GDPR Data Processing Agreement Clauses Requirements Template: Panduan Praktis Kepatuhan

Mengapa DPA Wajib dan Apa Konsekuensinya

Setiap organisasi yang memproses data pribadi warga UNI Eropa hampir selalu melibatkan pihak ketiga: penyedia cloud, layanan email, vendor analitik, atau konsultan eksternal. Dalam skema GDPR, pihak ketiga itu berperan sebagai prosesor, sedangkan organisasi Anda umumnya berperan sebagai pengendali. Pasal 28(1) GDPR melarang pengendali menggunakan jasa prosesor yang tidak memberikan jaminan memadai atas penerapan langkah teknis dan organisasi yang sesuai.

Konsekuensinya praktis: tanpa perjanjian pemrosesan data (data processing agreement, DPA) yang sah, hubungan itu sudah melanggar hukum sejak awal. Pasal 83(4) GDPR menyediakan denda administratif hingga EUR 10.000.000 atau 2% dari total omzet global tahunan, mana yang lebih tinggi. Angka itu berlaku untuk pelanggaran kewajiban Pasal 28, termasuk kegagalan menandatangani DPA yang memenuhi syarat.

Pasal 28(9) menegaskan bentuk kontrak: tertulis, termasuk dalam bentuk elektronik. Tidak ada syarat notaris atau format tertentu, tetapi isi minimumnya diatur secara rinci pada Pasal 28(3). Di sinilah GDPR data processing agreement clauses requirements template menjadi alat kerja yang berguna — bukan sebagai dokumen salin-tempel, melainkan sebagai daftar periksa agar tidak ada klausul yang terlewat.

Peran Para Pihak dan Definisi yang Menentukan

Sebelum menyusun klausul, pastikan klasifikasi peran sudah benar. Pasal 4(7) GDPR mendefinisikan pengendali sebagai pihak yang menentukan tujuan dan sarana pemrosesan. Pasal 4(8) mendefinisikan prosesor sebagai pihak yang memproses data pribadi atas nama pengendali. Kesalahan klasifikasi membuat seluruh arsitektur kontrak salah arah.

Dua pasal lanjutan sering diabaikan. Pasal 28(10) menyatakan bahwa prosesor yang memproses di luar instruksi terdokumentasi pengendali dianggap sebagai pengendali untuk pemrosesan tersebut — dan menanggung tanggung jawab penuh. Pasal 28(4) mengalirkan kewajiban yang sama kepada sub-prosesor melalui kontrak tertulis.

EDPB dalam Guidelines 07/2020 menekankan bahwa penentuan peran harus didasarkan pada fakta, bukan pada label di kontrak. Jika vendor Anda secara nyata menentukan tujuan pemrosesan, menyebutnya “prosesor” di perjanjian tidak mengubah status hukumnya.

Klausul Minimum Menurut Pasal 28(3) GDPR

Pasal 28(3) menetapkan delapan elemen yang wajib ada. Rangkuman berikut bisa dipakai langsung sebagai kerangka pemeriksaan.

1. Pemrosesan hanya atas instruksi terdokumentasi pengendali, termasuk transfer ke negara ketiga.
2. Jaminan bahwa personel yang memproses data terikat kewajiban kerahasiaan.
3. Penerapan langkah keamanan sesuai Pasal 32 GDPR.
4. Kepatuhan pada kondisi sub-prosesor menurut Pasal 28(2) dan Pasal 28(4).
5. Bantuan kepada pengendali dalam memenuhi hak subjek data (Bab III GDPR).
6. Bantuan dalam memenuhi kewajiban Pasal 32–36, termasuk notifikasi pelanggaran data.
7. Penghapusan atau pengembalian data pribadi setelah berakhirnya layanan.
8. Penyediaan semua informasi yang diperlukan untuk membuktikan kepatuhan, serta izin audit dan inspeksi.

