Perjanjian pemrosesan data dengan pihak ketigaData processing agreements with third parties

Hampir tidak ada perusahaan yang memproses data pribadi sendirian. Penggajian dikerjakan vendor, pesan promosi dikirim lewat platform pihak ketiga, data disimpan di layanan komputasi awan, dan pengiriman barang memakai jasa logistik. Setiap kali data pribadi berpindah tangan, perlu ada kesepakatan tertulis tentang cara data itu diperlakukan. Jasa pembuatan perjanjian pemrosesan data membantu Anda menyusun atau menelaah kesepakatan tersebut agar sesuai dengan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Pengendali dan prosesor data

UU PDP membedakan dua peran. Pengendali data pribadi menentukan tujuan dan cara pemrosesan, sedangkan prosesor data pribadi memproses data atas nama pengendali. Contohnya, toko daring adalah pengendali atas data pelanggannya, sementara penyedia layanan surel massal yang dipakai toko itu adalah prosesor.

Pengendali tetap bertanggung jawab atas pemrosesan yang dilakukan prosesor atas namanya. Karena itu pengendali perlu memastikan prosesor bekerja hanya berdasarkan perintahnya dan menerapkan pengamanan yang memadai. Perjanjian pemrosesan data adalah alat utama untuk memastikan hal itu.

Kapan perjanjian ini diperlukan

• Saat memakai vendor penggajian, rekrutmen, atau sistem sumber daya manusia.
• Saat memakai layanan komputasi awan, pusat data, atau aplikasi berbasis langganan.
• Saat bekerja sama dengan agensi pemasaran, pusat panggilan, atau penyedia layanan pesan.
• Saat berbagi data dengan perusahaan dalam satu grup.
• Saat menjalin kerja sama dengan mitra yang sama-sama menentukan tujuan pemrosesan, sehingga keduanya berstatus pengendali bersama.

Klausul yang sebaiknya ada

1. Uraian pemrosesan. Jenis data, kategori subjek data, tujuan, dan jangka waktu pemrosesan.
2. Kewajiban mengikuti instruksi. Prosesor hanya memproses sesuai instruksi tertulis pengendali.
3. Kerahasiaan. Personel prosesor yang mengakses data terikat kewajiban kerahasiaan.
4. Langkah keamanan. Pengamanan teknis dan organisasi yang diterapkan, misalnya enkripsi dan pembatasan akses.
5. Subprosesor. Syarat bila prosesor ingin memakai pihak lain, termasuk kewajiban pemberitahuan atau persetujuan.
6. Bantuan pemenuhan hak subjek data. Dukungan prosesor saat pengendali menerima permintaan akses, perbaikan, atau penghapusan.
7. Pemberitahuan kegagalan pelindungan data. Kewajiban memberi tahu pengendali segera setelah mengetahui insiden, agar pengendali dapat memenuhi kewajiban pemberitahuannya sesuai UU PDP.
8. Audit dan informasi. Hak pengendali untuk memeriksa atau meminta bukti kepatuhan.
9. Pengembalian dan pemusnahan. Apa yang terjadi pada data saat kontrak berakhir.
10. Tanggung jawab dan ganti rugi. Pembagian tanggung jawab bila terjadi pelanggaran.

Transfer data ke luar negeri

Banyak vendor menyimpan data di server luar negeri. UU PDP mengatur bahwa transfer data pribadi ke luar wilayah hukum Indonesia memerlukan pemenuhan syarat tertentu, misalnya negara penerima memiliki tingkat pelindungan yang setara atau lebih tinggi, atau terdapat pelindungan yang memadai dan mengikat. Bila syarat tersebut tidak terpenuhi, diperlukan persetujuan subjek data. Perjanjian pemrosesan data sebaiknya mencantumkan lokasi pemrosesan dan pengaman yang dipakai.

Menelaah perjanjian standar vendor besar

Vendor teknologi besar biasanya menyodorkan perjanjian pemrosesan data standar yang sulit dinegosiasikan. Meski begitu, tetap penting menelaahnya untuk mengetahui lokasi data, daftar subprosesor, tenggat pemberitahuan insiden, dan batas tanggung jawab. Bila ada kekurangan, Anda dapat menutupnya dengan pengaturan internal, pengaturan tambahan, atau memilih konfigurasi layanan yang berbeda.

Alur jasa pembuatan perjanjian pemrosesan data

1. Inventarisasi vendor dan mitra yang menerima data pribadi.
2. Penentuan peran masing-masing pihak: pengendali, prosesor, atau pengendali bersama.
3. Telaah perjanjian yang sudah ada dan identifikasi kekurangannya.
4. Penyusunan templat perjanjian pemrosesan data perusahaan.
5. Pendampingan negosiasi dengan vendor utama.
6. Pembaruan register pemrosesan berdasarkan hasil perjanjian.

Kesalahan yang sering terjadi

• Tidak memiliki perjanjian tertulis sama sekali dengan vendor yang menyimpan data pelanggan.
• Menyebut semua vendor sebagai prosesor, padahal sebagian sebenarnya pengendali.
• Tidak mengetahui subprosesor yang dipakai vendor.
• Tidak mengatur nasib data setelah kontrak berakhir.

Lama pengerjaan dan faktor biaya

Penyusunan templat dapat diselesaikan relatif cepat, sedangkan telaah dan negosiasi dengan banyak vendor memakan waktu lebih lama. Biaya dipengaruhi oleh jumlah vendor, jenis data yang diproses, adanya transfer ke luar negeri, dan kebutuhan dokumen dwibahasa.

Pengendali bersama

Tidak semua kerja sama berbentuk pengendali dan prosesor. Bila dua perusahaan bersama-sama menentukan tujuan dan cara pemrosesan, misalnya dalam program promosi bersama yang mengumpulkan data peserta, keduanya dapat berstatus pengendali bersama. Perjanjiannya perlu mengatur pembagian peran, siapa yang menjadi narahubung bagi subjek data, dan bagaimana permintaan hak subjek data ditangani.

Bila Anda ingin merapikan hubungan dengan vendor dan mitra yang memproses data pribadi, tim ALLMAR Law & Investment dapat membantu menyusun templat, menelaah perjanjian vendor, dan mendampingi negosiasinya.