GDPR Data Processing Agreement Clauses Requirements Common Mistakes Dan Cara Menghindarinya

Perjanjian pemrosesan data (Data Processing Agreement, DPA) adalah instrumen kontrak yang mengikat pengendali data (controller) dan prosesor data (processor) menurut GDPR. Tanpa DPA yang sah, pemrosesan oleh pihak ketiga tidak memiliki dasar kontrak, terlepas dari seberapa kuat kontrol teknis yang diterapkan. Panduan editorial ini memetakan klausul wajib, kesalahan yang paling sering ditemukan saat audit, dan urutan verifikasi yang dapat dipakai tim kepatuhan maupun tim pengadaan. Untuk anatomi klausul satu per satu, lihat GDPR Data Processing Agreement Clauses: A Practical Guide.

Dasar Hukum Dan Ruang Lingkup Pasal 28 Ayat 3 GDPR

Pasal 28 Ayat 3 GDPR mewajibkan setiap pemrosesan oleh prosesor diatur dalam kontrak atau instrumen hukum lain yang mengikat. Kontrak tersebut harus memuat delapan elemen minimum: (a) pemrosesan hanya atas instruksi terdokumentasi dari pengendali, termasuk transfer ke negara ketiga; (b) komitmen kerahasiaan personel yang berwenang; (c) penerapan langkah keamanan sesuai Pasal 32; (d) pengaturan sub-processor; (e) bantuan pemenuhan hak subjek data; (f) bantuan pemenuhan kewajiban Pasal 32 sampai Pasal 36; (g) penghapusan atau pengembalian data pribadi pada akhir layanan; dan (h) penyediaan informasi serta akses audit bagi pengendali.

Ayat 2 menambahkan daftar yang harus dinyatakan secara eksplisit: subjek dan durasi pemrosesan, sifat dan tujuan pemrosesan, jenis data pribadi, kategori subjek data, serta kewajiban dan hak pengendali. Ayat 4 mengatur sub-processor, sedangkan Ayat 9 menegaskan bahwa kontrak harus tertulis, termasuk dalam bentuk elektronik.

Implikasi praktisnya sederhana: DPA bukan lampiran formalitas. Ia adalah bukti akuntabilitas menurut Pasal 5 Ayat 2. Ketika otoritas pengawas meminta dokumentasi, DPA yang tidak lengkap menjadi temuan langsung, bukan sekadar catatan administratif. Bagian berikut merangkum GDPR data processing agreement clauses requirements common mistakes yang paling sering muncul dalam pemeriksaan kepatuhan.

Klausul Inti Yang Tidak Boleh Hilang

Selain delapan elemen Pasal 28 Ayat 3, praktik yang matang menambahkan beberapa klausul operasional. Pertama, definisi data pribadi dan data pribadi sensitif harus mengikuti Pasal 9, bukan definisi internal perusahaan. Kedua, mekanisme instruksi terdokumentasi perlu dijelaskan: siapa yang berwenang memberi instruksi, melalui kanal apa, dan bagaimana instruksi diarsipkan. Ketiga, klausul retensi harus menyebut periode konkret atau kriteria penentuannya, bukan frasa "sesuai kebutuhan bisnis".

Keempat, klausul notifikasi pelanggaran data harus memuat tenggat internal. Pasal 33 Ayat 1 memberi pengendali 72 jam untuk melapor ke otoritas pengawas, sehingga prosesor idealnya memberi tahu pengendali dalam 24 sampai 48 jam. Kelima, klausul audit harus menyepakati bentuk bukti yang diterima, misalnya laporan sertifikasi pihak ketiga, agar tidak setiap permintaan berujung pada audit di lokasi.

Sub-processor Dan Transfer Ke Negara Ketiga

Pasal 28 Ayat 4 mengharuskan prosesor mendapat otorisasi tertulis sebelumnya untuk melibatkan sub-processor. Dua model yang lazim adalah otorisasi spesifik (daftar nama disetujui lebih dulu) dan otorisasi umum dengan hak keberatan. Model kedua hanya sah jika pengendali mendapat pemberitahuan perubahan dan punya kesempatan menolak.

