Pengendali data pribadi adalah pihak yang menentukan tujuan dan mengendalikan pemrosesan data pribadi. Status ini bisa melekat pada perusahaan, instansi, organisasi, atau perorangan.
Banyak pelaku usaha tidak sadar sudah menjadi pengendali data. Toko daring yang menyimpan data pembeli, klinik yang mencatat pasien, atau kantor yang menyimpan data karyawan, semuanya termasuk.
Sebagai praktisi hukum yang kerap mendampingi perusahaan menyusun kepatuhan data, saya melihat satu pola yang sama. Kewajiban baru dipikirkan setelah ada insiden, padahal kerugiannya sudah telanjur besar.
Nah, di artikel ini kita akan bahas secara runtut. Mulai dari pengertian, kewajiban utama, tanggung jawab saat insiden, sampai sanksi bila lalai.
Apa Itu Pengendali Data Pribadi? Pengertian dan Dasar Hukumnya
Pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi. Definisi ini tercantum dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
Kata kuncinya adalah menentukan tujuan dan kendali. Siapa pun yang memutuskan untuk apa data dipakai dan bagaimana dikelola, dialah pengendali.
Menurut saya, definisi yang luas ini disengaja. Hampir setiap organisasi yang mengelola data pelanggan atau karyawan masuk dalam cakupannya.
Perbedaan Pengendali dan Prosesor Data
Dua istilah ini sering tertukar. Padahal, perannya berbeda.
- Pengendali menentukan tujuan dan cara pemrosesan data.
- Prosesor memproses data atas nama pengendali.
- Pengendali memikul tanggung jawab utama atas kepatuhan.
- Prosesor wajib mengikuti instruksi pengendali dan menjaga keamanan data.
Contohnya, sebuah toko daring adalah pengendali, sedangkan penyedia layanan penyimpanan awan adalah prosesor. Hubungan keduanya sebaiknya diatur dalam perjanjian tertulis.
Siapa Saja yang Bisa Menjadi Pengendali?
Cakupan pengendali cukup beragam. Berikut contoh yang sering dijumpai.
- Perusahaan swasta, dari UMKM sampai korporasi besar.
- Instansi pemerintah atau badan publik.
- Lembaga pendidikan dan fasilitas kesehatan.
- Organisasi masyarakat dan yayasan.
- Perorangan yang memproses data di luar keperluan pribadi atau rumah tangga.
Pemrosesan untuk keperluan pribadi atau rumah tangga murni dikecualikan. Namun, begitu data dipakai untuk kegiatan usaha, status pengendali bisa melekat.
Kewajiban Utama Pengendali Data Pribadi
UU PDP memberi sederet kewajiban kepada pengendali. Kewajiban ini bersifat menyeluruh, dari sebelum data dikumpulkan sampai data dihapus.
Mengabaikan satu kewajiban bisa menimbulkan rangkaian masalah lain. Karena itu, pahami semuanya secara utuh.
Memiliki Dasar Pemrosesan yang Sah
Pengendali wajib memiliki dasar pemrosesan yang jelas. Dasar itu bisa berupa persetujuan, pemenuhan perjanjian, kewajiban hukum, pelindungan kepentingan vital, tugas pelayanan publik, atau kepentingan yang sah lainnya.
Jika memakai persetujuan, bentuknya harus eksplisit dan dapat dibuktikan. Subjek data harus tahu untuk apa datanya dipakai.
Memenuhi Hak Subjek Data
Pengendali wajib menindaklanjuti hak subjek data, seperti akses, perbaikan, penghapusan, dan penarikan persetujuan. Permintaan harus ditanggapi sesuai tenggat yang ditentukan peraturan.
Menurut saya, sistem penerimaan permintaan perlu disiapkan sejak awal. Perusahaan yang baru membuatnya setelah dikomplain biasanya kewalahan.
Menjaga Akurasi dan Keamanan Data
Pengendali wajib memastikan data akurat, lengkap, dan tidak menyesatkan. Selain itu, mereka wajib melindungi keamanan data dari akses, pengungkapan, atau perubahan yang tidak sah.
Perlindungan ini mencakup langkah teknis dan organisasi. Contohnya enkripsi, pembatasan akses, dan pelatihan karyawan.
