Penunjukan pejabat pelindungan dataData protection officer appointment

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi memperkenalkan peran baru di perusahaan: pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi, yang dalam praktik sering disebut DPO. Bagi banyak perusahaan, pertanyaannya sederhana tetapi penting: apakah kami wajib menunjuknya, siapa yang pantas, dan apa saja tugasnya. Jasa penunjukan pejabat pelindungan data pribadi membantu Anda menjawab ketiganya dan menyiapkan fungsi tersebut agar benar-benar berjalan, bukan hanya nama di struktur organisasi.

Kapan perusahaan wajib menunjuk pejabat pelindungan data

UU PDP mewajibkan pengendali dan prosesor data menunjuk pejabat atau petugas pelindungan data pribadi dalam kondisi tertentu, yaitu bila:

• Pemrosesan dilakukan untuk kepentingan pelayanan publik.
• Kegiatan inti pengendali memiliki sifat, ruang lingkup, atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas data pribadi dalam skala besar.
• Kegiatan inti pengendali terdiri atas pemrosesan data pribadi dalam skala besar untuk data yang bersifat spesifik atau data yang berkaitan dengan tindak pidana.

Contoh yang sering masuk kategori ini adalah rumah sakit, perusahaan asuransi, lembaga keuangan, platform digital dengan jutaan pengguna, dan penyedia layanan publik. Perusahaan di luar kategori tersebut tetap dapat menunjuk DPO secara sukarela untuk memperkuat tata kelola datanya.

Tugas pejabat pelindungan data pribadi

Menurut UU PDP, tugas pejabat pelindungan data pribadi paling sedikit meliputi:

• Menginformasikan dan memberikan saran kepada pengendali atau prosesor agar mematuhi ketentuan undang-undang.
• Memantau dan memastikan kepatuhan terhadap UU PDP serta kebijakan internal perusahaan.
• Memberikan saran mengenai penilaian dampak pelindungan data pribadi dan memantau kinerjanya.
• Berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan data pribadi.

Dalam praktik, DPO juga menjadi titik kontak bagi subjek data yang mengajukan permintaan dan bagi lembaga pengawas.

Siapa yang pantas ditunjuk

UU PDP mensyaratkan penunjukan berdasarkan profesionalitas, pengetahuan mengenai hukum, praktik pelindungan data pribadi, dan kemampuan memenuhi tugasnya. Pejabat ini dapat berasal dari dalam atau luar perusahaan.

DPO internal

Karyawan yang memahami bisnis dari dalam. Tantangannya adalah menghindari benturan kepentingan, misalnya bila kepala TI atau kepala pemasaran merangkap DPO dan harus mengawasi keputusannya sendiri.

DPO eksternal

Pihak luar yang menjalankan fungsi ini berdasarkan perjanjian jasa. Pilihan ini cocok bagi perusahaan yang belum memiliki ahli internal, dengan catatan akses ke informasi dan manajemen harus dipastikan dalam perjanjian.

Jasa penunjukan pejabat pelindungan data pribadi: langkah kerjanya

1. Penilaian kewajiban. Menilai apakah kegiatan inti perusahaan termasuk kategori yang mewajibkan penunjukan.
2. Penentuan model. Internal, eksternal, atau kombinasi, misalnya petugas internal yang didampingi penasihat luar.
3. Penyusunan uraian tugas. Wewenang, garis pelaporan langsung ke pimpinan, dan akses ke informasi.
4. Surat keputusan penunjukan. Dokumen resmi yang menetapkan pejabat dan ruang lingkup tugasnya.
5. Penyusunan perangkat kerja. Register pemrosesan, prosedur permintaan subjek data, prosedur penanganan insiden, dan templat penilaian dampak.
6. Publikasi narahubung. Informasi kontak DPO dicantumkan dalam kebijakan privasi.
7. Pelatihan dan pembaruan berkala. DPO dan tim terkait mengikuti perkembangan aturan pelaksana.

Kesalahan yang sering terjadi

• Menunjuk DPO hanya di atas kertas tanpa waktu, anggaran, dan akses yang memadai.
• Menunjuk orang yang posisinya menimbulkan benturan kepentingan.
• Tidak mencantumkan kontak DPO di kebijakan privasi sehingga subjek data tidak tahu harus menghubungi siapa.
• DPO tidak dilibatkan sejak awal dalam proyek yang memproses data berisiko tinggi.

Dokumen yang perlu disiapkan

• Struktur organisasi dan uraian kegiatan inti perusahaan.
• Gambaran volume dan jenis data pribadi yang diproses.
• Kebijakan privasi dan kebijakan keamanan informasi yang sudah ada.
• Profil calon pejabat bila akan dipilih dari internal.

Lama pengerjaan dan faktor biaya

Penilaian kewajiban dan penyusunan dokumen penunjukan dapat selesai dalam waktu relatif singkat. Bila perangkat kerja DPO belum ada, waktu yang dibutuhkan lebih panjang. Biaya dipengaruhi oleh skala pemrosesan data, jumlah unit bisnis, dan apakah fungsi DPO dijalankan secara eksternal secara berkelanjutan.

Hubungan DPO dengan fungsi lain

DPO bukan pengganti tim keamanan informasi atau tim legal, melainkan penghubung di antara keduanya. Tim TI menjaga sistem, tim legal menelaah kontrak, dan DPO memastikan bahwa keputusan pemrosesan data sejalan dengan undang-undang serta kebijakan perusahaan. Karena itu DPO sebaiknya diundang dalam rapat perencanaan produk dan pengadaan vendor yang menyangkut data pribadi.

Bila Anda perlu menilai kewajiban penunjukan dan menyiapkan fungsi pelindungan data pribadi di perusahaan, tim ALLMAR Law & Investment dapat membantu dari penilaian awal hingga perangkat kerja pejabat yang ditunjuk.