Untuk transfer ke luar Wilayah Ekonomi Eropa, DPA harus merujuk mekanisme transfer yang berlaku. Setelah putusan Schrems II, klausul kontraktual standar versi Keputusan Pelaksana (EU) 2021/914 menjadi rujukan utama, dilengkapi penilaian dampak transfer (transfer impact assessment). Rujukan ke versi klausul yang sudah dicabut adalah cacat yang mudah terdeteksi.

Kesalahan Umum Yang Sering Ditemukan Auditor

Kesalahan pertama adalah menyalin template tanpa menyesuaikan peran para pihak. Banyak organisasi menandatangani DPA yang menyebut dirinya prosesor padahal secara faktual menentukan tujuan pemrosesan; dalam kondisi itu hubungannya adalah pengendali bersama menurut Pasal 26, bukan Pasal 28.

Kesalahan kedua adalah klausul sub-processor yang terlalu longgar. Frasa "prosesor dapat menggunakan sub-processor kapan saja" tanpa mekanisme pemberitahuan bertentangan dengan Pasal 28 Ayat 2 dan Ayat 4. Kesalahan ketiga adalah tidak mengatur pembagian biaya audit, sehingga klausul audit secara praktis tidak dapat dijalankan.

Kesalahan keempat adalah mencampur DPA dengan perjanjian tingkat layanan. DPA mengatur kepatuhan data pribadi; SLA mengatur kinerja. Menggabungkan keduanya membuat perubahan SLA berpotensi mengubah syarat kepatuhan tanpa tinjauan hukum. Kesalahan kelima adalah tidak memperbarui DPA setelah perubahan yurisprudensi atau setelah prosesor mengganti penyedia infrastruktur. Ringkasan GDPR data processing agreement clauses requirements common mistakes ini menunjukkan pola yang sama: dokumen ditandatangani sekali, lalu tidak pernah ditinjau ulang.

Checklist Verifikasi Cepat

Gunakan daftar berikut sebelum DPA ditandatangani atau diperbarui:

• Peran para pihak (pengendali, prosesor, atau pengendali bersama) dinyatakan sesuai fakta operasional.
• Delapan elemen Pasal 28 Ayat 3 hadir secara eksplisit, bukan tersirat.
• Daftar sub-processor dan mekanisme pemberitahuan perubahan tercantum.
• Mekanisme transfer dan versi klausul kontraktual standar disebut dengan nomor keputusan yang benar.
• Tenggat notifikasi pelanggaran data konsisten dengan batas 72 jam Pasal 33.
• Klausul retensi menyebut periode atau kriteria yang dapat diuji.
• Hak audit dan bentuk bukti yang diterima dijelaskan.
• DPA tercatat dalam register kontrak dan memiliki pemilik dokumen.

Menyambungkan DPA Dengan Sistem Manajemen Mutu

Organisasi yang sudah menjalankan ISO 9001 biasanya memiliki kendali dokumen, tinjauan manajemen, dan audit internal. DPA dapat dimasukkan ke dalam kerangka yang sama: jadikan tinjauan tahunan DPA sebagai bagian dari tinjauan pemasok, dan simpan bukti kepatuhan mengikuti The ISO 9001 documentation requirements guide. Pendekatan ini mengurangi beban administratif karena satu siklus tinjauan melayani dua kebutuhan.

Untuk produk yang dipasarkan di UNI Eropa, DPA sering berdampingan dengan dokumentasi teknis penilaian kesesuaian. Keduanya berbagi prinsip yang sama: klaim harus didukung bukti tertulis yang dapat ditelusuri. Struktur bukti semacam ini dijelaskan pada EU CE Marking Technical File: A Practical Guide, dan pola penyusunannya dapat diadaptasi untuk register DPA.

Langkah Praktis Berikutnya

Mulai dari inventarisasi: daftar semua vendor yang menyentuh data pribadi, lalu klasifikasikan perannya. Setelah itu, bandingkan DPA yang ada dengan delapan elemen Pasal 28 Ayat 3 dan tandai celahnya. Prioritaskan perbaikan pada klausul sub-processor, transfer, dan notifikasi pelanggaran, karena ketiganya paling sering menjadi temuan. Terakhir, tetapkan siklus tinjauan tahunan dan simpan versi dokumen yang ditandatangani beserta riwayat perubahannya. Dengan begitu, GDPR data processing agreement clauses requirements common mistakes tidak lagi berulang pada siklus kontrak berikutnya.