Pengendali dan Prosesor Data Pribadi: Bedanya dan Contoh bagi Usaha Kecil

Apa itu pengendali dan prosesor

UU PDP menyebut tiga peran. Subjek data pribadi adalah orang yang datanya diproses, misalnya pelanggan. Pengendali data pribadi adalah pihak yang menentukan tujuan dan melakukan kendali atas pemrosesan data pribadi. Prosesor data pribadi adalah pihak yang melakukan pemrosesan data pribadi atas nama pengendali.

Cara sederhana membedakannya: pengendali menjawab pertanyaan "mengapa dan untuk apa data ini dikumpulkan", sedangkan prosesor menjawab "bagaimana pekerjaan teknisnya dijalankan sesuai perintah". Pengendali memegang arah. Prosesor menjalankan perintah.

Kedua peran dapat dipegang oleh orang perseorangan, badan usaha, organisasi, ataupun badan publik. Pemrosesan mencakup pengumpulan, pencatatan, penyimpanan, perbaikan, penampilan, pengumuman, pengiriman, penyebarluasan, dan penghapusan atau pemusnahan data. Jadi hampir semua yang Anda lakukan terhadap data adalah pemrosesan.

Mengapa pembedaan ini penting

Karena kewajiban hukumnya tidak sama. Pengendali memikul tanggung jawab paling luas: dasar pemrosesan, pemberitahuan kepada pemilik data, pemenuhan hak pemilik data, pengamanan, dan pelaporan kebocoran. Prosesor wajib memproses sesuai perintah pengendali, mengamankan data, dan membantu pengendali memenuhi kewajibannya. Bila prosesor memakai data di luar perintah, ia dapat dianggap bertindak sebagai pengendali untuk pemrosesan itu dan menanggung kewajiban pengendali.

Pembedaan ini juga menentukan siapa yang ditagih ketika terjadi kebocoran. Pemilik data biasanya berhubungan dengan pengendali. Pengendali lalu menelusuri apakah kebocoran berasal dari prosesor.

Cara menentukan peran Anda

Gunakan tiga pertanyaan berikut.

• Siapa yang memutuskan tujuan pemrosesan? Bila Anda yang memutuskan data dipakai untuk menagih, mengirim, atau beriklan, Anda pengendali.
• Siapa yang memutuskan jenis data dan lama penyimpanan? Pihak yang menetapkan hal itu cenderung pengendali.
• Siapa yang hanya menjalankan instruksi? Pihak yang hanya menyimpan, mengirim, atau mengolah data sesuai instruksi adalah prosesor.

Peran ditentukan oleh kenyataan pelaksanaannya, bukan sekadar label di kontrak. Kontrak yang menyebut vendor sebagai "prosesor" tidak akan menolong bila vendor ternyata menentukan sendiri tujuan pemakaian data.

Satu pihak bisa memegang dua peran dalam kegiatan yang berbeda. Misalnya, perusahaan perangkat lunak pembukuan adalah prosesor untuk data pelanggan yang Anda masukkan, tetapi pengendali untuk data akun Anda sendiri sebagai pengguna layanannya. Ada pula pengendali bersama, yaitu dua pihak atau lebih yang bersama-sama menentukan tujuan dan cara pemrosesan.

Tabel perbandingan

Contoh sehari-hari bagi usaha kecil

• Toko daring dan jasa kurir. Toko adalah pengendali data pembeli. Jasa kurir menerima nama, alamat, dan nomor telepon untuk mengantar paket. Kurir bisa berperan prosesor atau pengendali tersendiri tergantung kegiatannya. Bila kurir memakai nomor itu untuk menawarkan produknya sendiri, ia sudah menjadi pengendali untuk tujuan tersebut.
• Klinik dan penyedia aplikasi rekam medis. Klinik pengendali. Penyedia aplikasi menyimpan catatan atas nama klinik, sehingga prosesor.
• Perusahaan dan kantor akuntan. Perusahaan pengendali data karyawan; kantor akuntan yang menghitung gaji adalah prosesor.
• Kafe dengan program keanggotaan. Kafe pengendali data anggota; agensi pemasaran yang mengirim pesan massal atas nama kafe adalah prosesor.
• Sekolah dan aplikasi pembelajaran. Sekolah pengendali data murid; bila aplikasi memakai data untuk iklan, aplikasi bergeser menjadi pengendali.

