Apa yang sebenarnya diwajibkan UU PDP
UU PDP tidak mewajibkan setiap organisasi menunjuk Data Protection Officer. Pasal 53 menetapkan tiga kondisi, dan penunjukan menjadi wajib bagi pengendali atau prosesor data pribadi apabila salah satu kondisi itu terpenuhi.
Pertama, pemrosesan data pribadi untuk kepentingan pelayanan publik. Kedua, kegiatan inti pengendali data pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas data pribadi dalam skala besar. Ketiga, kegiatan inti terdiri dari pemrosesan data pribadi dalam skala besar untuk data pribadi yang bersifat spesifik dan/atau data pribadi yang berkaitan dengan tindak pidana.
Bila dibaca cermat, pemicu ini menjaring lebih banyak organisasi Indonesia daripada yang diperkirakan. Setiap badan atau instansi pemerintah yang memberi pelayanan publik masuk kondisi pertama. Bank, asuransi, telko, atau penyedia layanan kesehatan yang memproses dalam skala besar umumnya masuk kondisi kedua atau ketiga, karena data keuangan, data kesehatan, dan data biometrik semuanya tergolong data pribadi spesifik.
Istilah: DPO atau sebutan lain
Undang-undang memakai frasa pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi. Dalam praktik, organisasi dan pasar di Indonesia menyebut peran ini DPO, meminjam istilah GDPR.
Satu catatan penting bagi siapa pun yang mencari dalam bahasa Indonesia: singkatan DPO sangat rancu di sini dan paling sering merujuk pada Daftar Pencarian Orang. Saat menyusun kebijakan internal atau uraian jabatan, menuliskan fungsinya secara lengkap menghindarkan kebingungan yang nyata.
Penamaan kurang penting dibanding substansinya. Yang akan dilihat lembaga pengawas adalah apakah fungsi itu ada, apakah orang yang menjalankannya kompeten, dan apakah ia punya kedudukan untuk menyuarakan masalah.
Kompetensi, bukan sekadar gelar jabatan
Pasal 53 mensyaratkan penunjukan berdasarkan profesionalitas, pengetahuan mengenai hukum, praktik pelindungan data pribadi, dan kemampuan memenuhi tugas-tugasnya. Ini syarat kompetensi, bukan formalitas yang cukup dipenuhi dengan menambah satu baris pada uraian jabatan yang sudah ada.
Pada organisasi yang lebih kecil, fungsi ini sering digabung dengan peran kepatuhan, hukum, atau keamanan informasi yang ada. Itu bisa berjalan, asalkan orangnya benar-benar memiliki pengetahuan dan waktu. Kegagalan yang harus dihindari adalah menunjuk seseorang sekadar di atas kertas, tanpa anggaran, tanpa kewenangan, dan tanpa jalur ke direksi.
Masalah praktis yang berulang adalah benturan kepentingan. Fungsi DPO yang berada di dalam tim pemilik kegiatan pemrosesan data pribadi terbesar akan kesulitan menantang kegiatan itu. Garis pelaporan harus memungkinkan fungsi ini melakukan eskalasi secara independen.
Tanggung jawab fungsi ini
Tugas intinya berpusat pada memberi informasi dan saran kepada organisasi mengenai kewajibannya, memantau kepatuhan terhadap undang-undang dan kebijakan internal, memberi saran atas penilaian dampak pelindungan data, serta menjadi titik kontak bagi subjek data maupun lembaga pengawas.
Dalam keseharian, ini berarti memelihara gambaran data pribadi apa yang dimiliki organisasi dan untuk apa, meninjau kegiatan pemrosesan baru sebelum diluncurkan, menangani permintaan subjek data, dan mengoordinasikan notifikasi kebocoran dalam tenggat 3x24 jam yang ditetapkan UU PDP.
Notifikasi kebocoran adalah titik paling rawan bagi peran ini. DPO yang belum pernah melatih jalur notifikasi, atau tidak bisa cepat memperoleh fakta insiden dari tim keamanan, tidak akan memenuhi tenggat. Fungsi ini hanya bekerja bila tertanam di dalam respons insiden, bukan ditempel di sebelahnya.
Menyiapkan sumber daya secara realistis
Kesenjangan yang paling sering dialami organisasi Indonesia bukan pada penunjukan DPO-nya, melainkan pada bekal kerja yang diberikan. DPO tidak dapat membuktikan karyawan menangani data pribadi dengan benar tanpa catatan pelatihan, dan tidak dapat membuktikan ketahanan karyawan terhadap rekayasa sosial tanpa pengukuran.
Bukti kesadaran adalah salah satu artefak yang paling sering diminta dalam tinjauan pelindungan data, karena termasuk sedikit kontrol yang menghasilkan jejak terukur per orang. Angka penyelesaian pelatihan saja adalah bukti yang lemah. Pengukuran perilaku, seperti hasil simulasi phishing yang ditrenkan dari waktu ke waktu dan dirinci per departemen, jauh lebih kuat.
Claro memberi fungsi pelindungan data bukti itu secara langsung: pelatihan kesadaran dan simulasi phishing dwibahasa dengan skor risiko per pengguna, pelaporan tingkat departemen, dan ekspor yang dipetakan ke ekspektasi UU PDP, OJK, dan ISO 27001.
Poin penting
- DPO wajib menurut Pasal 53 bila salah satu dari tiga kondisi terpenuhi: pemrosesan untuk pelayanan publik, pemantauan teratur dan sistematis skala besar, atau pemrosesan skala besar atas data spesifik maupun data tindak pidana.
- Sebagian besar bank, asuransi, telko, penyedia layanan kesehatan, dan badan pemerintah Indonesia memenuhi setidaknya satu pemicu.
- Undang-undang menetapkan ambang kompetensi: profesionalitas, pengetahuan hukum dan praktik pelindungan data, serta kemampuan menjalankan tugas.
- Fungsi ini harus tertanam dalam respons insiden, karena memegang jalur notifikasi kebocoran 3x24 jam.
- Catatan kesadaran dan simulasi phishing termasuk bukti terkuat yang dapat dipegang DPO, karena terukur per orang.