Kepatuhan GDPR dan bisnis kecil

Tidak. GDPR berlaku setiap kali bisnis mengumpulkan data pribadi dari seseorang yang berada di Uni Eropa. Hal ini berlaku baik saat bisnis Anda hanya dijalankan satu orang maupun memiliki kantor di enam benua.

Namun, Anda tidak perlu menyimpan catatan tertulis tentang aktivitas pemrosesan data jika Anda memiliki kurang dari 250 karyawan, kecuali jika:

• Aktivitas pemrosesan data Anda dapat memengaruhi hak dan kebebasan individu

• Anda memproses data yang dicakup oleh Pasal 9 GDPR. Ini adalah data yang mengungkapkan:
  • Ras atau etnis
  • Pandangan politik, religius, atau filosofis
  • Keanggotaan serikat pekerja
  • Data genetik atau biometrik, atau data tentang kesehatan atau seksualitas seseorang

• Anda memproses data pribadi yang dicakup oleh pasal 10, yaitu data yang berkaitan dengan pelanggaran dan putusan pidana

• Anda memproses data pribadi secara berkala

Banyak bisnis kecil dan pedagang perorangan tidak termasuk dalam tiga pengecualian pertama.

Namun, bagaimana dengan pengecualian keempat? Komisi Privasi Belgia berpendapat bahwa tidak semua pemrosesan data bersifat “reguler”, meskipun Anda mungkin melakukannya setiap hari. Menurut interpretasi ini, Anda tidak perlu menyimpan catatan data pribadi yang Anda gunakan untuk menempatkan pesanan atau berkomunikasi dengan klien, sebagai contoh. Namun, makalah pendapat dari Article 29 Working Party — pendahulu Dewan Perlindungan Data Eropa— tampaknya menyiratkan bahwa Anda harus menafsirkan “regular” secara harfiah. Dewan Perlindungan Data Eropa pun sependapat. Karena posisi ini sangat tidak jelas, sebaiknya tetap simpan catatan, meski Anda merasa dikecualikan. Lebih baik mencegah daripada mengobati.

Ya. GDPR berlaku untuk perusahaan AS jika mereka:

• Melaksanakan bisnis di UE

• Tidak melaksanakan bisnis di Uni Eropa, tetapi mengumpulkan atau melacak data pribadi milik orang yang secara fisik berada di Uni Eropa (ini mencakup orang yang sedang bepergian di Uni Eropa, tetapi tidak menetap di sana). Anda mungkin melakukan hal ini tanpa menyadarinya. Misalnya, jika cookie situs web Anda dapat digunakan untuk mengidentifikasi individu, cookie dianggap sebagai data pribadi di bawah GDPR

Jika ingin tetap berbisnis di UE, Anda harus mematuhi GDPR. Jika tidak, Anda berisiko dikenai denda besar. Jika tidak melakukan bisnis di UE, Anda memiliki dua opsi:

• Tetap mematuhi GDPR

• Batasi akses ke situs web Anda sehingga tidak dapat mengumpulkan data pribadi dari orang-orang yang berada di UE

Saat GDPR pertama kali mulai berlaku, banyak situs web AS memblokir pengguna UE agar tidak melanggar GDPR. Misalnya, lebih dari 1.1 situs berita AS tidak dapat diakses di UE pada Agustus 2018. Beberapa penerbit telah memutuskan untuk keluar dari UE secara permanen. Juru bicara Lee Enterprises, Charles Arms berkomentar: “Lalu lintas internet di situs berita lokal kami yang berasal dari UE dan EEA bersifat sangat minim, dan kami percaya bahwa memblokir lalu lintas adalah pilihan terbaik bagi klien media lokal kami.” Meski demikian, banyak situs web AS kini sudah bisa kembali online di UE tanpa masalah apa pun. Situs web bisnis kecil Anda juga dapat disediakan di UE tanpa mengalami masalah. Itu membawa kita ke poin berikutnya.

Menempatkan bisnis kecil Anda di jalur menuju kepatuhan GDPR tidak sesulit yang Anda kira. Berikut adalah daftar periksa kepatuhan GDPR untuk membantu Anda memulai.

1. Data pribadi apa yang Anda kumpulkan?

Anda harus mengetahui informasi pribadi apa yang Anda kumpulkan dan apakah ada yang bersifat sensitif, yaitu informasi yang termasuk dalam kategori di pasal 9 dan 10 GDPR. Anda juga harus bertanya pada diri sendiri:

• Dari mana informasi berasal?

• Mengapa Anda mengumpulkannya?

• Apa yang Anda lakukan dengannya?

