Kebijakan perlindungan data yang kuat melindungi perusahaan Anda, karyawan Anda, dan pelanggan Anda. Dengan Trupeer, Anda dapat menghemat waktu berjam-jam dalam penulisan kebijakan dengan memulai dari template kebijakan perlindungan data gratis, menyesuaikannya dengan panduan brand Anda, lalu mengubah kebijakan menjadi video walkthrough yang dapat dipahami dengan cepat oleh karyawan dan mitra.

Kebanyakan organisasi mengunduh kebijakan perlindungan data, mengganti nama perusahaan, lalu mengarsipkannya. Itu tidak memuaskan siapa pun: bukan staf yang tidak pernah membacanya, bukan auditor yang bertanya bagaimana kebijakan tersebut diterapkan, dan bukan regulator jika terjadi masalah.

Kebijakan perlindungan data yang bermanfaat melakukan satu hal. Kebijakan ini memberi tahu orang-orang di organisasi Anda apa yang harus dan tidak boleh mereka lakukan dengan data pribadi, dengan cukup spesifik sehingga mereka dapat mengikutinya. Template ini disusun berdasarkan tujuh prinsip yang harus dipenuhi kebijakan, sehingga setiap bagian memiliki alasan yang dapat Anda jelaskan.

Unduh template kebijakan perlindungan data

Gratis, dapat diedit, tanpa watermark. File workbook Excel lebih penting daripada yang terlihat, karena kebijakan tanpa jadwal retensi dan catatan pemrosesan di belakangnya adalah pernyataan niat, bukan sistem yang benar-benar berjalan.

Kebijakan perlindungan data atau kebijakan privasi?

Kebingungan yang paling umum dan paling berdampak di bidang ini. Keduanya adalah dokumen berbeda dengan audiens berbeda dan status hukum yang berbeda.

Jika Anda memerlukan dokumen yang ditujukan untuk publik untuk situs web Anda, template ini bukan itu, dan mempublikasikan kebijakan internal sebagai gantinya tidak akan memenuhi kewajiban Anda. Anda perlu pemberitahuan privasi, yang menjelaskan aktivitas pemrosesan spesifik Anda dan biasanya paling baik dibuat dengan masukan hukum atau generator yang tepercaya.

Hampir pasti Anda memerlukan keduanya. Halaman ini membahas yang internal.

Cara menyesuaikan template ini di Trupeer

Langkah 1: Buka Bagian Templates

Buka bagian Templates dari navigasi utama.

Langkah 2: Pilih dan Buka sebuah Template

Klik pada template apa pun yang ingin Anda gunakan untuk membukanya.

Langkah 3: Perluas Tampilan Template

Jika diperlukan, perluas tampilan template untuk melihat tata letak dan detail secara jelas.

Langkah 4: Edit Template

Klik Edit untuk mulai memodifikasi template yang dipilih.

Di dalam editor, Anda dapat:

• Menambahkan bagian baru

• Menentukan atau memperbarui aturan pemformatan

• Menambahkan logo dan menyesuaikan posisinya serta pengaturan terkait

Langkah 5: Simpan Template Kustom Anda

Setelah melakukan semua perubahan yang diperlukan, klik Save untuk menyimpan template yang diperbarui sebagai milik Anda.

Langkah 6: Pratinjau dan Penyempurnaan Template

Saat Anda ingin melihat seperti apa tampilan template kustom Anda, buka Preview.

Dari layar pratinjau, Anda dapat terus melakukan penyesuaian secara langsung jika diperlukan, memastikan template tampil persis seperti yang Anda inginkan.

Dengan template kebijakan perlindungan data, Anda dapat:

• Menghemat waktu untuk penulisan: Lewati halaman kosong dengan struktur yang dibangun untuk peraturan privasi.

• Tetap patuh: Selaras dengan GDPR, CCPA, HIPAA, dan hukum privasi lainnya.

• Tetap sesuai brand: Terapkan logo, font, dan warna Anda menggunakan brand kit Trupeer.

