Berkongsi data peribadi dengan pihak ketiga: 7 risiko GDPR yang perlu diuruskan

Anda hanya boleh berkongsi data peribadi di bawah GDPR jika anda mempunyai asas perundangan di bawah Perkara 6, telah membuat keputusan secara bertulis sama ada penerima itu pemproses atau pengawal, dan telah memberitahu orang yang berkenaan tentang perkongsian tersebut. Pengecualian utama ialah pemindahan di luar Kawasan Ekonomi Eropah (EEA) dan pemprosesan berisiko tinggi, yang membawa keperluan tambahan di bawah Bab V dan Perkara 35 GDPR.

Di Belanda, Pihak Berkuasa Perlindungan Data Belanda ( Autoriteit Persoonsgegevens , AP) menguatkuasakan GDPR bersama-sama dengan akta pelaksana Belanda ( Uitvoeringswet AVG , UAVG). Setiap aliran kepada penyedia awan, biro gaji, pemungut hutang atau syarikat kumpulan di luar negara adalah operasi pemprosesan berasingan yang memerlukan justifikasinya sendiri. Di bawah ini kami menetapkan tujuh risiko yang berulang dalam amalan, peruntukan di sebaliknya dan apa yang anda boleh lakukan mengenai setiap satu.

Risiko 1: adakah anda berkongsi data tanpa asas undang-undang yang sah?

Setiap pendedahan data peribadi memerlukan salah satu daripada enam asas perundangan dalam Perkara 6(1) GDPR. Alasan komersial bukanlah salah satu daripadanya.

Enam asas tersebut adalah menyeluruh: persetujuan, pelaksanaan kontrak, kewajipan undang-undang, kepentingan penting, tugas awam dan kepentingan yang sah. Perkara 5(1)(a) menambah bahawa pemprosesan mestilah sah, adil dan telus, jadi asas yang tidak pernah dijelaskan kepada sesiapa pun masih meninggalkan jurang.

Mengapakah kepentingan yang sah merupakan satu perangkap?

Kepentingan sah adalah asas yang paling kerap digunakan untuk berkongsi dengan rakan kongsi, dan paling kerap digunakan secara salah. Ia memerlukan ujian tiga langkah:

• faedah tersebut mestilah sah;
• perkongsian itu mestilah perlu untuk menyampaikannya;
• kepentingan tersebut tidak boleh diatasi oleh hak dan kebebasan orang yang berkenaan.

Anda mesti menjalankan dan merekodkan ujian ini sebelum perkongsian bermula, kerana Perkara 5(2) GDPR meletakkan beban pembuktian pada pengawal (akauntabiliti). Penilaian yang ditulis selepas aduan tiba adalah sangat sedikit nilainya.

Bagaimana pula dengan persetujuan dan had tujuan?

Persetujuan daripada pekerja jarang sekali sah, kerana ketidakseimbangan kuasa bermakna ia tidak diberikan secara bebas (Perkara 7(4) dan resital 43 GDPR). Had tujuan di bawah Perkara 5(1)(b) juga terpakai untuk perkongsian: data yang dikumpul untuk menyampaikan perkhidmatan tidak boleh diserahkan kepada rakan kongsi untuk pemasaran. Jika tujuan baharu tidak serasi dengan tujuan asal, anda memerlukan asas yang baharu.

Apa yang perlu dilakukan: kenal pasti asas sebelum data meninggalkan organisasi anda, tuliskannya dan semak sama ada notis privasi anda sudah menerangkan perkongsian tersebut. Persetujuan mesti diberikan secara bebas, khusus, termaklum, tidak samar-samar dan semudah untuk ditarik balik seperti yang diberikan (Perkara 4(11) dan 7(3) GDPR).

Risiko 2: adakah anda salah memainkan peranan pengawal dan pemproses?

Pengawal menentukan tujuan dan cara pemprosesan; pemproses hanya bertindak berdasarkan arahan yang didokumenkan oleh pengawal (Perkara 4(7) dan (8) GDPR). Apa yang penting ialah siapa yang sebenarnya memutuskan, bukan apa yang disebut oleh kontrak kepada pihak-pihak.

