GDPR Data Processing Agreement Clauses Guide Template untuk Tim Kepatuhan UNI Eropa

Perjanjian pemrosesan data (data processing agreement, DPA) adalah kontrak antara controller dan processor yang mengatur bagaimana data pribadi diproses. Pasal 28 GDPR menjadikannya wajib, bukan sukarela. Bila DPA tidak ada atau isinya tidak lengkap, controller tetap bertanggung jawab atas pelanggaran yang dilakukan processor. Materi ini disusun sebagai GDPR data processing agreement clauses guide template untuk dipakai tim legal, compliance, dan pengadaan saat menyusun, meninjau, atau mengaudit klausul DPA.

Dasar Hukum: GDPR Pasal 28(3)

Pasal 28(3) GDPR menetapkan bahwa pemrosesan oleh processor harus diatur dalam kontrak atau akta hukum lain yang mengikat dan memuat delapan butir minimum, dari huruf a sampai h. Kontrak itu juga harus menegaskan objek, durasi, sifat, dan tujuan pemrosesan, jenis data pribadi, kategori subjek data, serta kewajiban dan hak controller.

Pasal 28(9) menegaskan bentuk kontrak harus tertulis, termasuk dalam format elektronik. Pasal 28(2) melarang keterlibatan sub-processor tanpa otorisasi tertulis sebelumnya dari controller. Pasal 28(4) mengalirkan kewajiban yang sama ke setiap sub-processor melalui kontrak terpisah.

Bagi organisasi yang memproses data dalam skala besar, DPA bukan dokumen tunggal. Ia biasanya terdiri dari perjanjian induk, lampiran teknis dan organisasi (TOMs), daftar sub-processor, serta mekanisme transfer internasional menurut Bab V GDPR (Pasal 44 sampai 49).

Delapan Klausul Minimum dalam Bahasa Operasional

Bagian ini menerjemahkan huruf a sampai h Pasal 28(3) menjadi kalimat yang bisa langsung dimasukkan ke draf. Dalam praktik, GDPR data processing agreement clauses guide template harus memuat keseluruhan butir berikut tanpa pengecualian.

Instruksi, Kerahasiaan, dan Keamanan (Huruf a sampai c)

Huruf a: processor hanya memproses data pribadi atas instruksi terdokumentasi dari controller, termasuk untuk transfer ke negara ketiga, kecuali diwajibkan hukum UNI Eropa atau negara anggota. Jika ada kewajiban hukum yang memaksa pemrosesan di luar instruksi, processor harus memberi tahu controller lebih dahulu.

Huruf b: personel yang memproses data terikat kewajiban kerahasiaan, baik berdasarkan kontrak maupun kewajiban hukum, dan kewajiban itu tetap berlaku setelah hubungan kerja berakhir.

Huruf c: processor menerapkan langkah teknis dan organisasi yang sesuai menurut Pasal 32, seperti enkripsi, kontrol akses berbasis peran, pencatatan log, dan pengujian ketahanan sistem. Lampiran TOMs sebaiknya memetakan setiap kontrol ke risiko yang relevan, bukan sekadar daftar alat.

Sub-Processor, Hak Subjek Data, dan Bantuan Kepatuhan (Huruf d sampai f)

Huruf d: sub-processor hanya dilibatkan dengan otorisasi tertulis. Otorisasi umum diperbolehkan asalkan controller mendapat informasi perubahan daftar dan punya hak menolak. Kewajiban setara harus dibebankan ke sub-processor.

Huruf e: processor membantu controller memenuhi permintaan subjek data, yaitu akses, perbaikan, penghapusan, pembatasan, portabilitas, dan keberatan, dengan alur kerja dan tenggat yang disepakati.

Huruf f: processor membantu controller memenuhi kewajiban Pasal 32 sampai 36, termasuk pemberitahuan pelanggaran data. Processor wajib memberi tahu controller tanpa penundaan yang tidak semestinya setelah mengetahui insiden, disertai kronologi, kategori data, dampak, dan langkah mitigasi.