Anda harus dapat menjawab pertanyaan ini jika diminta.

2. Apakah Anda memiliki persetujuan?

Kecuali jika Anda memiliki alasan yang sah untuk menggunakan data pribadi, individu harus memberikan persetujuan mereka. Persetujuan ini harus:

• Diberikan secara bebas

• Spesifik

• Berdasarkan informasi

• Tidak ambigu

Anda harus menyimpan catatan persetujuan secara tertulis. Anda juga harus membuat penarikan persetujuan semudah dan secepat mungkin. Perangkat lunak Manajemen Hubungan Pelanggan yang mematuhi GDPR dapat membantu hal ini. Secara khusus, alat ini dapat:

• Menyimpan catatan tertulis nama orang dan data pribadi yang Anda simpan di dalamnya

• Catat persetujuan mereka, yang menentukan tujuan penggunaan data oleh Anda yang mereka setujui (misalnya, untuk menerima buletin bulanan Anda)

• Memberikan pengguna cara mudah untuk menarik persetujuan mereka jika berubah pikiran (misalnya melalui skrip “berhenti berlangganan” dengan sekali klik)

3. Apakah data aman?

Bisnis Anda bertanggung jawab atas data pribadi yang Anda kumpulkan. Anda juga berisiko terkena denda jika data jatuh ke tangan yang salah. Oleh karena itu:

• Gunakan perangkat lunak enkripsi saat menyimpan atau mengirimkan data pribadi secara online

• Amankan jaringan Anda. Karyawan yang lalai merupakan penyebab utama pelanggaran data, sehingga kebijakan TI yang kuat wajib diterapkan. Anda juga harus berinvestasi dalam perangkat lunak keamanan, termasuk firewall

• Buat cookie dan pemberitahuan kebijakan privasi yang patuh GDPR. Contoh templat cookie dan contoh templat kebijakan privasi berikut dapat membantu. Anda juga dapat mengunjungi Pusat Kepercayaan Microsoft untuk mempelajari selengkapnya tentang praktik terbaik GDPR

• Periksa kepatuhan GDPR pemasok Anda

4. Bagaimana jika terjadi pelanggaran serius?

Anda harus melaporkan pelanggaran serius kepada regulator dalam waktu 72 jam, atau terkena risiko denda. Pastikan Anda telah menerapkan prosedur pelaporan. Lebih penting lagi, latih karyawan Anda untuk:

• Bersikap waspada

• Memahami pelanggaran serius

• Mengenali bendera merah

Apa dampak GDPR terhadap bisnis kecil sejauh ini?

Hanya ada satu cara untuk menjelaskannya. Kepatuhan GDPR memakan waktu dan biaya. Menjelang 25 Mei 2018, bisnis kecil di Inggris menghabiskan masing-masing sekitar 600 jam untuk mempersiapkan GDPR. Itu belum termasuk biaya keuangan. Secara global, bisnis kecil dan menengah telah menghabiskan $1,3 juta untuk kepatuhan GDPR. Sama halnya, ketidakpatuhan dapat menyebabkan dampak mengejutkan bagi pendapatan bersih Anda. Dalam perkara GDPR paling pertama, sebuah jejaring sosial Jerman didenda €20.000 (sekitar USD$22.600) karena gagal menjaga keamanan data pribadi pengguna setelah seorang peretas mencuri 330.000 alamat email dan kata sandi. Namun, meski Anda mungkin melihatnya sebagai beban, kepatuhan GDPR juga berdampak positif bagi bisnis kecil. Inilah alasannya. Konsumen belum pernah begitu peduli pada privasi mereka seperti sekarang. Mereka juga mengharapkan bisnis yang mereka bagikan informasinya memedulikan hal yang sama. Dalam studi terbaru, 69% konsumen AS bahkan mengatakan bahwa mereka ingin undang-undang serupa GDPR diberlakukan di AS. Selain itu, studi oleh CMO Council mendapati bahwa anggota yang siap menghadapi GDPR mengalami keterlibatan yang lebih baik, loyalitas lebih tinggi, dan kepercayaan konsumen yang meningkat. Jelas, GDPR lebih dari sekelompok aturan yang wajib diikuti agar tidak didenda. Tidak ada yang senang jika informasi pribadinya diambil tanpa persetujuan. Pun juga data mereka disimpan di tempat yang dapat dijangkau penjahat. Jadi, dengan mengambil langkah untuk mencapai kepatuhan GDPR, Anda bisa memosisikan bisnis kecil Anda sebagai bisnis yang benar-benar peduli pada data pribadi pelanggan. Hal ini juga dapat memberi Anda keunggulan atas pesaing Anda.