GDPR Data Processing Agreement Clauses How To Comply: Panduan Praktis

Perjanjian pemrosesan data (data processing agreement, DPA) adalah instrumen kontraktual yang mengikat controller dan processor berdasarkan Pasal 28 GDPR. Tanpa klausul yang lengkap, pemrosesan data pribadi oleh pihak ketiga menjadi tidak sah, terlepas dari seberapa baik kontrol teknis yang diterapkan. Artikel ini memetakan klausul minimum, urutan implementasi, dan bukti dokumentasi yang umumnya diminta auditor internal maupun otoritas pengawas.

Kerangka Hukum dan Pembagian Peran

Pasal 28 ayat (1) GDPR mewajibkan controller hanya menggunakan processor yang memberikan jaminan memadai atas penerapan langkah teknis dan organisasi yang sesuai. Jaminan itu tidak cukup dinyatakan secara lisan; Pasal 28 ayat (9) menegaskan perjanjian harus dibuat dalam bentuk tertulis, termasuk format elektronik.

Peran para pihak perlu didefinisikan secara eksplisit. Controller menentukan tujuan dan sarana pemrosesan, sedangkan processor bertindak semata-mata atas instruksi terdokumentasi. Jika processor ikut menentukan tujuan dan sarana, ia dianggap sebagai controller untuk pemrosesan tersebut sesuai Pasal 28 ayat (10). Ketentuan ini sering menjadi titik sengketa ketika vendor menawarkan layanan analitik tambahan di luar lingkup kontrak awal.

Komisi Eropa juga telah menerbitkan Standard Contractual Clauses melalui Commission Implementing Decision (EU) 2021/915 untuk hubungan controller–processor, dan (EU) 2021/914 untuk transfer ke negara ketiga. Keduanya dapat diadopsi langsung atau dijadikan basis negosiasi klausul.

Klausul Minimum Menurut Pasal 28 Ayat (3) GDPR

Pasal 28 ayat (3) mencantumkan delapan butir yang wajib dimuat. Perjanjian harus menetapkan:

1. Objek, durasi, sifat, dan tujuan pemrosesan, termasuk jenis data pribadi dan kategori subjek data.
2. Instruksi terdokumentasi dari controller sebagai satu-satunya dasar pemrosesan, termasuk kewajiban memberi tahu bila instruksi melanggar GDPR.
3. Kerahasiaan personel yang berwenang memproses data.
4. Langkah keamanan sesuai Pasal 32, misalnya enkripsi, kontrol akses, dan ketahanan sistem.
5. Kondisi pelibatan sub-pemroses, termasuk otorisasi tertulis sebelumnya.
6. Bantuan pemenuhan hak subjek data pada Bab III, seperti akses, koreksi, dan penghapusan.
7. Bantuan pemenuhan kewajiban Pasal 32–36, mencakup notifikasi pelanggaran data, penilaian dampak (DPIA), dan konsultasi dengan otoritas pengawas.
8. Penghapusan atau pengembalian data pada akhir pemberian layanan, serta penyediaan informasi untuk membuktikan kepatuhan dan memungkinkan audit.

Daftar ini bersifat kumulatif. Menghilangkan satu butir membuat perjanjian tidak memenuhi Pasal 28 ayat (3), meskipun klausul lain disusun sangat rinci.

Sub-pemroses, Transfer Internasional, dan Hak Audit

Pasal 28 ayat (2) mengatur bahwa processor tidak boleh melibatkan sub-pemroses tanpa otorisasi tertulis sebelumnya dari controller. Otorisasi umum diperbolehkan, asalkan controller mendapat kesempatan menolak perubahan daftar sub-pemroses. Pasal 28 ayat (4) mewajibkan kewajiban yang sama dialirkan ke sub-pemroses melalui kontrak terpisah.

Untuk transfer ke negara ketiga, Bab V GDPR berlaku. Klausul harus menyebut mekanisme transfer yang dipakai, misalnya keputusan adekuasi atau Standard Contractual Clauses, beserta kewajiban penilaian transfer (transfer impact assessment). Hak audit sebaiknya dirumuskan proporsional: audit tahunan, audit atas dasar kecurigaan wajar, atau penggunaan laporan pihak ketiga seperti sertifikasi ISO/IEC 27001.

