Apa yang sebenarnya disyaratkan PDPL Jordania

Undang-undang berlaku untuk pemrosesan data pribadi individu yang berlokasi di Jordania tanpa memandang di mana pengendali atau pemroses berdomisili, dan untuk pengendali serta pemroses yang berlokasi di Jordania tanpa memandang di mana subjek data berada. Cakupan teritorial dengan demikian luas dan mencakup sebagian besar penerbit yang melayani pembaca Jordania; kasus tepi yang paling umum — penerbit non-Jordania tanpa infrastruktur Jordania tetapi dengan pengunjung Jordania — diselesaikan dengan merujuk pada apakah pengendali secara aktif mengarahkan layanan ke Jordania. Data pribadi didefinisikan secara luas sebagai informasi apa pun yang mengidentifikasi atau memungkinkan identifikasi orang alami; data pribadi sensitif — termasuk data yang berkaitan dengan asal etnis, pendapat politik, keyakinan agama, kesehatan, kehidupan seksual, catatan kriminal, dan data keuangan — dikenai ambang batas persetujuan yang lebih tinggi dan perlindungan prosedural tambahan.

Undang-undang menetapkan dasar hukum untuk pemrosesan, kumpulan standar hak subjek data — akses, perbaikan, penghapusan, pembatasan, keberatan, dan portabilitas — kerangka akuntabilitas pengendali-pemroses dengan penunjukan wajib petugas perlindungan data untuk kategori berisiko lebih tinggi, kewajiban pemberitahuan pelanggaran kepada Dewan dalam 72 jam sejak diketahui, kontrol transfer lintas batas yang bergantung pada penetapan kecukupan Dewan atau perlindungan yang disetujui, dan rezim sanksi administratif dengan denda hingga JOD 1 juta per pelanggaran ditambah sanksi pidana untuk kategori paling serius termasuk transfer lintas batas yang tidak sah dan pemrosesan data sensitif tanpa dasar yang tepat.

Bagaimana PDPL memperlakukan persetujuan cookie

PDPL Jordania tidak mengandung ketentuan terpisah bergaya ePrivacy tentang cookie; cookie dan teknologi penyimpanan dan akses yang analog berada dalam kerangka persetujuan umum. Standarnya adalah perjanjian eksplisit, sukarela, spesifik, dan terinformasi yang dibuktikan dengan tindakan afirmatif — keluarga persyaratan yang ditetapkan GDPR sebagai garis dasar global dan yang diadopsi Jordania dengan lapisan prosedural sendiri. Dewan, dalam panduan yang diterbitkannya, telah mengonfirmasi bahwa kotak yang telah dicentang sebelumnya, persetujuan implisit yang disimpulkan dari penelusuran yang berlanjut, dan banner persetujuan yang dibundel tidak memenuhi ambang batas Undang-Undang. Ini menempatkan Jordania secara kuat sejalan dengan trajektori global dan berarti bahwa posisi yang sudah dipertahankan penerbit untuk lalu lintas EEA adalah titik awal yang tepat untuk lalu lintas Jordania.

Efek praktisnya adalah cookie dan teknologi analog yang tidak benar-benar diperlukan untuk menyampaikan layanan yang secara aktif diminta pengguna tidak boleh dipasang sebelum pengguna memberikan persetujuan. Cookie yang benar-benar diperlukan — pengidentifikasi sesi, isi keranjang, token keamanan, cookie penyeimbangan beban — dapat dipasang atas dasar bahwa pengguna secara aktif meminta layanan. Semua yang lain — analitik, iklan, personalisasi, pengujian A/B, pemutaran ulang sesi, dan tag pihak ketiga mana pun — memerlukan persetujuan terlebih dahulu.

Bagaimana PDPL Jordania berbeda dari GDPR dalam praktiknya

Tiga perbedaan penting saat menghubungkan CMP. Pertama, PDPL mengharuskan pengendali yang memproses data pribadi lebih dari ambang batas subjek data yang ditentukan Dewan, atau memproses data pribadi sensitif, untuk mendaftar ke Dewan dan mendapatkan lisensi pemrosesan — otorisasi terdokumentasi yang harus diperbarui dalam siklus yang ditentukan Dewan dan diserahkan atas permintaan. Kedua, aturan transfer lintas batas PDPL mengharuskan Dewan menentukan yurisdiksi tujuan; transfer ke yurisdiksi yang tidak ditunjuk memerlukan persetujuan eksplisit subjek data, perlindungan kontraktual yang disetujui Dewan, atau salah satu dari derogasi hukum yang sempit. Ketiga, PDPL mewajibkan penunjukan petugas perlindungan data bagi pengendali yang melebihi ambang batas yang ditentukan Dewan, dengan DPO yang disebutkan dalam pengajuan pengendali ke Dewan dan berfungsi sebagai titik kontak untuk permintaan subjek data dan pertanyaan Dewan.

Tampilan banner cookie yang patuh berdasarkan PDPL

Persyaratan teknis bertemu dengan apa yang sudah dihasilkan setiap CMP modern, tetapi pelabelan, dokumentasi, dan log persetujuan harus mencerminkan hal-hal khusus Jordania. Banner lapisan pertama harus menyajikan kepada pengguna pilihan nyata — terima, tolak, kelola — di mana opsi tolak setidaknya sama menonjolnya dengan opsi terima. Persetujuan yang dibundel dilarang, sehingga lapisan kedua harus mengizinkan opt-in per kategori yang mencakup minimal analitik, iklan, dan pemrosesan apa pun yang bergantung pada transfer lintas batas. Kategori harus default mati; banner tidak boleh memuat tag sampai pengguna secara afirmatif mengaktifkannya.

