Kepatuhan UE 4 menit baca
GDPR Data Processing Agreement Clauses Requirements Step By Step
Ringkasan alur GDPR data processing agreement clauses requirements step by step untuk controller dan processor: klausul wajib Pasal 28 GDPR, sub-processor, transfer internasional, audit, hingga dokumentasi bukti kepatuhan.
Dasar Hukum dan Ruang Lingkup Pasal 28 GDPR
Perjanjian pemrosesan data atau Data Processing Agreement (DPA) adalah instrumen kontraktual yang mengikat controller dan processor di bawah GDPR. Pasal 28 GDPR menetapkan bahwa pemrosesan oleh processor harus diatur dalam kontrak atau tindakan hukum lain yang tunduk pada hukum UNI Eropa atau hukum negara anggota. Kontrak tersebut harus mengikat processor terhadap controller dan menetapkan objek, durasi, sifat, tujuan pemrosesan, jenis data pribadi, kategori subjek data, serta kewajiban dan hak controller. Tanpa DPA yang memadai, hubungan pemrosesan berisiko tidak memiliki dasar kepatuhan yang jelas. Panduan ini menyusun GDPR data processing agreement clauses requirements step by step untuk tim legal, privasi, dan operasi.
Kapan DPA Wajib?
DPA wajib ketika satu pihak memproses data pribadi atas nama pihak lain. Contohnya penyedia cloud, layanan payroll, agen pemasaran, atau vendor analitik. Jika vendor menentukan tujuan dan cara pemrosesan sendiri, ia mungkin controller bersama atau controller terpisah, bukan processor. Dalam situasi itu, DPA bukan satu-satunya instrumen; Anda perlu menilai dasar hukum, notifikasi, dan perjanjian bersama. Untuk memahami variasi klausul, lihat GDPR Data Processing Agreement Clauses: A Practical Guide.
Klausul Inti yang Harus Ada dalam DPA
Pasal 28 ayat 3 GDPR mencantumkan isi minimum. Pertama, identitas dan peran para pihak. Kedua, objek dan durasi pemrosesan. Ketiga, sifat dan tujuan pemrosesan. Keempat, jenis data pribadi dan kategori subjek data. Kelima, kewajiban dan hak controller. Selain itu, processor harus: memproses hanya berdasarkan instruksi terdokumentasi controller; memastikan personel terikat kerahasiaan; menerapkan langkah keamanan sesuai Pasal 32 GDPR; membantu controller memenuhi permintaan subjek data; membantu notifikasi pelanggaran; menghapus atau mengembalikan data pada akhir layanan; dan menyediakan informasi untuk audit.
Klausul Sub-Processor dan Transfer Internasional
Processor tidak boleh melibatkan sub-processor tanpa otorisasi tertulis sebelumnya dari controller. Jika otorisasi umum diberikan, processor harus memberi tahu controller tentang perubahan yang dimaksud dan memberi kesempatan untuk menolak. Kontrak dengan sub-processor harus memuat kewajiban yang setara. Untuk transfer ke negara ketiga, DPA perlu merujuk mekanisme Bab V GDPR, seperti keputusan adekuasi, Standard Contractual Clauses (SCC), atau derogasi terbatas. Catat juga evaluasi transfer dan langkah tambahan jika diperlukan.
Langkah demi Langkah Menyusun DPA
Alur GDPR data processing agreement clauses requirements step by step dimulai dari pemetaan data, bukan dari template. Berikut urutan praktisnya.
- Petakan aliran data. Identifikasi data pribadi, sumber, tujuan, sistem, dan vendor. Tentukan siapa controller dan processor.
- Tentukan dasar kontrak. Periksa apakah DPA berdiri sendiri atau menjadi lampiran perjanjian induk.
- Susun klausul wajib. Gunakan Pasal 28 GDPR sebagai daftar minimum. Tambahkan klausul komersial yang relevan.
- Nilai risiko. Lakukan penilaian risiko privasi, terutama untuk data sensitif, transfer internasional, dan sub-processor.
- Negosiasikan dan finalisasi. Pastikan tidak ada klausul yang bertentangan dengan GDPR atau hukum lokal.
- Tandatangani dan simpan. Catat versi, tanggal berlaku, dan penanggung jawab.
- Pantau dan perbarui. Tinjau DPA saat ada perubahan vendor, teknologi, atau regulasi.
Checklist Implementasi
- DPA tertulis dan ditandatangani kedua pihak.
- Peran controller dan processor dinyatakan jelas.
- Instruksi terdokumentasi dan mekanisme perubahan tersedia.
- Langkah keamanan sesuai Pasal 32 GDPR.
- Prosedur pelanggaran data dan tenggat notifikasi.
- Hak audit dan kewajiban kerja sama.
- Daftar sub-processor dan mekanisme persetujuan.
- Mekanisme transfer internasional yang sah.
- Ketentuan penghapusan atau pengembalian data.
- Bukti pelatihan dan kerahasiaan personel.