• Melatih setiap karyawan: Padukan kebijakan dengan video walkthrough untuk meningkatkan kesadaran privasi.

• Tetap siap untuk audit: Bagian bawaan mendukung SOC 2, ISO 27001, dan audit privasi.

• Menjangkau tim global: Terjemahkan kebijakan ke 65+ bahasa hanya dengan satu klik.

  
  

Apa itu kebijakan perlindungan data

Kebijakan internal yang menjelaskan bagaimana organisasi Anda menangani data pribadi: siapa yang bertanggung jawab, apa yang boleh dan tidak boleh dilakukan staf, bagaimana prinsip hukum diterapkan dalam praktik, serta apa yang terjadi jika terjadi kesalahan.

Fungsinya ada dua. Kebijakan ini memberi tahu orang-orang Anda cara berperilaku, sekaligus menunjukkan akuntabilitas—yang dalam GDPR bukan sesuatu yang opsional. Kemampuan untuk menunjukkan bahwa Anda telah mempertimbangkan dan mendokumentasikan pendekatan Anda adalah persyaratan kepatuhan itu sendiri, terlepas dari apakah praktik Anda sudah baik.

Tujuh prinsip, dan apa yang masing-masing diwajibkan

Pasal 5 GDPR menetapkan tujuh prinsip. Setiap bagian dari kebijakan perlindungan data yang baik ada untuk memenuhi salah satunya, dan menyusun kebijakan dengan cara ini membuatnya lebih dapat dipertanggungjawabkan.

Legalitas, keadilan, dan transparansi

Data pribadi harus diproses secara sah, adil, dan dengan cara yang orang-orang dapat mengharapkan serta memahaminya.

Yang harus dimuat dalam kebijakan. Pernyataan bahwa semua pemrosesan memerlukan dasar hukum, daftar dasar yang menjadi sandaran organisasi Anda dan untuk apa, persyaratan bahwa pemberitahuan privasi disediakan pada titik pengumpulan, serta aturan bahwa staf tidak boleh menggunakan data pribadi untuk tujuan yang tidak diberitahukan kepada mereka.

Di mana biasanya terjadi kesalahan. Mengumpulkan data untuk satu tujuan lalu diam-diam menggunakannya untuk tujuan lain. Pemasaran kepada orang yang memberikan alamat mereka untuk pengiriman adalah contoh klasik.

Pembatasan tujuan

Data yang dikumpulkan untuk satu tujuan tertentu tidak boleh digunakan untuk tujuan yang tidak kompatibel.

Yang harus dimuat dalam kebijakan. Aturan bahwa penggunaan baru atas data yang sudah ada harus dinilai sebelum terjadi, serta penamaan tanggung jawab untuk penilaian tersebut. Dalam praktik, ini adalah bagian yang menghentikan tim yang berniat baik untuk membuat sesuatu dengan data yang seharusnya tidak mereka gunakan.

Minimisasi data

Kumpulkan yang Anda butuhkan, tidak lebih.

Yang harus dimuat dalam kebijakan. Persyaratan bahwa formulir dan sistem ditinjau untuk bidang yang tidak perlu, serta aturan untuk tidak mengumpulkan data secara spekulatif karena mungkin berguna nanti. Prinsip ini ditegakkan pada tahap desain, sehingga kebijakan harus mewajibkan agar hal ini dipertimbangkan saat proses atau sistem baru diperkenalkan.

Akurasi

Data pribadi harus akurat dan diperbarui bila diperlukan.

Yang harus dimuat dalam kebijakan. Cara individu dapat memperbaiki data mereka, bagaimana koreksi diteruskan ke sistem lain, dan seberapa sering catatan penting ditinjau. Titik penerusan itu penting, karena sebagian besar organisasi memperbarui catatan yang dikeluhkan seseorang lalu meninggalkan tiga salinan lainnya di tempat lain.

Pembatasan penyimpanan

Jangan menyimpan data pribadi lebih lama daripada yang Anda perlukan.

