Menangani pelanggaran

GDPR dalam Praktik: Kepatuhan dan Denda

Mamnoon Hadi

Head of Analytics & Insights at Readdle

Studi kasus: pelanggaran GDPR oleh Marriott

Penemuan pelanggaran: pada September 2018, Marriott International menemukan akses tidak sah ke basis data reservasi tamu Starwood sejak 2014

Data yang dikompromikan: pelanggaran mengekspos data pribadi sekitar 500 juta tamu, termasuk nama, alamat, nomor telepon, email, nomor paspor, tanggal lahir, jenis kelamin, dan detail kartu pembayaran

Pemberitahuan tertunda: Marriott gagal memberi tahu Information Commissioner's Office (ICO) dalam batas 72 jam yang disyaratkan GDPR. Keterlambatan ini memicu pengawasan regulasi dan denda besar

¹ ico.org.uk

Pasal 33: Pemberitahuan kepada otoritas pengawas

Persyaratan utama:
- Organisasi harus memberi tahu otoritas pengawas tanpa penundaan yang tidak semestinya dan dalam 72 jam setelah mengetahui pelanggaran data pribadi
Informasi yang disampaikan:
- Sifat pelanggaran — apa yang terjadi dan bagaimana ditemukan
- Kategori subjek data terdampak (mis. pelanggan, karyawan)
- Jenis data pribadi yang terdampak
- Konsekuensi yang mungkin terjadi
- Langkah yang telah/akan diambil — upaya mitigasi dan pencegahan insiden di masa depan

Pasal 34: Komunikasi kepada subjek data

Kapan perlu memberi tahu subjek data:
- Jika pelanggaran berpotensi menimbulkan risiko tinggi terhadap hak dan kebebasan individu, individu terdampak harus diberi tahu tanpa penundaan yang tidak semestinya
Isi pemberitahuan:
- Sifat pelanggaran — penjelasan yang jelas dan mudah dipahami
- Potensi konsekuensi — mis. penipuan, pencurian identitas
- Langkah yang diambil organisasi untuk menahan pelanggaran
- Saran bagi individu terdampak — tindakan yang harus dilakukan (mis. ganti kata sandi, pantau rekening bank)
- Detail kontak — titik kontak khusus untuk bantuan lanjutan

Studi kasus: dampak — pelanggaran Marriott

Denda finansial:

Pada Oktober 2020, ICO Inggris mendenda Marriott International sebesar £18,4 juta

Kerusakan reputasi:

Pelanggaran ini merusak reputasi, dan kegagalan mematuhi prosedur standar GDPR semakin memperburuk kepercayaan dan citra merek

Dampak operasional & biaya:

Marriott menanggung hampir $30 juta untuk pemulihan, termasuk investigasi, pemberitahuan ke pelanggan terdampak, akses setahun ke perangkat lunak pemantauan keamanan, dan pengembangan pusat panggilan internasional

Praktik terbaik untuk mengelola pelanggaran data

Rencana prosedur

Praktik terbaik untuk mengelola pelanggaran data

Terapkan rencana respons insiden yang kuat: susun rencana untuk tindakan cepat saat terjadi pelanggaran

Latih karyawan: edukasi staf tentang prinsip perlindungan data dan prosedur pelaporan pelanggaran

Jaga saluran komunikasi yang jelas: pastikan komunikasi tepat waktu dan transparan dengan regulator dan individu terdampak

Tinjau langkah keamanan secara berkala: nilai dan tingkatkan protokol keamanan secara berkelanjutan

Respons

Analisis akar masalah dan dokumentasi: identifikasi akar penyebab dan catat secara rinci

Ayo berlatih!

GDPR dalam Praktik: Kepatuhan dan Denda