Terima kasih atas pertanyaan Anda.

Seluruh informasi hukum yang ada di Klinik hukumonline.com disiapkan semata – mata untuk tujuan pendidikan dan bersifat umum (lihat Pernyataan Penyangkalan selengkapnya). Untuk mendapatkan nasihat hukum spesifik terhadap kasus Anda, konsultasikan langsung dengan Konsultan Mitra Justika.

Di dalam UU PDP dikenal istilah pengendali data pribadi dan prosesor data pribadi. Pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.[1]

KLINIK TERKAIT

Pemrosesan Data Visual Tidak Sah, Ini Sanksinya

30 Sep 2022

Sharing Data Pribadi antar Perusahaan, Bolehkah?

30 Sep 2022

Penyelesaian Sengketa Pelindungan Data Pribadi Non Litigasi

29 Sep 2022

UU PDP: Landasan Hukum Pelindungan Data Pribadi

26 Sep 2022

Sedangkan prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama pengendali data pribadi.^[2]

Pengendali data pribadi dan prosesor data pribadi mempunyai kewajiban yang harus ditaati sehubungan dengan pelindungan data pribadi. Apa saja kewajiban-kewajiban tersebut? 

Baca juga: UU PDP: Landasan Hukum Pelindungan Data Pribadi.

Kewajiban Pengendali Data Pribadi dalam Melindungi Data Pribadi

Perlu Anda ketahui bahwa upaya pelindungan data pribadi adalah keseluruhan upaya untuk melindungi data pribadi dalam rangkaian pemrosesan data pribadi guna menjamin hak konstitusional subjek data pribadi.[3]

Dalam melakukan pemrosesan data pribadi, pengendali data pribadi wajib memenuhi ketentuan-ketentuan sebagai berikut:

1. Pengendali data wajib memiliki dasar pemrosesan data pribadi yang meliputi:[4]

1. persetujuan yang sah secara eksplisit dari subjek data pribadi untuk 1 atau beberapa tujuan tertentu yang telah disampaikan oleh pengendali data pribadi kepada subjek data pribadi;
2. pemenuhan kewajiban perjanjian dalam hal subjek data pribadi merupakan salah satu pihak atau untuk memenuhi permintaan subjek data pribadi pada saat akan melakukan perjanjian;
3. pemenuhan kewajiban hukum dari pengendali data pribadi sesuai dengan ketentuan peraturan perundang-undangan;
4. pemenuhan pelindungan kepentingan vital subjek data pribadi;
5. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan pengendali data pribadi berdasarkan peraturan perundang-undangan; dan/atau
6. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan pengendali data pribadi dan hak subjek data pribadi.

Dalam hal pemrosesan data pribadi berdasarkan persetujuan, pengendali data pribadi wajib menyampaikan informasi mengenai:[5]

1. legalitas dari pemrosesan data pribadi;
2. tujuan pemrosesan data pribadi;
3. jenis dan relevansi data pribadi yang akan diproses;
4. jangka waktu retensi dokumen yang memuat data pribadi;
5. rincian mengenai informasi yang dikumpulkan;
6. jangka waktu pemrosesan data pribadi; dan
7. hak subjek data pribadi

Klausul perjanjian yang di dalamnya terdapat permintaan pemrosesan data pribadi yang tidak memuat persetujuan yang sah secara eksplisit dari subjek data pribadi dinyatakan batal demi hukum.[6]

2. Dalam melakukan pemrosesan data pribadi, pengendali data pribadi wajib menunjukkan bukti persetujuan yang telah diberikan oleh subjek data pribadi;[7]
3. Pengendali data pribadi wajib melakukan pemrosesan data pribadi secara terbatas dan spesifik, sah secara hukum, dan transparan;[8]
4. Pengendali data pribadi wajib melakukan pemrosesan data pribadi sesuai dengan tujuan pemrosesan data pribadi;[9]
5. Pengendali data pribadi wajib memastikan akurasi, kelengkapan, dan konsistensi data pribadi sesuai dengan ketentuan peraturan perundang-undangan;[10]
6. Pengendali data pribadi wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan data pribadi;[11]
7. Pengendali data pribadi wajib memberikan akses kepada subjek data pribadi terhadap data pribadi yang diproses beserta rekam jejak pemrosesan data pribadi sesuai dengan jangka waktu penyimpanan data pribadi;[12]
8. Dalam melakukan pemrosesan data pribadi, pengendali data pribadi wajib menjaga kerahasiaan data pribadi;[13]
9. Pengendali data pribadi wajib melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendali pengendali data pribadi;[14]
10. Pengendali data pribadi wajib melindungi data pribadi dari pemrosesan yang tidak sah;[15]
11. Pengendali data pribadi wajib mencegah data pribadi diakses secara tidak sah;[16]
12. Pengendali data pribadi wajib bertanggung jawab atas pemrosesan data pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan prinsip pelindungan data pribadi.[17]
13. Pengendali data pribadi wajib melindungi dan memastikan keamanan data pribadi yang diprosesnya, dengan melakukan:[18]