Yang harus dimuat dalam kebijakan. Referensi ke jadwal retensi Anda, yang sebaiknya berupa dokumen terpisah karena berubah lebih sering daripada kebijakan. Selain itu, aturan tentang penghapusan yang aman, serta persyaratan bahwa pencadangan dan arsip dicakup, bukan dikecualikan secara diam-diam.

Ini adalah prinsip yang paling sering gagal dipenuhi organisasi, karena menyimpan semuanya lebih mudah daripada memutuskan apa yang harus dihapus.

Integritas dan kerahasiaan

Data pribadi harus dijaga keamanannya, baik dari akses yang tidak sah maupun kehilangan yang tidak disengaja.

Yang harus dimuat dalam kebijakan. Akses berdasarkan kebutuhan untuk mengetahui, aturan untuk perangkat dan media penyimpanan yang dapat dilepas, persyaratan enkripsi, aturan kerja dari rumah dan jarak jauh, apa yang boleh dan tidak boleh dikirim melalui email, serta bagaimana data dibagikan kepada pihak ketiga. Selain itu, persyaratan bahwa pemasok yang memproses data atas nama Anda berada di bawah kontrak tertulis.

Akuntabilitas

Anda harus dapat menunjukkan kepatuhan, bukan sekadar mencapainya.

Yang harus dimuat dalam kebijakan. Peran dan tanggung jawab yang disebutkan namanya, persyaratan untuk memelihara catatan pemrosesan, kapan penilaian dampak perlindungan data diperlukan, persyaratan pelatihan, serta siklus peninjauan untuk kebijakan itu sendiri.

Akuntabilitas adalah alasan mengapa register pendukung itu penting. Kebijakan tanpa catatan pemrosesan, tanpa jadwal retensi, dan tanpa log pelatihan menunjukkan sangat sedikit.

Struktur template kebijakan

Dasar hukum untuk pemrosesan

Setiap aktivitas pemrosesan memerlukan satu dasar. Ada enam dasar di bawah GDPR, dan staf harus mengetahui mana yang menjadi sandaran organisasi Anda.

Dua poin praktis yang layak dimasukkan ke dalam kebijakan. Persetujuan sering kali menjadi pilihan yang paling lemah, karena dapat ditarik kembali dan harus diberikan secara bebas, sehingga itu bukan dasar yang baik untuk apa pun yang Anda perlukan terlepas dari apa pun. Dan kepentingan yang sah memerlukan penilaian keseimbangan yang terdokumentasi, bukan sekadar pernyataan bahwa kepentingan Anda ada.

Hak subjek data

Delapan hak di bawah GDPR, dan kebijakan Anda harus menjelaskan bagaimana masing-masing ditangani dan oleh siapa.

Hak untuk diberi informasi. Hak akses, yang umumnya disebut permintaan akses subjek. Hak untuk perbaikan. Hak untuk penghapusan. Hak untuk membatasi pemrosesan. Hak atas portabilitas data. Hak untuk mengajukan keberatan. Dan hak yang berkaitan dengan pengambilan keputusan otomatis dan pembuatan profil.

Bagian praktisnya adalah prosedurnya. Permintaan dapat masuk melalui saluran apa pun, kepada anggota staf mana pun, dengan redaksi apa pun, dan orang tersebut tidak harus menggunakan istilah terminologi hukum yang benar atau bahkan menyebut perlindungan data. Jadi kebijakan harus memberi tahu setiap karyawan untuk mengenali dan meneruskan permintaan tersebut segera, bukan mencoba menanganinya.

Batas waktu respons adalah satu bulan, dapat diperpanjang hingga dua bulan tambahan untuk permintaan yang kompleks atau banyak, dengan syarat Anda memberi tahu orang tersebut dalam bulan pertama. Perhitungan waktu dimulai saat permintaan diterima di mana pun dalam organisasi Anda, bukan saat permintaan tersebut sampai ke orang yang tepat, itulah mengapa aturan pengenalan sangat penting.

