a11y-skip-to-main-content

Keamanan AWS Cloud

Pusat Peraturan Perlindungan Data Umum (GDPR)

Missing alt text value

Kepatuhan Peraturan Perlindungan Data Umum (GDPR) saat menggunakan layanan AWS

Peraturan Perlindungan Data Umum (GDPR) Uni Eropa melindungi hak dasar individu Uni Eropa (UE) atas privasi dan perlindungan data pribadi. Peraturan Perlindungan Data Umum (GDPR) mencakup persyaratan ketat yang akan meningkatkan dan menyelaraskan standar untuk perlindungan data, keamanan, dan kepatuhan. Lihat FAQ GDPR kami di bawah ini untuk informasi selengkapnya.

Pelanggan AWS dapat menggunakan semua layanan AWS untuk memproses data pribadi (sebagaimana ditentukan dalam GDPR) yang diunggah ke layanan AWS di bawah akun AWS mereka (data pelanggan) sesuai dengan GDPR. Selain kepatuhan kami sendiri, AWS berkomitmen untuk menawarkan layanan dan sumber daya kepada pelanggan kami untuk membantu mereka mematuhi persyaratan Peraturan Perlindungan Data Umum (GDPR) yang mungkin berlaku untuk aktivitas mereka. Fitur baru diluncurkan secara berkala, dan AWS memiliki lebih dari 500 fitur serta layanan yang berfokus pada keamanan dan kepatuhan. Untuk informasi selengkapnya tentang apa yang dilakukan AWS, baca blog kami How AWS is helping EU customers navigate the new normal for data protection.

Fokus

Kontrol pelanggan

Pelanggan memiliki kontrol atas data pelanggan mereka. Dengan AWS, pelanggan dapat:

  • Menentukan tempat data pelanggan akan disimpan, termasuk jenis penyimpanan dan wilayah geografis penyimpanan tersebut.
  • Memilih status aman data pelanggan mereka. Kami menawarkan enkripsi yang kuat kepada pelanggan untuk data pelanggan dalam transit atau saat istirahat, dan kami menyediakan opsi kepada pelanggan untuk mengelola kunci enkripsi mereka sendiri.
  • Mengelola akses ke data pelanggan dan layanan serta sumber daya AWS mereka melalui pengguna, grup, izin, dan kredensial yang dikontrol pelanggan.
Pelajari selengkapnya

Transfer di luar Wilayah Ekonomi Eropa (EEA)

Pelanggan AWS dapat terus menggunakan layanan AWS untuk mentransfer data pelanggan dari negara EEA ke non-EEA yang tidak menerima keputusan penerimaan dari Komisi Eropa (termasuk Amerika Serikat) sesuai dengan Peraturan Perlindungan Data Umum (GDPR). AWS sangat memprioritaskan keamanan data pelanggan dan menerapkan langkah-langkah teknis dan organisasional yang ketat untuk melindungi kerahasiaan, integritas, dan ketersediaannya, terlepas dari AWS Region yang dipilih pelanggan. Kami paham bahwa transparansi penting untuk pelanggan kami. Kami mencantumkan layanan AWS yang melibatkan transfer data dari data pelanggan pada halaman web Fitur Privasi kami.

Karena aspek peraturan dan legislatif yang terus berubah, kami akan selalu berupaya untuk memastikan bahwa pelanggan kami dapat terus menikmati manfaat layanan AWS dari mana pun mereka beroperasi. Lihat pembaruan pelanggan di Privacy Shield UE AS dan posting blog kami tentang Adendum Tambahan untuk Adendum Pemrosesan Data AWS dan Kode Etik Perlindungan Data CISPE untuk informasi tambahan.

Gambaran umum dan dasar Peraturan Perlindungan Data Umum (GDPR)

Buka semua

    Peraturan Perlindungan Data Umum (GDPR) adalah undang-undang privasi Eropa yang mulai berlaku pada tanggal 25 Mei 2018. GDPR menggantikan Direktif Perlindungan Data UE, yang juga dikenal sebagai Directive 95/46/EC, dan ditujukan untuk menyelaraskan undang-undang perlindungan data di seluruh Uni Eropa (UE) dengan menerapkan satu undang-undang perlindungan data yang mengikat di seluruh negara anggota.