Menyimpan Catatan Pemrosesan
Pengendali wajib merekam seluruh kegiatan pemrosesan data pribadi. Catatan ini membantu pembuktian bila terjadi pemeriksaan.
Isinya bisa meliputi jenis data, tujuan, pihak yang mengakses, dan jangka waktu penyimpanan. Catatan yang rapi menunjukkan tata kelola yang sehat.
Kewajiban Tambahan yang Perlu Diperhatikan
Selain kewajiban dasar, ada beberapa kewajiban yang berlaku pada situasi tertentu. Kewajiban ini sering terlewat, terutama oleh usaha kecil.
Mari kita bahas satu per satu secara ringkas.
Penilaian Dampak Pelindungan Data
Untuk pemrosesan berisiko tinggi, pengendali wajib melakukan penilaian dampak pelindungan data pribadi. Contoh pemrosesan berisiko tinggi adalah pengambilan keputusan otomatis, pemrosesan data spesifik, atau pemantauan sistematis dalam skala besar.
Penilaian ini membantu mengidentifikasi risiko sebelum terjadi. Hasilnya dipakai untuk menentukan langkah mitigasi.
Penunjukan Pejabat Pelindungan Data
Dalam kondisi tertentu, pengendali wajib menunjuk pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi. Kondisi itu antara lain pemrosesan untuk pelayanan publik, kegiatan inti yang memerlukan pemantauan teratur dalam skala besar, atau pemrosesan data spesifik dalam skala besar.
Pejabat ini menjadi penghubung antara perusahaan, subjek data, dan lembaga berwenang. Pilih orang yang memahami hukum dan teknis.
Perjanjian dengan Prosesor dan Pihak Ketiga
Bila melibatkan prosesor, pengendali tetap bertanggung jawab. Karena itu, tuangkan hubungan kerja dalam perjanjian tertulis.
Hal yang sebaiknya dimuat antara lain sebagai berikut.
- Ruang lingkup dan tujuan pemrosesan.
- Standar keamanan yang wajib dipenuhi.
- Kewajiban memberi tahu bila terjadi insiden.
- Ketentuan penghapusan atau pengembalian data saat kerja sama berakhir.
- Hak audit bagi pengendali.
Perjanjian yang jelas mencegah saling lempar tanggung jawab saat masalah muncul.
Tanggung Jawab Pengendali Saat Terjadi Insiden
Sebaik apa pun sistemnya, insiden tetap mungkin terjadi. Hukum menilai bagaimana pengendali bersikap ketika itu terjadi.
Respons yang cepat dan transparan sangat menentukan. Ini juga memengaruhi berat ringannya sanksi.
Pemberitahuan Kegagalan Pelindungan Data
Jika terjadi kegagalan pelindungan data pribadi, pengendali wajib memberi pemberitahuan tertulis paling lambat tiga kali dua puluh empat jam. Pemberitahuan ditujukan kepada subjek data dan lembaga berwenang.
Isinya mencakup data yang terungkap, waktu dan cara terungkapnya, serta upaya penanganan. Pemberitahuan yang jujur lebih baik daripada menutup-nutupi.
Tanggung Jawab Ganti Rugi
Pengendali bisa dimintai ganti rugi oleh subjek data yang dirugikan. Gugatan diajukan melalui jalur perdata.
Karena itu, simpan dokumentasi langkah pengamanan yang sudah dilakukan. Dokumen ini bisa menjadi bukti itikad baik.
Menurut saya, asuransi siber layak dipertimbangkan. Biaya premi jauh lebih ringan dibanding kerugian akibat satu insiden besar.
Sanksi bagi Pengendali yang Lalai
Pelanggaran kewajiban membawa konsekuensi hukum. Konsekuensi itu terbagi menjadi sanksi administratif dan pidana.
Perusahaan perlu memahami kisarannya agar bisa menakar risiko.
Sanksi Administratif
Sanksi administratif meliputi peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data, ganti kerugian, dan denda administratif. Denda administratif dibatasi paling tinggi dua persen dari pendapatan tahunan terhadap variabel pelanggaran.
Sanksi ini dijatuhkan oleh lembaga yang berwenang. Pelanggaran berulang dapat memperberat hukuman.
