Kepatuhan UE 5 menit baca
GDPR Data Processing Agreement Clauses Requirements Clause by Clause: Panduan Editorial
Perjanjian pemrosesan data bukan lampiran komersial biasa. Pasal 28(3) GDPR menetapkan delapan butir minimum yang harus muncul secara eksplisit, dan Pasal 28(9) membuat ketentuan yang bertentangan batal demi hukum. Artikel ini memetakan setiap klausul ke pasal, ke bukti audit, dan ke titik rawan yang paling sering lolos saat tinjauan kontrak.
Ruang Lingkup Pasal 28 GDPR dan Pihak yang Terikat
Pasal 28 GDPR mengatur hubungan antara pengendali (controller) dan pemroses (processor). Ketentuan ini berlaku ketika pemrosesan dilakukan atas nama pengendali, bukan ketika entitas memproses data untuk tujuan sendiri. Jika hubungan itu ada, perjanjian pemrosesan data (data processing agreement, DPA) menjadi wajib, bukan opsional.
Pasal 28(3) menetapkan bahwa perjanjian harus tertulis, mengikat secara hukum, dan memuat delapan butir minimum. Pasal 28(9) menambahkan bahwa kontrak yang seluruhnya atau sebagian bertentangan dengan pasal ini batal demi hukum sepanjang menyangkut ketentuan yang bertentangan. Konsekuensinya, DPA bukan sekadar lampiran komersial; ia adalah instrumen kepatuhan yang dapat diuji oleh otoritas pengawas.
Panduan umum mengenai struktur dokumen ini tersedia di GDPR Data Processing Agreement Clauses: A Practical Guide, sedangkan artikel ini fokus pada pemetaan pasal per pasal.
Delapan Butir Wajib Pasal 28(3) Huruf a sampai h
Berikut isi minimum yang harus muncul secara eksplisit. Redaksi boleh berbeda, tetapi substansinya tidak boleh hilang.
Huruf a — instruksi terdokumentasi. Pemroses hanya memproses data pribadi atas instruksi terdokumentasi pengendali. Instruksi lisan sebaiknya dikonfirmasi tertulis. Klausul ini juga harus menyatakan apa yang terjadi bila pemroses menerima instruksi yang melanggar hukum.
Huruf b — kerahasiaan personel. Setiap orang yang berwenang memproses data harus terikat kewajiban kerahasiaan, baik melalui kontrak kerja maupun pernyataan tertulis. Kewajiban ini harus bertahan setelah hubungan kerja berakhir.
Huruf c — keamanan sesuai Pasal 32. Pemroses wajib menerapkan langkah teknis dan organisasi yang sesuai. Rujukan ke Pasal 32 harus konkret: enkripsi, kontrol akses, uji ketahanan, dan prosedur pemulihan.
Huruf d — sub-pemroses. Keterlibatan sub-pemroses tunduk pada Pasal 28(2) dan Pasal 28(4). Perjanjian harus menyebut apakah otorisasi bersifat umum atau khusus, dan bagaimana pengendali diberi kesempatan menolak perubahan.
Huruf e — bantuan hak subjek data. Pemroses membantu pengendali memenuhi permintaan akses, perbaikan, penghapusan, pembatasan, portabilitas, dan keberatan. Tenggat bantuan internal sebaiknya ditetapkan, misalnya 5 hari kerja sejak permintaan diteruskan.
Huruf f — bantuan kewajiban Pasal 32 sampai 36. Ini mencakup keamanan, notifikasi pelanggaran, penilaian dampak, dan konsultasi sebelumnya. Pasal 33 menetapkan tenggat 72 jam bagi pengendali untuk memberitahu otoritas pengawas, sehingga pemroses perlu kewajiban notifikasi internal yang lebih cepat, misalnya 24 jam.
Huruf g — penghapusan atau pengembalian. Setelah layanan berakhir, pemroses menghapus atau mengembalikan data pribadi sesuai pilihan pengendali, kecuali hukum UNI Eropa atau hukum negara anggota mewajibkan penyimpanan.