    Peraturan Perlindungan Data Umum (GDPR) berlaku untuk semua organisasi yang berlokasi di UE serta organisasi, baik yang berlokasi di UE maupun tidak, yang memproses data pribadi masyarakat UE sehubungan dengan penawaran barang atau jasa kepada subjek data di UE atau pemantauan perilaku yang terjadi di UE. Data pribadi adalah semua informasi yang terkait dengan orang perorangan yang teridentifikasi atau yang dapat diidentifikasi, termasuk nama, alamat email, dan nomor telepon.

    AWS bertindak sebagai prosesor data dan pengontrol data berdasarkan GDPR.

    SCC adalah mekanisme transfer data yang telah disetujui sebelumnya berdasarkan GDPR, dan berlaku di semua Negara Anggota UE, yang memungkinkan transfer data pribadi yang sah ke negara di luar Wilayah Ekonomi Eropa yang belum menerima keputusan penerimaan dari Komisi Eropa (negara ketiga).

    Ketentuan Layanan AWS mencakup SCC yang diadopsi oleh Komisi Eropa (EC) pada bulan Juni 2021, dan AWS DPA mengonfirmasi bahwa SCC akan berlaku secara otomatis setiap kali pelanggan AWS menggunakan layanan AWS untuk mentransfer data pelanggan ke negara di luar Wilayah Ekonomi Eropa yang belum menerima keputusan penerimaan dari EC (negara ketiga). Sebagai bagian dari Ketentuan Layanan AWS, SCC baru akan berlaku secara otomatis setiap kali pelanggan menggunakan layanan AWS untuk mentransfer data pelanggan ke negara ketiga. Beberapa pelanggan yang telah menandatangani AWS DPA dapat terus mengandalkan AWS DPA tersebut karena SCC baru dalam Persyaratan Layanan AWS menggantikan versi SCC sebelumnya. Oleh karena itu, pelanggan dapat merasa nyaman bahwa setiap data pelanggan yang mereka transfer ke negara ketiga menggunakan layanan AWS memiliki tingkat perlindungan yang sama tinggi dengan yang diterima data pelanggan di EEA. Untuk informasi selengkapnya, lihat posting blog tentang penerapan Klausul Kontrak Standar baru.

Kepatuhan AWS dan Peraturan Perlindungan Data Umum (GDPR) setelah keputusan Schrems II dan Rekomendasi EDPB

Buka semua

    Pada tanggal 16 Juli 2020, Mahkamah Eropa (CJEU) menerbitkan aturan terkait transfer data pribadi masyarakat UE di luar EEA (Schrems II). Dalam Schrems II, CJEU memutuskan bahwa EU-US Privacy Shield bukan lagi mekanisme yang valid untuk mentransfer data pribadi dari EEA ke AS. Namun, dalam aturan yang sama, CJEU mengonfirmasi bahwa perusahaan (wajib menerapkan langkah-langkah tambahan, jika perlu) dapat terus menggunakan Klausul Kontraktual Standar sebagai mekanisme yang valid untuk mentransfer data pribadi di luar EEA. Dewan Perlindungan Data Eropa (EDPB), badan Eropa yang terdiri dari perwakilan otoritas perlindungan data negara Eropa, sejak itu telah menerbitkan daftar langkah tambahan yang bersifat non-ekshaustif dalam “Rekomendasi 01/2020 tentang langkah-langkah yang melengkapi alat transfer untuk memastikan kepatuhan terhadap tingkat perlindungan data pribadi di Uni Eropa” (Rekomendasi EDPB).

    Ya, pelanggan AWS dapat terus menggunakan layanan AWS untuk mentransfer data pelanggan dari Eropa ke negara di luar EEA yang tidak menerima keputusan penerimaan dari Komisi Eropa. Keputusan Schrems II memvalidasi penggunaan Klausul Kontrak Standar (SCC) sebagai mekanisme untuk mentransfer data pelanggan di luar EEA dan pelanggan AWS dapat terus mengandalkan SCC untuk transfer data pelanggan apa pun di luar EEA sesuai dengan Peraturan Perlindungan Data Umum (GDPR).