Sanksi Pidana
Perbuatan tertentu yang dilakukan dengan sengaja dan melawan hukum dapat dipidana. Contohnya pengumpulan, pengungkapan, penggunaan, atau pemalsuan data pribadi untuk keuntungan.
Ancamannya berupa penjara dan denda miliaran rupiah. Bagi korporasi, dendanya dapat dilipatgandakan, ditambah pidana tambahan seperti pembekuan usaha.
Langkah Praktis Memenuhi Kewajiban sebagai Pengendali
Kepatuhan tidak harus rumit. Banyak langkah bisa dimulai dari hal sederhana.
Kuncinya adalah konsisten dan terdokumentasi.
Pemetaan Data dan Kebijakan Privasi
Mulailah dengan memetakan data apa yang dikumpulkan, dari mana, dan untuk apa. Setelah itu, susun kebijakan privasi yang mudah dipahami.
Bahasa yang jelas membantu subjek data memahami haknya. Hindari kalimat berbelit yang justru menyembunyikan informasi penting.
Pelatihan dan Audit Berkala
Kebocoran sering berawal dari kelalaian manusia. Karena itu, latih karyawan secara rutin.
Lakukan pula audit berkala atas sistem dan prosedur. Hasil audit menjadi dasar perbaikan.
FAQ Seputar Pengendali Data Pribadi
Apakah UMKM termasuk pengendali data pribadi?
Ya, bila UMKM menentukan tujuan dan mengendalikan pemrosesan data pelanggan atau karyawan. Skala usaha tidak menghapus statusnya, meski penerapan kewajiban disesuaikan dengan risiko.
Siapa yang bertanggung jawab jika data bocor di prosesor?
Pengendali tetap memikul tanggung jawab utama, sedangkan prosesor wajib mengikuti instruksi dan menjaga keamanan. Perjanjian tertulis membantu membagi tanggung jawab dengan jelas.
Apakah pengendali wajib menunjuk pejabat pelindungan data?
Wajib pada kondisi tertentu, misalnya pemrosesan untuk pelayanan publik atau pemrosesan data spesifik dalam skala besar. Di luar kondisi itu, penunjukan tetap dianjurkan.
Kesimpulan
Pengendali data pribadi memikul kewajiban besar, mulai dari dasar pemrosesan yang sah, pemenuhan hak subjek data, pengamanan, sampai pemberitahuan saat terjadi insiden. Kelalaian dapat berujung pada sanksi administratif, pidana, dan gugatan ganti rugi.
Menurut saya, kepatuhan terhadap UU PDP sebaiknya dipandang sebagai investasi kepercayaan. Pelanggan lebih mudah loyal pada bisnis yang menjaga datanya dengan serius.
Jika kamu ingin memastikan usahamu sudah patuh sebagai pengendali data, klik poster yang tersedia atau tombol KONSULTASI GRATIS di pojok kanan website ini. Tim kami siap membantu menyusun kebijakan privasi, perjanjian prosesor, dan langkah kepatuhan lainnya dengan cermat.
Ringkasan
- Pengendali data pribadi adalah pihak yang menentukan tujuan dan mengendalikan pemrosesan data.
- Pengendali berbeda dari prosesor yang memproses data atas nama pengendali.
- Pengendali wajib memiliki dasar pemrosesan yang sah dan memenuhi hak subjek data.
- Keamanan dan akurasi data menjadi tanggung jawab pengendali.
- Pemrosesan berisiko tinggi memerlukan penilaian dampak pelindungan data.
- Kegagalan pelindungan data wajib diberitahukan secara tertulis paling lambat 3×24 jam.
- Sanksi mencakup peringatan, denda administratif, pidana, dan ganti rugi.
- Perjanjian tertulis dengan prosesor membantu membagi tanggung jawab.
Referensi
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
- Peraturan Pemerintah tentang pelaksanaan UU Pelindungan Data Pribadi.
- Kementerian Komunikasi dan Digital Republik Indonesia, “Informasi Pelindungan Data Pribadi,” komdigi.go.id.
- Badan Siber dan Sandi Negara, “Informasi Keamanan Siber,” bssn.go.id.
- Kementerian Hukum, “Basis Data Peraturan Perundang-undangan,” peraturan.go.id.