Kesilapan biasa adalah melabelkan setiap pembekal sebagai pemproses. Namun tiada satu pun daripada yang berikut bertindak semata-mata berdasarkan arahan:

• penyedia SaaS yang menggunakan data pelanggan untuk menambah baik produknya sendiri;
• seorang akauntan yang terikat dengan peraturan profesional;
• bank yang melaksanakan pembayaran;
• platform pengiklanan yang membina profil khalayaknya sendiri.

Setiap satu merupakan pengawal untuk sekurang-kurangnya sebahagian daripada pemprosesan. Jika dua organisasi bersama-sama menentukan tujuan dan cara, mereka merupakan pengawal bersama di bawah Perkara 26 GDPR. Mereka mesti menetapkan tanggungjawab mereka dalam satu pengaturan dan menyediakan intipatinya kepada orang yang berkenaan.

Sejauh manakah Mahkamah Keadilan EU mentakrifkan kawalan bersama secara meluas?

Secara amnya. Dalam Fashion ID (C-40/17), Mahkamah Keadilan memutuskan bahawa pengendali laman web yang membenamkan pemalam sosial pihak ketiga adalah pengawal bersama untuk pengumpulan dan penghantaran data pelawat, walaupun ia tidak mempunyai akses kepada data tersebut selepas itu. Pengaruh separa ke atas tujuan tersebut sudah memadai, dan hasilnya adalah liabiliti bersama untuk pelanggaran yang tidak disebabkan oleh anda.

Apa yang perlu dilakukan: petakan aliran data dan rekodkan, untuk setiap aliran, siapa yang memutuskan mengapa dan bagaimana data diproses. Gunakan perjanjian pemprosesan di bawah Perkara 28 untuk pemproses dan pengaturan pengawal bersama di bawah Perkara 26 yang mana kedua-dua pihak membuat keputusan.

Risiko 3: adakah perjanjian pemprosesan data anda hilang atau rosak?

Jika pemproses mengendalikan data peribadi untuk anda, Perkara 28(3) GDPR memerlukan kontrak bertulis. Tanpanya, anda melanggar kontrak dari saat pemprosesan bermula, walaupun tiada data yang bocor.

Kandungan tersebut ditetapkan oleh undang-undang. Perjanjian pemprosesan data yang mematuhi peraturan menyatakan perkara, tempoh, sifat dan tujuan pemprosesan, jenis data peribadi dan kategori orang, serta hak dan kewajipan pengawal. Ia juga mesti mengikat pemproses kepada:

• proses hanya berdasarkan arahan yang didokumenkan;
• mengenakan kerahsiaan ke atas kakitangannya;
• mengambil langkah-langkah keselamatan yang dikehendaki oleh Perkara 32;
• membantu dengan permintaan subjek data dan pemberitahuan pelanggaran;
• memadam atau mengembalikan data pada akhir penglibatan;
• memberikan maklumat yang diperlukan untuk menunjukkan pematuhan dan membenarkan audit dijalankan.

Mengapakah klausa sub-pemproses sering gagal?

Di bawah Perkara 28(2) dan (4), pemproses memerlukan kebenaran bertulis khusus atau umum anda terlebih dahulu untuk mana-mana sub-pemproses. Dengan kebenaran umum, ia mesti memaklumkan anda tentang perubahan yang dimaksudkan dan memberi anda peluang untuk membantah; klausa yang membenarkannya melibatkan sesiapa sahaja yang disukainya tidak memenuhi piawaian tersebut.

Apa yang perlu dilakukan: gunakan templat yang mengikuti Perkara 28(3) klausa demi klausa dan semak semula perjanjian sedia ada dan bukannya bergantung pada terma pembekal sendiri. Hubungan yang telah lama terjalin kemungkinan besar tidak didokumenkan.

Risiko 4: adakah anda memindahkan data ke luar EEA tanpa perlindungan?

Pemindahan ke luar EEA hanya dibenarkan berdasarkan keputusan kecukupan (Perkara 45 GDPR) atau perlindungan yang sesuai (Perkara 46), biasanya klausa kontrak standard Suruhanjaya (SCC) atau peraturan korporat yang mengikat. Pengurangan dalam Perkara 49, seperti persetujuan eksplisit, adalah untuk pemindahan sekali-sekala dan tidak dapat menyokong aliran data struktur.