    Ya, AWS dapat menggunakan tiga tipe subprosesor: (1) entitas AWS yang menyediakan infrastruktur tempat layanan AWS berjalan; (2) entitas AWS yang mendukung layanan AWS tertentu yang mungkin memerlukan entitas ini untuk memproses data pelanggan; dan (3) pihak ketiga yang dikontrak AWS untuk menyediakan aktivitas pemrosesan untuk layanan AWS tertentu. Halaman web Subprosesor AWS menyediakan informasi selengkapnya tentang subprosesor yang digunakan AWS sesuai dengan AWS DPA, untuk melakukan pemrosesan data pelanggan atas nama pelanggan. Subprosesor yang relevan dengan pelanggan individu akan bergantung pada AWS Region yang dipilih pelanggan serta layanan AWS tertentu yang digunakan oleh pelanggan.

    Laporan resmi AWS, Menavigasi Kepatuhan dengan Persyaratan Transfer Data UE, memberikan informasi tentang layanan dan sumber daya yang ditawarkan AWS kepada pelanggan untuk membantu mereka melakukan penilaian transfer data sehubungan dengan keputusan Schrems II, dan rekomendasi selanjutnya dari Dewan Perlindungan Data Eropa. Laporan resmi ini juga menjelaskan langkah-langkah tambahan utama yang diambil dan disediakan oleh AWS untuk melindungi data pelanggan.

    AWS menawarkan informasi yang bermanfaat kepada pelanggan, termasuk beberapa laporan kepatuhan dari auditor pihak ketiga, yang telah memverifikasi kepatuhan kami terhadap berbagai macam standar dan peraturan keamanan, untuk membuktikan tingkat kepatuhan tinggi yang dipertahankan AWS bagi infrastrukturnya. Laporan ini menunjukkan kepada pelanggan kami, bahwa kami melindungi data pelanggan yang mereka pilih untuk diproses di AWS. Contoh dari kepatuhan AWS ini mencakup ISO 27001, 27017, dan 27018. ISO 27018 berisi kontrol keamanan yang berfokus pada perlindungan data pelanggan.

    Ya. Daftar Publik Kode Etik Perlindungan Data Penyedia Layanan Infrastruktur Cloud di Eropa (CISPE) mencakup daftar layanan AWS yang mematuhi peraturan tersebut. CISPE adalah koalisi para pemimpin komputasi cloud yang melayani jutaan pelanggan di Eropa. Kode Etik Perlindungan Data CISPE (Kode CISPE), adalah kode etik perlindungan data pan-Eropa pertama yang berfokus pada penyedia layanan infrastruktur cloud. Kode CISPE disetujui oleh Dewan Perlindungan Data Eropa, yang bertindak atas nama 27 otoritas perlindungan data di seluruh Eropa, dan secara resmi diadopsi oleh Otoritas Perlindungan Data Prancis (CNIL), yang bertindak sebagai otoritas pengawas utama. Pada tahun 2017, AWS mengumumkan kepatuhannya terhadap Kode CISPE versi sebelumnya.

Langkah-langkah teknis dan organisasional

Buka semua

    GDPR tidak mengubah model tanggung jawab bersama AWS, yang terus relevan bagi pelanggan. Model tanggung jawab bersama merupakan pendekatan bermanfaat untuk menggambarkan tanggung jawab AWS yang berbeda-beda (sebagai prosesor atau subprosesor data) dan pelanggan (sebagai pengontrol data atau prosesor data) berdasarkan Peraturan Perlindungan Data Umum (GDPR).

    Ya, Anda dapat mencari “GDPR” di Penemu Solusi Partner AWS untuk membantu menemukan partner ISV, MSP, dan SI yang memiliki produk dan layanan untuk membantu mematuhi GDPR. Pelanggan juga dapat mencari solusi “GDPR” di AWS Marketplace.