1. penyusunan dan penerapan langkah teknis operasional untuk melindungi data pribadi dari gangguan pemrosesan data pribadi yang bertentangan dengan ketentuan peraturan perundang-undangan; dan
2. penentuan tingkat keamanan data pribadi dengan memperhatikan sifat dan risiko dari data pribadi yang harus dilindungi dalam pemrosesan data pribadi.

Jika Pengendali Data Pribadi Gagal Melindungi Data Pribadi

Dalam hal terjadi kegagalan pelindungan data pribadi, pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24  jam kepada subjek data pribadi dan lembaga.[19]

Pemberitahuan tertulis tersebut minimal harus memuat:[20]

1. data pribadi yang terungkap;
2. kapan dan bagaimana data pribadi terungkap; dan
3. upaya penanganan dan pemulihan atas terungkapnya data pribadi oleh pengendali data pribadi.

Bahkan dalam hal tertentu pengendali data pribadi wajib memberitahukan kepada masyarakat mengenai kegagalan pelindungan data pribadi.[21]

Kewajiban Prosesor Data Pribadi

Adapun kewajiban prosesor data pribadi diantaranya meliputi:

1. Dalam hal pengendali data pribadi menunjuk prosesor data pribadi, prosesor data pribadi wajib melakukan pemrosesan data pribadi berdasarkan perintah pengendali data pribadi;[22]
2. Prosesor data pribadi dapat melibatkan prosesor data pribadi lain dalam melakukan pemrosesan data pribadi;[23]
3. Prosesor data pribadi wajib mendapatkan persetujuan tertulis dari pengendali data pribadi sebelum melibatkan prosesor data pribadi lain;[24]
4. Dalam hal prosesor data pribadi melakukan pemrosesan data pribadi di luar perintah dan tujuan yang ditetapkan pengendali data pribadi, pemrosesan data pribadi menjadi tanggung jawab prosesor data pribadi;[25]
5. Prosesor data pribadi wajib memastikan akurasi, kelengkapan, dan konsistensi data pribadi sesuai dengan ketentuan peraturan perundang-undangan;[26]
6. Prosesor data pribadi wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan data pribadi;[27]
7. Dalam melakukan pemrosesan data pribadi, prosesor data pribadi wajib menjaga kerahasiaan data pribadi;[28]
8. Prosesor data pribadi wajib melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendali pengendali data pribadi;[29]
9. Prosesor data pribadi wajib melindungi data pribadi dari pemrosesan yang tidak sah;[30]
10. Prosesor data pribadi wajib mencegah data pribadi diakses secara tidak sah;[31]
11. Prosesor data pribadi wajib melindungi dan memastikan keamanan data pribadi yang diprosesnya, dengan melakukan:[32]

3. penyusunan dan penerapan langkah teknis operasional untuk melindungi data pribadi dari gangguan pemrosesan data pribadi yang bertentangan dengan ketentuan peraturan perundang-undangan; dan
4. penentuan tingkat keamanan data pribadi dengan memperhatikan sifat dan risiko dari data pribadi yang harus dilindungi dalam pemrosesan data pribadi.

Sanksi Jika Kewajiban Dilanggar Menurut UU PDP

Menjawab pertanyaan Anda mengenai sanksi, sanksi yang dimaksud berupa sanksi administratif yang diberikan kepada pengendali data pribadi maupun prosesor data pribadi apabila melanggar beberapa kewajiban dalam pemrosesan data pribadi.[33]

Sanksi administratif yang dimaksud dapat berupa:[34]

1. peringatan tertulis;
2. penghentian sementara kegiatan pemrosesan data pribadi;
3. penghapusan atau pemusnahan data pribadi; dan/atau
4. denda administratif

Sanksi administratif berupa denda administratif diberikan oleh lembaga, paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.[35]

Baca juga: UU PDP Era Baru Tata Kelola Data Pribadi di Indonesia

Demikian jawaban dari kami tentang kewajiban penting dalam UU PDP dan sanksinya jika melanggar, semoga bermanfaat.

Dasar Hukum:

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi