Sebuah bank menunjuk vendor untuk membuka gerai di pusat perbelanjaan. Tugasnya jelas: menawarkan produk, mencatat data calon nasabah yang tertarik, lalu memasukkannya ke sistem bank. Beberapa bulan kemudian data itu muncul di tempat lain. Pertanyaan pertama yang biasanya keluar di ruang rapat: ini urusan vendor, bukan?
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi menjawabnya lewat pembagian peran, bukan lewat siapa yang menandatangani kontrak.
Dua peran, dan yang menentukan adalah kenyataannya
Pasal 1 angka 4 mendefinisikan Pengendali Data Pribadi sebagai pihak yang menentukan tujuan dan melakukan kendali pemrosesan. Pasal 1 angka 5 mendefinisikan Prosesor Data Pribadi sebagai pihak yang memproses data atas nama pengendali. Bank pada contoh tadi adalah pengendali, karena dialah yang menentukan untuk apa data dikumpulkan. Vendornya adalah prosesor.
Peran itu melekat pada siapa yang menentukan tujuan, bukan pada sebutan di dokumen kerja sama. Menamai sebuah pihak sebagai mitra atau agen tidak mengubah posisinya di mata undang-undang.
Aturan yang sering mengejutkan
Pasal 51 ayat (1) mewajibkan prosesor memproses data berdasarkan perintah pengendali. Yang jarang dibaca sampai habis adalah ayat (3): pemrosesan yang dilakukan sesuai perintah itu termasuk dalam tanggung jawab pengendali. Menunjuk vendor karena itu tidak memindahkan tanggung jawab ke luar. Selama vendor bekerja di dalam perintah, yang menanggung tetap pihak yang memberi perintah.
Tanggung jawab baru berpindah pada satu kondisi, dan Pasal 51 ayat (6) menyebutnya tegas: ketika prosesor memproses data di luar perintah dan tujuan yang ditetapkan pengendali, pemrosesan itu menjadi tanggung jawab prosesor. Pada contoh tadi, mencatat data calon nasabah masih di dalam perintah. Memakai daftar yang sama untuk menawarkan produk pihak lain sudah di luar.
Ada satu kewajiban yang mudah terlewat. Pasal 51 ayat (4) memperbolehkan prosesor melibatkan prosesor lain, tetapi ayat (5) mewajibkan persetujuan tertulis dari pengendali sebelum itu dilakukan. Vendor yang mengalihkan pekerjaan input data ke pihak ketiga tanpa persetujuan tertulis melanggar ayat ini, bukan sekadar melanggar kontrak.
Ingin mendalaminya lebih terstruktur? Taalenta punya kelas Mastering Indonesian Privacy Law (UU PDP): Achieve Compliance with ISO 27001 Best Practices.
Kewajiban yang ikut menempel ke vendor
Pasal 52 menyatakan kewajiban pengendali dalam Pasal 29, 31, 35, 36, 37, 38, dan 39 berlaku juga terhadap prosesor. Berurutan isinya: memastikan akurasi data (29), merekam seluruh kegiatan pemrosesan (31), menerapkan langkah teknis pengamanan (35), menjaga kerahasiaan (36), mengawasi setiap pihak yang terlibat (37), melindungi data dari pemrosesan tidak sah (38), dan mencegah akses tidak sah (39).
Perhatikan Pasal 31. Catatan kegiatan pemrosesan bukan dokumen sukarela, dan kewajiban itu berdiri di kedua sisi.
Angka dan tenggat yang perlu dicatat
- 3 x 24 jam. Pasal 46 ayat (1): bila terjadi kegagalan pelindungan data pribadi, pengendali wajib memberitahu subjek data dan lembaga secara tertulis paling lambat 3 x 24 jam. Kewajiban ini ada pada pengendali dan tidak diteruskan ke prosesor oleh Pasal 52. Justru karena itu perjanjian vendor perlu memuat tenggat pemberitahuan yang lebih pendek, supaya pengendali masih sempat memenuhi tenggatnya sendiri.
- Dua persen. Pasal 57 ayat (3): denda administratif paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Pelanggaran Pasal 51 ayat (1) dan ayat (5) serta Pasal 52 termasuk yang dikenai sanksi administratif.
- Lima tahun dan Rp 5 miliar. Ancaman pidana pada Pasal 67 ayat (1) dan ayat (3) untuk memperoleh atau menggunakan data pribadi yang bukan miliknya secara melawan hukum. Untuk korporasi, Pasal 70 ayat (3) menaikkan pidana denda sampai 10 kali dari ancaman maksimalnya.
- 16 Januari 2027. Peraturan Pemerintah Nomor 33 Tahun 2026, aturan pelaksana UU PDP, ditetapkan 16 Juli 2026 dan berlaku enam bulan sesudah diundangkan. Masa penyesuaiannya sedang berjalan sekarang.
Masa transisi undang-undangnya sendiri sudah lama tutup. Pasal 74 memberi waktu dua tahun sejak UU PDP diundangkan pada 17 Oktober 2022.
Yang bisa dikerjakan minggu ini
Tulis tujuan dan batas perintah secara eksplisit di perjanjian. Larang pemakaian data untuk kepentingan vendor sendiri. Wajibkan persetujuan tertulis sebelum vendor menggandeng pihak lain. Tetapkan tenggat pemberitahuan insiden yang lebih pendek daripada 3 x 24 jam. Atur pengembalian atau pemusnahan data ketika kerja sama berakhir, dan simpan catatan pemrosesan di kedua sisi sejak hari pertama.
Kalau lebih enak melihat penjelasan kasus vendor ini langsung, ada klipnya di taalenta.id/video/pso-vendor-yang-anda-tunjuk-boleh-mengumpulkan-data-customer.
Sumber
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, JDIH BPK RI
- Undang-Undang Nomor 27 Tahun 2022, JDIH Kementerian Komunikasi dan Digital
- PP Pelindungan Data Pribadi Berlaku Januari 2027, Ini Aturan Baru Data Anak, Katadata, 3 September 2026
- Aturan Turunan UU PDP: Persetujuan Data Konsumen Lebih Ketat, Bisnis.com, 29 Agustus 2026