    Ya, Layanan Jaminan Keamanan AWS memiliki sejumlah aktivitas untuk membantu pelanggan mencapai kepatuhan Peraturan Perlindungan Data Umum (GDPR). Tim profesional kepatuhan bersertifikasi industri ini membantu pelanggan mencapai, mengelola, dan mengoptimalkan kepatuhan di cloud dengan mengaitkan standar kepatuhan yang relevan dengan fitur dan fungsionalitas spesifik layanan AWS. Detail selengkapnya tentang cara Konsultan AWS Professional Services membantu pelanggan dapat ditemukan di sini.

    Pelanggan dapat menggunakan Dukungan AWS untuk menerima panduan teknis guna membantu mereka mencapai kepatuhan GDPR. Sebagai bagian dari aktivitas ini, kami memiliki tim Teknisi Dukungan Cloud dan Manajer Akun Teknis (TAM) yang dilatih untuk membantu mengidentifikasi dan memitigasi risiko kepatuhan. Tingkat dukungan yang disediakan AWS bergantung pada Paket Dukungan AWS yang dipilih pelanggan. Pelanggan yang ingin memahami cara AWS Premium Support membantu mereka dapat menemukan informasi selengkapnya di Pusat Dukungan AWS, yang tersedia melalui Konsol Manajemen AWS, menggunakan detail kontak yang ditentukan dalam Perjanjian Dukungan Korporasi yang disepakati dengan AWS, atau dengan mengunjungi halaman web Dukungan AWS. Pelanggan dengan Enterprise Support harus menghubungi TAM mereka jika memiliki pertanyaan terkait Peraturan Perlindungan Data Umum (GDPR).

    AWS menyediakan notifikasi proses pemantauan insiden dan pelanggaran data serta akan memberi tahu pelanggan atas pelanggaran keamanan AWS tanpa penundaan yang tidak semestinya dan sesuai dengan AWS DPA. AWS juga memberi pelanggan sejumlah alat untuk memahami siapa yang memiliki akses ke sumber daya mereka, kapan, dan dari mana. Salah satu alat tersebut adalah AWS CloudTrail yang memungkinkan tata kelola, kepatuhan, audit operasional, dan audit risiko terhadap akun AWS. Dengan AWS CloudTrail, pelanggan dapat mencatat, memantau secara berkelanjutan, dan mempertahankan informasi tentang aktivitas akun yang terkait dengan tindakan di seluruh infrastruktur AWS mereka. Hal ini membantu organisasi memahami apa yang terjadi dengan infrastruktur AWS mereka dan dapat segera mengambil tindakan atas aktivitas yang tidak biasa. Untuk informasi selengkapnya tentang alat keamanan lain yang diberikan AWS kepada pelanggan untuk membantu memenuhi kewajiban mereka sebagai pengontrol data berdasarkan GDPR, kunjungi halaman web Keamanan AWS Cloud.

    AWS memberi pelanggan dan Partner APN sejumlah alat untuk mengamankan data pelanggan mereka dan membantu melindungi dari serangan siber. Salah satu alat tersebut adalah AWS Shield. Ini adalah layanan perlindungan Penolakan Layanan Terdistribusi (DDoS) terkelola untuk melindungi situs web dan aplikasi yang berjalan di AWS. AWS Shield Standard tersedia tanpa biaya tambahan serta memberikan deteksi selalu aktif dan mitigasi inline otomatis yang dapat mengurangi downtime dan latensi aplikasi. Untuk tingkat perlindungan yang lebih tinggi terhadap serangan yang menargetkan aplikasi web yang berjalan di AWS dan yang menggunakan sumber daya ELB, Amazon CloudFront, dan Amazon Route 53, pelanggan dan Partner APN dapat berlangganan AWS Shield Advanced. AWS juga memublikasikan dan secara rutin memperbarui Praktik Terbaik AWS untuk Ketahanan DDoS yang dapat membantu pelanggan menggunakan AWS untuk membangun aplikasi yang tahan terhadap serangan DDoS.