Pemindahan berlaku apabila data boleh diakses dari luar EEA, bukan sahaja apabila ia disalin di sana. Pentadbiran jauh oleh syarikat induk di luar negara adalah pemindahan, walaupun pelayan kekal di Frankfurt.

Apakah maksud Schrems II dan Rangka Kerja Privasi Data bagi anda?

Dalam Schrems II (C-311/18), Mahkamah Keadilan telah membatalkan Perisai Privasi EU-AS dan memutuskan bahawa klausa kontrak standard tidak mencukupi dengan sendirinya. Pengeksport mesti menilai sama ada undang-undang negara destinasi menjejaskan klausa tersebut dan menambah langkah tambahan jika perlu; bahawa penilaian impak pemindahan (TIA) masih diperlukan untuk setiap pemindahan Artikel 46.

Suruhanjaya telah menerima pakai keputusan kecukupan untuk Rangka Kerja Privasi Data (DPF) EU-AS pada Julai 2023, dan pada 3 September 2025 Mahkamah Agung menolak tindakan pembatalannya ( Latombe , T-553/23). Pemindahan kepada organisasi AS yang diperakui di bawah rangka kerja tersebut, untuk data yang diliputi oleh pensijilannya, boleh bergantung pada kecukupan; pemindahan kepada penerima AS yang lain tidak boleh. Rayuan kepada Mahkamah Keadilan adalah mungkin, jadi semak pensijilan dan kekalkan sandaran.

Apa yang perlu dilakukan: senaraikan pemindahan negara ketiga dalam rantaian bekalan anda, termasuk subpemproses dan pengaturan sokongan. Jika kecukupan tidak terpakai, gunakan SCC semasa, dokumentasikan TIA dan rekodkan langkah tambahan seperti penyulitan dengan kunci yang disimpan di EEA. AP boleh mengarahkan pemindahan digantung di bawah Perkara 58(2)(j) GDPR.

Risiko 5: adakah anda melangkau penilaian impak perlindungan data?

Perkara 35 GDPR memerlukan penilaian impak perlindungan data (DPIA) di mana pemprosesan berkemungkinan mengakibatkan risiko tinggi kepada individu. Perkongsian data selalunya melepasi ambang tersebut lebih awal daripada yang dijangkakan oleh organisasi.

Perkara 35(3) menamakan tiga kes: penilaian automatik yang sistematik dan meluas dengan kesan perundangan atau kesan yang serupa, pemprosesan kategori khas atau data jenayah berskala besar, dan pemantauan sistematik berskala besar di kawasan awam. AP juga menerbitkan senarai operasi yang sentiasa memerlukan DPIA. Menggabungkan set data, berkongsi data kesihatan dengan penyedia analitik atau memantau pekerja selalunya akan melepasi ambang batas dengan sendirinya.

Apakah yang mesti terkandung dalam DPIA?

Di bawah Perkara 35(7), DPIA menerangkan pemprosesan dan tujuannya, menilai keperluan dan perkadaran, mengenal pasti risiko kepada orang yang berkenaan dan menetapkan langkah-langkah yang menanganinya. Sekiranya risiko baki yang tinggi masih wujud, Perkara 36 memerlukan perundingan terlebih dahulu dengan AP sebelum pemprosesan bermula.

Apa yang perlu dilakukan: tapis setiap aturan perkongsian data baharu terhadap Perkara 35(3) dan senarai AP, dan libatkan pegawai perlindungan data anda jika ada. Semak semula DPIA apabila pemprosesan berubah; kegagalan untuk melaksanakan DPIA yang diperlukan adalah satu pelanggaran itu sendiri.

Risiko 6: adakah anda terlalu sedikit memberitahu orang tentang perkongsian ini?

Ketelusan merupakan satu kewajipan yang berasingan, yang boleh anda langgar walaupun perkongsian itu sendiri adalah sah di sisi undang-undang. Perkara 13 dan 14 GDPR menghendaki anda menyatakan tujuan, asas perundangan dan penerima atau kategori penerima.

