GDPR Data Processing Agreement Clauses Guide Common Mistakes: Panduan Praktis Kepatuhan

Pasal 28 ayat (3) GDPR menetapkan bahwa pemrosesan data pribadi oleh prosesor hanya sah apabila diatur dalam kontrak atau instrumen hukum lain yang mengikat. Dokumen ini lazim disebut Data Processing Agreement (DPA). Tanpa klausul yang memadai, pengendali data tetap menanggung tanggung jawab atas pelanggaran, sementara prosesor kehilangan dasar hukum untuk memproses data. Materi ini disusun sebagai GDPR data processing agreement clauses guide common mistakes yang berfokus pada temuan audit nyata, bukan sekadar daftar pasal.

Dasar Hukum dan Ruang Lingkup Pasal 28

Pasal 28 ayat (1) mewajibkan pengendali hanya memilih prosesor yang memberi jaminan memadai atas penerapan langkah teknis dan organisasi. Pasal 28 ayat (10) menegaskan bahwa kontrak yang tidak memenuhi Pasal 28 bersifat batal dan tidak berlaku terhadap kewajiban hukum lainnya. Konsekuensinya, DPA bukan formalitas administratif, melainkan syarat keabsahan hubungan pemrosesan.

Beberapa pasal yang selalu bersinggungan dengan DPA: Pasal 28 ayat (4) tentang sub-prosesor, Pasal 29 tentang kerahasiaan personel, Pasal 32 tentang keamanan pemrosesan, Pasal 33 ayat (2) tentang notifikasi pelanggaran oleh prosesor, Pasal 44–49 tentang transfer ke negara ketiga, serta Pasal 82 ayat (2) tentang hak kompensasi subjek data. Pasal 3 juga menentukan ruang lingkup teritorial, sehingga vendor di luar UNI Eropa tetap dapat terkena kewajiban ini ketika menawarkan barang atau jasa kepada subjek data di UNI Eropa.

DPA tidak berdiri sendiri. Ia berlapis dengan catatan kegiatan pemrosesan (Pasal 30), penilaian dampak perlindungan data (Pasal 35), dan mekanisme transfer (Pasal 46). Audit yang baik selalu memeriksa konsistensi antar dokumen tersebut, bukan hanya keberadaan tanda tangan di akhir kontrak.

Klausul Wajib Menurut Pasal 28 Ayat (3)

Delapan Elemen Minimum

Pasal 28 ayat (3) menyebut delapan elemen yang harus dimuat dalam kontrak:

1. Prosesor memproses data hanya berdasarkan instruksi terdokumentasi dari pengendali, termasuk untuk transfer ke negara ketiga.
2. Prosesor menjamin bahwa personel yang berwenang memproses data telah terikat kewajiban kerahasiaan.
3. Prosesor menerapkan langkah keamanan sesuai Pasal 32.
4. Prosesor menghormati syarat keterlibatan sub-prosesor pada Pasal 28 ayat (2) dan (4).
5. Prosesor membantu pengendali memenuhi permintaan subjek data dalam menjalankan haknya.
6. Prosesor membantu pengendali memenuhi kewajiban pada Pasal 32–36.
7. Prosesor menghapus atau mengembalikan seluruh data pribadi setelah berakhirnya layanan.
8. Prosesor menyediakan semua informasi yang diperlukan untuk menunjukkan kepatuhan dan memungkinkan audit.

Sub-Prosesor dan Transfer ke Negara Ketiga

Pasal 28 ayat (2) melarang keterlibatan sub-prosesor tanpa otorisasi tertulis sebelumnya dari pengendali. Otorisasi umum diperbolehkan, tetapi pengendali harus diberi kesempatan menolak perubahan daftar sub-prosesor, disertai pemberitahuan yang cukup waktu.

Untuk transfer, DPA perlu merujuk Keputusan Pelaksanaan (EU) 2021/914 tentang Standard Contractual Clauses (SCC) atau mekanisme lain pada Pasal 46. Bila transfer didasarkan pada SCC, penilaian dampak transfer perlu dilampirkan dan ditinjau ulang secara berkala, terutama ketika lokasi pusat data berubah.