Respons pelanggaran

Bagian yang paling mungkin diuji dan paling tidak mungkin dibaca terlebih dahulu.

Mengenali pelanggaran. Pelanggaran data pribadi bukan hanya peretasan. Email yang salah alamat, laptop yang hilang, dokumen yang tertinggal di kereta, share yang dikonfigurasi secara keliru, atau pemberian akses kepada orang yang salah semuanya termasuk.

Pelaporan internal. Segera, kepada peran yang disebutkan namanya, tanpa penyaringan. Kebijakan harus menyatakan secara tegas bahwa melaporkan pelanggaran yang Anda sebabkan sendiri tidak akan dihukum, karena budaya menyembunyikan adalah hal paling mahal yang dapat diciptakan oleh kebijakan pelanggaran.

Penilaian dan pemberitahuan. Jika suatu pelanggaran kemungkinan mengakibatkan risiko terhadap hak dan kebebasan orang-orang, pelanggaran tersebut harus dilaporkan kepada otoritas pengawas dalam waktu 72 jam sejak Anda mengetahuinya. Jika risikonya tinggi, individu yang terdampak juga harus diberi tahu tanpa penundaan yang tidak semestinya. Kedua penilaian tersebut harus dilakukan oleh peran yang disebutkan namanya, bukan oleh siapa pun yang menemukannya.

Log pelanggaran. Setiap pelanggaran yang dicatat, termasuk yang Anda putuskan untuk tidak dilaporkan dan alasan untuk keputusan tersebut. Memelihara catatan itu sendiri adalah kewajiban.

Catatan pemrosesan dan retensi

Catatan aktivitas pemrosesan. Catatan tentang data pribadi apa yang Anda pegang, alasannya, dengan siapa data tersebut dibagikan, berapa lama Anda menyimpannya, dan bagaimana data tersebut diamankan. Pasal 30 mewajibkannya, dengan pengecualian terbatas untuk organisasi di bawah 250 karyawan yang tidak berlaku jika pemrosesan lebih dari sekadar sesekali, melibatkan data kategori khusus, atau menimbulkan risiko bagi individu. Kebanyakan organisasi yang mengira mereka dikecualikan ternyata tidak.

Jadwal retensi. Dokumen terpisah yang mencantumkan jenis data, periode retensi, dan justifikasi untuk masing-masing. Simpan terpisah dari kebijakan karena dokumen ini jauh lebih sering berubah, dan rujuk dokumen tersebut daripada menyematkannya.

Keduanya ada di workbook Excel yang disertakan dengan template ini, dengan log pelanggaran berada di sampingnya.

Kumpulan dokumen yang lebih luas

Kebijakan perlindungan data jarang berdiri sendiri. Kebanyakan organisasi memerlukan beberapa dokumen berikut:

Jika Anda hanya memiliki salah satu dari dokumen-dokumen ini, pemberitahuan privasi adalah dokumen yang secara hukum diwajibkan untuk dipublikasikan. Jika Anda hanya memiliki dua, tambahkan kebijakan ini.

Versi untuk usaha kecil

Organisasi yang lebih kecil membutuhkan kebijakan yang lebih singkat, bukan pendekatan yang lebih ringan. Kewajiban tidak mengecil seiring jumlah karyawan, tetapi dokumentasinya harus proporsional.

Pertahankan: ruang lingkup, tanggung jawab, prinsip-prinsip dalam bahasa yang jelas, aturan keamanan, pengenalan permintaan subjek data, pelaporan pelanggaran, dan retensi. Pangkas: struktur tata kelola yang rumit, referensi komite, dan apa pun yang menjelaskan peran yang tidak Anda miliki. Sebutkan orang yang benar-benar bertanggung jawab, bukan membuat fungsi perlindungan data yang fiktif.

Empat hingga enam halaman biasanya cukup. Kebijakan dua puluh halaman di perusahaan berisi sepuluh orang tidak akan dibaca, sehingga hasilnya lebih buruk daripada kebijakan yang lebih singkat.

