Kepatuhan UE 4 menit baca
Panduan Praktis GDPR international data transfers requirements untuk Tim Kepatuhan
Bab V GDPR mengatur syarat sahnya pengiriman data pribadi keluar dari EEA. Panduan ini merangkum hierarki dasar transfer, empat modul SCC 2021/914, langkah Transfer Impact Assessment, dan checklist dokumentasi yang bisa langsung dipakai tim kepatuhan.
Regulation (EU) 2016/679 — GDPR — membatasi perpindahan data pribadi dari Wilayah Ekonomi Eropa (EEA) ke negara ketiga atau organisasi internasional. Bab V (Artikel 44–49) menegaskan bahwa GDPR international data transfers requirements berlaku pada setiap pengiriman data, termasuk akses jarak jauh dari luar EEA dan transfer lanjutan oleh penerima. Bagi tim kepatuhan, urutan kerjanya jelas: petakan aliran data, tentukan dasar transfer, dokumentasikan penilaian risiko yurisdiksi, lalu pasang jaminan kontraktual dan teknis yang sepadan.
Kerangka Hukum Chapter V GDPR: Artikel 44–49
Artikel 44 menetapkan prinsip umum: tingkat perlindungan yang dijamin GDPR harus tetap terjaga setelah data meninggalkan EEA. Artikel 45 memberi dasar berupa keputusan adekuasi dari Komisi Eropa. Artikel 46 mengatur jaminan yang tepat bila keputusan adekuasi tidak tersedia, misalnya standard contractual clauses (SCC) dan binding corporate rules (BCR) yang disahkan menurut Artikel 47. Artikel 49 menyediakan derogasi untuk situasi khusus, seperti persetujuan eksplisit pemilik data atau pelaksanaan kontrak dengan subjek data.
Tiga Kriteria EDPB untuk Menentukan Adanya Transfer
EDPB Guidelines 05/2021 tentang interaksi Artikel 3 dan Bab V menetapkan tiga kriteria kumulatif: eksportir tunduk pada GDPR, eksportir mengungkapkan atau menyediakan data bagi pihak lain, dan penerima berada di negara ketiga atau merupakan organisasi internasional. Jika ketiganya terpenuhi, transfer terjadi — meskipun data hanya diakses dari luar EEA tanpa pemindahan fisik.
Hierarki Mekanisme Transfer: Adequacy, Artikel 46, dan Derogasi
Urutan pemilihan dasar transfer bersifat hierarkis. Pertama, periksa apakah negara tujuan sudah memiliki keputusan adekuasi. Kedua, jika tidak ada, gunakan jaminan Artikel 46. Ketiga, derogasi Artikel 49 hanya untuk kasus insidental dan tidak boleh menjadi solusi rutin.
- Keputusan adekuasi (Artikel 45): berlaku untuk sejumlah yurisdiksi, termasuk Jepang, Korea Selatan, Inggris, Kanada (rezim PIPEDA), dan Selandia Baru. Kerangka EU-US Data Privacy Framework berlaku sejak 10 Juli 2023 bagi organisasi Amerika Serikat yang tersertifikasi.
- Jaminan Artikel 46: SCC 2021/914, BCR, kode etik yang disetujui, dan mekanisme sertifikasi.
- Derogasi Artikel 49: persetujuan eksplisit, kepentingan vital, atau kepentingan umum yang penting; wajib dicatat dan dibatasi cakupannya.
Standard Contractual Clauses 2021 dan Pemilihan Modul
Commission Implementing Decision (EU) 2021/914 menerbitkan SCC versi baru dengan empat modul: pengendali ke pengendali (C2C), pengendali ke pemroses (C2P), pemroses ke pemroses (P2P), dan pemroses ke pengendali (P2C). Modul harus dipilih sesuai peran nyata para pihak; salah memilih modul membuat klausul sulit dipertahankan saat audit.
Beberapa klausul yang sering menjadi temuan: klausul 7 (docking clause) untuk penambahan pihak, klausul 8.9 tentang dokumentasi kepatuhan, klausul 14 tentang audit, klausul 15 tentang kewajiban pemberitahuan bila ada permintaan otoritas, serta klausul 16 tentang hukum yang berlaku. SCC lama (2001/497, 2004/915, 2010/87) sudah tidak berlaku sejak 27 Desember 2022.
Transfer Impact Assessment Setelah Putusan Schrems II
EDPB Recommendations 01/2020 menguraikan enam langkah yang dapat dipakai sebagai kerangka kerja:
- Petakan seluruh transfer dan tentukan alat transfer yang dipakai.
- Verifikasi apakah alat tersebut efektif di negara tujuan.
- Nilai hukum dan praktik negara ketiga, termasuk kewajiban akses bagi otoritas publik.
- Pilih langkah pelengkap — teknis (enkripsi end-to-end dengan kunci dikelola di EEA, pseudonimisasi), organisasi, atau kontraktual.
- Jalankan prosedur formal: persetujuan internal, dokumentasi, dan pembaruan catatan aktivitas pemrosesan.
- Tinjau ulang secara berkala atau saat ada perubahan hukum.
Pertimbangan yang lazim muncul adalah yurisdiksi dengan kewajiban pengungkapan luas, seperti CLOUD Act di Amerika Serikat atau Pasal 702 FISA. Hasil penilaian harus menunjukkan data tetap terlindungi pada tingkat yang setara dengan GDPR, bukan sekadar pernyataan kepatuhan.