Pemberitahuan privasi yang ditampilkan dari banner harus mengidentifikasi pengendali, nomor registrasi pengendali di Dewan jika berlaku, kategori data pribadi yang dikumpulkan, dasar hukum untuk setiap tujuan pemrosesan, periode penyimpanan data, kategori penerima termasuk sub-pemroses yang berlokasi di luar Jordania, hak subjek data berdasarkan Undang-Undang, detail kontak DPO jika penunjukan wajib, dan detail kontak Dewan untuk pengaduan. Pemberitahuan yang memenuhi standar Pasal 13 GDPR tumpang tindih secara substansial tetapi baris registrasi Dewan dan kontak DPO harus ditambahkan secara eksplisit.

Pola integrasi yang lolos ulasan Dewan

Implementasi referensi memiliki empat bagian yang bergerak. Pertama adalah CMP yang mendukung opt-in per kategori default-mati dan mengekspos pilihan pengguna melalui string persetujuan terstruktur yang dapat disimpan penerbit. Kedua adalah lapisan pemuatan tag — manajer tag sisi server atau gerbang CMP-native — yang secara ketat memberlakukan status persetujuan sebelum cookie tidak penting mana pun dipasang. Ketiga adalah log persetujuan, disimpan di sisi server, yang mencatat untuk setiap acara persetujuan pilihan pengguna per kategori, stempel waktu, versi banner, dan pengenal IP yang terpotong atau di-hash sehingga pengendali dapat menghasilkan catatan atas permintaan Dewan. Keempat adalah jalur penarikan setidaknya semudah pemberian asli — biasanya tautan pembukaan ulang banner yang persisten di footer.

• Tag analitik — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — hanya boleh dimuat setelah kategori analitik diberikan. Setiap platform mendukung konfigurasi yang dikendalikan persetujuan yang mencegah penulisan cookie apa pun sebelum gerbang dibuka.
• Tag iklan — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, header bidder programatik — harus diberi pagar persetujuan serupa, dan jika mitra iklan mentransfer data di luar Jordania ke yurisdiksi yang tidak ditunjuk Dewan, yurisdiksi penerima dan dasar transfer harus muncul di pemberitahuan privasi.
• Alat pemutaran ulang sesi dan heatmap — Hotjar, Microsoft Clarity, FullStory, Contentsquare — harus berada di belakang gerbang terpisah yang lebih ketat karena Dewan telah menyelaraskan dengan panduan internasional yang menandai rendering kolom input sebagai kategori yang memerlukan persetujuan eksplisit dan terperinci.
• Pengungkapan transfer lintas batas harus spesifik untuk setiap yurisdiksi penerima dan merujuk pada penetapan kecukupan Dewan, perlindungan yang disetujui, atau persetujuan eksplisit subjek data sebagai dasar hukum.

Validasi, pendaftaran, dan postur audit untuk tahun 2026

Penerapan Jordania yang dapat dipertahankan pada tahun 2026 harus lulus empat pemeriksaan teknis. Pertama, sesi browser bersih yang disajikan dari alamat IP Jordania harus menghasilkan nol cookie tidak penting sebelum banner ditindaklanjuti. Kedua, jalur tolak-semua harus menghasilkan postur yang sama dengan sesi tanpa tindakan — tidak ada tag analitik, tidak ada tag iklan, tidak ada skrip pemutaran ulang sesi. Ketiga, alur terima-semua hanya boleh menghasilkan tag yang telah disetujui pengguna, dan log persetujuan harus berisi catatan yang cocok. Keempat, alur penarikan harus segera menghentikan penembakan tag lebih lanjut, kedaluwarsa cookie yang dipasang selama sesi yang disetujui, dan memicu sinyal penghapusan atau opt-out hilir yang diperlukan mitra penerima.

Di luar pemeriksaan teknis, postur registrasi dan audit adalah yang membuat penerapan dapat dipertahankan. Pengendali yang memproses data pribadi penduduk Jordania di atas ambang batas yang ditentukan Dewan harus memegang registrasi Dewan dan lisensi pemrosesan yang relevan; dan catatan registrasi — bersama dengan log persetujuan, pemberitahuan privasi, hasil penilaian dampak perlindungan data untuk pemrosesan berisiko lebih tinggi, dokumen penunjukan DPO, dan otorisasi transfer lintas batas — membentuk dokumentasi yang dapat diminta Dewan selama tinjauan kepatuhan. CMP yang dikonfigurasi dengan benar dengan log sisi server, lapisan pemuatan tag yang memberlakukan status persetujuan, pemberitahuan privasi yang menyebutkan setiap tujuan transfer lintas batas, baris kontak DPO dan Dewan, serta dokumen registrasi yang tersimpan adalah yang mengubah PDPL Jordania dari ketidakdiketahuan regulasi menjadi bagian yang dapat dipertahankan dari posisi persetujuan penerbit di kawasan Levant.