UU No.27 Tahun 2022 tentang Pelindungan Data Pribadi (UUPDP) mengatur banyak hal, termasuk penilaian dampak pelindungan data pribadi. Dalam Pasal 34 UUPDP disebutkan bahwa “Pengendali data pribadi wajib melakukan penilaian dampak pelindungan data pribadi dalam hal pemrosesan data pribadi memiliki potensi risiko tinggi terhadap subjek data pribadi.”
Adapun salah satu penilaian dampak pelindungan data pribadi adalah melalui Data Protection Impact Assessments (DPIA). DPIA adalah penilaian dampak pelindungan data pribadi dilakukan untuk mengevaluasi potensi risiko yang timbul dari suatu pemrosesan data pribadi serta upaya atau langkah yang harus dilakukan untuk memitigasi risiko, termasuk terhadap hak subjek data pribadi dan mematuhi undang-undang ini.
Kapan DPIA dilakukan? Menurut anggota Asosiasi Praktisi Perlindungan Data Indonesia (APPDI), Daniar Supriyadi, DPIA hanya berlaku dalam hal pemrosesan data pribadi yang memiliki potensi risiko tinggi terhadap subjek data pribadi. Subyek data pribadi yang berisiko tinggi dimaksud yakni keputusan otomatis tertentu. Maksudnya adalah pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap subjek data pribadi.
Baca juga:
- 6 Langkah Menyusun Strategi Program Pelindungan Data Pribadi bagi Perusahaan
- Begini Seluk Beluk Pelindungan Data Pribadi dalam UU PDP
Kemudian pemrosesan data pribadi yang bersifat spesifik, pemrosesan data pribadi dalam skala besar, profiling atau pemrosesan data pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap subjek data pribadi dan pencocokan data yakni pemrosesan data pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data.
Lalu DPIA juga dilakukan saat penggunaan teknologi baru dalam pemrosesan data pribadi, dan/atau pemrosesan data pribadi yang membatasi pelaksanaan hak subjek data pribadi.
Saat ini UU PDP tidak memberikan rincian metode melakukan DPIA. UU PDP mendelegasikan metode DPIA dalam peraturan pelaksananya yang tengah dibahas oleh pemerintah terkait. Berdasarkan RPP PDP, lanjut Daniar, metode melakukan DPIA terdiri dari empat hal yakni deskripsi pemrosesan terkait tujuan dan kepentingan, penilaian kebutuhan dan proporsional dalam hal kegiatan pemrosesan, penilaian risiko terhadap hak subjek data, dan langkah pelindungan oleh pengendali.
“Dalam praktiknya, sebagian kegiatan DPIA dilakukan dengan menjawab sejumlah pertanyaan terkait perlu tidaknya DPIA (screening questions atau threshold assessment),” kata Daniar dalam Workshop Praktik Perlindungan Data Pribadi melalui Record of Processing Impact Assessment (ROPA) dan Data Protection Impact Assessment (DPIA) yang diselenggarakan Hukumonline, Kamis (20/6).
Jika memang diperlukan DPIA, Daniar menjelaskan terdapat beberapa pertanyaan seputar rencana pemrosesan (DPIA questions), seperti apakah rencana pemrosesan ini merupakan kegiatan baru, apakah ada pengumpulan data, apakah akan mewajibkan individu memberikan data pribadinya, apa kategori subjek data dan jenis datanya, berapa banyak jumlah data, apa saja risiko bagi subjek data, dan apa saja upaya memitigasi risiko (pemberitahuan PDP, enkripsi, akurasi data, pembatasan tujuan, data minimisation, kontrol teknis pengamanan).
Anggota APPDI, Hendro.
Anggota APPDI lainnya, Hendro menegaskan bahwa DPIA wajib dilaksanakan untuk produk yang memiliki risiko tinggi. Namun menurutnya, penggunaan DPIA dalam penilaian dampak pelindungan data pribadi tidak berdampak terhadap reputasi perusahaan.
“Kita akan melihat risiko bukan dari company. DPIA ada risiko proses tentang reputasi organisasi? Enggak, itu masuk dalam risk management compliance. Ada enggak organisasi di Indonesia yang nekat masukin DPIA? Ada, dan boleh karena tidak ada aturan mutlak. Tapi balik lagi ke subjek data itu yang perlu difokuskan, bukan organisasi. Compliance reputasi perusahaan, denda, itu efeknya,” ucap Hendro pada acara yang sama.
Jika ternyata risiko tersebut muncul, Hendro mengatakan tersedia beberapa cara dalam DPIA yang dapat dipilih. Pertama, risk identification, risk analysis, risk evaluation, dan risk treatment.