Titik Singgung dengan Kepatuhan Produk: CE, Notified Body, dan EU Machinery Regulation 2023/1230
Perusahaan manufaktur sering menghadapi dua rezim sekaligus. Produk ber-CE yang dikirim ke EEA memerlukan kepatuhan regulasi produk, sementara data telemetri, log operator, dan data pelanggan yang mengalir kembali ke server pusat di luar EEA tunduk pada GDPR international data transfers requirements. Keduanya berjalan paralel dan tidak saling menggantikan.
Untuk memahami kapan pihak ketiga harus dilibatkan, lihat EU Notified Body Involvement Guide dan EU Notified Body Involvement Requirements. Jika produk Anda masuk ruang lingkup EU Machinery Regulation 2023 1230 Requirements, simpan dokumentasi teknis dan catatan transfer data dalam satu sistem agar konsisten saat audit. Checklist praktis tersedia di EU Notified Body Involvement Checklist.
Checklist Implementasi GDPR international data transfers requirements
- Inventarisasi transfer: tujuan, kategori data, volume, frekuensi, dan penerima.
- Tentukan dasar transfer dan simpan salinan keputusan adekuasi atau SCC yang ditandatangani.
- Lengkapi Transfer Impact Assessment dan lampirkan bukti langkah pelengkap.
- Perbarui pemberitahuan privasi dan perjanjian pemrosesan data.
- Uji kemampuan teknis: apakah tim di EEA dapat memegang kunci enkripsi dan menanggapi permintaan akses?
- Tetapkan jadwal tinjauan, misalnya setiap 12 bulan atau saat ada putusan pengadilan baru.
Dokumentasi yang rapi memangkas waktu respons saat otoritas pengawas meminta bukti. Sebaliknya, transfer tanpa dasar hukum yang jelas berisiko sanksi administratif hingga 20 juta euro atau 4% dari total omzet tahunan global, mana yang lebih tinggi. Karena itu, mulailah dari pemetaan aliran data, bukan dari pemilihan template kontrak.
Fakta utama
Pernyataan yang dapat dibaca mesin, diambil dari sumber di atas. Setiap fakta mempertahankan pengenal yang sama di keenam versi bahasa.
Articles 44-50
Chapter V of the GDPR, Articles 44-50, governs transfers of personal data to third countries and international organisations.
ID fakta:
GDPR_chapter_v_scopeArticle 45
Article 45 allows transfers to countries, territories, or sectors that the European Commission recognises as providing an adequate level of data protection.
ID fakta:
adequacy_decision_articleCommission Implementing Decision (EU) 2021/914
The current standard contractual clauses for international transfers were adopted by Commission Implementing Decision (EU) 2021/914.
ID fakta:
scc_decision_2021_91410 July 2023
The European Commission adopted the adequacy decision for the EU-US Data Privacy Framework on 10 July 2023.
ID fakta:
EU_us_dpf_adoption_dateC-311/18
The Court of Justice of the European Union's Schrems II judgment is Case C-311/18.
ID fakta:
schrems_ii_caseEUR 20 million or 4%
Infringements of the GDPR's transfer rules can attract administrative fines under Article 83(5) of up to EUR 20 million or 4% of total worldwide annual turnover, whichever is higher.
ID fakta:
GDPR_transfer_max_fine
Pertanyaan yang sering diajukan
Apakah akses jarak jauh dari luar EEA sudah termasuk transfer data?
Ya. Menurut EDPB Guidelines 05/2021, transfer terjadi bila eksportir tunduk pada GDPR, data diungkapkan atau disediakan, dan penerima berada di negara ketiga. Akses jarak jauh tanpa pengunduhan tetap memenuhi kriteria tersebut.
Kapan SCC 2021/914 wajib dipakai menggantikan SCC lama?
SCC lama berdasarkan Keputusan 2001/497, 2004/915, dan 2010/87 tidak lagi berlaku sejak 27 Desember 2022. Setelah tanggal itu, perjanjian transfer harus memakai modul SCC 2021/914.
Apakah keputusan adekuasi menghapus kewajiban Transfer Impact Assessment?
Keputusan adekuasi menjadi dasar transfer yang paling kuat, tetapi pengendali tetap wajib memverifikasi bahwa pemrosesan di negara tujuan sesuai dengan keputusan tersebut dan meninjau ulang bila ada perubahan hukum atau praktik.
Berapa modul SCC 2021/914 dan bagaimana memilihnya?
Ada empat modul: C2C, C2P, P2P, dan P2C. Pilih modul berdasarkan peran aktual para pihak dalam aliran data, bukan berdasarkan kebiasaan kontrak yang berlaku sebelumnya.
Apa sanksi bila transfer data tidak memenuhi Bab V GDPR?
Pelanggaran dapat dikenai denda administratif hingga 20 juta euro atau 4% dari total omzet tahunan global pada tahun buku sebelumnya, mana yang lebih tinggi, disertai perintah penghentian transfer.
Sumber dan lisensi
Setiap pernyataan dalam artikel ini dapat ditelusuri ke sumber yang tercantum di bawah. Tautan membuka situs penerbit langsung.
