Panduan GDPR data subject access request checklist Untuk Kepatuhan GDPR

Permintaan akses subjek data atau data subject access request (DSAR) diatur dalam GDPR Pasal 15. Pengendali wajib memberi konfirmasi, salinan data pribadi, dan informasi terkait pemrosesan. Artikel ini menyusun GDPR data subject access request checklist yang dapat dipakai tim kepatuhan, hukum, dan operasi. Fokusnya bukan teori, melainkan urutan kerja, bukti, dan tenggat.

Dasar Hukum dan Ruang Lingkup

GDPR Pasal 15(1) memberi hak kepada subjek data untuk memperoleh konfirmasi apakah data pribadinya diproses. Jika ya, pengendali harus memberikan akses ke data pribadi dan informasi berikut: tujuan pemrosesan, kategori data, penerima atau kategori penerima, periode retensi, hak subjek data, sumber data, dan keberadaan pengambilan keputusan otomatis. Pasal 15(3) menambahkan hak memperoleh salinan data pribadi yang sedang diproses. Salinan pertama umumnya gratis; biaya wajar dapat dikenakan untuk salinan tambahan berdasarkan Pasal 15(3).

Pasal 12(3) menetapkan tenggat umum satu bulan sejak permintaan diterima. Tenggat dapat diperpanjang dua bulan lagi untuk permintaan kompleks, dengan pemberitahuan kepada pemohon dalam satu bulan pertama. Pasal 12(4) mengatur bahwa penolakan atau pembatasan harus disertai alasan. Pasal 12(6) memungkinkan pengendali meminta informasi tambahan untuk memverifikasi identitas jika ada keraguan yang wajar. Untuk permintaan yang sangat luas, pengendali dapat meminta pemohon mempersempit ruang lingkup, tetapi tidak boleh menolak hanya karena permintaan dianggap besar.

Apa yang Termasuk Permintaan Akses?

Permintaan tidak harus menyebut Pasal 15. Permintaan lisan, surat, email, atau formulir web dapat memicu kewajiban. Pengendali tidak boleh memaksa pemohon memakai formulir tertentu jika identitas sudah jelas. Namun, pengendali dapat meminta informasi tambahan untuk memverifikasi identitas. Jika permintaan diajukan melalui agen, minta bukti kuasa yang memadai.

Komponen GDPR data subject access request checklist

Checklist ini mencakup tujuh komponen. Pertama, kanal masuk dan pencatatan. Kedua, verifikasi identitas. Ketiga, penilaian ruang lingkup. Keempat, pencarian data di seluruh sistem. Kelima, penyusunan tanggapan. Keenam, pengecualian dan redaksi. Ketujuh, pengiriman aman dan dokumentasi. Setiap komponen harus punya pemilik, tenggat, dan bukti.

Verifikasi Identitas dan Saluran Permintaan

Verifikasi harus proporsional. Jangan meminta KTP, paspor, atau data berlebihan jika risiko rendah. Untuk akun online, verifikasi melalui email terdaftar atau pertanyaan keamanan biasanya memadai. Simpan bukti verifikasi, tetapi jangan menyimpan salinan dokumen identitas lebih lama dari yang diperlukan. Jika permintaan datang dari perangkat atau alamat IP yang tidak biasa, lakukan langkah tambahan sebelum mengirim data.

Batas Waktu dan Perpanjangan

Catat tanggal penerimaan. Balas dalam satu bulan. Jika kompleks, beri tahu pemohon dalam satu bulan pertama bahwa waktu diperpanjang hingga dua bulan tambahan. Alasan perpanjangan harus spesifik, misalnya volume data besar, pencarian lintas sistem, atau koordinasi dengan pengendali bersama. Jangan gunakan perpanjangan sebagai default. Buat pengingat otomatis pada hari ke-20 dan hari ke-40.

Langkah Operasional Menjawab Permintaan

Langkah 1: terima dan catat. Beri nomor tiket, tanggal, kanal, dan identitas pemohon. Langkah 2: verifikasi identitas. Langkah 3: tentukan apakah permintaan jelas dan apakah ada permintaan lain. Langkah 4: koordinasikan dengan pemilik data. Langkah 5: lakukan pencarian di basis data terstruktur dan tidak terstruktur, termasuk email, tiket dukungan, log, dan arsip. Langkah 6: susun salinan data. Langkah 7: terapkan pengecualian. Langkah 8: kirim melalui kanal aman. Langkah 9: tutup tiket dan simpan bukti.

Untuk organisasi yang juga memproduksi mesin atau produk dengan CE marking, dokumentasi teknis dan data pelanggan dapat bersinggungan. Panduan EU Machinery Regulation 2023 1230 Guide dan EU Notified Body Involvement Guide membantu menyelaraskan alur informasi. Jika penilaian notified body diperlukan, EU Notified Body Involvement Checklist dapat dipakai sebagai rujukan. Untuk persyaratan yang lebih rinci, lihat EU Notified Body Involvement Requirements dan EU Machinery Regulation 2023 1230 Requirements.

Pengecualian, Redaksi, dan Data Pihak Ketiga

GDPR tidak memberikan hak akses yang absolut. Pasal 15(4) menyatakan hak akses tidak boleh merugikan hak dan kebebasan orang lain. Pengendali dapat meredaksi data pribadi pihak ketiga, rahasia dagang, atau informasi yang dilindungi hukum. Redaksi harus terdokumentasi. Jangan menghapus seluruh dokumen jika hanya sebagian kecil yang perlu diredaksi. Untuk data kesehatan, rahasia profesional, atau investigasi, rujuk dasar hukum nasional yang berlaku. Jika ragu, konsultasikan dengan penasihat hukum dan catat dasar keputusan.

Kesalahan Umum dan Kontrol Kepatuhan

Kesalahan umum: melewatkan tenggat, meminta data identitas berlebihan, tidak mencari di email, tidak mencatat perpanjangan, dan mengirim data tanpa enkripsi. Kontrol yang disarankan: daftar inventaris sistem data, templat tanggapan, log audit, pelatihan tahunan, dan uji coba DSAR. Standar ISO/IEC 27001 dapat membantu kontrol keamanan informasi, tetapi tidak menggantikan kewajiban GDPR. Lakukan uji sampel setiap kuartal dan tinjau metrik seperti waktu tanggapan rata-rata, tingkat perpanjangan, dan jumlah keluhan.

Dokumentasi, Audit, dan Pelatihan

Dokumentasi minimum: permintaan asli, bukti identitas, catatan verifikasi, log pencarian, daftar pengecualian, salinan tanggapan, dan bukti pengiriman. Simpan sesuai jadwal retensi. Audit internal harus memeriksa ketepatan waktu, kelengkapan, dan konsistensi redaksi. Pelatihan untuk tim dukungan, pemasaran, dan SDM penting karena mereka sering menerima permintaan pertama. Dengan menjalankan GDPR data subject access request checklist secara konsisten, organisasi dapat mengurangi risiko keluhan ke otoritas pengawas.