DPO Internal atau Eksternal: Pilihan Menurut PP 33/2026 dan Cara Memilihnya

Dua jalur penunjukan

Ulasan KRES.ID menyebut pejabat PDP dapat berasal dari dalam organisasi atau dari luar, sebagaimana diatur Pasal 144. Jadi organisasi tidak harus merekrut karyawan khusus.

Hal ini penting bagi usaha menengah yang belum sanggup menggaji ahli tetap. Pilihan ini tetap tidak menghapus tanggung jawab organisasi. Pimpinan tetap perlu memberi sumber daya dan mendengarkan masukan pejabat PDP.

Pasal tersebut juga perlu dibaca bersama ketentuan tentang kapan pejabat PDP wajib ditunjuk, yang kami bahas pada artikel lain.

DPO internal

DPO internal adalah karyawan atau pejabat organisasi yang diberi tugas pelindungan data. Kelebihannya, ia memahami proses bisnis dan mudah dijangkau staf lain.

Kekurangannya, ia bisa terbebani pekerjaan lain dan rawan konflik kepentingan bila juga memimpin bagian yang menentukan penggunaan data.

Banyak organisasi memilih jalur ini karena komunikasi lebih cepat. Pastikan ia mendapat pelatihan yang memadai dan waktu kerja yang cukup untuk tugas barunya. Sebaiknya DPO internal melapor langsung kepada pimpinan tertinggi, agar suaranya didengar dan tidak tersaring oleh atasan langsung.

DPO eksternal

DPO eksternal adalah konsultan atau penyedia jasa yang ditunjuk melalui kontrak. Kelebihannya, keahlian khusus dan biaya bisa disesuaikan kebutuhan.

Kekurangannya, ia kurang akrab dengan keseharian organisasi. Kontraknya juga harus mengatur kerahasiaan, akses data, dan cara menghubunginya saat kebocoran terjadi.

Beberapa organisasi kecil dapat berbagi satu DPO eksternal. Namun kemungkinan ini tidak disebut dalam sumber kami, sehingga perlu dicek pada naskah resmi. Pilih penyedia yang berpengalaman dan dapat menunjukkan rekam jejak, serta mintalah laporan berkala tentang kondisi kepatuhan.

Hal yang perlu ditimbang

Beberapa pertanyaan dapat membantu memilih.

Tidak ada jawaban tunggal yang benar. Organisasi sebaiknya mencatat alasan pilihannya agar dapat dijelaskan bila ditanya oleh lembaga pengawas kelak.

Hasil jawaban dapat dituangkan dalam tabel singkat agar pimpinan mudah mengambil keputusan.

• Berapa banyak data dan seberapa sensitif jenisnya?
• Apakah ada anggaran untuk jabatan tetap?
• Apakah calon DPO bebas dari benturan kepentingan?
• Seberapa cepat DPO harus bisa dihubungi saat insiden?

Kaitan dengan independensi

Pasal 146 menurut ulasan mengatur sifat independen pejabat PDP. Artinya, siapa pun yang ditunjuk, ia perlu bebas dari tekanan saat memberi pendapat.

Untuk DPO internal, ini berarti ia tidak boleh dihukum karena menjalankan tugasnya. Untuk eksternal, kontrak jangan membuatnya tergantung pada keinginan klien.

Kontrak eksternal sebaiknya juga memuat pemberitahuan bila ada tekanan agar DPO mengubah pendapatnya, sebagai pengaman tambahan. Independensi tidak berarti DPO bebas dari akuntabilitas. Ia tetap harus bekerja sesuai tugas yang ditetapkan.

Isi surat penunjukan

Apa pun jalurnya, sebaiknya ada dokumen tertulis. Isinya mencakup nama, ruang lingkup tugas, akses yang diberikan, jalur pelaporan ke pimpinan, dan cara kontak yang dapat diumumkan.

Bentuk resmi dokumen ini tidak kami temukan, jadi gunakan sebagai praktik baik, bukan format wajib.

Surat itu juga bisa disebarkan kepada seluruh staf sehingga mereka tahu kepada siapa harus melapor bila menemukan masalah. Jangan lupa memberi tahu seluruh staf siapa pejabat PDP mereka dan bagaimana cara menghubunginya.

• Keduanya perlu diberi akses ke informasi yang cukup untuk bekerja.

Bisakah berganti

Organisasi dapat mulai dengan DPO eksternal lalu beralih ke internal ketika berkembang. Catat setiap perubahan dan beri tahu pihak terkait.

Hal ini tidak tertulis dalam sumber kami, tetapi sejalan dengan fleksibilitas yang dilaporkan.

Intinya, kesinambungan lebih penting daripada bentuknya. Jangan sampai jabatan kosong ketika terjadi insiden.

Contoh kasus

Contoh: Sebuah jaringan klinik gigi dengan sepuluh cabang belum punya ahli hukum data. Manajemen menimbang menunjuk kepala administrasi sebagai DPO, tetapi ia juga mengatur pemasaran yang memakai data pasien. Karena ada benturan kepentingan, manajemen memilih konsultan eksternal dengan kontrak yang mengatur kerahasiaan dan respons kebocoran, sementara admin cabang menjadi penghubung internal. Setelah setahun, bila jumlah cabang bertambah, mereka dapat menimbang untuk merekrut DPO internal penuh waktu. Penyedia konsultan itu juga diminta melapor setiap triwulan kepada direksi, termasuk jumlah permintaan subjek data, hasil uji prosedur kebocoran, dan temuan yang belum ditutup, sehingga pimpinan tetap memegang kendali tanpa mengurangi independensi pejabat PDP. Manajemen jaringan klinik itu juga menetapkan bahwa pejabat PDP boleh menolak instruksi yang bertentangan dengan aturan pelindungan data dan harus dicatat alasannya secara tertulis, supaya independensi benar-benar terjaga dalam praktik sehari-hari dan tidak sekadar tertulis.

Hal yang sering keliru

• Mengira DPO harus selalu karyawan tetap, padahal ulasan menyebut organisasi dapat memilih antara pejabat dari dalam atau dari luar organisasi sesuai kebutuhannya
• Mengira menyewa konsultan berarti organisasi lepas tanggung jawab, padahal tanggung jawab akhir atas pelindungan data tetap berada pada pengendali atau prosesor yang menunjuknya, bukan pada konsultan
• Menunjuk pimpinan pemasaran sebagai DPO tanpa menimbang benturan kepentingan, padahal rangkap jabatan semacam itu dapat membuat pejabat PDP menilai keputusannya sendiri dan melemahkan independensi yang diharapkan Pasal 146

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026, Pasal 144 dan Pasal 146 (menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• UU Satu Data Indonesia dan Bantuan Sosial: Skenario Dampak bagi Penyaluran dan Data Penerima
• Ego Sektoral Data: Mengapa Instansi Enggan Berbagi dan Bagaimana UU SDI Mencoba Mengatasinya
• E-Government dan SPBE dalam UU Satu Data Indonesia: Hubungan, Skenario, dan Hal yang Belum Jelas

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.