Kesalahan Umum Saat Menyusun dan Mengaudit DPA

Bagian ini merangkum GDPR data processing agreement clauses guide common mistakes yang paling sering ditemukan dalam tinjauan kepatuhan:

• Menyalin template pihak ketiga tanpa memetakan alur data aktual, sehingga lampiran kategori data dan tujuan pemrosesan tidak akurat.
• Tidak adanya instruksi terdokumentasi tertulis, sehingga prosesor memproses data atas dasar praktik lama.
• Klausul audit yang kabur: hak audit disebut, tetapi cakupan, tenggat, dan format laporan tidak diatur.
• Lampiran tidak diperbarui ketika vendor, sistem, atau lokasi penyimpanan berubah.
• Sub-prosesor tidak didaftarkan dan tidak ada mekanisme pemberitahuan perubahan.
• Klausul pengembalian dan penghapusan data tidak mencakup cadangan (backup) dan data turunan.
• Tenggat notifikasi pelanggaran tidak diselaraskan dengan Pasal 33 ayat (2), yaitu tanpa penundaan yang tidak semestinya.
• Peran pengendali bersama (Pasal 26) dan prosesor tidak dibedakan, sehingga tanggung jawab saling bertabrakan.
• Hukum yang berlaku dan forum sengketa tidak ditetapkan, sehingga penyelesaian sengketa menjadi tidak pasti.
• Fungsi perlindungan data dan tim pengadaan tidak dilibatkan sejak tahap negosiasi kontrak.

Kesalahan di atas umumnya bukan karena ketiadaan klausul, melainkan karena klausul tidak dapat dioperasionalkan saat insiden atau audit terjadi.

Menautkan DPA dengan Dokumentasi Teknis dan Sistem Mutu

Organisasi yang memproduksi barang sekaligus memproses data pelanggan sering menghadapi dua rezim dokumentasi sekaligus. Di sisi produk, EU CE Marking Technical File: A Practical Guide menjelaskan bagaimana berkas teknis disusun dan dipelihara. Di sisi sistem mutu, The ISO 9001 documentation requirements guide: A Practical O memberi kerangka pengendalian dokumen yang dapat dipakai ulang untuk DPA: penomoran versi, riwayat revisi, dan persetujuan berjenjang.

Pendekatan yang efisien adalah menempatkan DPA dalam satu sistem pengendalian dokumen bersama, dengan matriks keterkaitan ke prosedur keamanan informasi dan prosedur penanganan insiden. Untuk pembahasan klausul secara lebih rinci, lihat GDPR Data Processing Agreement Clauses: A Practical Guide.

Checklist Audit dan Siklus Tinjauan

Indikator Efektivitas

Tinjauan DPA sebaiknya dilakukan minimal setahun sekali dan setiap kali terjadi perubahan material. Indikator berikut membantu menilai apakah klausul benar-benar berjalan:

• Waktu rata-rata prosesor memberi notifikasi insiden sejak diketahui.
• Persentase permintaan subjek data yang diselesaikan dalam tenggat Pasal 12 ayat (3).
• Jumlah sub-prosesor yang tercatat dibandingkan jumlah vendor aktif.
• Ada tidaknya temuan audit terbuka terkait keamanan pemrosesan.
• Kelengkapan bukti pelatihan kerahasiaan personel prosesor.

Pertanyaan Verifikasi Cepat

Apakah lampiran DPA menyebut kategori data, kategori subjek, durasi, dan tujuan? Apakah instruksi terdokumentasi disimpan dalam sistem yang dapat diaudit? Apakah mekanisme transfer masih relevan dengan lokasi server saat ini? Jika salah satu jawabannya tidak, klausul perlu direvisi sebelum audit berikutnya.

Langkah Praktis Berikutnya

Mulai dari pemetaan alur data, lalu sesuaikan klausul Pasal 28 ayat (3) dengan realitas operasional. Libatkan tim hukum, keamanan informasi, dan pengadaan dalam satu siklus tinjauan. Dokumentasikan setiap keputusan agar dapat dipertanggungjawabkan kepada otoritas pengawas.

Sebagai penutup, GDPR data processing agreement clauses guide common mistakes ini menegaskan satu hal: kualitas DPA ditentukan oleh seberapa mudah klausulnya dijalankan ketika insiden terjadi, bukan oleh panjangnya dokumen.