Melatih staf tentang kebijakan ini

Kebijakan yang tidak pernah dibaca siapa pun tidak membuktikan apa pun.

Latih saat orientasi dan setiap tahun, simpan catatan tentang siapa yang dilatih dan kapan, serta fokus pada empat hal yang benar-benar menyebabkan pelanggaran: mengenali permintaan subjek data, tidak mengirim data melalui email kepada orang yang salah, tidak menaruh data pribadi di tempat yang tidak disetujui, dan melaporkan insiden segera.

Pelatihan berbasis skenario bekerja lebih baik daripada mengulang prinsip. Sebagian besar pelanggaran berasal dari kesalahan biasa, bukan karena ketidaktahuan terhadap hukum.

Cara menulis kebijakan perlindungan data Anda

1. Cari tahu data apa yang benar-benar Anda pegang sebelum menulis apa pun. Catatan pemrosesan adalah yang pertama dalam praktik, meskipun direferensikan nanti di dalam kebijakan.

2. Identifikasi dasar hukum untuk setiap aktivitas, dan dokumentasikan penilaian keseimbangan jika Anda mengandalkan kepentingan yang sah.

3. Gunakan struktur template dan tulis dengan bahasa yang sederhana, karena audiensnya adalah staf Anda, bukan regulator.

4. Buat aturan menjadi spesifik. "Tangani data dengan aman" tidak dapat ditegakkan. "Jangan simpan data pribadi di perangkat pribadi atau akun cloud yang tidak disetujui" dapat ditegakkan.

5. Buat jadwal retensi secara terpisah dan rujuk dokumen tersebut.

6. Tulis prosedur pelanggaran sebelum Anda membutuhkannya, dengan peran yang disebutkan namanya dan aturan pelaporan tanpa menyalahkan.

7. Minta ditinjau oleh spesialis perlindungan data atau penasihat hukum, terutama jika Anda memproses data kategori khusus, beroperasi lintas yurisdiksi, atau membuat keputusan otomatis.

8. Minta persetujuan, terbitkan dengan pemberitahuan, dan kumpulkan pengakuan.

9. Latih, dan catat pelatihannya.

10. Tetapkan tanggal peninjauan, setiap tahun dan setelah perubahan material apa pun.

Meninjau kebijakan

Setiap tahun sebagai default. Segera saat Anda memperkenalkan sistem atau aktivitas pemrosesan baru, saat Anda mulai beroperasi di yurisdiksi baru, setelah setiap pelanggaran, ketika hukum perlindungan data berubah, atau ketika orang yang bertanggung jawab keluar.

Catat setiap peninjauan di riwayat versi, termasuk peninjauan yang tidak menghasilkan perubahan, karena menunjukkan bahwa Anda meninjau adalah bagian dari tujuannya.

Pemberitahuan hukum

Template ini dan panduan di halaman ini disediakan untuk informasi umum dan bukan nasihat hukum. Hukum perlindungan data berbeda-beda menurut yurisdiksi, dan persyaratan berbeda di bawah EU GDPR, UK GDPR, serta rezim seperti CCPA dan CPRA di Amerika Serikat. Kewajiban juga sangat bervariasi tergantung pada data apa yang Anda proses, skala pemrosesannya, dan sektor yang terlibat.

Minta kebijakan Anda ditinjau oleh penasihat perlindungan data yang berkualifikasi atau penasihat hukum sebelum mengadopsinya, terutama jika Anda memproses data kategori khusus, data anak, atau beroperasi secara internasional.

Praktik terbaik

• Simpan kebijakan internal dan pemberitahuan privasi publik sebagai dokumen terpisah.

• Tulis aturan yang benar-benar dapat diikuti staf, dengan istilah yang spesifik.

• Simpan jadwal retensi di luar kebijakan agar dapat diperbarui secara independen.

• Sebutkan orang yang benar-benar ada, bukan peran yang hanya diharapkan.

