Ketika sebuah organisasi mengelola data pribadi, tidak semua pihak yang terlibat memikul peran dan tanggung jawab yang sama. Undang-Undang Pelindungan Data Pribadi membedakan dua aktor utama, yaitu pengendali data pribadi dan prosesor data pribadi. Memahami perbedaan keduanya penting agar setiap pihak tahu batas kewenangan sekaligus konsekuensi hukum yang menyertainya, terutama saat terjadi kebocoran data. Berikut penjelasannya.
Dasar Pertanyaan
Banyak pembaca menanyakan apa sebenarnya yang membedakan pengendali data pribadi dengan prosesor data pribadi. Selain itu, muncul pula pertanyaan lanjutan: siapa yang harus bertanggung jawab apabila data pribadi yang dikelola mengalami kebocoran atau tersebar tanpa izin? Artikel ini mengulas keduanya secara ringkas.
Pengertian Pengendali dan Prosesor Data Pribadi
Kedua istilah ini diatur dalam UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP").
Pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi. Dengan kata lain, pengendali adalah pihak yang memegang kemudi: menentukan mengapa dan bagaimana data pribadi diproses.
Prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam memproses data pribadi atas nama pengendali data pribadi. Prosesor menjalankan pemrosesan berdasarkan perintah dan atas nama pengendali, bukan untuk kepentingannya sendiri.
Dari dua definisi tersebut, letak pembeda paling mendasar ada pada kewenangan menentukan tujuan pemrosesan. Pengendali memiliki otoritas menetapkan maksud dan cara pemrosesan data, sementara prosesor sebatas melaksanakan pemrosesan sesuai instruksi pengendali.
Kewajiban Pengendali Data Pribadi
Karena memegang kendali, pengendali data pribadi dibebani sejumlah kewajiban, antara lain:
- memiliki dasar pemrosesan data pribadi yang sah sebelum melakukan pemrosesan;
- melakukan pemrosesan secara terbatas, spesifik, sah menurut hukum, dan transparan;
- menjaga keakuratan, kelengkapan, dan konsistensi data pribadi;
- melakukan pelindungan dan menjaga keamanan data pribadi dari akses yang tidak sah;
- menjaga kerahasiaan data pribadi;
- melakukan pencatatan atas seluruh kegiatan pemrosesan data pribadi; dan
- memberitahukan kepada subjek data dan lembaga terkait apabila terjadi kegagalan pelindungan data pribadi.
Pengendali juga wajib memiliki salah satu dasar pemrosesan yang sah, seperti persetujuan subjek data, pemenuhan kewajiban perjanjian, pelaksanaan kewajiban hukum, pelindungan kepentingan vital, pelaksanaan kewenangan berdasarkan peraturan, atau pemenuhan kepentingan yang sah lainnya.
Kewajiban Prosesor Data Pribadi
Prosesor data pribadi melakukan pemrosesan berdasarkan perintah pengendali. Beberapa kewajiban pokoknya adalah:
- memproses data pribadi sesuai dengan perintah atau instruksi dari pengendali data pribadi;
- memperoleh persetujuan tertulis terlebih dahulu dari pengendali apabila hendak melibatkan prosesor lain (sub-prosesor); dan
- tunduk pada kewajiban yang sama dengan pengendali terkait keamanan dan kerahasiaan data pribadi.
Perlu dicatat bahwa pemrosesan yang dilakukan prosesor di luar perintah pengendali menjadikan prosesor tersebut dianggap sebagai pengendali data pribadi atas pemrosesan yang bersangkutan, sehingga tanggung jawabnya pun mengikuti.
Tanggung Jawab saat Terjadi Kebocoran Data
Ketika data pribadi bocor atau gagal terlindungi, pengendali data pribadi memikul tanggung jawab utama. Pengendali wajib menyampaikan pemberitahuan secara tertulis kepada subjek data dan lembaga yang berwenang paling lambat 3 x 24 jam sejak diketahuinya kegagalan pelindungan data pribadi. Pemberitahuan itu sekurang-kurangnya memuat data pribadi yang terungkap, kapan dan bagaimana kegagalan terjadi, serta upaya penanganan dan pemulihannya.
Kelalaian memenuhi kewajiban ini dapat berujung pada sanksi administratif, mulai dari peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan data pribadi, hingga denda administratif.
Di sisi lain, subjek data yang dirugikan berhak menuntut ganti rugi. Tuntutan tersebut umumnya diajukan terlebih dahulu kepada pengendali data pribadi, dan apabila tidak dipenuhi, subjek data dapat menempuh jalur gugatan ke pengadilan.
Adapun ketentuan pelaksana yang memperinci mekanisme di atas diatur lebih lanjut melalui PP No. 33 Tahun 2026 sebagai peraturan pelaksana UU PDP.
Kesimpulan
Perbedaan utama antara pengendali dan prosesor data pribadi terletak pada kewenangan: pengendali menentukan tujuan dan mengendalikan pemrosesan data, sedangkan prosesor menjalankan pemrosesan atas nama dan sesuai instruksi pengendali. Dalam hal terjadi kebocoran, pengendali memikul tanggung jawab utama, termasuk kewajiban memberitahukan subjek data dan lembaga berwenang serta menghadapi potensi sanksi administratif dan gugatan ganti rugi.
Butuh pemahaman lebih mendalam mengenai pelindungan data pribadi dan regulasi terkait lainnya? Temukan ulasan hukum tepercaya dan akses peraturan lengkap hanya di Meridian Hukum.
Dasar Hukum
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
- Peraturan Pemerintah Nomor 33 Tahun 2026 tentang peraturan pelaksana Undang-Undang Pelindungan Data Pribadi.