GDPR Data Processing Agreement Clauses Guide Clause by Clause untuk Kepatuhan EU

Perjanjian pemrosesan data (data processing agreement, DPA) bukan lampiran administratif yang bisa disalin dari templat vendor. Pasal 28 GDPR menetapkan bahwa pengendali hanya boleh menunjuk prosesor yang memberi jaminan memadai, dan jaminan itu harus diikat dalam kontrak tertulis. Artikel ini adalah GDPR data processing agreement clauses guide clause by clause: dibahas berurutan sesuai huruf pasal, dengan catatan praktis untuk tim legal, procurement, dan keamanan informasi.

Kerangka Hukum dan Ruang Lingkup Pasal 28 GDPR

Pasal 28(3) GDPR memuat daftar klausul minimum yang wajib ada. Delapan butir, huruf (a) sampai (h), bersifat kumulatif: menghilangkan salah satunya membuat DPA tidak sesuai. Pasal 28(9) menegaskan kontrak boleh berbentuk elektronik, sehingga tanda tangan basah bukan syarat sah. Pasal 28(4) mengatur sub-prosesor, sedangkan Pasal 28(2) melarang prosesor memakai prosesor lain tanpa izin tertulis dari pengendali.

Satu catatan penting sebelum negosiasi dimulai: DPA yang rapi tidak melegalkan pemrosesan yang tidak punya dasar hukum. Jika tujuan dan cara pemrosesan ditentukan bersama oleh dua pihak, hubungannya bisa dikualifikasikan sebagai pengendali bersama menurut Pasal 26, bukan hubungan pengendali-prosesor. Uji dulu kualifikasi perannya, baru susun klausulnya.

Klausul (a)-(d): Instruksi, Kerahasiaan, Keamanan, dan Sub-prosesor

Butir (a) mewajibkan prosesor memproses data hanya atas instruksi terdokumentasi pengendali, termasuk saat terjadi transfer ke negara ketiga. Praktiknya, buat lampiran instruksi yang dapat diperbarui tanpa mengubah perjanjian induk, dan tetapkan siapa yang berwenang mengeluarkan instruksi.

Butir (b) menuntut komitmen kerahasiaan bagi personel yang memproses data. Rumuskan sebagai kewajiban yang bertahan setelah hubungan kerja berakhir, bukan sekadar NDA umum yang cakupannya kabur.

Butir (c) merujuk pada Pasal 32: prosesor harus menerapkan langkah teknis dan organisasi yang tepat. Sebutkan kontrol konkret, seperti enkripsi saat transit dan saat diam, kontrol akses berbasis peran, pencatatan log, serta manajemen kerentanan. Frasa "langkah keamanan yang wajar" sulit diuji dan sulit dibuktikan saat audit.

Butir (d) mengatur sub-prosesor, dan bagian inilah yang paling sering menimbulkan sengketa.

Sub-prosesor: izin tertulis dan alur kewajiban

Ada dua model yang lazim dipakai. Pertama, izin spesifik dengan daftar nama yang disetujui lebih dulu. Kedua, izin umum disertai hak keberatan. Jika memilih izin umum, kontrak wajib memuat kewajiban pemberitahuan perubahan daftar dan tenggat yang cukup bagi pengendali untuk menolak. Rantai kewajiban harus mengalir ke bawah: sub-prosesor terikat syarat perlindungan data yang substansinya sama dengan DPA induk, dan prosesor tetap bertanggung jawab penuh kepada pengendali atas kinerja sub-prosesornya.

Klausul (e)-(h): Hak Subjek Data, Pelanggaran, dan DPIA

Bagian kedua dari GDPR data processing agreement clauses guide clause by clause ini menyorot kewajiban operasional yang paling sering diuji dalam praktik.

Butir (e) mewajibkan prosesor membantu pengendali menjawab permintaan subjek data menurut Bab III GDPR: akses, perbaikan, penghapusan, pembatasan, dan portabilitas. Sepakati kanal permintaan, tenggat respons, serta format pelaporan agar tidak bergantung pada komunikasi ad hoc.

Butir (f) mewajibkan bantuan dalam memenuhi kewajiban Pasal 32 sampai Pasal 36, termasuk pemberitahuan pelanggaran data. Pasal 33 memberi tenggat 72 jam bagi pengendali, sehingga prosesor harus memberitahu tanpa penundaan yang tidak semestinya. Dalam praktik, hitungannya jam, bukan hari kerja. Tetapkan isi notifikasi minimum: sifat pelanggaran, kategori dan perkiraan jumlah subjek data terdampak, dampak yang mungkin timbul, serta langkah mitigasi.

Butir (g) mewajibkan prosesor mengembalikan atau menghapus data setelah berakhirnya layanan, sesuai pilihan pengendali. Butir (h) mewajibkan penyediaan seluruh informasi yang diperlukan untuk menunjukkan kepatuhan dan memungkinkan audit. Keduanya sering digabung dalam satu pasal penutup, padahal konsekuensi operasionalnya berbeda.

Klausul di Luar Pasal 28(3): Audit, Penghapusan, dan Pengembalian

Audit bukan hak tanpa batas. Rumuskan mekanisme yang proporsional: laporan pihak ketiga seperti ISO/IEC 27001 atau SOC 2 Type II, kuesioner keamanan tahunan, dan audit di tempat dengan pemberitahuan sebelumnya. Selaraskan bukti kepatuhan lintas sistem manajemen, misalnya dengan merujuk pada panduan persyaratan dokumentasi ISO 9001 agar format bukti tidak berulang di tiap kerangka.

Untuk penghapusan, tentukan tenggat, format bukti berupa sertifikat penghapusan, dan pengecualian retensi yang diwajibkan hukum. Perhatikan kewajiban sektoral yang dapat memaksa penyimpanan lebih lama, misalnya aturan akuntansi atau ketentuan ketenagakerjaan.

Transfer Data Internasional dan Kaitan dengan SCC

Jika data keluar dari EEA, DPA saja tidak cukup. Diperlukan mekanisme Bab V GDPR, umumnya Standard Contractual Clauses berdasarkan Commission Implementing Decision (EU) 2021/914. Modul SCC harus cocok dengan peran para pihak, dan penilaian dampak transfer perlu diperbarui ketika regulasi lokal berubah. Untuk produk yang juga dipasarkan di UNI Eropa, dokumen teknis kepatuhan lain seperti berkas teknis CE marking sering diminta dalam paket vendor yang sama.

Kesalahan Umum dan Cara Menguji DPA

Beberapa pola berulang mudah dikenali. Menyalin templat tanpa menyesuaikan peran para pihak. Mencantumkan sub-prosesor di lampiran tetapi tidak pernah memperbaruinya. Menetapkan tenggat pemberitahuan pelanggaran 30 hari. Dan tidak mengatur kepemilikan data turunan, log, atau keluaran model yang dihasilkan prosesor.

Uji DPA dengan tiga langkah. Pertama, petakan setiap butir Pasal 28(3) ke nomor klausul dalam kontrak. Kedua, jalankan skenario permintaan subjek data dan pelanggaran dalam tenggat 72 jam. Ketiga, verifikasi daftar sub-prosesor terhadap catatan procurement dan lokasi penyimpanan aktual. Perbandingan ringkas antarvarian klausul tersedia di panduan praktis klausul DPA GDPR.

Pada akhirnya, GDPR data processing agreement clauses guide clause by clause ini berfungsi sebagai daftar periksa, bukan dokumen sekali pakai. Tinjau ulang setiap kali vendor, lokasi penyimpanan, atau kategori data berubah, dan simpan jejak versi kontraknya.