Hampir setiap website mengumpulkan data pribadi: formulir kontak dengan nama dan telepon, pesanan dengan alamat pengiriman, akun pelanggan, alamat email untuk newsletter. Sejak saat itu, General Data Protection Regulation (GDPR) juga berlaku untuk website Anda — dan perusahaan yang meng-hosting-nya ikut menjadi bagian dari cerita.
Artikel ini menjelaskan konsepnya dengan sederhana; ini bukan konsultasi hukum. Untuk situasi perusahaan Anda, tanyakan kepada ahli perlindungan data.
Ringkasan
- Untuk data pengunjung Anda, Anda adalah pengendali data; penyedia hosting yang menyimpannya di server, pada umumnya, adalah pemroses data.
- Di antara keduanya harus ada perjanjian pemrosesan data (Pasal 28 GDPR).
- Jika data dikirim ke luar Wilayah Ekonomi Eropa, GDPR mewajibkan jaminan tambahan untuk transfer tersebut.
- Server di Uni Eropa mempermudah, tetapi tidak membebaskan Anda dari kewajiban lainnya: kebijakan privasi, keamanan data, banner cookie yang benar.
Pengendali dan pemroses data
GDPR membagi peran menjadi dua. Pengendali data memutuskan untuk apa dan bagaimana data diproses — perusahaan Anda, yang memasang formulir di website. Pemroses data memproses data atas nama pengendali, sesuai instruksinya — misalnya penyedia hosting, yang servernya menyimpan database toko dan kotak surat email.
Peran ini penting karena kewajiban berasal darinya: pengendali bertanggung jawab kepada pengunjung, sedangkan pemroses harus melindungi data dan hanya memakainya sesuai permintaan.
Perjanjian Pemrosesan Data
Pasal 28 GDPR mewajibkan kontrak antara pengendali dan pemroses yang menyebutkan data apa yang diproses, untuk tujuan apa, berapa lama, dengan langkah keamanan apa, dan apa yang terjadi dengan data di akhir. Untuk pelanggan NBT Host, perjanjian ini dipublikasikan di halaman Perjanjian Pemrosesan Data (DPA) dan berlaku untuk data yang Anda hosting di server kami.
Mengapa lokasi server penting
GDPR tidak melarang hosting di luar Uni Eropa, tetapi transfer data pribadi ke luar Wilayah Ekonomi Eropa hanya diizinkan dengan syarat di Bab V regulasi tersebut: keputusan kecukupan (adequacy decision) Komisi Eropa untuk negara tersebut atau jaminan yang memadai, seperti klausul kontrak standar. Artinya, dokumen tambahan dan pemeriksaan penyedia.
Jika server berada di Uni Eropa, data tetap berada di bawah aturan yang sama dari awal sampai akhir. Server NBT Host berada di Uni Eropa, disewa dari penyedia pusat data asal Jerman dan dikelola oleh tim kami, dan salinan backup terenkripsi juga berada di Uni Eropa. Semua penyedia yang dilewati data disebutkan di Kebijakan Privasi. Detail infrastruktur ada di Tentang NBT Host.
Perhatikan layanan yang Anda tambahkan sendiri ke website: formulir yang dikirim lewat layanan eksternal, chat, alat analitik, atau pixel iklan bisa mengirim data ke luar Uni Eropa, di mana pun website di-hosting.
Yang tetap menjadi tanggung jawab Anda
Server di Uni Eropa hanyalah sebagian solusi. Sebagai pengendali data, masih ada beberapa hal yang perlu Anda lakukan:
- Kebijakan privasi di website: data apa yang dikumpulkan, untuk apa, berapa lama disimpan, kepada siapa diberikan, dan hak apa yang dimiliki orang.
- Cookie: cookie analitik dan pemasaran baru aktif setelah ada persetujuan, dan menolak sama mudahnya dengan menerima. Aturannya berasal dari GDPR dan peraturan tentang privasi komunikasi elektronik (di Rumania, Legea No. 506/2004).
- Keamanan: koneksi terenkripsi lewat sertifikat SSL, kata sandi yang baik, verifikasi dua langkah di panel, pembaruan tepat waktu.
- Backup dan rencana pemulihan — tentang ini, baca aturan 3-2-1.
- Hanya data yang diperlukan: formulir kontak tidak membutuhkan nomor identitas kependudukan atau tanggal lahir.
Di mana menemukan sumbernya
Teks lengkap regulasi ada di EUR-Lex, sedangkan otoritas perlindungan data di Rumania adalah ANSPDCP, yang menerbitkan panduan dan jawaban atas pertanyaan umum.