Perjanjian antara pengendali dan prosesor

Bagian ini paling sering diabaikan. Meski tidak setiap detail bentuk perjanjian diuraikan dalam rumusan pasal, praktik yang baik adalah membuat perjanjian tertulis yang berisi:

1. jenis data dan tujuan pemrosesan;
2. kewajiban prosesor memproses hanya sesuai instruksi tertulis;
3. kewajiban menjaga kerahasiaan dan keamanan;
4. daftar sub-prosesor (pihak lain yang dipakai prosesor) dan syarat persetujuannya;
5. kewajiban memberitahu bila ada kebocoran, dengan batas waktu agar pengendali dapat memenuhi tenggat 3 x 24 jam kepada pemilik data dan lembaga;
6. bantuan memenuhi permintaan pemilik data, seperti akses dan penghapusan;
7. nasib data saat kerja sama berakhir: dikembalikan atau dihapus;
8. hak audit atau pemeriksaan wajar oleh pengendali.

Pelajari juga kewajiban pengendali data pribadi sebagai dasar isi perjanjian ini.

Perubahan aturan yang perlu Anda ketahui

UU PDP disahkan Oktober 2022 dan masa peralihannya berakhir Oktober 2024. Sebelum itu, ketentuan pelindungan data tersebar di berbagai aturan sektor dan di peraturan tentang penyelenggaraan sistem elektronik. Perubahannya: kini ada kerangka umum yang mengikat semua pihak yang memproses data. Pembedaan pengendali dan prosesor tidak sepenuhnya baru dalam praktik internasional, tetapi baru bagi banyak pelaku usaha di Indonesia. Pada saat artikel ini ditulis, status lembaga pengawas dan sejumlah aturan pelaksana perlu dicek pada pengumuman resmi, sehingga rincian teknis dapat berubah. Periksa teks resmi terbaru.

Langkah praktis

1. Buat daftar pemrosesan. Cantumkan setiap kegiatan yang menyentuh data pribadi.
2. Untuk tiap kegiatan, tulis peran Anda dan peran pihak lain.
3. Periksa kontrak vendor. Cari klausul tentang data, keamanan, dan kebocoran. Bila tidak ada, minta tambahan.
4. Tentukan satu orang penanggung jawab di usaha Anda, dan catat kontak vendor untuk keadaan darurat.
5. Uji prosedur kebocoran. Simulasikan, siapa yang menghubungi siapa dalam 3 x 24 jam.
6. Tinjau berkala setiap kali memakai vendor baru atau fitur baru.

Kesalahan umum

Contoh: Seorang pemilik toko pakaian memakai agensi untuk mengirim promosi lewat pesan singkat ke daftar pelanggannya. Agensi diam-diam menambahkan nomor itu ke basis datanya dan menawarkan produk klien lain. Toko tidak membuat perjanjian tertulis. Ketika pelanggan mengeluh, toko sulit membuktikan bahwa agensi bertindak di luar instruksi. Bila sejak awal ada perjanjian yang menyatakan agensi hanya boleh memakai data untuk promosi toko, posisi toko jauh lebih kuat.

Pengendali bersama dan hubungan antarperusahaan

Dalam kelompok usaha, beberapa perusahaan sering berbagi data pelanggan. Bila dua perusahaan bersama-sama menentukan tujuan, misalnya menjalankan program loyalitas gabungan, keduanya dapat dipandang sebagai pengendali bersama. Praktik yang baik adalah menyepakati secara tertulis siapa yang menyampaikan pemberitahuan kepada pemilik data, siapa yang menerima permintaan akses, dan siapa yang melapor bila terjadi kebocoran. Tanpa pembagian itu, pemilik data bingung ke mana harus menuntut, dan kedua perusahaan dapat saling menyalahkan.

