Pendahuluan
Sejak berlakunya Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), setiap pihak yang mengolah data pribadi wajib memahami posisinya: apakah ia bertindak sebagai Pengendali Data Pribadi atau sebagai Prosesor Data Pribadi. Perbedaan ini bukan sekadar istilah, sebab kedudukan tersebut menentukan kewajiban apa yang melekat dan siapa yang harus bertanggung jawab ketika terjadi pelanggaran.
Artikel ini menguraikan definisi, peran, kewajiban, serta pembagian tanggung jawab antara keduanya berdasarkan UU PDP.
Definisi Menurut UU PDP
Pasal 1 UU PDP memberikan pengertian sebagai berikut:
- Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.
- Prosesor Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama Pengendali Data Pribadi.
Dengan kata lain, pengendali adalah pihak yang memutuskan mengapa dan bagaimana data diolah, sedangkan prosesor adalah pihak yang menjalankan pengolahan tersebut berdasarkan instruksi pengendali.
Contoh Sederhana
Sebuah toko daring mengumpulkan nama, alamat, dan nomor telepon pelanggan untuk keperluan pengiriman barang. Toko tersebut menentukan data apa yang dikumpulkan dan untuk apa, sehingga berkedudukan sebagai pengendali.
Apabila toko itu menyewa penyedia layanan penyimpanan awan (cloud) atau jasa pengiriman yang hanya mengolah data sesuai perintah toko, penyedia layanan tersebut berkedudukan sebagai prosesor.
Satu pihak dapat memiliki peran berbeda dalam kegiatan yang berbeda. Penyedia cloud yang menjadi prosesor bagi kliennya tetap berkedudukan sebagai pengendali atas data karyawannya sendiri.
Kewajiban Pengendali Data Pribadi
UU PDP menempatkan beban kewajiban terbesar pada pengendali. Beberapa kewajiban utamanya antara lain:
- Memiliki dasar pemrosesan yang sah, misalnya persetujuan yang sah secara eksplisit dari subjek data, pemenuhan perjanjian, kewajiban hukum, atau kepentingan sah lainnya.
- Menyampaikan informasi kepada subjek data mengenai legalitas, tujuan, jenis data, jangka waktu retensi, serta hak-hak subjek data.
- Menjamin akurasi dan keamanan data, termasuk menyusun langkah teknis operasional untuk melindungi data dari pemrosesan yang tidak sah.
- Memenuhi hak subjek data, seperti hak akses, pembaruan, penghapusan, dan penarikan persetujuan.
- Menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga terkait apabila terjadi kegagalan pelindungan data pribadi.
- Melakukan penilaian dampak pelindungan data pribadi untuk pemrosesan yang berpotensi berisiko tinggi.
- Bertanggung jawab dan dapat membuktikan pemenuhan prinsip pelindungan data pribadi (prinsip akuntabilitas).
Apabila dua pihak atau lebih bersama-sama menentukan tujuan pemrosesan, mereka berkedudukan sebagai pengendali bersama dan wajib memiliki perjanjian yang mengatur peran, tanggung jawab, serta hubungan di antara mereka.
Kewajiban Prosesor Data Pribadi
Pasal 51 UU PDP mengatur kedudukan prosesor secara khusus, yang pada intinya:
- Prosesor wajib memproses data berdasarkan perintah pengendali.
- Pemrosesan oleh prosesor tetap termasuk dalam tanggung jawab pengendali.
- Jika prosesor memproses data di luar perintah dan tujuan yang ditetapkan pengendali, tanggung jawab atas pemrosesan tersebut beralih kepada prosesor.
Selain itu, prosesor hanya dapat melibatkan prosesor lain (sub-prosesor) setelah memperoleh persetujuan tertulis dari pengendali. Prosesor juga tetap terikat pada kewajiban menjaga keamanan dan kerahasiaan data yang diolahnya.
Pejabat Pelindungan Data Pribadi
Baik pengendali maupun prosesor wajib menunjuk pejabat atau petugas pelindungan data pribadi dalam hal:
- pemrosesan dilakukan untuk kepentingan pelayanan publik;
- kegiatan inti memerlukan pemantauan secara teratur dan sistematis atas data pribadi dalam skala besar; atau
- kegiatan inti berupa pemrosesan data pribadi spesifik atau data terkait tindak pidana dalam skala besar.
Perbandingan Singkat
| Aspek | Pengendali | Prosesor |
|---|---|---|
| Peran | Menentukan tujuan dan kendali pemrosesan | Memproses atas nama pengendali |
| Dasar tindakan | Keputusan sendiri | Perintah pengendali |
| Dasar pemrosesan dan persetujuan | Wajib dimiliki | Mengikuti pengendali |
| Pemenuhan hak subjek data | Kewajiban utama | Membantu sesuai perintah |
| Tanggung jawab | Utama, termasuk atas pemrosesan oleh prosesor | Beralih jika bertindak di luar perintah |
| Melibatkan pihak lain | Dapat menunjuk prosesor | Perlu persetujuan tertulis pengendali |
Sanksi
Pelanggaran terhadap kewajiban dalam UU PDP dapat dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data pribadi, dan/atau denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan. UU PDP juga memuat ketentuan pidana bagi perbuatan tertentu, seperti memperoleh, mengungkapkan, atau menggunakan data pribadi milik orang lain secara melawan hukum.
Kesimpulan
Pengendali adalah pihak yang menentukan tujuan dan kendali pemrosesan data, sedangkan prosesor adalah pihak yang menjalankan pemrosesan atas nama pengendali. Pengendali memikul tanggung jawab utama, namun prosesor dapat dimintai pertanggungjawaban apabila bertindak di luar perintah pengendali. Karena itu, setiap pelaku usaha perlu memetakan perannya dan menuangkan pembagian tanggung jawab tersebut dalam perjanjian pemrosesan data yang jelas.
Untuk menelusuri teks lengkap UU PDP dan peraturan terkait lainnya, Anda dapat mengaksesnya melalui Meridian Hukum.
Dasar Hukum:
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi