Bila memungkinkan, transfer data pribadi ke negara ketiga atau organisasi internasional; time limit untuk penghapusan (retention period); serta gambaran umum mengenai langkah-langkah keamanan teknis dan organisasi.
“Memang gak ada bentuk bakunya. (ROPA ini) mau table atau panjang silahkan saja disesuaikan masing-masing, tapi yang penting adalah apa yang harus di-capture dalam ROPA. Di GDPR ini ROPA dipersyaratkan juga,” terang Data Protection Officer (DPO) itu.
Pasal 30 GDPR juga menyinggung pemrosesan memerlukan inventaris data yang harus mencakup sejumlah komponen. Bagi data controller memuat nama, detail kontak pengontrol; nama detail kontak perwakilan dan DPO jika ada.
Lalu tujuan pemrosesan; proses harus ditetapkan, atau sistem harus diterapkan untuk memastikan aktivitas pemrosesan data pribadi memiliki dasar hukum yang sesuai dan catatan disimpan dengan benar.
Kategori pribadi data, subjek data, dan penerima; transfer ke negara-negara non-EEA, termasuk tindakan pengamanan yang dilakukan jika ada; batas waktu penghapusan (per kategori data), jika memungkinkan; serta deskripsi langkah-langkah keamanan bila memungkinkan.
Sedangkan untuk data processor, diharuskan meliputi nama, pemroses detail kontak; nama, detail kontak masing-masing pengontrol; nama detail kontak perwakilan dan DPO bila ada; kategori pemrosesan; transfer ke negara non-EEA, termasuk tindakan pengamanan yang dilakukan bila ada; serta deskripsi tindakan pengamanan.
"ROPA ini akan membantu kalau nanti ada insiden, semua pihak panik, DPO sudah punya ROPA tinggal dicek. Jadi tahu arahnya kemana dan kita trace-nya kemana. Yang wajib punya ROPA siapa saja? Controller itu wajib punya, tapi processor juga bisa wajib juga melalui beberapa peraturan kalau di Eropa ini memang diwajibkan. Apakah ini strict list? Tidak juga, bisa ditambah, tapi biasanya hal-hal ini yang masuk dalam ROPA."