SCC dan BCR dalam Transfer Data: Klausul Kontrak Standar dan Aturan Korporasi yang Mengikat

Tempat SCC dan BCR dalam aturan

Menurut KRES.ID, transfer data lintas negara memiliki tiga jenjang pada Pasal 165. SCC dan BCR berada di jenjang kedua, yaitu safeguard yang mengikat.

Jenjang ini dipakai ketika negara tujuan tidak berada dalam daftar negara dengan pelindungan setara, tetapi pengirim dan penerima tetap ingin menjaga pelindungan melalui perjanjian.

Perlu diingat bahwa ulasan hanya menyebut SCC dan BCR sebagai contoh safeguard. Mungkin ada bentuk lain, tetapi kami tidak menemukan keterangannya dalam sumber yang tersedia.

Apa itu SCC

SCC adalah singkatan dari Standard Contractual Clauses, atau klausul kontrak standar. Isinya serangkaian janji baku antara pengirim dan penerima data tentang cara melindungi data.

Ulasan menyebut bahwa bentuk SCC akan diatur oleh Lembaga. Karena belum terbit, kami tidak mengetahui isi klausul resminya dan tidak membuat contoh teksnya.

Karena bentuk resminya belum terbit, perusahaan yang saat ini memakai klausul dari yurisdiksi lain perlu bersiap kemungkinan harus menggantinya atau melengkapinya.

Apa itu BCR

BCR adalah singkatan dari Binding Corporate Rules, yaitu aturan korporasi yang mengikat. Aturan ini berlaku di dalam satu grup perusahaan yang mengirim data antarcabang di berbagai negara.

Bagi grup multinasional, BCR dapat menjadi dasar transfer internal tanpa membuat kontrak berulang. Syarat pengesahannya belum kami temukan.

Proses persetujuan BCR di banyak negara cukup panjang karena melibatkan pemeriksaan aturan internal oleh otoritas. Apakah Indonesia akan mengadopsi proses serupa belum diketahui. Singkatnya, BCR lebih cocok untuk perusahaan besar yang memiliki banyak entitas di berbagai negara.

Perbedaan praktisnya

Perbedaan utama terletak pada siapa yang terikat dan untuk apa.

Pilihan mana yang lebih tepat sangat bergantung pada struktur bisnis. Perusahaan berdiri sendiri dengan vendor luar negeri cenderung memakai SCC, sedangkan grup multinasional dapat mempertimbangkan BCR.

Pemilihan ini sebaiknya melibatkan penasihat hukum yang memahami hukum pelindungan data lintas negara.

• SCC cocok untuk hubungan dengan pihak ketiga seperti vendor.
• BCR cocok untuk transfer antarperusahaan dalam satu grup.
• SCC lebih cepat disiapkan, BCR membutuhkan penyusunan lebih panjang.
• Keduanya memerlukan komitmen pengamanan dan hak bagi subjek data.

Isi yang lazim dalam safeguard

Secara umum, dokumen semacam ini memuat tujuan transfer, batas penggunaan data, kewajiban pengamanan, kewajiban melapor kebocoran, dan hak subjek data untuk menuntut.

Daftar ini adalah gambaran umum, bukan bunyi PP. Isi resmi harus mengikuti peraturan lembaga setelah terbit.

Perjanjian yang baik juga mengatur audit, yaitu hak pengirim memeriksa pengamanan penerima, serta nasib data bila kontrak berakhir.

• Hak melakukan audit terhadap penerima.

Menyiapkan diri sekarang

Pelaku usaha dapat memeriksa semua kontrak dengan vendor yang menyimpan atau mengolah data di luar negeri. Catat negara, jenis data, dan klausul pengamanan yang sudah ada.

Jika vendor besar sudah punya perjanjian pemrosesan data baku, minta salinannya dan nilai kecocokannya dengan aturan Indonesia ketika pedoman terbit.

Jika vendor menolak mengubah kontrak bakunya, pertimbangkan apakah ada vendor lain yang bersedia, atau apakah transfer dapat dihindari dengan menyimpan data di dalam negeri. Salinan kontrak yang telah diperiksa sebaiknya disimpan bersama catatan pemrosesan supaya mudah ditunjukkan bila diminta.

Risiko bila tidak disiapkan

Transfer tanpa dasar yang sah dapat memicu sanksi administratif menurut ulasan, seperti peringatan, penghentian sementara pemrosesan, atau denda hingga 2 persen pendapatan tahunan.

Selain itu, ketiadaan perjanjian yang jelas menyulitkan Anda menuntut vendor bila data bocor di luar negeri. Karena itu, pendokumentasian dan peninjauan kontrak sebelum 16 Januari 2027 adalah investasi kecil dibandingkan risiko yang mungkin timbul.

Pada akhirnya, pilihan safeguard adalah keputusan bisnis dan hukum sekaligus, sehingga sebaiknya dibahas lintas bagian dan didokumentasikan dengan baik.

Contoh kasus

Contoh: Sebuah perusahaan perangkat lunak akuntansi memakai vendor analitik di luar negeri yang menerima data pengguna. Negara vendor belum tentu masuk daftar setara. Perusahaan meminta vendor menandatangani perjanjian pemrosesan data dengan klausul pengamanan, batas penggunaan, dan kewajiban lapor kebocoran dalam waktu singkat. Dokumen itu disimpan sebagai dasar transfer, dan perusahaan menjadwalkan peninjauan ulang ketika bentuk resmi SCC dari Lembaga diterbitkan. Perusahaan juga menunjuk satu staf hukum untuk memantau terbitnya peraturan lembaga dan melaporkan perubahan kepada direksi tiap kuartal. Dokumen tersebut disimpan bersama catatan pemrosesan dan dibagikan kepada pejabat pelindungan data perusahaan. Hasil peninjauan dilaporkan kepada direksi dalam bentuk ringkasan satu halaman beserta rencana tindak lanjutnya. Tim hukum juga menambahkan catatan di kontrak tentang kewajiban vendor memberi tahu bila ada permintaan akses dari pihak lain terhadap data tersebut. Catatan itu disimpan bersama versi kontrak yang berlaku. Tim kemudian menjadwalkan peninjauan ulang tahunan, sehingga seluruh kontrak vendor luar negeri dapat diperiksa secara berkala dan disesuaikan dengan peraturan lembaga setelah terbit.

Hal yang sering keliru

• Mengira SCC dapat disalin dari template luar negeri, padahal bentuk resmi akan diatur Lembaga di Indonesia.
• Mengira BCR hanya untuk perusahaan raksasa, padahal grup usaha menengah dengan banyak cabang luar negeri juga dapat memakainya.
• Mengira kontrak apa pun dapat menggantikan SCC, padahal safeguard yang dimaksud harus mengikat dan memenuhi ketentuan yang berlaku.

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026, Pasal 165 (menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Siapa yang Terkena PP 33/2026: Swasta, Instansi Publik, dan Korporasi
• Siklus Data dalam Satu Data Indonesia: Dari Pengumpulan sampai Pemusnahan
• Simulasi Alur Permintaan Data Terbatas oleh Peneliti kepada Instansi

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.