organisasi menentukan data yang dibutuhkan, tujuan penggunaannya, masa penyimpanan, serta perlindungan yang sesuai.
| Prinsip | Makna | Implikasi bagi Bisnis |
|---|---|---|
| Lawfulness, fairness, and transparency | Pemrosesan memiliki dasar hukum dan berlangsung secara transparan | Jelaskan tujuan dan dasar pemrosesan kepada individu |
| Purpose limitation | Data digunakan untuk tujuan yang telah ditentukan | Tentukan tujuan sebelum memproses data |
| Data minimisation | Data yang diproses relevan dan diperlukan | Batasi pengumpulan data sesuai kebutuhan |
| Accuracy | Data akurat dan diperbarui ketika diperlukan | Sediakan mekanisme koreksi data |
| Storage limitation | Data disimpan selama diperlukan | Tetapkan periode retensi |
| Integrity and confidentiality | Data dilindungi melalui pengamanan yang sesuai | Terapkan kontrol keamanan dan akses |
| Accountability | Organisasi bertanggung jawab atas penerapan prinsip perlindungan data | Dokumentasikan kebijakan, proses, dan kontrol |
Ketujuh prinsip tersebut membentuk dasar pengelolaan data pribadi dalam GDPR. Prinsip pemrosesan data dalam GDPR mencakup lawfulness, transparency, purpose limitation, data minimisation, accuracy, storage limitation, integrity and confidentiality, serta accountability.
GDPR juga memberikan sejumlah hak kepada data subject, termasuk hak memperoleh informasi, mengakses data, meminta koreksi, meminta penghapusan, membatasi pemrosesan, memindahkan data dalam kondisi tertentu, serta mengajukan keberatan. Hak individu berdasarkan GDPR perlu menjadi pertimbangan ketika perusahaan merancang proses pengelolaan data.
Bagi perusahaan, pemenuhan hak tersebut membutuhkan proses yang jelas. Tim perlu mengetahui siapa yang menangani permintaan data subject, informasi apa yang harus disiapkan, serta bagaimana setiap permintaan dicatat dan ditindaklanjuti.
Kapan GDPR Berlaku bagi Perusahaan?
GDPR berlaku bagi organisasi yang memiliki establishment di Uni Eropa ketika pemrosesan data berlangsung dalam konteks aktivitas establishment tersebut. Regulasi ini juga dapat berlaku bagi organisasi di luar EU yang menawarkan barang atau jasa kepada individu di EU atau memantau perilaku mereka di wilayah EU.
Cakupan tersebut membuat lokasi kantor saja belum cukup untuk menentukan apakah sebuah perusahaan masuk dalam GDPR. Aktivitas pemrosesan, kelompok individu yang datanya diproses, serta hubungan aktivitas tersebut dengan wilayah EU ikut menentukan relevansinya.
Ketentuan tersebut terdapat dalam Article 3 GDPR. Article 3 tentang territorial scope menjelaskan kondisi yang membuat pemrosesan oleh organisasi di dalam maupun di luar Uni Eropa masuk dalam cakupan regulasi.
| Situasi | Relevansi GDPR |
|---|---|
| Perusahaan memiliki establishment di EU dan memproses data dalam aktivitasnya | Masuk cakupan GDPR |
| Perusahaan di luar EU menawarkan barang atau jasa kepada individu di EU | Dapat masuk cakupan GDPR |
| Perusahaan di luar EU memantau perilaku individu di EU | Dapat masuk cakupan GDPR |
| Website perusahaan dapat diakses dari EU tanpa aktivitas yang menargetkan individu di EU | Belum cukup untuk menentukan cakupan GDPR |
Apakah GDPR Berlaku untuk Perusahaan di Indonesia?
GDPR dapat relevan bagi perusahaan Indonesia ketika aktivitas pemrosesan datanya memenuhi cakupan Article 3. Misalnya, perusahaan Indonesia yang menawarkan layanan kepada individu di EU atau memantau perilaku mereka perlu menilai apakah aktivitas tersebut masuk dalam territorial scope GDPR.
Di sisi lain, aktivitas perusahaan di Indonesia tetap perlu mengikuti hukum domestik yang berlaku. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi menjadi kerangka hukum khusus Indonesia yang mengatur pelindungan data pribadi.
