Contoh Perjanjian Pemrosesan Data Pribadi (DPA) dan Cara Mengisinya

Apa itu perjanjian pemrosesan data pribadi dan kapan dipakai

Hampir semua usaha kini memakai vendor yang menyentuh data pelanggan atau pegawai: aplikasi kasir, layanan awan, sistem penggajian, jasa pengiriman pesan, agensi pemasaran, atau jasa penagihan. Dalam hubungan itu, usaha Anda biasanya berkedudukan sebagai pengendali (yang menentukan tujuan dan cara pemrosesan), sedangkan vendor adalah prosesor (yang memproses atas nama Anda).

Perjanjian pemrosesan data pribadi, sering disebut data processing agreement (DPA), adalah perjanjian tertulis yang mengatur apa yang boleh dan tidak boleh dilakukan prosesor terhadap data tersebut. DPA biasanya melengkapi perjanjian layanan utama, bukan menggantikannya.

Gunakan DPA setiap kali vendor akan menyimpan, mengolah, atau mengakses data pribadi milik pelanggan, pegawai, atau mitra Anda. Vendor pun diuntungkan, karena batas tugas dan tanggung jawabnya menjadi jelas.

Dasar hukum dalam bahasa sehari-hari

• Pengendali tetap bertanggung jawab. UU PDP menempatkan pengendali sebagai pihak yang bertanggung jawab atas pemrosesan, termasuk yang dilakukan vendor. Karena itu Anda perlu kontrak yang memberi Anda kendali.
• Prosesor bekerja atas perintah. Prosesor wajib memproses berdasarkan perintah pengendali. Bila prosesor memproses di luar perintah dan tujuan yang ditetapkan pengendali, tanggung jawab atas pemrosesan itu beralih kepadanya.
• Prosesor lain (subprosesor). Prosesor dapat melibatkan prosesor lain hanya dengan persetujuan tertulis pengendali.
• Pemberitahuan 3 x 24 jam. Dalam hal terjadi kegagalan pelindungan data pribadi, pengendali wajib menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga. UU tidak menetapkan angka jam yang sama untuk prosesor; kontrak yang menetapkan batas lapor prosesor kepada pengendali, misalnya 24 jam, adalah praktik yang disarankan.
• Transfer ke luar negeri. Transfer data pribadi ke luar wilayah hukum Indonesia hanya boleh bila negara tujuan memiliki pelindungan setara atau lebih tinggi, atau ada pelindungan yang memadai dan mengikat, atau ada persetujuan subjek data.
• Aturan pelaksana. Ketentuan rinci diatur dalam peraturan pemerintah dan peraturan lembaga. Pemberitaan menyebut PP 33/2026 tentang Pelindungan Data Pribadi berlaku mulai 16 Januari 2027. Periksa naskah resminya, karena klausul kontrak standar dan pedoman teknis dapat ditetapkan kemudian.

Isi penting yang wajib ada

• Kedudukan para pihak: siapa pengendali dan siapa prosesor.
• Rincian pemrosesan: jenis data, kategori subjek data, tujuan, kegiatan, lokasi server, dan masa retensi.
• Kewajiban memproses hanya atas perintah tertulis, termasuk larangan memakai data untuk tujuan sendiri atau melatih model kecerdasan buatan.
• Kerahasiaan personel dan pembatasan akses.
• Langkah keamanan minimum yang terukur (enkripsi, kontrol akses, log, pencadangan).
• Aturan subprosesor: daftar yang disetujui dan prosedur penambahan.
• Bantuan untuk memenuhi hak subjek data dan penilaian dampak.
• Pemberitahuan kegagalan pelindungan data: batas jam, isi laporan, dan larangan mengumumkan sendiri.
• Transfer ke luar negeri dan syaratnya.
• Catatan pemrosesan dan hak audit.
• Pengembalian dan penghapusan data saat kontrak berakhir, dengan berita acara.
• Tanggung jawab, ganti rugi, dan hubungannya dengan batas tanggung jawab dalam perjanjian utama.