Sub-Prosesor dan Alur Notifikasi

Klausul sub-prosesor adalah titik sengketa paling umum. Pasal 28(2) memberi dua opsi: persetujuan tertulis sebelumnya secara spesifik, atau persetujuan umum disertai hak pengendali untuk menolak perubahan. Opsi kedua lebih lazim, tetapi hanya sah jika disertai kewajiban pemberitahuan perubahan dan jendela waktu keberatan yang jelas.

Praktik yang dapat diaudit: lampirkan daftar sub-prosesor sebagai aneksa, cantumkan nama, lokasi, dan tujuan pemrosesan, lalu atur mekanisme pembaruan minimal 30 hari sebelum perubahan berlaku. Simpan bukti notifikasi dan tanggapan pengendali.

Transfer Data ke Negara Ketiga

Jika data keluar dari Wilayah Ekonomi Eropa, Bab V GDPR berlaku. Klausul Standar Kontraktual berdasarkan Keputusan Pelaksana (EU) 2021/914 umumnya menjadi instrumen utama. Sejak putusan Schrems II, banyak organisasi menambahkan penilaian transfer (transfer impact assessment) sebagai lampiran. DPA yang menyebut “transfer sesuai hukum yang berlaku” tanpa mekanisme konkret sulit dipertahankan saat audit.

Membangun GDPR data processing agreement clauses requirements template yang Dapat Diaudit

Template hanya berguna jika dapat dibuktikan. Susun tabel pemetaan antara klausul, rujukan pasal, dan bukti yang harus disimpan.

Klausul	Rujukan	Bukti
Instruksi terdokumentasi	Pasal 28(3)(a)	Tiket, email persetujuan, log perubahan
Kerahasiaan personel	Pasal 28(3)(b)	Perjanjian kerahasiaan, catatan pelatihan
Keamanan	Pasal 32	Laporan uji, sertifikasi ISO/IEC 27001
Sub-prosesor	Pasal 28(2), 28(4)	Daftar aneksa, riwayat notifikasi
Notifikasi pelanggaran	Pasal 33	Prosedur 72 jam, catatan insiden
Audit	Pasal 28(3)(h)	Laporan audit, surat pernyataan

Pendekatan ini sejalan dengan disiplin informasi terdokumentasi pada ISO 9001 documentation requirements guide, terutama klausul 7.5 tentang pengendalian informasi terdokumentasi. Jika organisasi Anda sudah memiliki sistem manajemen mutu, jadikan DPA sebagai salah satu dokumen terkendali dengan nomor revisi dan pemilik proses yang jelas.

Untuk memahami klausul secara lebih mendalam, termasuk perbedaan antara DPA dan perjanjian pengalihan data, lihat GDPR Data Processing Agreement Clauses: A Practical Guide. Organisasi yang juga memasarkan produk di UNI Eropa sering kali perlu menyelaraskan dokumen ini dengan berkas teknis produk; gambaran alurnya ada di EU CE Marking Technical File: A Practical Guide.

Kesalahan Umum dan Cara Menutupnya

Empat temuan yang paling sering muncul dalam audit kepatuhan:

• DPA disalin dari internet tanpa penyesuaian yurisdiksi, mata uang, atau daftar sub-prosesor.
• Klausul audit ada, tetapi tanpa hak inspeksi di lokasi dan tanpa kewajiban pelaporan insiden.
• Instruksi pemrosesan tidak terdokumentasi sehingga sulit membuktikan kepatuhan Pasal 28(3)(a).
• DPA kedaluwarsa dan tidak diperbarui setelah perubahan layanan atau pergantian vendor.

Perbaikan yang berdampak cepat: tetapkan pemilik DPA, jadwalkan tinjauan tahunan, dan simpan setiap versi yang ditandatangani. Ketika regulator meminta bukti, yang dinilai bukan keberadaan dokumen, melainkan konsistensi antara isi kontrak dan praktik operasional.

Terakhir, ingat bahwa GDPR data processing agreement clauses requirements template bersifat minimum. Sektor tertentu — kesehatan, keuangan, telekomunikasi — menambahkan persyaratan nasional yang lebih ketat. Selalu periksa hukum lokal negara anggota tempat Anda beroperasi sebelum menandatangani.