GDPR Data Subject Access Request Requirements: Panduan Praktis Kepatuhan EU

Dasar Hukum dan Ruang Lingkup

Pasal 15 GDPR (Regulation (EU) 2016/679) memberi subjek data hak memperoleh konfirmasi apakah data pribadinya diproses, dan bila ya, akses terhadap data tersebut beserta informasi pendukungnya. Kewajiban ini mengikat setiap pengendali yang memproses data pribadi individu di UNI Eropa, termasuk perusahaan di luar EU yang menawarkan barang atau jasa kepada mereka atau memantau perilaku mereka.

Dalam praktik, GDPR data subject access request requirements berfungsi sebagai prosedur internal: siapa yang menerima permintaan, bagaimana identitas diverifikasi, bagian mana yang boleh disunting, dan bagaimana jawaban diarsipkan. Otoritas pengawas menilai kepatuhan dari bukti proses, bukan hanya dari isi surat balasan.

Ruang lingkupnya luas. Permintaan dapat masuk melalui email, surat, formulir web, atau akun media sosial perusahaan. Tidak ada format baku yang wajib dipenuhi pemohon; permintaan lisan pun sah, meski pengendali dianjurkan mendokumentasikannya secara tertulis. Permintaan dari karyawan, pelanggan, dan mantan karyawan mengikuti aturan yang sama.

Isi Tanggapan yang Wajib

Informasi yang harus disertakan

Pasal 15(1) mencantumkan daftar informasi yang harus diberikan: tujuan pemrosesan; kategori data pribadi; penerima atau kategori penerima; rencana retensi atau kriteria penentuannya; keberadaan hak koreksi, penghapusan, pembatasan, dan keberatan; hak mengajukan keluhan ke otoritas pengawas; sumber data jika tidak dikumpulkan dari subjek data; serta keberadaan pengambilan keputusan otomatis termasuk profiling beserta logikanya.

Salinan data dan batas biaya

Pasal 15(3) mewajibkan pemberian salinan data pribadi yang diproses. Salinan pertama harus gratis. Bila permintaan berulang dan jelas tidak berdasar atau berlebihan, pengendali dapat mengenakan biaya administratif yang wajar atau menolak, dengan beban pembuktian berada pada pengendali. Jika permintaan diajukan secara elektronik, jawaban sebaiknya diberikan dalam format elektronik yang umum digunakan, kecuali diminta lain.

Alur Operasional dan Tenggat Waktu

Tenggat umum adalah satu bulan sejak permintaan diterima, dihitung dalam hari kalender. Bila permintaan kompleks atau volumenya besar, tenggat dapat diperpanjang maksimal dua bulan tambahan, dengan pemberitahuan kepada pemohon pada bulan pertama disertai alasan yang jelas.

Verifikasi identitas

Pengendali boleh meminta informasi tambahan untuk memastikan identitas, tetapi tidak boleh mengumpulkan data yang tidak perlu hanya untuk keperluan itu. Verifikasi harus proporsional terhadap risiko, misalnya mencocokkan alamat email terdaftar atau nomor pelanggan.

Koordinasi lintas fungsi

Tim hukum, keamanan informasi, dan pemilik sistem data perlu bekerja bersama menelusuri data di CRM, basis data HR, log sistem, arsip email, dan sistem prosesor pihak ketiga. Untuk organisasi yang juga menjalankan penilaian kesesuaian produk, pola pencatatan bukti ini dapat disatukan dengan proses yang sudah ada; lihat EU Notified Body Involvement Guide dan EU Notified Body Involvement Checklist sebagai contoh kerangka dokumentasi.

Pengecualian dan Pembatasan

Hak akses tidak bersifat absolut. Pasal 15 dapat dibatasi bila bertentangan dengan hak dan kebebasan orang lain, termasuk rahasia dagang, kekayaan intelektual, dan kerahasiaan komunikasi. Negara anggota dapat menetapkan pembatasan tambahan melalui Pasal 23 GDPR, misalnya untuk pencegahan kejahatan atau kepentingan fiskal.

Perlu ditegaskan: kerahasiaan dagang bukan alasan otomatis untuk menolak seluruh permintaan. Praktik yang lazim adalah menyunting bagian tertentu sambil tetap memberikan substansi data. Hal serupa berlaku untuk data pihak ketiga yang tercampur dalam berkas yang sama.

Dokumentasi dan Integrasi dengan Sistem Manajemen

Setiap permintaan sebaiknya dicatat dalam register: tanggal diterima, identitas pemohon, dasar verifikasi, tenggat, tindakan yang diambil, dan hasilnya. Register ini menjadi bukti akuntabilitas sesuai Pasal 5(2) dan memudahkan penyusunan laporan saat ada audit atau keluhan.

Organisasi yang sudah memiliki sistem manajemen mutu ISO 9001 atau sistem manajemen keamanan informasi ISO/IEC 27001 dapat memetakan prosedur ini ke pengendalian yang ada, misalnya pengendalian dokumen dan penanganan ketidaksesuaian. Untuk perusahaan manufaktur yang memasarkan mesin di EU, kewajiban dokumentasi teknis di bawah EU Machinery Regulation 2023 1230 Guide dan EU Machinery Regulation 2023 1230 Requirements dapat dikelola dengan kerangka arsip yang sama, sehingga retensi bukti GDPR dan retensi berkas teknis tidak saling bertabrakan.

Dengan kata lain, GDPR data subject access request requirements bukan proyek sekali jalan, melainkan pengendalian berulang yang perlu diuji secara berkala, misalnya melalui latihan permintaan simulasi.

Kesalahan Umum dan Checklist Praktis

Kesalahan yang paling sering ditemukan: melewati tenggat tanpa pemberitahuan perpanjangan; mengirim data pribadi pihak ketiga tanpa penyuntingan; menolak permintaan karena formatnya tidak sesuai template internal; serta tidak mendokumentasikan langkah verifikasi identitas.

Checklist ringkas untuk memenuhi GDPR data subject access request requirements:

• Catat tanggal penerimaan dan mulai hitung tenggat satu bulan.
• Verifikasi identitas secara proporsional dan simpan buktinya.
• Telusuri seluruh sistem, termasuk prosesor pihak ketiga.
• Susun tanggapan dengan daftar informasi Pasal 15(1) dan salinan data.
• Sunting data pihak ketiga dan rahasia dagang seperlunya.
• Kirim dalam format yang diminta bila memungkinkan.
• Arsipkan bukti proses dan alasan setiap keputusan.

Menjalankan prosedur ini secara konsisten lebih penting daripada menyempurnakan template. Audit dan keluhan umumnya berfokus pada apakah permintaan ditangani tepat waktu, proporsional, dan terdokumentasi.