• Sebutkan secara tegas bahwa pelanggaran yang dilaporkan sendiri tidak akan dihukum.

• Latih untuk mengenali permintaan subjek data, karena perhitungan waktu dimulai saat permintaan diterima.

• Catat setiap pelanggaran, termasuk yang tidak dilaporkan dan alasannya.

• Pertahankan catatan pemrosesan. Ini adalah kewajiban dan membuat semuanya lebih mudah.

• Pastikan kebijakan proporsional dengan organisasi.

• Catat peninjauan, termasuk peninjauan tanpa perubahan.

Kesalahan yang umum

• Mempublikasikan kebijakan internal seolah-olah itu pemberitahuan privasi.

• Kebijakan generik yang diunduh dengan nama perusahaan diganti dan tidak ada yang lain.

• Aturan terlalu samar untuk diikuti atau ditegakkan.

• Periode retensi disematkan di dalam kebijakan, sehingga memperbaruinya memerlukan persetujuan ulang.

• Mengasumsikan pengecualian untuk organisasi di bawah 250 karyawan dari catatan pemrosesan berlaku saat tidak berlaku.

• Bergantung pada persetujuan padahal dasar hukum lain akan lebih kuat.

• Kepentingan yang sah diklaim tanpa penilaian keseimbangan yang terdokumentasi.

• Tidak ada prosedur pelanggaran, sehingga perhitungan waktu 72 jam ditemukan saat insiden terjadi.

• Budaya menyalahkan terkait pelanggaran, yang menghasilkan penyembunyian.

• Staf tidak dilatih untuk mengenali permintaan subjek data dalam bahasa sehari-hari.

• Cadangan dan arsip dikecualikan secara diam-diam dari aturan retensi dan penghapusan.

• Tidak pernah ditinjau, sehingga kebijakan tersebut menggambarkan sistem yang tidak lagi Anda gunakan.

Buat aturan agar bisa diikuti orang

Buka template di Trupeer AI, terapkan brand kit Anda agar sesuai dengan buku panduan dan kebijakan lainnya, lalu edit bagian mana pun secara langsung. Penyiapannya ada di panduan template.

Kesenjangan antara kebijakan perlindungan data dan kepatuhan yang benar-benar terjadi hampir selalu bersifat perilaku. Staf tahu bahwa mereka harus menangani data dengan hati-hati, tetapi tidak tahu artinya saat mereka akan membagikan spreadsheet, merespons email yang tidak biasa, atau menyiapkan alat baru.

Catat prosedurnya sekali, lalu Trupeer AI menghasilkan panduan tertulis dan video walkthrough yang dinarasikan dari proses yang sama, sehingga aturan untuk berbagi file, menyunting respons akses subjek, atau melaporkan insiden adalah hal yang bisa ditonton orang, bukan klausul yang mereka baca sekilas. Terjemahkan ke 65+ bahasa, yang penting saat staf diminta mengikuti aturan dengan konsekuensi hukum. Simpan paketnya di knowledge base Anda dan gunakan untuk orientasi dan pelatihan tahunan, dengan catatan penyelesaian yang dapat Anda tunjukkan.

Catat. Branding. Terjemahkan. Trupeer-kan.

Pertanyaan yang Sering Diajukan

Apakah ada template kebijakan perlindungan data gratis di Word?

Ya. Word adalah format utama, dengan setiap bagian disusun dan placeholder dalam tanda kurung untuk detail yang harus menjadi milik Anda. Unduhan gratis, tanpa pendaftaran, tanpa watermark.

Apakah ada template kebijakan perlindungan data gratis di PDF?

Ya, sebagai versi yang diterbitkan dengan blok pengakuan untuk tanda tangan staf, yaitu yang Anda perlukan jika Anda berniat mengandalkan kebijakan dalam konteks disipliner.

Apakah ada template kebijakan perlindungan data di Word untuk karyawan?

