Apa yang diatur rancangan PP pelaksana UU PDP tentang pengendali data pribadi bersama?

UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP) Pasal 18 telah mengizinkan dua pengendali data pribadi atau lebih untuk memproses data pribadi secara bersama-sama. Rancangan Peraturan Pemerintah (RPP) pelaksanaannya—yaitu draf konsultasi publik tanggal 31 Agustus 2023 yang belum berlaku sebagai hukum—merinci pengaturan tersebut dalam Pasal 17 sampai Pasal 19. Baik UU PDP maupun rancangan PP menetapkan tiga syarat dasar. Perjanjian antarpengendali, tujuan yang saling berkaitan dengan cara pemrosesan yang ditentukan bersama, serta penunjukan narahubung bersama.

Siapa yang disebut pengendali bersama

Pengendali data pribadi adalah pihak yang menentukan tujuan dan melakukan kendali atas pemrosesan data pribadi (Pasal 1 angka 4 UU PDP). Rancangan PP mendefinisikan pengendali bersama sebagai dua pengendali atau lebih yang bersama-sama menentukan tujuan dan cara pemrosesan data (Pasal 1 angka 20 rancangan). Sebagai gambaran di sektor kesehatan, sebuah rumah sakit dan klinik jejaringnya yang bersama-sama merancang satu program pemeriksaan. Selain itu, Menentukan data pasien yang dikumpulkan dapat berstatus sebagai pengendali bersama, yang tetap perlu dinilai kasus per kasus.

Enam muatan minimal perjanjian (Pasal 17 ayat (3) Rancangan PP)

Melengkapi Pasal 18 ayat (2) UU PDP, Pasal 17 ayat (3) rancangan mengusulkan agar perjanjian pengendali bersama paling sedikit memuat:

1. dasar hukum pemrosesan dari masing-masing pengendali;

2. keterkaitan antartujuan pemrosesan yang dikendalikan masing-masing pihak;

3. kesepakatan tentang cara pemrosesan data pribadi;

4. jenis data pribadi yang diproses;

5. pembagian peran dan tanggung jawab dalam memenuhi kewajiban hukum pelindungan data pribadi. dan

6. narahubung yang ditunjuk secara bersama.

Tanggung jawab tanggung renteng dan ketentuan terkait

• Tanggung jawab tanggung renteng (Pasal 18 rancangan): Para pengendali bersama bertanggung jawab hukum secara tanggung renteng sebagai pengendali. Karena rancangan belum menjelaskan bagaimana pembagian peran di dalam kontrak memengaruhi tuntutan pihak luar, pembagian risiko perlu dirumuskan secara tegas dalam perjanjian tertulis.
• **Kewajiban informasi kepada pasien (Pasal 19 rancangan). Pengendali bersama wajib menyediakan informasi kepada subjek data mengenai para pihak yang terlibat, dasar pemrosesan, tujuan, jenis data, cara pemrosesan, dan kontak narahubung bersama.
• Penunjukan prosesor dan aksi korporasi (Pasal 23, 87, dan 143 rancangan): Pengendali bersama dapat menunjuk prosesor data (Pasal 23). Pihak tersebut juga wajib Mencatat identitas pengendali bersama dalam rekam kegiatan pemrosesan (Pasal 87 ayat (2) huruf a). Dalam hal penggabungan atau pengambilalihan badan hukum, pengendali lama dan baru dianggap sebagai pengendali bersama hingga proses aksi korporasi selesai (Pasal 143 ayat (2)).

Karena RPP ini masih berstatus draf konsultasi publik, rincian tambahan di atas belum mengikat secara hukum. aturan yang sudah mengikat saat ini adalah Pasal 18 UU 27/2022.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi: Pasal 1 angka 4. Pasal 4 ayat (2) huruf a. Pasal 18 ayat (1) dan (2). serta Pasal 76.
• Rancangan Peraturan Pemerintah Pelaksanaan UU PDP (draf konsultasi publik 31 Agustus 2023, belum berlaku): Pasal 1 angka 4 dan 20. Pasal 7 ayat (1) huruf a. Pasal 17 ayat (1) sampai (4). Pasal 18. Pasal 19. Pasal 23. Pasal 87 ayat (2) huruf a. dan Pasal 143 ayat (2).