Hukum Pemberitahuan Pelanggaran Data: Membangun Strategi Respons yang Kuat dan Kepatuhan

Dengan jumlah pelanggaran data yang dilaporkan terus meningkat setiap tahun, mereka beredar berita begitu sering sehingga sulit untuk melacak semuanya. Pada tahun 2017, Equifax mengalami pelanggaran besar, dan hampir 150 juta rekaman pelanggan (mewakili hampir setengah populasi AS) dicuri. Pada tahun 2018, Marriott International mengalami pelanggaran di mana ratusan juta rekaman pelanggan – termasuk informasi pribadi, nomor kartu kredit dan bahkan nomor paspor – terkompromi.

Pelanggaran data mempengaruhi semua jenis organisasi – besar dan kecil, populer dan tidak dikenal. Meskipun pelanggaran perusahaan besar membuat berita, Anda jarang mendengar tentang perusahaan kecil yang sering rentan dan dapat menemukan diri mereka di tengah pemburu siber. Kebanyakan melibatkan jenis hacking, seperti serangan phishing atau malware, di mana penyerang berhasil mendapatkan akses ke informasi terlindungi atau pribadi.

Hukum Pemberitahuan Pelanggaran Data – Itu Rumit

Jika perusahaan manufaktur Anda mengalami pelanggaran, apa yang akan Anda lakukan? Apakah Anda harus memberitahukan penegak hukum segera? Memberitahukan pelanggan? Apakah ada orang lain yang harus diinformasikan? Berapa lama waktu yang Anda miliki?

Jawabannya rumit. Meskipun tidak ada hukum federal yang komprehensif, setiap negara bagian dan wilayah memiliki hukum pemberitahuan pelanggaran data sendiri. Hukum-hukum ini mengharankan siapa pun yang menderita, atau bahkan mencurigai, pelanggaran untuk memberitahukan pelanggan tentang apa pun yang melibatkan informasi yang dapat diidentifikasi pribadi. Hukum-hukum ini juga mengharankan memberitahukan penegak hukum dan mengambil langkah spesifik untuk menyingkirkan situasi. Namun hukum negara bagian bervariasi secara signifikan ketika datang ke jenis informasi yang tercakup, waktu pemberitahuan dan standar pelaporan. Siapa yang harus mematuhi dan apa yang dianggap sebagai data pribadi bervariasi negara bagian ke negara bagian. Menambah kompleksitas, persyaratan juga berubah, dengan beberapa negara bagian baru saja memperbarui hukum mereka.

Berapa Lama Waktu yang Saya Miliki untuk Melaporkan Pelanggaran Data?

Sebagian besar hukum pemberitahuan data mengharuskan bisnis untuk memberitahukan pelanggan tanpa keterlambatan yang tidak wajar. Panjang waktu bervariasi menurut negara bagian dan sektor industri. Saat menangani pelanggaran data, produsen memiliki tanggung jawab yang bertentangan – kepada perusahaan mereka, kepada orang lain di industri, kepada pelanggan dan kepada penegak hukum. Ada bahkan keadaan di mana penegak hukum sedang menyelidiki pelanggaran dan harus disembunyikan sementara waktu.

Bersiap untuk Pelanggaran Data Sebelum Terjadi

Perlakukan rencana pemberitahuan pelanggaran data seperti rencana bencana lainnya – jangan tunggu! Karena tidak ada respons tunggal dan standar terhadap pelanggaran data, produsen AS harus memahami hukum negara bagian dan federal spesifik yang berlaku bagi mereka. Produsen harus mempertimbangkan hukum di semua negara bagian tempat mereka berbisnis.

Untungnya, ada beberapa sumber daya yang bagus yang dapat diandalkan produsen untuk beberapa klarifikasi. Beberapa organisasi meringkas hukum pelanggaran data negara bagian, termasuk National Conference of State Legislatures, IT Governance dan Perkins Coie.

Untuk memastikan perusahaan manufaktur Anda mematuhi hukum perlindungan data, Anda harus tetap sadar tentang peraturan saat ini untuk negara bagian dan industri Anda. Pelanggaran data akan selalu menjadi peristiwa yang menegangkan. Kesadaran tentang kewajiban Anda dan rencana yang ada dapat meredakan beberapa stres – dan membantu Anda menghindari denda yang berat. Berikut beberapa tips:

• Identifikasi hukum negara bagian dan industri yang mencakup perusahaan Anda
• Dokumentasikan persyaratan pemberitahuan pelanggaran data yang mempengaruhi perusahaan Anda, bersama dengan proses(-ses) untuk memenuhi persyaratan tersebut dalam skenario terburuk
• Buat kebijakan di sekitar persyaratan pemberitahuan pelanggaran yang mempengaruhi perusahaan Anda
• Jika ada peraturan yang tumpang tindih, gunakan yang paling ketat untuk kebijakan perusahaan Anda
• Buat draft surat dan email pemberitahuan sebelumnya
• Buat strategi komunikasi yang jelas untuk pelanggaran data dan luluskan melalui departemen hukum dan hubungan publik perusahaan Anda terlebih dahulu, jika diperlukan

Jaringan Nasional MEP Siap Membantu Anda

Untuk bantuan memahami hukum pemberitahuan pelanggaran data negara bagian Anda dan pertanyaan keamanan siber lainnya, Anda dapat menghubungi salah satu dari 51 Pusat MEP, yang berlokasi di semua 50 negara bagian dan Puerto Rico, yang merupakan bagian dari Jaringan Nasional MEP^TM.