Penghapusan, Pengembalian, dan Audit (Huruf g sampai h)

Huruf g: atas pilihan controller, processor menghapus atau mengembalikan seluruh data pribadi setelah layanan berakhir, dan menghapus salinan yang ada kecuali hukum UNI Eropa atau negara anggota mewajibkan penyimpanan.

Huruf h: processor menyediakan semua informasi yang diperlukan untuk menunjukkan kepatuhan dan memungkinkan audit, termasuk inspeksi oleh controller atau auditor independen yang ditunjuk. Klausul audit sebaiknya mengatur frekuensi, pemberitahuan, ruang lingkup, biaya, dan kewajiban kerahasiaan auditor.

Peran, Aliran Data, dan Lampiran Teknis

Kejelasan peran mencegah sengketa. Tabel berikut merangkum pembagian tanggung jawab yang lazim dipakai.

Elemen	Controller	Processor
Dasar hukum pemrosesan	Menentukan	Tidak menentukan
Instruksi	Memberikan	Mengikuti
Keamanan Pasal 32	Menilai risiko	Menerapkan kontrol
Pelanggaran data	Menilai dan melaporkan ke pengawas	Memberi tahu controller
Audit	Melakukan atau menunjuk	Memfasilitasi

Lampiran teknis sebaiknya memuat diagram aliran data, lokasi penyimpanan, daftar sub-processor beserta negara, periode retensi, dan mekanisme transfer. Untuk produk yang memerlukan penilaian kesesuaian, struktur dokumentasi teknis seperti pada EU CE Marking Technical File: A Practical Guide dapat dijadikan rujukan penyusunan lampiran. Penjelasan lebih rinci soal pembagian peran tersedia di GDPR Data Processing Agreement Clauses: A Practical Guide.

Daftar Periksa Penyusunan Template

1. Petakan seluruh vendor yang menyentuh data pribadi dan tentukan statusnya: controller bersama, processor, atau sub-processor.
2. Kumpulkan delapan butir Pasal 28(3) ke dalam satu pasal inti, lalu rinci teknisnya di lampiran.
3. Tetapkan mekanisme otorisasi sub-processor, umum atau khusus, beserta tenggat pemberitahuan.
4. Sepakati tenggat pemberitahuan pelanggaran data dan format laporannya.
5. Tentukan periode retensi, metode penghapusan, dan bukti penghapusan.
6. Atur hak audit, termasuk auditor pihak ketiga dan pembagian biaya.
7. Lampirkan TOMs, daftar sub-processor, dan mekanisme transfer Bab V.
8. Kendalikan versi dokumen. Prinsip kendali dokumen dan rekaman dapat diselaraskan dengan The ISO 9001 documentation requirements guide: A Practical O, terutama untuk penomoran, persetujuan, dan riwayat revisi.

Kesalahan Umum dan Bukti Audit

Kesalahan yang paling sering ditemukan: klausul kerahasiaan hanya menyebut karyawan tetap; daftar sub-processor tidak diperbarui; klausul audit tanpa tenggat sehingga sulit dilaksanakan; dan tidak ada bukti bahwa instruksi controller benar-benar diikuti.

Saat audit, siapkan tiga lapis bukti. Pertama, dokumen: DPA bertanda tangan, lampiran, dan riwayat versi. Kedua, rekaman operasional: log akses, tiket permintaan subjek data, laporan insiden. Ketiga, bukti manusia: catatan pelatihan dan pernyataan kerahasiaan personel. Simpan versi final GDPR data processing agreement clauses guide template bersama rekaman ini agar peninjauan tahunan berjalan cepat.

Tinjau DPA setidaknya sekali setahun dan setiap kali ada perubahan vendor, yurisdiksi, atau jenis data. Untuk organisasi dengan sistem manajemen mutu, kendali versi dapat mengikuti kebiasaan yang sudah berjalan di ISO 9001, sehingga DPA tidak menjadi dokumen terpisah dari tata kelola yang ada.