Ya. Template ini mencakup ringkasan yang ditujukan untuk karyawan, versi dua halaman yang mencakup apa yang harus dan tidak boleh dilakukan staf tanpa detail tata kelola. Ini adalah versi yang seharusnya dibaca sebagian besar orang, dengan kebijakan lengkap tersedia di belakangnya.

Di mana saya bisa mendapatkan PDF kebijakan perlindungan data?

Di sini, baik sebagai template kosong maupun contoh yang sudah diisi, sehingga Anda bisa melihat kebijakan yang sudah jadi dari awal hingga akhir sebelum menulis versi Anda sendiri.

Apa perbedaan antara kebijakan perlindungan data dan kebijakan privasi?

Kebijakan perlindungan data bersifat internal dan memberi tahu staf Anda cara menangani data pribadi. Kebijakan privasi atau pemberitahuan privasi bersifat publik dan memberi tahu individu apa yang Anda lakukan dengan data mereka serta hak apa yang mereka miliki. Yang kedua diwajibkan secara langsung oleh GDPR dan harus dipublikasikan. Memublikasikan kebijakan internal sebagai gantinya tidak akan memenuhi kewajiban tersebut.

Apakah ada template kebijakan privasi situs web gratis?

Tidak di halaman ini, dan ada baiknya menjelaskan alasannya daripada menawarkan template generik. Pemberitahuan privasi harus menjelaskan pemrosesan yang benar-benar Anda lakukan: data apa yang Anda kumpulkan, dasar hukum apa yang Anda gunakan, dengan siapa Anda membagikannya, berapa lama Anda menyimpannya, dan ke mana data tersebut ditransfer. Template yang tidak sesuai dengan praktik nyata Anda lebih buruk daripada tidak ada, karena itu adalah pernyataan publik yang tidak akurat. Gunakan generator kebijakan privasi yang tepercaya atau pengacara, dan dasarkan pada catatan pemrosesan Anda.

Apakah ada contoh kebijakan privasi dalam PDF?

Contoh pemberitahuan privasi tersedia luas dari regulator dan penyedia alat privasi, dan itu adalah titik awal yang lebih baik daripada template generik, karena ditulis berdasarkan persyaratan yang berlaku saat ini. Yang disediakan halaman ini adalah kebijakan internal dan catatan pemrosesan yang harus menjadi dasar dari setiap pemberitahuan privasi yang akurat.

Apakah ada generator kebijakan privasi?

Ada beberapa, dan itu merupakan opsi yang masuk akal untuk situs web yang sederhana, terutama untuk pengungkapan cookie dan analitik. Namun, yang tidak bisa mereka lakukan adalah mengetahui aktivitas pemrosesan Anda, jadi tinjau hasilnya terhadap praktik nyata Anda sebelum mempublikasikannya tanpa dibaca. Generator menghasilkan dokumen. Akurasi tetap menjadi tanggung jawab Anda.

Apa itu kebijakan perlindungan data?

Kebijakan internal yang menjelaskan bagaimana organisasi Anda menangani data pribadi: siapa yang bertanggung jawab, apa yang boleh dan tidak boleh dilakukan staf, bagaimana prinsip-prinsip hukum diterapkan dalam praktik, serta apa yang terjadi jika terjadi kesalahan. Kebijakan ini juga menunjukkan akuntabilitas, yang merupakan persyaratan tersendiri.

Apa yang harus dimuat dalam kebijakan perlindungan data?

Kontrol dokumen, ruang lingkup, definisi, peran dan tanggung jawab, bagaimana setiap dari tujuh prinsip diterapkan, dasar hukum, data kategori khusus, hak subjek data dan bagaimana permintaan ditangani, retensi, aturan keamanan, berbagi pihak ketiga, kapan DPIA diperlukan, respons pelanggaran, persyaratan pelatihan, konsekuensi ketidakpatuhan, dokumen terkait, serta siklus peninjauan.

Apa saja 7 prinsip GDPR?