Ayat yang mengatakan bahawa data "boleh dikongsi dengan rakan kongsi yang dipercayai" tidak mengenal pasti apa-apa. Namakan kategori tersebut secara konkrit, seperti penyedia hosting, pentadbir gaji atau agensi rujukan kredit. Bagi pemindahan di luar EEA, Artikel 13(1)(f) dan 14(1)(f) memerlukan notis untuk menyatakannya dan mengenal pasti perlindungan yang diandalkan.

Apakah tambahan yang dikenakan apabila anda tidak mengumpul data sendiri?

Di bawah Perkara 14, notis tersebut juga mesti menyatakan kategori data dan sumbernya. Anda mesti memberikannya dalam tempoh yang munasabah dan selewat-lewatnya dalam tempoh satu bulan, atau pada komunikasi pertama dengan orang tersebut jika ia berlaku lebih awal. Halaman kami mengenai dasar privasi di Belanda menetapkan kandungan penuh.

Apa yang perlu dilakukan: kemas kini notis sebelum penerima baharu menerima data, bukan pada semakan tahunan seterusnya. Perkara 12(1) menghendaki notis ringkas, mudah difahami dan dalam bahasa yang jelas dan mudah difahami.

Risiko 7: adakah anda menganggap data yang disamarkan sebagai tanpa nama?

Bagi organisasi yang memegang kunci, data yang disamarkan nama tetap menjadi data peribadi. Hanya penyamaran sebenar sahaja yang mengambil data di luar GDPR.

Perkara 4(5) GDPR mentakrifkan nama samaran sebagai pemprosesan data supaya ia tidak lagi boleh dikaitkan dengan seseorang tanpa maklumat tambahan yang disimpan secara berasingan. Resital 26 mengesahkan bahawa data tersebut kekal dalam GDPR bagi sesiapa sahaja yang boleh mengenal pastinya semula. Oleh itu, menggantikan nama dengan nombor pelanggan tidak menghapuskan keperluan untuk asas undang-undang, perjanjian pemprosesan atau notis privasi di pihak anda.

Bolehkah data yang menggunakan nama samaran tidak bersifat peribadi bagi penerima?

Mungkin. Dalam kes EDPS lwn SRB (C-413/23 P, 4 September 2025), Mahkamah Kehakiman memutuskan bahawa data yang disamarkan tidak semestinya data peribadi bagi penerima yang tidak dapat mengenal pasti semula orang yang berkenaan secara munasabah. Mahkamah juga memutuskan bahawa pengawal pendedahan masih mesti memaklumkan orang tersebut tentang penerima pada masa pengumpulan.

Apa yang perlu dilakukan: menilai cara yang mungkin digunakan oleh penerima, termasuk set data lain yang dipegangnya; poskod, tarikh lahir dan sejarah transaksi selalunya membenarkan pengenalpastian semula. Dokumenkan bagaimana kunci disimpan berasingan. Perkara 32 menamakan nama samaran sebagai langkah keselamatan, yang akan memihak kepada anda jika pelanggaran dinilai.

Bagaimanakah penguatkuasaan di Belanda?

Di bawah Perkara 58 GDPR, AP boleh memberi amaran, menegur, mengarahkan pematuhan, mengharamkan pemprosesan dan menggantung pemindahan, dan Perkara 83 membenarkan denda. Bagi perniagaan yang bergantung pada aliran data tertentu, larangan selalunya lebih merosakkan daripada denda.

Perkara 83 mempunyai dua peringkat, setiap satu dengan maksimum tetap atau peratusan perolehan tahunan seluruh dunia pada tahun kewangan sebelumnya, yang mana lebih tinggi:

• Peringkat bawah: sehingga EUR 10 juta atau 2%, contohnya untuk perjanjian pemprosesan yang hilang atau DPIA (Perkara 25 hingga 39).
• Peringkat yang lebih tinggi: sehingga EUR 20 juta atau 4%, atas pelanggaran prinsip, asas perundangan, hak subjek data dan peraturan pemindahan.

Perkara 82 GDPR memberi sesiapa sahaja yang mengalami kerosakan material atau bukan material hak untuk mendapatkan pampasan daripada pengawal atau pemproses. Di Belanda, yayasan semakin banyak mengemukakan tuntutan sedemikian secara kolektif di bawah Akta mengenai penyelesaian kerosakan besar-besaran dalam tindakan kolektif ( Wet afwikkeling massaschade in collectieve actie , WAMCA, Perkara 3:305a BW).

