Messenger patuh GDPR untuk perusahaan (2026): apa yang sebenarnya didokumentasikan vendor
"Messenger mana yang patuh GDPR?" adalah pertanyaan yang tidak bisa dijawab jujur oleh vendor mana pun dengan "kami". GDPR meletakkan kewajiban pada Anda, pengendali: Anda perlu perjanjian pemrosesan data (Pasal 28), Anda perlu tahu di mana data berada dan apakah data tersebut melintasi ke negara ketiga, Anda perlu dapat menghapus dan menjawab permintaan akses. Sebuah messenger dapat membuat kewajiban tersebut dapat dipenuhi — atau tidak. Sebuah badge di beranda tidak mengatakan lebih dari itu.
Jadi panduan ini melakukan sesuatu yang berbeda dari daftar biasa. Panduan ini mengambil enam pemeriksaan yang tetap diajukan oleh pejabat perlindungan data dan menerapkannya pada dua belas layanan: messenger konsumen yang benar-benar digunakan oleh perusahaan (WhatsApp, Signal, Telegram), messenger bisnis dari Swiss dan Jerman (Threema Work, Teamwire, Wire, Stackfield), platform self-hosted (Element, Mattermost, Rocket.Chat) dan dua paket (Microsoft Teams, Slack). Kemudian InterMIND, yang kami bangun — dengan kriteria yang sama dan aturan sumber yang sama. Setiap pernyataan berasal dari dokumentasi publik vendor, diperiksa Agustus 2026, dengan tautan di bagian akhir.
Pemeriksaan ketujuh bergabung, yang tidak pernah muncul di daftar GDPR dan penting setiap hari di tim internasional: dalam bahasa apa setiap anggota membaca channel? Messenger yang menyimpan pesan hanya dalam bahasa asli mendorong terjemahan ke individu — dan ke layanan yang kemudian memproses data kembali.
Enam pemeriksaan
Komisaris Federal Jerman untuk Perlindungan Data (BfDI) menerbitkan kriteria seleksi untuk layanan messenger, tolok ukur publik yang paling dapat digunakan. Mereka mendefinisikan enkripsi end-to-end sebagai pesan "dienkripsi pada perangkat pengirim dan hanya didekripsi kembali pada perangkat penerima", mencantumkan pengaturan privasi seperti akses buku alamat, visibilitas profil, tanda baca pesan, analitik penggunaan dan pelaporan kesalahan, dan mewajibkan penghapusan akun di mana data "segera dihapus". Untuk penggunaan perusahaan, kewajiban Pasal 28 berlaku di atasnya. Secara keseluruhan:
- Perjanjian pemrosesan data (DPA). Apakah vendor menawarkan satu — dan apakah ada di dokumentasinya?
- Entitas dan lokasi server. Perusahaan mana yang menjadi pihak kontrak Anda, di mana data berada, apakah ada transfer ke negara ketiga?
- Enkripsi. End-to-end, atau transportasi dan server-side? Keduanya sah — yang penting harus disebutkan.
- Metadata dan buku alamat. Apakah buku alamat diunggah? Data penggunaan dan perangkat apa yang dikumpulkan, dan dengan siapa dibagikan?
- Penghapusan dan retensi. Di mana riwayat disimpan, siapa yang menghapusnya, apa yang terjadi ketika karyawan keluar?
- Sub-prosesor. Apakah mereka dipublikasikan — termasuk layanan yang digunakan untuk fitur AI dan terjemahan?
Plus yang ketujuh: bahasa per anggota.