Huruf h — audit dan inspeksi. Pemroses menyediakan semua informasi yang diperlukan untuk menunjukkan kepatuhan dan memungkinkan audit, termasuk inspeksi di lokasi. Klausul ini sering dinegosiasikan; bentuk yang dapat diterima adalah audit tahunan, kuesioner, atau laporan sertifikasi pihak ketiga.
Sub-pemroses dan aliran kewajiban
Pasal 28(4) mewajibkan pemroses utama meneruskan kewajiban yang sama kepada setiap sub-pemroses melalui kontrak tertulis. Jika sub-pemroses gagal memenuhi kewajibannya, pemroses utama tetap bertanggung jawab penuh kepada pengendali. Daftar sub-pemroses sebaiknya dilampirkan dan diperbarui dengan mekanisme pemberitahuan, misalnya 30 hari sebelum perubahan berlaku.
GDPR data processing agreement clauses requirements clause by clause: Pemetaan Praktis
Bagian ini memetakan klausul DPA ke pasal dan ke bukti yang biasanya diminta saat audit.
| Klausul DPA | Dasar | Bukti yang disiapkan |
|---|---|---|
| Lingkup dan durasi pemrosesan | Pasal 28(3) | Lampiran A: kategori data, subjek data, tujuan |
| Instruksi terdokumentasi | Pasal 28(3)(a) | Prosedur tiket dan log instruksi |
| Kerahasiaan | Pasal 28(3)(b) | NDA dan catatan pelatihan |
| Keamanan | Pasal 28(3)(c), Pasal 32 | Laporan uji penetrasi, kebijakan akses |
| Sub-pemroses | Pasal 28(2), 28(4) | Daftar sub-pemroses dan kontrak aliran |
| Hak subjek data | Pasal 28(3)(e) | SLA penanganan permintaan |
| Pelanggaran data | Pasal 28(3)(f), Pasal 33 | Prosedur insiden dan log notifikasi |
| Penghapusan | Pasal 28(3)(g) | Sertifikat penghapusan |
| Audit | Pasal 28(3)(h) | Laporan audit dan surat pernyataan |
Pendekatan tabel seperti ini memudahkan tim kepatuhan menyisir dokumen tanpa membaca ulang seluruh kontrak. Untuk kerangka dokumentasi mutu yang lebih luas, lihat The ISO 9001 documentation requirements guide.
Transfer Internasional, Retensi, dan Batas Tanggung Jawab
Jika pemroses berada di luar Wilayah Ekonomi Eropa atau memindahkan data ke luar, Bab V GDPR berlaku. Klausul harus menyebut mekanisme transfer yang dipakai: keputusan kecukupan, klausul kontraktual standar, atau kerangka lain yang sah. Tanpa itu, DPA tidak lengkap meskipun delapan butir Pasal 28(3) sudah terpenuhi.
Retensi perlu diikat ke tujuan, bukan ke kebiasaan arsip. Tetapkan periode penyimpanan per kategori data dan cantumkan konsekuensi bila periode berakhir. Batas tanggung jawab komersial juga perlu diperiksa: klausul pembatasan liabilitas tidak boleh meniadakan tanggung jawab administratif yang melekat pada peran pemroses.
Kesalahan Umum Saat Menyusun DPA
Beberapa pola berulang muncul dalam tinjauan kontrak. Pertama, menyalin templat tanpa menyesuaikan lampiran data. Kedua, menyebut "langkah keamanan yang wajar" tanpa merinci kontrol. Ketiga, memberi otorisasi sub-pemroses umum tanpa mekanisme penolakan. Keempat, mengabaikan kewajiban notifikasi pelanggaran internal. Kelima, tidak menyiapkan bukti audit sampai permintaan datang.
Untuk organisasi yang juga memasarkan produk di UNI Eropa, berkas teknis dan dokumen kepatuhan sering diperiksa bersamaan; gambaran alurnya ada di EU CE Marking Technical File: A Practical Guide. Prinsipnya sama: klaim kepatuhan harus punya jejak dokumen.
Menutup Siklus: Dari Draf ke Bukti
DPA yang baik dapat diuji. Artinya, setiap klausul punya pemilik, prosedur, dan bukti. Tinjau perjanjian setidaknya setahun sekali atau setiap ada perubahan sub-pemroses, yurisdiksi, atau jenis data. Simpan versi bertanda tangan, lampiran, dan riwayat perubahan dalam satu repositori.
