Apa yang diatur UU 27/2022 tentang prosesor data pribadi?

UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP) menempatkan prosesor data pribadi sebagai pihak yang memproses data pribadi atas nama. Selain itu, Berdasarkan perintah pengendali, bukan untuk kepentingannya sendiri. Prosesor memikul kewajiban teknis seperti menjaga keamanan data dan meminta persetujuan tertulis sebelum melibatkan sub-prosesor. Pemrosesan yang dijalankan sesuai perintah tetap menjadi tanggung jawab pengendali, sedangkan tindakan di luar perintah menjadi tanggung jawab prosesor sendiri.

Siapa prosesor dan apa bedanya dengan pengendali

Pengendali data pribadi menentukan tujuan dan kendali pemrosesan data (Pasal 1 angka 4). Prosesor data pribadi melakukan pemrosesan atas nama pengendali (Pasal 1 angka 5). Keduanya dapat berupa perseorangan, korporasi, badan publik, atau organisasi internasional (Pasal 1 angka 7 dan Pasal 19).

Dalam operasional kesehatan, klinik atau rumah sakit yang mengumpulkan data pasien adalah pengendali. Vendor sistem informasi rumah sakit (SIMRS), komputasi awan, atau kecerdasan buatan yang mengolah data tersebut atas perintah fasilitas bertindak sebagai prosesor. Data kesehatan tergolong data pribadi yang bersifat spesifik (Pasal 4 ayat (2) huruf a).

Lima kewajiban utama prosesor data pribadi

• Memproses sesuai perintah (Pasal 51 ayat (1) dan (2)): Prosesor wajib memproses data pribadi hanya berdasarkan perintah pengendali dan mematuhi ketentuan UU PDP.
• Izin tertulis untuk sub-prosesor (Pasal 51 ayat (4) dan (5)): Prosesor wajib memperoleh persetujuan tertulis pengendali sebelum melibatkan pihak ketiga atau sub-prosesor.
• **Kewajiban pengamanan yang setara (Pasal 52). Prosesor wajib menjaga akurasi data (Pasal 29), mencatat kegiatan pemrosesan (Pasal 31), mengamankan sistem (Pasal 35), menjaga kerahasiaan (Pasal 36). Selain itu, Mencegah akses tidak sah (Pasal 39).
• Penunjukan petugas DPO (Pasal 53 ayat (1)): Menunjuk pejabat atau petugas pelindung data pribadi bila memproses data spesifik berskala besar atau memantau perilaku secara teratur.
• Kepatuhan perintah otoritas (Pasal 49): Wajib melaksanakan perintah dan keputusan lembaga pelaksana pelindungan data pribadi.

Pembagian beban tanggung jawab dan sanksi

• Tanggung jawab pemrosesan (Pasal 51 ayat (3) dan (6)): Pemrosesan yang sesuai perintah pengendali tetap termasuk tanggung jawab pengendali (Pasal 47). Namun bila prosesor memproses data di luar tujuan dan perintah pengendali, pemrosesan tersebut sepenuhnya menjadi tanggung jawab hukum prosesor.
• Pemberitahuan kebocoran data (Pasal 46): Kewajiban lapor 3 x 24 jam saat kegagalan pelindungan data dibebankan kepada pengendali. Dengan demikian, Kontrak kerja sama wajib mewajibkan prosesor segera melapor ke pengendali.
• **Sanksi administratif (Pasal 57 dan 60). Lembaga PDP berwenang menjatuhkan sanksi administratif kepada prosesor berupa peringatan tertulis, penghentian sementara kegiatan. Pemusnahan data, atau denda administratif maksimal 2 persen pendapatan tahunan terhadap variabel pelanggaran.
• **Transfer data lintas batas (Pasal 56). Jika prosesor berada di luar negeri, pengendali wajib memastikan negara prosesor memiliki pelindungan data yang setara atau menyediakan klausul kontrak yang mengikat.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi: Pasal 1 angka 4, 5, 7. Pasal 4 ayat (2) huruf a. Pasal 19. Pasal 37. Pasal 46. Pasal 47. Pasal 49. Pasal 51 sampai 53. Pasal 56. Pasal 57. Pasal 60. dan Pasal 74.
• Rancangan Peraturan Pemerintah Pelaksanaan UU 27/2022 (draf konsultasi publik 31 Agustus 2023, Pasal 21, belum berlaku).