    Amazon Macie adalah layanan privasi data dan keamanan data terkelola penuh yang menggunakan machine learning dan pencocokan pola untuk menemukan dan melindungi data pribadi Anda di AWS. Ketika organisasi mengelola volume data yang terus tumbuh, mengidentifikasi dan melindungi data pribadi mereka dalam skala besar dapat menjadi proses yang makin rumit, mahal, dan menghabiskan banyak waktu. Amazon Macie mengotomatiskan penemuan data personal sesuai skala dan mengurangi biaya perlindungan data Anda. Macie secara otomatis menyediakan inventaris bucket Amazon S3 termasuk daftar bucket yang tidak terenkripsi, bucket yang dapat diakses publik, dan bucket yang dibagikan dengan akun AWS di luar yang sudah ditentukan di AWS Organizations. Kemudian, Macie menerapkan teknik machine learning dan pencocokan pola ke bucket yang Anda pilih untuk mengidentifikasi dan memperingatkan Anda terkait data pribadi.

    Untuk membantu pelanggan memenuhi kepatuhan GDPR, AWS memiliki sejumlah alat untuk mengontrol akses ke data pribadi yang terdapat dalam konten mereka di AWS. Alat tersebut mencakup:

    • Keamanan secara default berarti layanan AWS didesain agar aman secara default. Jika konfigurasi default digunakan, akses ke sumber daya dikunci sehingga hanya tersedia bagi pemilik akun dan administrator root.
    • AWS Identity and Access Management (IAM) memungkinkan pelanggan mengelola akses layanan dan sumber daya AWS secara aman. Menggunakan IAM, organisasi dapat membuat dan mengelola pengguna dan grup AWS serta menggunakan izin untuk mengizinkan dan menolak akses ke sumber daya AWS. IAM adalah fitur akun AWS yang ditawarkan tanpa biaya tambahan.
    • Autentikasi Multi-Faktor AWS menambahkan lapisan perlindungan ekstra di samping nama pengguna dan kata sandi akun AWS. AWS memberi pelanggan opsi perangkat virtual dan MFA perangkat keras.
    • AWS Directory Service memungkinkan pelanggan mengintegrasikan dan menggabungkan direktori korporasi untuk mengurangi biaya tambahan administratif dan meningkatkan pengalaman pengguna akhir.
    • AWS Config memungkinkan pelanggan menjalankan aturan yang disiapkan sebelumnya yang membantu memastikan sumber daya AWS mereka dikonfigurasi dengan benar dan sesuai standar.
    • AWS CloudTrail memungkinkan pelanggan mencatat, memantau secara berkelanjutan, dan mempertahankan informasi tentang aktivitas akun yang terkait dengan tindakan di seluruh infrastruktur AWS mereka sehingga menyederhanakan analisis keamanan, pelacakan perubahan sumber daya, dan pemecahan masalah (AWS CloudTrail diaktifkan di semua akun AWS secara default).
    • Amazon Macie menggunakan machine learning untuk membantu pelanggan mencegah kehilangan data dengan menemukan, mengklasifikasikan, dan melindungi data sensitif di AWS secara otomatis. Layanan terkelola penuh ini terus memantau anomali aktivitas akses data dan membuat pemberitahuan mendetail ketika mendeteksi akses yang tidak sah atau kebocoran data secara tidak sengaja – seperti data sensitif yang secara tidak sengaja dibuat dapat diakses secara eksternal oleh pelanggan.

    AWS menawarkan kepada pelanggan dan Partner APN kemampuan untuk menambahkan lapisan keamanan tambahan ke data diam pelanggan mereka di cloud dan membantu memenuhi kewajiban keamanan pemrosesan mereka sebagai pengontrol data berdasarkan GDPR. Alat Enkripsi yang tersedia di AWS mencakup:

    Selain itu, AWS menyediakan API bagi pelanggan dan Partner APN untuk mengintegrasikan enkripsi dan perlindungan data dengan salah satu layanan yang mereka kembangkan atau deploy di lingkungan AWS.