Perusahaan yang melayani beberapa pasar karena itu perlu memetakan kewajiban berdasarkan aktivitas dan yurisdiksi. Satu proses pengelolaan data dapat bersinggungan dengan lebih dari satu kerangka hukum ketika melibatkan individu atau aktivitas di wilayah berbeda.
Bagaimana GDPR Diterapkan dalam Bisnis?
GDPR compliance perlu diterjemahkan ke dalam proses operasional. Tim perlu mengetahui data yang diproses, tujuan penggunaannya, pihak yang memiliki akses, pihak ketiga yang terlibat, masa penyimpanan, serta bukti bahwa kontrol tersebut berjalan.
| Area | Pertanyaan yang Perlu Dijawab | Contoh Kontrol |
|---|---|---|
| Data | Data pribadi apa yang diproses dan untuk tujuan apa? | Data inventory, data mapping, purpose documentation |
| Access | Siapa yang dapat melihat atau mengubah data? | RBAC, least privilege, MFA |
| Lifecycle | Berapa lama data disimpan dan bagaimana proses penghapusannya? | Retention policy, deletion procedure |
| Third parties | Siapa saja processor atau subprocessor yang terlibat? | DPA, vendor assessment, subprocessor management |
| Security | Bagaimana organisasi menjaga kerahasiaan dan integritas data? | Encryption, access control, monitoring |
| Evidence | Bagaimana perusahaan menunjukkan bahwa kontrol berjalan? | Policies, records, audit logs, compliance documentation |
Prinsip accountability membuat perusahaan perlu menunjukkan bagaimana mereka menjalankan prinsip perlindungan data. Panduan European Commission tentang prinsip GDPR menjelaskan accountability sebagai tanggung jawab organisasi untuk mematuhi sekaligus dapat menunjukkan kepatuhan terhadap prinsip pemrosesan data.
Contoh sederhananya terlihat pada dokumen yang memuat data pribadi. Satu kontrak vendor dapat berpindah dari Procurement ke Legal, Finance, atau pihak lain sepanjang masa berlakunya. Setiap perpindahan perlu mengikuti hak akses yang sesuai dan meninggalkan informasi yang dapat membantu perusahaan menelusuri aktivitas.
Di sinilah audit trail memiliki fungsi operasional. Catatan aktivitas membantu perusahaan mengetahui tindakan yang terjadi terhadap dokumen atau proses tertentu ketika tim perlu melakukan penelusuran.
Vendor juga masuk dalam pengelolaan tersebut. Ketika pihak ketiga memproses data atas nama perusahaan, tim perlu memahami peran processor atau subprocessor serta mengatur tanggung jawab pemrosesan melalui kontrak dan kontrol yang sesuai. Pendekatan ini sejalan dengan prinsip data compliance, yaitu menghubungkan tuntutan regulasi dengan kebijakan, proses, dan kontrol yang berjalan dalam organisasi.
Apa Perbedaan GDPR dan UU PDP Indonesia?
GDPR dan UU Nomor 27 Tahun 2022 sama-sama mengatur perlindungan data pribadi, tetapi keduanya berasal dari yurisdiksi yang berbeda. UU PDP menjadi kerangka hukum khusus Indonesia, sementara GDPR menjadi regulasi utama perlindungan data di Uni Eropa.
Perbandingan kedua kerangka juga muncul dalam kajian hukum Indonesia. Analisis SIP Law Firm mengenai regulasi perlindungan data Indonesia dan Eropa membahas sejumlah perbedaan dalam yurisdiksi, hak subjek data, sanksi, serta implementasinya.
