DPA dan perjanjian vendor di bawah UU PDP: apa yang sebenarnya diwajibkan

Pertanyaan yang paling sering sampai ke kami dalam bentuk ini: vendor menolak menandatangani DPA berdasarkan UU PDP dan menawarkan aturan GDPR di dalam perjanjian. Jawabannya mungkin melegakan. UU PDP tidak memiliki ketentuan yang setara dengan Pasal 28 GDPR, jadi tidak ada bentuk baku DPA yang harus dipenuhi, dan perjanjian bergaya GDPR umumnya memberi Anda lebih banyak daripada yang diminta undang-undang Indonesia. Yang perlu diperiksa adalah dua celah yang hampir selalu tertinggal, dan keduanya tidak ada hubungannya dengan judul dokumennya.

Ketentuan yang benar-benar mengatur hubungan pengendali dan prosesor adalah Pasal 51 UU No. 27 Tahun 2022, bukan Pasal 56 yang mengatur transfer ke luar wilayah hukum Indonesia. Perbedaan itu penting karena isi kedua pasal itu berbeda jauh.

UU PDP mewajibkan perintah yang jelas, bukan dokumen dengan nama tertentu

Pasal 51 ayat (1) menyatakan prosesor wajib memproses data pribadi berdasarkan perintah pengendali. Tidak ada kata "perjanjian" di sana, dan tidak ada daftar klausul wajib seperti yang Anda temukan di Pasal 28 ayat (3) GDPR. Yang diminta undang-undang adalah adanya perintah, dan Anda perlu bisa menunjukkan isi perintah itu ketika ditanya.

Karena itu perjanjian tertulis tetap merupakan cara paling praktis untuk memenuhinya. Bukan karena UU PDP menyebutnya, tetapi karena perintah lisan tidak bisa dibuktikan dua tahun kemudian ketika lembaga pengawas bertanya untuk tujuan apa data nasabah dikirim ke sebuah vendor. Perbedaan cara berpikirnya nyata: di bawah GDPR Anda memenuhi daftar klausul, di bawah UU PDP Anda membuktikan batas perintah.

Empat aturan Pasal 51 yang menentukan siapa menanggung apa

Sisa Pasal 51 mengatur pembagian tanggung jawab, dan di sinilah nilai praktis terbesarnya. Ayat (3) menyatakan pemrosesan yang dilakukan prosesor termasuk dalam tanggung jawab pengendali. Ayat (4) mengizinkan prosesor melibatkan prosesor lain, dan ayat (5) mewajibkan persetujuan tertulis pengendali sebelum itu dilakukan. Ayat (6) adalah pasangannya: jika prosesor memproses data di luar perintah dan tujuan yang ditetapkan pengendali, tanggung jawab pemrosesan itu berpindah ke prosesor.

Ayat (6) hanya berguna bila perintahnya spesifik. Jika cakupan yang Anda tulis berbunyi "memproses data pelanggan untuk keperluan layanan", hampir semua hal yang dilakukan vendor bisa dibilang masih di dalam perintah, dan tanggung jawabnya tetap pada Anda.

Kewajiban pengendali yang ikut berpindah ke prosesor

Pasal 52 menutup celah yang mudah terlewat. Ketentuan kewajiban pengendali dalam Pasal 29, Pasal 31, Pasal 35, Pasal 36, Pasal 37, Pasal 38, dan Pasal 39 berlaku juga terhadap prosesor. Isinya, secara berurutan: memastikan akurasi, kelengkapan, dan konsistensi data; merekam seluruh kegiatan pemrosesan; melindungi dan memastikan keamanan data dengan langkah teknis operasional dan penentuan tingkat keamanan sesuai sifat dan risikonya; menjaga kerahasiaan; mengawasi setiap pihak yang terlibat dalam pemrosesan; melindungi data dari pemrosesan yang tidak sah; dan mencegah data diakses secara tidak sah.

Artinya prosesor Anda memikul kewajiban itu langsung dari undang-undang, terlepas dari apa yang tertulis di kontrak. Kontrak yang baik menyatakannya kembali agar bisa ditegakkan secara perdata, tetapi kontrak yang buruk tidak menghapus kewajiban tersebut.

Ketika vendor menawarkan aturan GDPR alih-alih UU PDP

Sekarang bagian yang menjadi pertanyaan awal. Perjanjian pemrosesan data bergaya GDPR dibangun di sekitar instruksi terdokumentasi, langkah keamanan, catatan pemrosesan, dan pembatasan subprosesor. Semua itu memenuhi, dan pada beberapa titik melampaui, apa yang diminta Pasal 51 dan Pasal 52. Menolak perjanjian seperti itu karena tidak menyebut UU PDP adalah penolakan terhadap nama, bukan terhadap substansi.