Cara mengisi langkah demi langkah

1. Petakan data. Catat data apa saja yang diserahkan ke vendor. Tandai data pribadi spesifik, seperti data kesehatan, biometrik, keuangan pribadi, atau data anak.
2. Isi Lampiran 1. Tulis tujuan, kegiatan pemrosesan, lokasi server, dan berapa lama data disimpan.
3. Tetapkan saluran perintah. Sebut siapa di pihak Anda yang berwenang memberi instruksi dan lewat sarana apa.
4. Isi Lampiran 2. Minta vendor menjelaskan langkah keamanannya. Hindari rumusan samar seperti "menjaga keamanan dengan baik".
5. Isi Lampiran 3. Minta daftar subprosesor, misalnya penyedia awan, beserta lokasinya.
6. Tetapkan batas lapor insiden. Tulis jam yang realistis tetapi jauh di bawah 3 x 24 jam, serta nomor kontak darurat yang aktif.
7. Periksa transfer luar negeri. Bila server di luar negeri, dokumentasikan dasar transfernya.
8. Atur akhir kontrak. Pilih format pengembalian data dan batas waktu penghapusan.
9. Selaraskan dengan perjanjian utama. Tegaskan DPA yang berlaku bila ada pertentangan soal data.

Kesalahan yang sering terjadi

• Tidak ada kontrak sama sekali. Data diserahkan ke vendor hanya berdasarkan percakapan atau penawaran harga.
• Batas lapor insiden sama dengan 3 x 24 jam. Bila vendor baru melapor di hari ketiga, Anda tidak punya waktu memberi tahu subjek data dan lembaga.
• Vendor boleh memakai data "untuk meningkatkan layanan". Rumusan longgar ini membuka pemakaian data untuk tujuan vendor sendiri.
• Subprosesor tidak diketahui. Data ternyata disimpan di layanan pihak lain di luar negeri tanpa sepengetahuan Anda.
• Tidak ada kewajiban menghapus. Setelah kontrak selesai, data tetap tersimpan di sistem vendor bertahun-tahun.
• Batas tanggung jawab terlalu kecil. Batas ganti rugi perjanjian utama, misalnya satu bulan biaya langganan, juga berlaku untuk kebocoran data.

Contoh singkat

Kerangka ringkas di bawah ini hanya ilustrasi. Template lengkap memuat pasal-pasal lengkap, tiga lampiran (rincian pemrosesan, langkah keamanan, daftar subprosesor), dan petunjuk pengisian.

• PERJANJIAN PEMROSESAN DATA PRIBADI antara PT [....] (PENGENDALI) dan PT [....] (PROSESOR).
• Data: nama, nomor telepon, riwayat transaksi pelanggan; lokasi server [....].
• Instruksi: hanya untuk menjalankan aplikasi kasir; dilarang untuk iklan atau melatih model.
• Subprosesor: hanya yang tercantum di Lampiran 3; penambahan dengan persetujuan tertulis.
• Insiden: PROSESOR melapor paling lambat [24] jam sejak mengetahui.
• Akhir kontrak: data dikembalikan dalam format [....] dan dihapus paling lambat [30] hari.

Pertanyaan yang sering diajukan

Apakah usaha kecil juga perlu DPA?

UU PDP berlaku bagi setiap pengendali dan prosesor, tidak terbatas pada perusahaan besar. Bila vendor memakai syarat layanan baku yang tidak dapat dinegosiasikan, bacalah bagian pemrosesan datanya dan pilih vendor yang paling jelas soal lokasi, keamanan, dan penghapusan data.

Siapa yang memberi tahu pelanggan bila data bocor di sistem vendor?

Kewajiban memberi tahu subjek data dan lembaga ada pada pengendali. Prosesor wajib segera melapor kepada pengendali dan membantu penanganan. Template ini melarang prosesor mengumumkan sendiri tanpa persetujuan pengendali, kecuali diwajibkan undang-undang.

Bagaimana bila vendor memakai server di luar negeri?

Transfer data ke luar negeri harus memenuhi syarat UU PDP. Minta vendor menyebut negara lokasi server dan subprosesornya, lalu dokumentasikan dasar transfer. Pantau peraturan lembaga tentang negara yang dinilai setara dan klausul kontrak standar.

Apakah DPA harus dibuat terpisah dari kontrak layanan?

Tidak harus. Klausul pemrosesan data boleh dimasukkan dalam kontrak layanan. Dokumen terpisah memudahkan pembaruan ketika peraturan berubah tanpa membuka ulang seluruh kontrak layanan.

Dasar hukum

• UU 27/2022 tentang Pelindungan Data Pribadi
• Peraturan pelaksana UU PDP (PP 33/2026 menurut pemberitaan)
• PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik
• Pasal 1320 dan 1338 KUHPerdata

Dalam kategori yang sama

• Contoh Kebijakan Privasi dan Syarat Layanan Aplikasi Dwibahasa dan Cara Mengisinya
• Contoh Kebijakan Privasi dan Syarat Layanan Aplikasi Dwibahasa dan Cara Mengisinya

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.