Penerangan Mudah GDPR

Apakah itu GDPR?

Peraturan Perlindungan Data Umum (GDPR) ialah undang-undang privasi data komprehensif yang digubal oleh Kesatuan Eropah (EU) yang berkuat kuasa pada 25 Mei 2018. Ia dianggap secara meluas sebagai salah satu undang-undang privasi dan keselamatan yang paling ketat di dunia.

Pada terasnya, GDPR direka untuk memberi individu (dirujuk sebagai "subjek data") kawalan yang lebih besar ke atas data peribadi mereka dan untuk mempermudah persekitaran kawal selia untuk perniagaan antarabangsa dengan menyatukan peraturan dalam EU.

Mengapa GDPR Diwujudkan?

Sebelum GDPR, Eropah bergantung pada Arahan Perlindungan Data 1995. Walau bagaimanapun, kemajuan pesat teknologi dan letupan internet bermakna sejumlah besar data peribadi sedang dikumpulkan, dikongsi, dan diwangkan dengan cara yang arahan lama tidak dapat dikawal dengan berkesan.

GDPR diperkenalkan untuk menangani cabaran moden ini, menetapkan peraturan yang jelas tentang bagaimana organisasi mesti mengendalikan maklumat peribadi, memastikan ketelusan, dan memberikan penalti yang berat untuk ketidakpatuhan.

Kepada Siapa GDPR Berkenaan?

Salah satu aspek yang paling penting mengenai GDPR ialah jangkauan luar wilayahnya. Ia bukan sekadar terpakai kepada perniagaan yang terletak dalam EU. Ia terpakai kepada mana-mana organisasi, di mana sahaja di dunia, yang memproses data peribadi individu yang menetap di EU, dengan syarat pemprosesan itu berkaitan dengan:

1. Menawarkan barangan atau perkhidmatan kepada warga EU (walaupun tiada pembayaran diperlukan).
2. Memantau tingkah laku warga EU (cth., melalui penjejakan web atau pemprofilan).

Ini bermakna sebuah syarikat yang berpangkalan di California atau Tokyo mesti mematuhi GDPR jika ia menyasarkan pelanggan Eropah.

Prinsip Utama GDPR

Organisasi mesti mematuhi tujuh prinsip teras apabila memproses data peribadi:

1. Kesahan, Keadilan, dan Ketelusan: Data mesti diproses secara sah, adil, dan dengan cara yang telus berhubung dengan subjek data.
2. Had Tujuan: Data hanya boleh dikumpulkan untuk tujuan yang ditentukan, eksplisit, dan sah dan tidak diproses lagi dengan cara yang tidak serasi dengan tujuan tersebut.
3. Pengurangan Data: Hanya data yang benar-benar diperlukan untuk tujuan yang dimaksudkan harus dikumpulkan.
4. Ketepatan: Data mesti dipastikan tepat dan terkini. Data yang tidak tepat mesti dipadamkan atau diperbetulkan tanpa berlengah-lengah.
5. Had Penyimpanan: Data hanya boleh disimpan selagi perlu untuk memenuhi tujuannya.
6. Integriti dan Kerahsiaan (Keselamatan): Data mesti diproses dengan cara yang memastikan keselamatan yang sesuai, melindungi daripada akses yang tidak dibenarkan, kehilangan, atau kerosakan.
7. Kebertanggungjawaban: Pengawal data bertanggungjawab untuk menunjukkan pematuhan dengan semua prinsip ini.

Hak Individu (Subjek Data)

GDPR memberikan hak baharu yang berkuasa kepada individu berkenaan data peribadi mereka:

• Hak untuk Dimaklumkan: Individu mempunyai hak untuk mengetahui data apa yang sedang dikumpulkan, mengapa ia dikumpulkan, dan berapa lama ia akan disimpan.
• Hak Akses: Individu boleh meminta salinan data peribadi mereka yang dipegang oleh organisasi.
• Hak untuk Pembetulan: Individu boleh meminta data yang tidak tepat atau tidak lengkap dibetulkan.
• Hak untuk Pemadaman (Hak untuk Dilupakan): Dalam keadaan tertentu, individu boleh meminta supaya data mereka dipadamkan.
• Hak untuk Menyekat Pemprosesan: Individu boleh meminta organisasi menghentikan pemprosesan data mereka.
• Hak untuk Mudah Alih Data: Individu boleh meminta data mereka dalam format yang berstruktur dan biasa digunakan untuk memindahkannya kepada pembekal perkhidmatan lain.
• Hak untuk Membantah: Individu boleh membantah pemprosesan data mereka untuk tujuan tertentu, seperti pemasaran langsung.

Persetujuan di bawah GDPR

GDPR meningkatkan tahap kesukaran untuk mendapatkan persetujuan dengan ketara. Berlalulah hari-hari kotak pra-tanda atau persetujuan paksa yang terkubur jauh dalam dokumen Terma Perkhidmatan setebal 50 muka surat.

Di bawah GDPR, persetujuan mestilah:

• Diberikan secara bebas: Individu tersebut mesti mempunyai pilihan yang tulen.
• Spesifik: Persetujuan mesti diberikan untuk tujuan tertentu.
• Bermaklumat: Individu tersebut mesti mengetahui apa yang mereka persetujui.
• Tidak kabur: Ia mesti melibatkan tindakan afirmatif yang jelas (cth., menanda kotak secara aktif).

Tambahan pula, individu mesti dapat menarik balik persetujuan mereka semudah mereka memberikannya.

Kos Ketidakpatuhan

GDPR menguatkuasakan pematuhan dengan penalti kewangan yang besar. Organisasi yang melanggar peraturan boleh didenda sehingga €20 juta atau 4% daripada jumlah perolehan tahunan global mereka (hasil) bagi tahun kewangan sebelumnya, yang mana lebih tinggi. Denda yang tinggi ini menggariskan keseriusan pendekatan EU terhadap privasi data.

Kesimpulan

GDPR mewakili anjakan besar-besaran dalam landskap privasi data. Ia meletakkan kuasa kembali ke tangan pengguna, menuntut ketelusan dan kebertanggungjawaban daripada organisasi yang mengumpul dan memproses maklumat peribadi. Walaupun pematuhan boleh menjadi kompleks untuk perniagaan, GDPR telah menetapkan piawaian global, memberi inspirasi kepada perundangan yang serupa di seluruh dunia dan mendorong privasi ke barisan hadapan ekonomi digital.