Dasar-Dasar GDPR dan KVKK

GDPR (Peraturan Perlindungan Data Umum EU, 2018) dan KVKK Turki (Undang-Undang Nomor 6698, 2016) adalah dua kerangka kerja yang dibahas dalam pelajaran ini. KVKK sangat banyak mengacu pada pendekatan EU, sehingga prinsip-prinsip intinya sangat selaras.

Keduanya mengatur cara data pribadi diproses dan memberikan hak yang kuat kepada individu, disertai sanksi yang besar.

Kedua undang-undang tersebut menetapkan peran-peran inti:

• Subjek data (KVKK: ilgili kisi): orang yang menjadi subjek data
• Pengendali (KVKK: veri sorumlusu): menentukan alasan dan cara data diproses
• Pemroses (KVKK: veri isleyen): memproses data atas nama pengendali

Pengendali memikul akuntabilitas utama, bahkan ketika pekerjaan dialihdayakan kepada pemroses.

Pasal 5 GDPR menetapkan prinsip-prinsip yang dicerminkan oleh KVKK:

• Keabsahan, kewajaran, dan transparansi
• Pembatasan tujuan: gunakan data hanya untuk tujuan yang telah dinyatakan
• Minimalisasi data: kumpulkan hanya data yang diperlukan
• Keakuratan
• Pembatasan penyimpanan: simpan data tidak lebih lama daripada yang diperlukan
• Integritas dan kerahasiaan (keamanan)
• Akuntabilitas: mampu menunjukkan kepatuhan

Anda tidak boleh memproses data pribadi tanpa dasar hukum. Pasal 6 GDPR mencantumkan enam dasar:

• Persetujuan
• Kontrak
• Kewajiban hukum
• Kepentingan vital
• Tugas publik
• Kepentingan yang sah

KVKK memiliki rangkaian yang serupa. Persetujuan hanyalah salah satu pilihan dan sering kali bukan pilihan terbaik karena dapat dicabut kapan saja.

Jika Anda mengandalkan persetujuan, persetujuan tersebut harus:

• Diberikan secara bebas
• Spesifik untuk suatu tujuan
• Diberikan setelah mendapat informasi
• Tidak ambigu, melalui tindakan afirmatif yang jelas

Kotak yang telah dicentang sebelumnya, persetujuan yang digabungkan, dan diam bukan persetujuan yang sah. Pencabutan persetujuan harus semudah memberikannya.

Individu memiliki hak yang dapat ditegakkan:

• Akses: salinan data mereka
• Perbaikan: memperbaiki ketidakakuratan
• Penghapusan (hak untuk dilupakan)
• Pembatasan pemrosesan
• Portabilitas: menerima data dalam format yang dapat dibaca mesin
• Keberatan, termasuk terhadap pembuatan profil

Permintaan biasanya harus dijawab dalam jangka waktu tertentu (GDPR: satu bulan).

Akuntabilitas memerlukan dokumentasi. Pengendali memelihara Catatan Kegiatan Pemrosesan (RoPA) yang menjelaskan data apa yang diproses, alasannya, ke mana data tersebut dikirim, dan berapa lama data tersebut disimpan.

Di Turki, pengendali yang melampaui ambang batas tertentu wajib mendaftar ke VERBIS, yaitu registri pengendali data. Catatan ini adalah hal pertama yang diminta regulator.

Pengiriman data pribadi ke luar EU/EEA (atau ke luar Turki) dibatasi. Mekanismenya meliputi:

• Keputusan kecukupan (negara tujuan menawarkan perlindungan yang setara)
• Klausul Kontraktual Standar
• Persetujuan eksplisit untuk transfer tertentu

Secara historis, KVKK mewajibkan persetujuan Dewan KVKK atau persetujuan eksplisit untuk transfer lintas batas, jadi periksalah aturan terbaru sebelum memindahkan data ke luar negeri.

Badan penegakannya meliputi:

• EU: Otoritas Perlindungan Data nasional; denda GDPR hingga 20 juta euro atau 4% dari omzet tahunan global
• Turki: Dewan KVKK (Kurul), dengan kewenangan menjatuhkan denda administratif dan memerintahkan penghentian pemrosesan

Selain denda, regulator dapat mewajibkan tindakan perbaikan dan mengumumkan pelanggaran kepada publik.

Beberapa organisasi wajib menunjuk Pejabat Perlindungan Data (DPO), misalnya otoritas publik atau organisasi yang melakukan pemantauan berskala besar maupun pemrosesan data kategori khusus berdasarkan GDPR.

DPO memberikan saran tentang kepatuhan, memantau pelaksanaannya, dan menjadi narahubung bagi regulator serta subjek data. DPO harus bekerja secara independen.

Ketika pengendali menggunakan pemroses (vendor SaaS, penyedia hosting awan, atau subkontraktor), perjanjian pemrosesan data tertulis (DPA) wajib dibuat. Perjanjian ini mewajibkan pemroses untuk:

• Memproses data hanya berdasarkan instruksi yang terdokumentasi
• Menjamin kerahasiaan dan keamanan
• Melibatkan subpemroses hanya dengan izin
• Membantu menangani permintaan subjek data dan pelaporan pelanggaran

Memilih vendor yang tidak patuh tidak mengalihkan akuntabilitas pengendali.

Ujilah pemahaman Anda tentang dasar pemrosesan yang sah.

Anda telah mempelajari hal-hal penting tentang GDPR dan KVKK:

• Peran dan akuntabilitas pengendali dan pemroses
• Prinsip-prinsip inti, terutama pembatasan tujuan dan minimisasi
• Enam dasar pemrosesan yang sah; persetujuan harus diberikan secara bebas dan dapat ditarik
• Hak subjek data (akses, penghapusan, portabilitas, keberatan)
• Catatan RoPA/VERBIS dan transfer internasional yang dibatasi
• Regulator, denda besar, dan peran DPO

Berikutnya: mengklasifikasikan dan meminimalkan data yang Anda simpan.