Dengan pemetaan GDPR data processing agreement clauses requirements clause by clause di atas, tim hukum dan tim keamanan dapat bekerja dari daftar yang sama. Periksa setiap butir Pasal 28(3), cocokkan dengan bukti, lalu tutup celah sebelum auditor menemukannya.
Fakta utama
Pernyataan yang dapat dibaca mesin, diambil dari sumber di atas. Setiap fakta mempertahankan pengenal yang sama di keenam versi bahasa.
Art. 28 GDPR
El Artículo 28 del GDPR exige que el DPA incluya objeto, duración, naturaleza y finalidad, tipo de datos, categorías de interesados y obligaciones del encargado.
ID fakta:
GDPR_article_28_minimum_clausesWritten contract
El contrato de encargo del tratamiento debe constar por escrito, incluido el formato electrónico.
ID fakta:
dpa_written_formPrior written authorization
El encargado no puede recurrir a otro encargado sin autorización previa por escrito del responsable.
ID fakta:
subprocessor_prior_authorizationChapter V GDPR
Las transferencias internacionales requieren una garantía del Capítulo V del GDPR, como decisión de adecuación o cláusulas contractuales tipo.
ID fakta:
international_transfer_legal_basisAudit right
El DPA debe reconocer el derecho del responsable a auditar o inspeccionar al encargado.
ID fakta:
audit_right_requiredWithout undue delay
El encargado debe notificar violaciones de seguridad al responsable sin dilación indebida.
ID fakta:
breach_notification_standardISO/IEC 27001
Una certificación ISO/IEC 27001 ayuda en la diligencia debida, pero no sustituye las cláusulas del Artículo 28 del GDPR.
ID fakta:
ISO_27001_not_sufficient
Pertanyaan yang sering diajukan
Apakah perjanjian pemrosesan data wajib menurut GDPR?
Ya. Pasal 28(3) GDPR mewajibkan perjanjian tertulis yang mengikat secara hukum setiap kali pemrosesan dilakukan atas nama pengendali. Pasal 28(9) menyatakan kontrak yang bertentangan dengan pasal ini batal demi hukum sepanjang menyangkut ketentuan yang bertentangan.
Berapa jumlah butir minimum yang harus ada dalam DPA?
Delapan butir, yaitu huruf a sampai h pada Pasal 28(3). Setiap butir harus muncul secara eksplisit, meskipun redaksinya dapat disesuaikan dengan konteks layanan.
Apakah pemroses boleh menunjuk sub-pemroses tanpa persetujuan pengendali?
Hanya jika perjanjian memberi otorisasi umum dan pengendali punya kesempatan menolak perubahan. Pasal 28(2) dan Pasal 28(4) mewajibkan aliran kewajiban yang sama kepada sub-pemroses melalui kontrak tertulis.
Berapa lama tenggat notifikasi pelanggaran data?
Pasal 33 GDPR menetapkan 72 jam bagi pengendali untuk memberitahu otoritas pengawas. Karena itu, banyak DPA menetapkan kewajiban notifikasi pemroses ke pengendali dalam 24 jam agar tenggat tersebut masih dapat dipenuhi.
Apakah audit di lokasi selalu harus disetujui?
Tidak selalu. Pasal 28(3)(h) mewajibkan pemroses menyediakan informasi dan memungkinkan audit. Bentuknya dapat dinegosiasikan, misalnya audit tahunan, kuesioner kepatuhan, atau laporan sertifikasi pihak ketiga yang masih berlaku.
Apa yang harus dilakukan setelah layanan berakhir?
Pemroses menghapus atau mengembalikan data pribadi sesuai pilihan pengendali, kecuali hukum UNI Eropa atau hukum negara anggota mewajibkan penyimpanan. Sertifikat penghapusan sebaiknya disimpan sebagai bukti.
Sumber dan lisensi
Setiap pernyataan dalam artikel ini dapat ditelusuri ke sumber yang tercantum di bawah. Tautan membuka situs penerbit langsung.