Langkah Praktis Menerapkan GDPR data processing agreement clauses how to comply

Urutan kerja berikut memudahkan tim kepatuhan menyelesaikan perjanjian tanpa negosiasi berulang.

1. Petakan aliran data. Catat setiap vendor yang menyentuh data pribadi, jenis data, lokasi penyimpanan, dan peran aktualnya. Keluaran langkah ini menjadi lampiran objek pemrosesan.
2. Klasifikasikan pihak. Tentukan apakah vendor berperan sebagai processor, controller bersama (Pasal 26), atau controller independen. Kesalahan klasifikasi membuat seluruh klausul berikutnya tidak relevan.
3. Pilih basis kontrak. Gunakan Standard Contractual Clauses (EU) 2021/915 sebagai kerangka, lalu tambahkan lampiran teknis dan organisasi yang spesifik.
4. Lengkapi lampiran teknis. Rinci langkah keamanan, waktu notifikasi pelanggaran, daftar sub-pemroses, dan lokasi pemrosesan.
5. Uji skenario. Simulasikan permintaan akses subjek data dan insiden kebocoran untuk memastikan tenggat kontraktual realistis, misalnya notifikasi ke controller dalam 24–48 jam agar controller dapat memenuhi batas 72 jam ke otoritas pengawas.
6. Perbarui secara berkala. Tinjau perjanjian setiap kali ada perubahan sub-pemroses, layanan baru, atau putusan pengadilan terkait transfer data.

Panduan klausul yang lebih rinci tersedia pada artikel GDPR Data Processing Agreement Clauses: A Practical Guide.

Dokumentasi dan Bukti Kepatuhan

Auditor biasanya meminta tiga lapis bukti: perjanjian yang ditandatangani, register pemrosesan sesuai Pasal 30, dan rekaman langkah teknis sesuai Pasal 32. Untuk organisasi yang juga memegang sertifikasi mutu, struktur dokumentasi ini dapat diselaraskan dengan panduan persyaratan dokumentasi ISO 9001 agar tidak terjadi duplikasi kendali dan rekaman.

Jika perusahaan memproduksi produk ber-CE, dokumen kepatuhan GDPR sering diperiksa bersamaan dengan berkas teknis. Pola penyusunan berkas semacam itu dijelaskan pada EU CE Marking Technical File: A Practical Guide. Simpan versi perjanjian yang berlaku, riwayat perubahan, dan bukti pelatihan personel dalam repositori terkontrol dengan tanggal berlaku yang jelas.

Kesalahan Umum dan Konsekuensi Sanksi

Beberapa temuan berulang yang muncul dalam audit kepatuhan:

• Menyalin template pihak ketiga tanpa menyesuaikan lampiran teknis dan daftar sub-pemroses.
• Menyebut "langkah keamanan yang wajar" tanpa merinci kontrol, sehingga sulit dibuktikan saat insiden terjadi.
• Tidak mengatur tenggat notifikasi pelanggaran, padahal controller terikat batas 72 jam berdasarkan Pasal 33.
• Membiarkan klausul audit tanpa mekanisme biaya dan kerahasiaan, yang kemudian memicu penolakan vendor.
• Melewatkan kewajiban penghapusan data pada akhir kontrak, termasuk data pada cadangan dan sub-pemroses.

Pelanggaran kewajiban Pasal 28 termasuk dalam lingkup Pasal 83 ayat (4), dengan denda administratif hingga EUR 10 juta atau 2% dari total omzet tahunan global, mana yang lebih tinggi. Angka ini lebih rendah daripada plafon Pasal 83 ayat (5), tetapi tetap signifikan dan sering disertai perintah perbaikan serta pengawasan berkala.

Pendekatan yang paling efektif adalah memperlakukan GDPR data processing agreement clauses how to comply sebagai siklus, bukan dokumen sekali tanda tangan. Setiap perubahan vendor, arsitektur, atau regulasi harus memicu peninjauan ulang, dan hasilnya didokumentasikan agar dapat ditunjukkan kapan pun diminta.

Dengan kerangka Pasal 28 ayat (3) sebagai daftar periksa, lampiran teknis yang spesifik, serta register yang terpelihara, organisasi dapat menutup celah kepatuhan utama sebelum menjadi temuan formal. Langkah kecil yang konsisten jauh lebih kuat daripada perjanjian panjang yang tidak pernah diuji terhadap praktik nyata.