Dua hal yang biasanya tidak tertutup, dan keduanya perlu ditambahkan sebagai lampiran khusus Indonesia.

Yang pertama adalah pemberitahuan kebocoran. Pasal 46 ayat (1) mewajibkan pemberitahuan tertulis paling lambat 3x24 jam kepada subjek data dan kepada lembaga. GDPR memberi 72 jam kepada otoritas pengawas dan hanya menjangkau subjek data bila risikonya tinggi. Klausul yang disusun untuk GDPR karena itu memberi Anda tenggat yang lebih longgar dan penerima yang lebih sedikit daripada yang diwajibkan hukum Indonesia. Pasal 46 ayat (2) juga menetapkan muatan minimum pemberitahuan itu: data pribadi yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihan oleh pengendali. Jika prosesor Anda baru memberi kabar pada hari ketiga, tenggat itu sudah tidak mungkin dipenuhi.

Yang kedua adalah transfer. Lampiran transfer dalam perjanjian GDPR mengatur data yang keluar dari Uni Eropa, dan itu pertanyaan yang sama sekali berbeda dari data yang keluar dari Indonesia.

Transfer ke luar Indonesia diatur terpisah di Pasal 56

Pasal 56 bekerja secara berjenjang, dan urutannya mengikat. Ayat (2) adalah ujian pertama: negara tempat kedudukan penerima harus memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dari UU PDP. Bila itu tidak terpenuhi, ayat (3) mewajibkan adanya pelindungan data pribadi yang memadai dan bersifat mengikat. Bila keduanya tidak terpenuhi, ayat (4) mewajibkan persetujuan subjek data. Ayat (5) menyerahkan ketentuan lebih lanjut kepada peraturan pemerintah.

Dalam praktik, yang perlu Anda catat adalah langkah mana yang menjadi dasar Anda untuk setiap negara tujuan. Sebuah perjanjian yang hanya menyebut "transfer dilakukan sesuai peraturan yang berlaku" tidak menjawab pertanyaan itu, dan tidak akan menolong ketika pertanyaannya datang dari lembaga pengawas. Untuk konteks perbandingan yang lebih luas antara kedua rezim, lihat UU PDP dan GDPR.

Yang kami periksa sebelum perjanjian ditandatangani

Urutan pemeriksaannya sederhana dan tidak memerlukan penasihat hukum untuk langkah pertamanya. Apakah tujuan pemrosesan cukup spesifik sehingga Anda bisa menunjukkan kapan vendor keluar dari perintah. Apakah ada mekanisme persetujuan tertulis untuk subprosesor, dan apakah persetujuan itu benar-benar tersimpan. Apakah tenggat pemberitahuan insiden dari vendor kepada Anda lebih pendek dari 3x24 jam. Pasal 46 tidak menyebut kapan hitungan itu mulai berjalan, sehingga pembacaan yang aman adalah dari saat kegagalan terjadi, bukan dari saat vendor memberi tahu Anda. Apakah negara tujuan transfer disebutkan, dan dasar Pasal 56 mana yang dipakai untuk masing-masing.

Empat pertanyaan itu menyelesaikan sebagian besar perselisihan tentang DPA yang kami lihat. Bank dan lembaga jasa keuangan menghadapi lapisan tambahan dari POJK, yang kami uraikan di kepatuhan UU PDP untuk perbankan dan keuangan.

Jadi pertanyaan pentingnya bukan apakah sebuah perjanjian vendor secara formal diberi nama DPA, melainkan apakah perjanjian itu mendokumentasikan tanggung jawab yang UU PDP bebankan kepada pengendali dan prosesor. Bagi organisasi di Indonesia, DPA atau perjanjian vendor yang disusun dengan baik adalah cara praktis untuk menempatkan perintah pemrosesan, persyaratan keamanan, subprosesor, kegagalan pelindungan data pribadi, dan transfer lintas negara dalam satu dokumen, dalam bentuk yang memang diminta undang-undang.

Referensi

1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Database Peraturan BPK RI. Pasal 51 dan 52 mengatur hubungan pengendali dan prosesor, Pasal 46 mengatur pemberitahuan kegagalan pelindungan, dan Pasal 56 mengatur transfer ke luar wilayah hukum Indonesia.
2. General Data Protection Regulation (Regulation EU 2016/679) Pasal 28, GDPR.eu, untuk daftar klausul wajib dalam perjanjian pemrosesan data GDPR.
3. GDPR Pasal 33 dan 34, GDPR.eu, untuk perbandingan tenggat pemberitahuan kebocoran.