Literatur akademik sebelumnya turut membandingkan Indonesia dan Uni Eropa dari sisi hak individu, penghapusan data, pengawasan, serta mekanisme perlindungan. Kajian tersebut dilakukan sebelum UU PDP 2022 sehingga lebih tepat digunakan sebagai konteks akademik dan historis untuk melihat perkembangan regulasi Indonesia. :contentReference[oaicite:0]{index=0}
| Aspek | GDPR | UU PDP Indonesia |
|---|---|---|
| Wilayah dan cakupan | EU dengan cakupan tertentu di luar EU | Indonesia dengan ketentuan tertentu untuk aktivitas lintas wilayah |
| Prinsip pemrosesan | Mengatur prinsip pemrosesan data pribadi secara rinci | Mengatur prinsip pemrosesan dalam kerangka UU PDP |
| Hak individu | Mengatur hak data subject, termasuk access, rectification, erasure, portability, dan objection | Mengatur hak Subjek Data Pribadi dalam UU PDP |
| Pengendali dan prosesor | Membedakan controller dan processor | Membedakan Pengendali Data Pribadi dan Prosesor Data Pribadi |
| Transfer lintas negara | Mengatur transfer data ke negara ketiga | Mengatur transfer Data Pribadi ke luar wilayah Indonesia |
| Sanksi | Mengatur mekanisme penegakan dan administrative fines | Mengatur sanksi administratif serta ketentuan pidana tertentu |
Perbandingan ini membantu perusahaan menentukan kewajiban berdasarkan aktivitas dan yurisdiksi yang relevan. Bisnis yang beroperasi di Indonesia dapat menjadikan UU PDP sebagai dasar kewajiban domestik, kemudian melakukan scope assessment GDPR ketika aktivitas pemrosesan datanya memenuhi cakupan regulasi EU.
Ketika data bergerak lintas wilayah, perusahaan juga perlu memperhatikan hubungan antara data, lokasi, dan hukum yang berlaku. Konsep data sovereignty membantu menjelaskan bagaimana lokasi data berkaitan dengan yurisdiksi serta pengelolaan data oleh organisasi.
Bagaimana Perusahaan Membangun GDPR Compliance?
Assessment GDPR dapat dimulai dengan memetakan alur data pada proses bisnis yang memproses informasi pribadi. Tim kemudian dapat mengidentifikasi tujuan penggunaan data, pemilik proses, pihak yang memiliki akses, vendor yang terlibat, periode penyimpanan, serta bukti kontrol yang tersedia.
Framework manajemen dapat membantu organisasi menjalankan privacy controls secara lebih sistematis. ISO/IEC 27701 berfokus pada Privacy Information Management System (PIMS) dan membantu organisasi membangun pengelolaan informasi privasi secara terstruktur.
GDPR dan ISO/IEC 27701 memiliki fungsi yang berbeda. GDPR menetapkan kewajiban hukum ketika organisasi masuk dalam cakupannya, sedangkan ISO/IEC 27701 membantu organisasi membangun sistem manajemen untuk mengelola informasi privasi.
Security juga menjadi bagian dari privacy governance. Pendekatan seperti ISO/IEC 27001 membantu organisasi membangun sistem manajemen keamanan informasi yang mendukung perlindungan informasi secara menyeluruh.
Untuk organisasi enterprise, kemampuan menunjukkan penerapan kontrol ikut membentuk kepercayaan. Mekari Sign mempublikasikan informasi mengenai security dan privacy controls, termasuk ISO/IEC 27001:2022, data residency, Data Processing Agreement, access control, encryption, audit logging, serta kebijakan penyimpanan dan penghapusan data melalui Trust Center Mekari Sign.
Privacy governance pada akhirnya perlu terlihat dalam aktivitas sehari-hari. Kebijakan perlu terhubung dengan akses, dokumen, vendor, sistem, dan bukti aktivitas agar pengelolaan data berjalan secara konsisten.
Referensi:
- European Commission, Principles of personal data processing under the GDPR
- European Commission, Information for individuals
- European Union, Regulation (EU) 2016/679 of the European Parliament and of the Council
- European Union, Article 3: Territorial scope
- Republik Indonesia, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
- SIP Law Firm, Perbandingan Regulasi Perlindungan Data Pribadi Indonesia dan Eropa
- Normand Edwin Elnizar, Ini 4 Perbedaan GDPR dan Perlindungan Data Pribadi di Indonesia
- Syafira Agata Ramadhani, Komparasi Pengaturan Perlindungan Data Pribadi di Indonesia dan Uni Eropa
- Yahya Ziqra, Sunarmi, Mahmul Siregar, dan Jelly Leviza, Analisis Hukum General Data Protection Regulation (GDPR) Terhadap Data Pribadi Konsumen Dalam Melakukan Transaksi Online