Jika perkongsian haram membawa kepada pelanggaran data, Perkara 33 mewajibkan pemberitahuan kepada AP tanpa berlengah dan, jika boleh, dalam tempoh 72 jam, melainkan pelanggaran itu tidak mungkin mengakibatkan risiko. Di bawah Perkara 34, anda juga mesti memaklumkan kepada orang yang terjejas jika risiko kepada mereka adalah tinggi. Dokumenkan setiap pelanggaran secara dalaman, termasuk mereka yang tidak anda maklumkan.

Apakah yang perlu anda semak sebagai organisasi yang berkongsi data?

Sebagai pengawal, anda memikul tanggungjawab utama dan mesti dapat membuktikan pematuhan di bawah Perkara 5(2) GDPR. Semak perkara ini sebelum data meninggalkan organisasi anda:

• Asas perundangan di bawah Perkara 6 dikenal pasti dan, untuk kepentingan yang sah, ujian pengimbangan telah difailkan.
• Peranan penerima direkodkan dalam rekod aktiviti pemprosesan anda di bawah Perkara 30.
• Perjanjian pemprosesan di bawah Perkara 28 atau pengaturan di bawah Perkara 26 ditandatangani.
• Sebarang pemindahan ke luar EEA bergantung pada kecukupan atau SCC serta TIA.
• Saringan DPIA telah dijalankan dan didokumenkan.
• Notis privasi anda menamakan penerima atau kategorinya.

Apakah yang perlu anda semak sebagai penerima data?

Sebagai pemproses atau pengawal penerima, anda mempunyai kewajipan anda sendiri dan boleh didenda secara langsung di bawah Perkara 83 GDPR. Semak perkara ini sebelum anda menerima data:

• Sama ada anda bertindak hanya berdasarkan arahan (pemproses) atau juga menggunakan data untuk tujuan anda sendiri (pengawal).
• Sama ada arahan dalam perjanjian pemprosesan sepadan dengan apa yang sebenarnya anda lakukan dengan data tersebut.
• Sama ada sub-pemproses anda dibenarkan secara bertulis di bawah Perkara 28(2).
• Sama ada langkah keselamatan anda memenuhi Perkara 32 dan anda boleh memaklumkan pelanggaran kepada pengawal tanpa berlengah (Perkara 33(2)).
• Sama ada anda menyimpan rekod pemprosesan anda sendiri di bawah Perkara 30(2).

Apa yang boleh kami bantu anda dengan perkongsian data GDPR?

Pasukan undang-undang IT kami mengendalikan bahagian perlindungan data bagi pengaturan pembekal, kumpulan dan rakan kongsi. Secara konkritnya:

• Kami memetakan aliran data anda dan menentukan bagi setiap penerima sama ada ia pemproses, pengawal bersama atau pengawal bebas.
• Kami mendraf atau menyemak perjanjian pemprosesan di bawah Perkara 28 dan pengaturan pengawal bersama di bawah Perkara 26.
• Kami menilai pemindahan di luar EEA, menyemak pensijilan DPF dan mendraf penilaian impak pemindahan.
• Kami menjalankan atau menyemak saringan DPIA dan DPIA itu sendiri.
• Kami mengemas kini notis privasi anda supaya penerima dan pemindahan dinamakan dengan betul.
• Kami membantu anda dalam siasatan AP atau dengan pemberitahuan pelanggaran dalam tempoh 72 jam.

Ringkasan

• Setiap perkongsian data peribadi memerlukan asas perundangan di bawah Perkara 6 GDPR; alasan komersial tidak mencukupi.
• Tentukan bagi setiap penerima sama ada ia pemproses, pengawal bersama atau pengawal bebas, dan dokumentasikannya.
• Perjanjian pemprosesan di bawah Perkara 28 adalah wajib bagi pemproses; tanpanya, anda melanggar perjanjian sejak hari pertama.
• Pemindahan di luar EEA memerlukan kecukupan (seperti pensijilan DPF) atau perlindungan serta penilaian impak pemindahan.
• Data yang dipalsukan kekal sebagai data peribadi bagi sesiapa yang memegang kunci tersebut dan notis privasi anda mesti menamakan penerima dengan jelas.

Soalan lazim