Apa yang diatur Rancangan PP PDP tentang pejabat atau petugas pelindung data pribadi?

Kewajiban menunjuk pejabat atau petugas pelindung data pribadi (Data Protection Officer / DPO) telah diatur dalam UU 27/2022 (Pasal 53 dan 54). Rancangan Peraturan Pemerintah (RPP) pelaksanaannya—yaitu draf konsultasi publik bertanggal 31 Agustus 2023 yang belum berlaku sebagai hukum—merinci tata cara penunjukannya. Ketentuan dalam Pasal 165 sampai 169 rancangan tersebut mengatur ukuran organisasi, dukungan sumber daya, kemandirian petugas, serta kerja sama dengan unit keamanan data.

Kapan wajib menunjuk dan siapa yang dapat ditunjuk

Pasal 165 ayat (1) rancangan mengulang tiga syarat penunjukan DPO pada Pasal 53 ayat (1) UU 27/2022:

• pemrosesan data pribadi untuk kepentingan pelayanan publik;
• kegiatan inti pengendali yang memerlukan pemantauan teratur dan sistematis atas data pribadi berskala besar. dan
• kegiatan inti pengendali berupa pemrosesan data pribadi spesifik atau data terkait tindak pidana dalam skala besar.

Data kesehatan termasuk data pribadi spesifik (UU 27/2022 Pasal 4 ayat (2) huruf a. Pasal 7 ayat (1) huruf a rancangan). Karena itu, rumah sakit atau klinik yang memproses data kesehatan berskala besar perlu mencermati syarat ketiga tersebut. Penjelasan Pasal 127 ayat (2) huruf c rancangan menyebut faktor skala besar meliputi jumlah data, jumlah subjek data, dan lama pemrosesan.

Petugas dipilih berdasarkan profesionalitas, pengetahuan hukum, praktik pelindungan data, dan kemampuan menjalankan tugas (Pasal 165 ayat (2)). Penunjukan mempertimbangkan struktur, ukuran, dan kebutuhan organisasi, serta boleh berasal dari dalam maupun luar organisasi (Pasal 166 ayat (1) dan (2)).

Tugas petugas dan dukungan yang diusulkan rancangan

• **Empat tugas minimal (Pasal 167 ayat (1)). Memberi saran kepatuhan kepada organisasi, memantau kepatuhan kebijakan internal, memberi saran penilaian dampak pelindungan data (DPIA), dan menjadi narahubung pemrosesan data. Pengendali juga wajib mendokumentasikan saran DPO saat menyusun penilaian dampak (Pasal 128 ayat (3)).
• Dukungan dan perlindungan jabatan (Pasal 168 ayat (1) dan (2)): Pengendali. Selain itu, Prosesor wajib melibatkan DPO secara tepat waktu, menyediakan sumber daya memadai, dan memberi jalur lapor ke manajemen tertinggi. Organisasi wajib memastikan DPO bekerja objektif tanpa konflik kepentingan serta tidak diberhentikan atau dihukum karena menjalankan tugasnya.
• Koordinasi keamanan (Pasal 169 ayat (1) dan (2)): DPO bekerja sama dengan unit keamanan data, memberikan rekomendasi. Selain itu, Melaporkan penilaian kinerja unit tersebut kepada direksi dan/atau Lembaga PDP.

Sanksi jika tidak menunjuk

UU 27/2022 Pasal 57 ayat (1) dan (2) telah menetapkan sanksi administratif bagi pelanggaran Pasal 53 ayat (1). Bentuk sanksinya meliputi peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, dan/atau denda administratif oleh lembaga pelindungan data pribadi. Rancangan PP PDP mengulang ancaman sanksi administratif tersebut pada Pasal 213 dan 214, namun seluruh ketentuan tambahan di dalam rancangan belum mengikat sebelum disahkan.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi: Pasal 4 ayat (2) huruf a. Pasal 53 dan 54. Pasal 57 ayat (1), (2), dan (4). serta Pasal 58 ayat (2).
• Rancangan Peraturan Pemerintah Pelaksanaan UU 27/2022 (draf konsultasi publik 31 Agustus 2023, belum berlaku): Pasal 7 ayat (1) huruf a. Pasal 32 huruf a angka 8. Penjelasan Pasal 127 ayat (2) huruf c. Pasal 128 ayat (3). Pasal 165 sampai 169. Pasal 213. dan Pasal 214.