Audit, Pelanggaran, dan Konsekuensi
Hak audit harus proporsional. Processor dapat menawarkan laporan audit pihak ketiga, sertifikasi, atau kuesioner keamanan. Namun controller tetap membutuhkan hak untuk mengaudit jika ada indikasi masalah. Untuk pelanggaran data, processor harus memberi tahu controller tanpa penundaan yang tidak semestinya setelah menyadari insiden. Notifikasi awal dapat mencakup sifat pelanggaran, kategori data, dampak, dan langkah mitigasi. Keterlambatan atau ketidakjelasan dapat memperbesar risiko sanksi administratif dan gugatan. Jika organisasi Anda memiliki sistem manajemen mutu, integrasikan kontrol ini dengan ISO 9001, ISO 14001, atau ISO 45001 agar dokumentasi tidak terpisah-pisah.
Dokumentasi, Bukti Kepatuhan, dan Pemantauan
GDPR menuntut akuntabilitas. Simpan DPA, catatan pemrosesan, penilaian risiko, log persetujuan, dan bukti transfer. Dokumentasi harus dapat ditelusuri dan diperbarui. Untuk struktur dokumentasi yang rapi, lihat The ISO 9001 documentation requirements guide: A Practical O. Jika perusahaan Anda juga menangani produk dengan penandaan CE, dokumen teknis dan DPA dapat berbagi prinsip kontrol versi yang sama; contohnya pada EU CE Marking Technical File: A Practical Guide. Tinjau DPA setidaknya setahun sekali atau saat ada perubahan signifikan.
Kesalahan Umum dan Cara Menghindarinya
Kesalahan pertama adalah tidak memiliki DPA karena vendor dianggap hanya penyedia layanan. Kedua, klausul terlalu umum sehingga tidak memenuhi Pasal 28. Ketiga, sub-processor tidak diungkap. Keempat, transfer internasional tanpa mekanisme sah. Kelima, tidak ada prosedur pelanggaran. Menerapkan GDPR data processing agreement clauses requirements step by step membantu tim menghindari celah ini. Gunakan daftar periksa, libatkan legal dan keamanan informasi, dan dokumentasikan setiap keputusan. Dengan begitu, DPA menjadi alat manajemen risiko, bukan sekadar formalitas.
Fakta utama
Pernyataan yang dapat dibaca mesin, diambil dari sumber di atas. Setiap fakta mempertahankan pengenal yang sama di keenam versi bahasa.
Article 28(3)
Article 28(3) of the GDPR lists the minimum clauses required in a data processing agreement.
ID fakta:
GDPR_article_28_3Controller-processor relationship
A DPA is required when a processor handles personal data on behalf of a controller.
ID fakta:
dpa_triggerArticle 28(2)
Sub-processors require prior specific or general written authorization under Article 28(2).
ID fakta:
sub_processor_rule72 hours
Controllers must notify supervisory authorities of a personal data breach within 72 hours under Article 33.
ID fakta:
breach_notification_deadlineArticle 32
Security measures must be appropriate to the risk under Article 32.
ID fakta:
security_standardChapter V
International transfers outside the EEA require a Chapter V mechanism such as SCCs or an adequacy decision.
ID fakta:
transfer_mechanismArticle 28(9)
The DPA must be in writing, including electronic form, under Article 28(9).
ID fakta:
dpa_form
Pertanyaan yang sering diajukan
Apakah DPA selalu wajib di bawah GDPR?
DPA wajib ketika processor memproses data pribadi atas nama controller. Jika pihak lain bertindak sebagai controller terpisah, instrumen yang diperlukan bisa berbeda, misalnya perjanjian bersama atau dasar hukum lain.
Apa isi minimum DPA menurut Pasal 28 GDPR?
Pasal 28 ayat 3 GDPR mencantumkan objek, durasi, sifat, tujuan pemrosesan, jenis data pribadi, kategori subjek data, serta kewajiban dan hak controller. Processor juga harus mematuhi instruksi terdokumentasi, kerahasiaan, keamanan, bantuan, penghapusan, dan audit.
Bisakah processor memakai sub-processor tanpa persetujuan?
Tidak. Processor memerlukan otorisasi tertulis sebelumnya dari controller. Jika otorisasi umum diberikan, processor harus memberi tahu perubahan dan memberi kesempatan menolak.
Bagaimana mengatur transfer data ke negara ketiga dalam DPA?
DPA harus merujuk mekanisme Bab V GDPR, seperti keputusan adekuasi, Standard Contractual Clauses (SCC), atau derogasi terbatas. Sertakan evaluasi transfer dan langkah tambahan bila diperlukan.
Seberapa cepat processor harus melaporkan pelanggaran data?
Processor harus memberi tahu controller tanpa penundaan yang tidak semestinya setelah menyadari insiden. Notifikasi awal dapat mencakup sifat pelanggaran, kategori data, dampak, dan langkah mitigasi.
Sumber dan lisensi
Setiap pernyataan dalam artikel ini dapat ditelusuri ke sumber yang tercantum di bawah. Tautan membuka situs penerbit langsung.