AWS dan Peraturan Perlindungan Data Umum (GDPR) Inggris Raya

Buka semua

    GDPR adalah peraturan Uni Eropa, dan setelah Brexit, tidak lagi berlaku di Inggris Raya.  Pemerintah Inggris Raya memasukkan persyaratan Peraturan Perlindungan Data Umum (GDPR) ke dalam undang-undang Inggris Raya sebagai “GDPR Inggris Raya”.

    AWS menawarkan Adendum GDPR Inggris Raya yang sesuai GDPR Inggris Raya untuk AWS DPA yang mencantumkan komitmen AWS sebagai prosesor data berdasarkan GDPR Inggris Raya. GDPR Inggris Raya merupakan bagian dari Ketentuan Layanan AWS dan berlaku secara otomatis bagi semua pelanggan yang memerlukan perjanjian pemrosesan data guna mematuhi GDPR Inggris Raya.

    Adendum GDPR Inggris Raya, yang merupakan bagian dari Ketentuan Layanan AWS, mencakup SCC yang diadopsi oleh EC dan adendum transfer data internasional (IDTA) yang diterbitkan oleh regulator perlindungan data Inggris Raya (Kantor Komisaris Informasi).  IDTA mengubah SCC untuk memastikan bahwa SCC merupakan perlindungan yang sesuai berdasarkan Peraturan Perlindungan Data Umum (GDPR) Inggris Raya untuk transfer data internasional ke negara-negara di luar Inggris Raya yang belum diakui serta memberikan tingkat perlindungan yang memadai untuk data pribadi (negara ketiga Inggris Raya). Adendum GDPR Inggris Raya mengonfirmasi bahwa SCC (sebagaimana diubah oleh IDTA) akan berlaku secara otomatis kapan saja bagi pelanggan saat menggunakan layanan AWS untuk mentransfer data pelanggan yang tunduk pada GDPR Inggris Raya (data pelanggan Inggris Raya) ke negara ketiga Inggris Raya.  Sebagai bagian dari Adendum GDPR Inggris Raya di Ketentuan Layanan AWS, SCC (sebagaimana diubah oleh IDTA) akan berlaku secara otomatis kapan saja bagi pelanggan saat menggunakan layanan AWS untuk mentransfer data pelanggan Inggris Raya ke negara ketiga Inggris Raya.

AWS dan Undang-Undang Perlindungan Data Federal Swiss

Buka semua

    AWS menawarkan Adendum Swiss untuk Adendum Pemrosesan Data AWS (“Adendum Swiss”) yang memasukkan komitmen AWS sebagai prosesor data berdasarkan Undang-Undang Perlindungan Data Federal Swiss (“FDPA”). Adendum Swiss adalah bagian dari Ketentuan Layanan AWS (lihat Bagian 1.14.4) dan berlaku secara otomatis ketika FDPA berlaku untuk penggunaan layanan AWS oleh pelanggan untuk memproses data pelanggan.

    Adendum Swiss untuk Adendum Pemrosesan Data AWS yang merupakan bagian dari Ketentuan Layanan AWS (lihat Bagian 1.14.4), mencakup Klausul Kontrak Standar (“SCC”) yang diadopsi oleh Komisi Eropa dan diubah sebagaimana diwajibkan oleh Komisaris Perlindungan Data dan Informasi Federal Swiss. Adendum Swiss mengonfirmasi bahwa SCC (sebagaimana diubah oleh Adendum Swiss) akan berlaku secara otomatis setiap kali pelanggan menggunakan layanan AWS untuk mentransfer data pelanggan yang tunduk pada FDPA ke negara ketiga.

Kontak

Buka semua

    Sebaiknya pelanggan yang memiliki pertanyaan terkait GDPR dapat menghubungi manajer akun AWS mereka terlebih dulu. Jika pelanggan mendaftar Enterprise Support, mereka juga dapat menghubungi Manajer Akun Teknis (TAM). TAM bekerja dengan Solutions Architect untuk membantu pelanggan mengidentifikasi kemungkinan risiko dan kemungkinan mitigasi. TAM dan tim akun juga dapat mengarahkan pelanggan dan Partner APN ke sumber daya spesifik berdasarkan lingkungan dan kebutuhan mereka.