Hal yang sama berlaku bila perusahaan induk menyimpan data karyawan anak perusahaan di satu sistem. Tentukan siapa pengendali untuk data apa. Jangan menganggap satu grup otomatis berarti satu pengendali.

Tanggung jawab bila terjadi kebocoran

Misalkan data bocor dari server vendor. Pemilik data pertama-tama akan menghubungi usaha tempat mereka mendaftar, yaitu pengendali. Pengendali harus segera menelusuri sumber kebocoran, meminta keterangan vendor, memberi tahu pemilik data dan lembaga yang berwenang dalam batas waktu yang ditentukan, serta memperbaiki keadaan. Setelah itu pengendali dapat menagih vendor sesuai perjanjian. Karena itulah klausul ganti rugi dan kewajiban memberitahu cepat dalam kontrak vendor sangat penting. Pembahasan tentang sanksi ada pada sanksi administratif dan pidana UU PDP.

Jangan lupa bahwa pemilik data juga dapat menggugat secara perdata untuk ganti rugi bila merasa dirugikan, terlepas dari sanksi administratif. Dokumentasi yang rapi tentang siapa memegang peran apa akan sangat membantu dalam pembelaan.

Contoh klausul kerja sama yang sebaiknya ada

Perjanjian dengan vendor tidak harus rumit. Contoh rumusan yang berguna: vendor hanya memproses data pribadi sesuai instruksi tertulis pengendali; vendor menjaga kerahasiaan dan mewajibkan karyawannya melakukan hal sama; vendor menerapkan pengamanan yang memadai dan melaporkan kebocoran paling lambat dalam jangka waktu tertentu yang lebih singkat dari tenggat pengendali; vendor tidak menggunakan sub-prosesor tanpa persetujuan; dan setelah kerja sama berakhir vendor mengembalikan atau menghapus data serta memberi bukti penghapusan. Bagi usaha kecil, lampiran satu halaman pada kontrak yang sudah ada sudah memadai.

Bila vendor menolak menandatangani ketentuan dasar semacam itu, pertimbangkan alternatif. Vendor yang serius mengelola data lazimnya bersedia menyepakati kewajiban dasar pelindungan data.

Pertanyaan yang sering diajukan

Apakah freelancer yang membantu mengelola akun media sosial usaha saya adalah prosesor? Bila ia hanya mengelola data sesuai instruksi Anda, ia berperan seperti prosesor. Tetap buat kesepakatan tertulis tentang penggunaan dan kerahasiaan data.

Bolehkah satu pihak menjadi pengendali sekaligus prosesor? Ya, untuk kegiatan yang berbeda. Yang perlu dijaga adalah kejelasan peran tiap kegiatan.

Apakah prosesor perlu melapor ke pemilik data bila ada kebocoran? Pada umumnya prosesor memberitahu pengendali, lalu pengendali memenuhi kewajiban pemberitahuan kepada pemilik data dan lembaga. Aturan teknis rinci perlu dicek pada teks resmi.

Apakah toko di marketplace itu pengendali? Penjual yang menerima data pembeli untuk memenuhi pesanan umumnya pengendali untuk data tersebut, sedangkan platform punya perannya sendiri. Lihat toko online wajib melindungi data pembeli.

Ringkasan

• Pengendali menentukan tujuan dan cara pemrosesan; prosesor memproses atas nama pengendali.
• Peran ditentukan oleh kenyataan, bukan sekadar label di kontrak.
• Buat perjanjian tertulis yang mengatur instruksi, keamanan, kebocoran, dan nasib data.
• Prosesor yang memakai data di luar perintah dapat dianggap pengendali.
• Aturan pelaksana dan lembaga pengawas masih berkembang; periksa teks resmi terbaru.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi

Baca juga

• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Kewajiban Pengendali Data Pribadi menurut UU PDP: Panduan bagi Pelaku Usaha
• Toko Online Wajib Lindungi Data Pembeli: Kewajiban Penjual Daring
• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.