Bagaimana Cara Memeriksa Kebijakan Privasi Vendor Menurut UU PDP dan GDPR?
CyberRank Research
Gunakan daftar periksa tetap: tujuan, dasar hukum, retensi, hak subjek data, sub-prosesor, transfer, dan titik kontak, lalu bandingkan dengan perilaku situs vendor, misalnya banner cookie-nya. Celah dalam kebijakan publik sering menandakan celah dalam praktik. CyberRank membagi kebijakan vendor ke dalam 15+ area dan menandai setiap celah dengan saran perbaikan.
Intisari
- Kebijakan privasi adalah bukti publik tentang cara vendor menyatakan menangani data pribadi, yang bisa Anda periksa sebelum tanda tangan.
- Celah paling umum adalah masa retensi yang tidak disebut, sub-prosesor yang tidak dinamai, dasar hukum yang samar, dan persetujuan yang sulit ditolak.
- CyberRank memeriksa kebijakan dan persetujuan cookie terhadap indikator GDPR dan UU PDP serta melaporkan setiap celah dengan bahasa sederhana.
Apa saja yang harus dimuat kebijakan privasi vendor?
Setidaknya delapan hal di bawah ini. Masing-masing terkait kewajiban transparansi menurut GDPR, UU PDP, atau keduanya.
Kebijakan adalah satu dari tujuh area dalam review lengkap, seperti dijelaskan dalam panduan kami tentang penilaian risiko privasi vendor. Perlakukan sebagai klaim: situs vendor seharusnya berperilaku sesuai isi kebijakannya.
| Hal | Yang baik | Celah umum | Cara CyberRank membantu |
|---|---|---|---|
| Tujuan | Yang baikTujuan spesifik per kategori data | Celah umum"Untuk meningkatkan layanan kami" tanpa rincian | Cara CyberRank membantuMenandai tujuan yang samar atau hilang |
| Dasar hukum | Yang baikDasar yang disebut untuk setiap tujuan, seperti kontrak atau persetujuan | Celah umumTidak ada dasar, atau persetujuan dipakai untuk semuanya | Cara CyberRank membantuMemeriksa indikator GDPR dan UU PDP |
| Retensi | Yang baikJangka waktu atau aturan untuk setiap kategori data | Celah umum"Selama diperlukan" | Cara CyberRank membantuMenandai retensi yang hilang |
| Hak subjek data | Yang baikAkses, perbaikan, penghapusan, keberatan, dan cara menggunakannya | Celah umumHak disebut tanpa saluran | Cara CyberRank membantuMenandai hak atau jalur kontak yang hilang |
| Sub-prosesor | Yang baikKategori atau daftar yang disebut, dengan proses perubahan | Celah umumTidak disebut | Cara CyberRank membantuMenandai pengungkapan sub-prosesor yang hilang |
| Transfer internasional | Yang baikNegara tujuan dan pengamannya | Celah umumTidak membahas transfer | Cara CyberRank membantuDipasangkan dengan pemeriksaan residensi data |
| Persetujuan dan cookie | Yang baikPersetujuan spesifik dan terinformasi yang semudah ditolak seperti diberikan | Celah umumKotak sudah dicentang atau tanpa opsi menolak | Cara CyberRank membantuMenilai banner persetujuan cookie |
| Titik kontak | Yang baikKontak privasi atau pejabat pelindungan data | Celah umumHanya alamat dukungan umum | Cara CyberRank membantuMenandai detail kontak yang hilang |
Contoh: penyedia payroll dengan kebijakan singkat (fiktif)
Sebuah SaaS payroll fiktif di Indonesia menerbitkan kebijakan satu halaman dan lolos review keamanan.
Kebijakan itu tidak menyebut masa retensi, tidak membahas sub-prosesor, dan menyatakan data "dapat disimpan di luar Indonesia" tanpa menyebut negara atau pengaman. Banner cookie-nya punya tombol Terima tetapi tanpa opsi Tolak. Menurut UU PDP, data payroll mencakup nomor identitas dan detail keuangan, sehingga celah ini penting bagi pengendali yang wajib memilih prosesor dengan cermat; kewajibannya dirangkum di halaman UU PDP kami.
Langkah yang masuk akal bukan menolak vendor, melainkan mengubah setiap celah menjadi pertanyaan terarah dan klausul kontrak, lalu memeriksa lokasi hosting sistemnya, seperti dijelaskan dalam residensi data vs kedaulatan data.
Cara CyberRank membantu: CyberRank menemukan celah ini dari alamat web vendor, menjelaskan masing-masing, dan menyarankan perbaikan yang dapat dipakai vendor. Ini cara cepat untuk memilah kebijakan sebelum pekerjaan lebih dalam, seperti diuraikan dalam panduan utama privasi vendor.
Di mana CyberRank tidak membantu
CyberRank membaca apa yang dipublikasikan vendor. Ia tidak dapat memastikan vendor mematuhi kebijakannya sendiri, masa retensi ditegakkan, atau daftar sub-prosesor yang disebut sudah lengkap. Ia tidak memberikan pendapat hukum tentang apakah kebijakan memenuhi GDPR atau UU PDP. Gunakan pertanyaan terarah, perjanjian pemrosesan, dan review hukum untuk itu.
Referensi
Pertanyaan yang sering diajukan
Periksa kebijakan privasi vendor
Lihat celah kebijakan, masalah persetujuan, dan saran perbaikan untuk pemasok mana pun, hanya dari alamat web.
Periksa kebijakan privasi vendor