Legalitas, keadilan, dan transparansi. Pembatasan tujuan. Minimisasi data. Akurasi. Pembatasan penyimpanan. Integritas dan kerahasiaan. Akuntabilitas. Pasal 5 menetapkan enam prinsip pertama sebagai prinsip yang berkaitan dengan pemrosesan, dengan akuntabilitas yang mengharuskan Anda menunjukkan kepatuhan terhadap prinsip-prinsip tersebut.

Apa dasar hukum untuk pemrosesan data pribadi?

Persetujuan, kontrak, kewajiban hukum, kepentingan vital, tugas publik, dan kepentingan yang sah. Setiap aktivitas pemrosesan memerlukan satu dasar. Persetujuan sering kali menjadi pilihan yang paling lemah karena dapat ditarik kembali, dan kepentingan yang sah memerlukan penilaian keseimbangan yang terdokumentasi, bukan sekadar pernyataan.

Berapa lama waktu yang Anda miliki untuk merespons permintaan akses subjek?

Satu bulan, dapat diperpanjang hingga dua bulan tambahan untuk permintaan yang kompleks atau banyak, dengan syarat Anda memberi tahu individu tersebut dalam bulan pertama. Perhitungan waktu dimulai saat permintaan diterima oleh siapa pun di organisasi Anda, dengan redaksi apa pun, itulah mengapa pelatihan staf untuk mengenali dan meneruskan permintaan lebih penting daripada prosedurnya sendiri.

Seberapa cepat pelanggaran data harus dilaporkan?

Jika suatu pelanggaran data pribadi kemungkinan mengakibatkan risiko terhadap hak dan kebebasan individu, pelanggaran tersebut harus dilaporkan kepada otoritas pengawas dalam waktu 72 jam sejak Anda mengetahuinya. Jika risikonya tinggi bagi individu, mereka juga harus diberi tahu tanpa penundaan yang tidak semestinya. Pelanggaran yang Anda nilai tidak memerlukan pemberitahuan tetap harus dicatat, beserta alasannya.

Apakah usaha kecil perlu memiliki kebijakan perlindungan data?

Ya, jika Anda memproses data pribadi, yang hampir setiap bisnis lakukan. Kewajiban tidak mengecil seiring jumlah karyawan, meskipun dokumentasinya harus proporsional. Empat hingga enam halaman yang menyebutkan orang yang benar-benar bertanggung jawab lebih berguna daripada dua puluh halaman yang menjelaskan struktur tata kelola yang tidak Anda miliki.

Apakah saya perlu seorang Data Protection Officer?

Seorang DPO wajib dalam kondisi tertentu, termasuk otoritas publik dan organisasi yang kegiatan utamanya melibatkan pemantauan skala besar yang teratur dan sistematis atau pemrosesan skala besar data kategori khusus. Banyak organisasi berada di luar kriteria tersebut dan tetap mendapat manfaat dari penunjukan seseorang yang bertanggung jawab. Periksa posisi Anda dengan spesialis, karena ambang batas melibatkan penilaian.

Seberapa sering kebijakan perlindungan data harus ditinjau?

Setiap tahun sebagai default, dan segera setelah setiap pelanggaran, sistem atau aktivitas pemrosesan baru, perubahan hukum, ekspansi ke yurisdiksi baru, atau saat orang yang bertanggung jawab keluar. Catat setiap peninjauan termasuk yang tidak menghasilkan perubahan.

Bisakah saya menyesuaikan template kebijakan perlindungan data ini?

Ya, setiap versi dapat diedit sepenuhnya, dan Anda seharusnya melakukannya. Kebijakan generik gagal tepat karena kebijakan tersebut menggambarkan praktik nyata milik siapa pun. Ganti placeholder, hapus bagian yang tidak berlaku, dan minta hasilnya ditinjau oleh penasihat yang berkualifikasi sebelum mengadopsinya.

Template terkait

• Template kebijakan perusahaan

• Template kebijakan dan prosedur

• Template buku panduan karyawan

• Template kebijakan pengadaan TI

• Template SOP TI

• Template kebijakan absensi

• Template SOP

• Template knowledge base