Kontrak dengan Prosesor Data Pribadi: Klausul Penting yang Perlu Dicek Menjelang PP 33/2026

Mengapa kontrak prosesor penting

Pengendali menentukan tujuan dan cara pemrosesan, sedangkan prosesor memproses atas nama pengendali. Contohnya penyedia aplikasi kasir, gudang awan, jasa penagihan, atau agensi pemasaran. Jika vendor lalai, pelanggan tetap mempercayakan data kepada usaha Anda, bukan kepada vendor.

Artikel pengendali dan prosesor di situs ini menjelaskan perbedaan keduanya. Artikel ini fokus pada bagaimana kontrak mengatur hubungan itu.

Kontrak yang baik juga melindungi vendor karena tugasnya jelas dan batasnya tertulis.

Bagi usaha kecil yang memakai layanan siap pakai, sering kali kontraknya berupa syarat dan ketentuan baku yang tidak dapat dinegosiasikan. Dalam hal itu, bacalah isinya dan pilih penyedia yang paling transparan tentang pemakaian data.

Klausul 1: tujuan dan instruksi

Kontrak perlu menyebut data apa yang diproses, untuk tujuan apa, dan selama berapa lama. Prosesor hanya boleh memakai data sesuai instruksi pengendali dan tidak untuk kepentingannya sendiri.

Larangan memakai data klien untuk melatih produk atau dijual ke pihak lain perlu ditulis tegas. Ini penting karena sebagian vendor memakai data pelanggan untuk analitik atau iklan.

Lampirkan daftar data dalam bentuk tabel agar mudah dirujuk bila ada perubahan.

Jika vendor menolak larangan memakai data untuk tujuan sendiri, anggap itu sinyal untuk mempertimbangkan penyedia lain atau membatasi data yang diserahkan.

• Jenis data yang diproses
• Tujuan pemrosesan
• Jangka waktu
• Larangan pemakaian untuk tujuan lain

Klausul 2: keamanan

Tuliskan standar keamanan minimum, misalnya enkripsi, pembatasan akses, pencatatan akses, dan pencadangan. Hindari rumusan samar seperti menjaga keamanan dengan baik, karena sulit diukur.

Bila vendor memiliki sertifikasi keamanan atau laporan uji, kontrak dapat meminta salinannya. Ini praktik umum, bukan kewajiban dari PP.

Mintalah vendor memberi tahu bila ada perubahan besar pada sistem keamanan atau lokasi penyimpanan.

Pastikan kontrak juga menyebut siapa saja di pihak vendor yang boleh mengakses data, dan apakah akses itu dicatat.

Klausul 3: sub-prosesor dan transfer

Vendor sering memakai pihak lain, misalnya penyedia awan. Kontrak perlu mengatur apakah vendor boleh menunjuk sub-prosesor, dan apakah harus memberi tahu atau meminta persetujuan Anda.

Menurut ulasan, transfer lintas negara memiliki tiga jenjang: negara dengan perlindungan setara atau lebih tinggi, safeguard mengikat seperti klausul kontrak standar atau BCR, atau persetujuan subjek data. Kontrak perlu menyebut lokasi penyimpanan dan transfer.

Periksa juga apakah sub-prosesor terikat kewajiban yang sama seperti prosesor utama.

Informasi lokasi penyimpanan penting karena menentukan transfer lintas negara yang mungkin terjadi. Pedoman dan daftar negara yang setara menurut ulasan akan ditetapkan peraturan Lembaga.

Klausul 4: laporan insiden

Karena pengendali menurut ulasan wajib memberi tahu subjek data dan Lembaga paling lambat 3x24 jam, vendor perlu berjanji melapor kepada pengendali jauh lebih cepat, misalnya dalam hitungan jam. Batas waktu itu usulan redaksi.

Kontrak juga perlu menyebut isi laporan: apa yang terjadi, data apa yang terdampak, dan langkah penanganan. Tanpa itu pengendali kesulitan memenuhi kewajibannya.

Uji prosedur pelaporan sekali setahun dengan simulasi bersama vendor.

Simpan kontak darurat vendor di tempat yang mudah diakses, termasuk di luar jam kerja, karena insiden tidak mengenal hari libur.

Klausul 5: audit, bantuan, dan penghapusan

Sepakati hak pengendali untuk memeriksa kepatuhan vendor, misalnya lewat laporan berkala atau pemeriksaan terbatas. Vendor juga perlu membantu bila subjek data meminta akses, koreksi, atau penghapusan data.

Saat kerja sama berakhir, kontrak perlu mengatur pengembalian atau penghapusan data, termasuk salinan cadangan, dan bukti penghapusannya.

Simpan bukti penghapusan sebagai bagian dokumentasi kepatuhan.

Permintaan hak subjek data sering datang dari pelanggan, dan pengendali perlu dapat meneruskannya ke vendor dengan cepat.

Pembagian tanggung jawab

Atur pembagian tanggung jawab bila terjadi pelanggaran: siapa menanggung biaya pemberitahuan, penanganan insiden, dan klaim pihak ketiga. Menurut ulasan, sanksi administratif berupa peringatan, penghentian sementara, penghapusan data, dan denda maksimal 2 persen pendapatan tahunan dapat dijatuhkan.

Pembagian tanggung jawab dalam kontrak tidak menghapus kewajiban hukum yang melekat pada pihak masing-masing. Konsultasikan rumusan ini dengan ahli hukum.

Perbarui kontrak ketika aturan turunan terbit atau ketika jenis data yang diproses berubah.

Bagi hubungan yang sudah berjalan, kontrak lama dapat diperbarui lewat adendum tanpa harus menyusun ulang seluruh perjanjian.

Ingat juga mengarsipkan versi kontrak lama untuk bukti.

Contoh kasus

Contoh: Sebuah toko daring fiktif memakai aplikasi pengelolaan pesanan dari vendor. Saat meninjau kontrak, pemilik toko menemukan bahwa vendor boleh memakai data pelanggan untuk analitik sendiri dan tidak punya kewajiban melapor insiden. Toko meminta perubahan: data hanya untuk layanan toko, vendor melapor insiden dalam 24 jam, dan data dihapus saat kontrak berakhir. Kasus ini hanya ilustrasi. Vendor akhirnya setuju karena perubahan itu tidak mengganggu cara kerjanya dan malah memperjelas tanggung jawab.

Hal yang sering keliru

• Mengira kontrak standar vendor otomatis memadai.
• Mengira tanggung jawab sepenuhnya pindah ke vendor.
• Tidak mengatur penghapusan data saat kerja sama berakhir.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (menurut pemberitaan dan ulasan)
• Kitab Undang-Undang Hukum Perdata tentang perjanjian (konteks umum, tanpa nomor pasal)

Dalam kategori yang sama

• Kontrol Akses Data Terbatas dan PNBP dalam UU SDI: Siapa Boleh Membuka Data
• Koordinasi Lintas Instansi dalam Satu Data Indonesia: Siapa Mengoordinasikan Siapa?
• Kritik Praktisi atas Ancaman Pidana 15 Tahun UU Satu Data: Efektifkah Mencegah Serangan Siber?

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.