Urgensi Pengaturan Sertifikasi Data Protection Officer di Indonesia
“Tanpa adanya aturan terkait sertifikasi DPO akan berpotensi munculnya banyak lembaga sertifikasi yang menetapkan standar penilaian DPO masing-masing.”
Indonesia telah dihadapi dengan kasus kebocoran 1,3 juta data pribadi pengguna e-HAC sebuah aplikasi yang berada di bawah pengawasan Kementerian Kesehatan. Sebelumnya juga kebocoran data pribadi dihadapi oleh beberapa perusahaan e-commerce. Data-data tersebut diretas dan dalam beberapa kasus data-data pribadi tersebut dijual dengan tingkat harga tertentu.
Menghadapi sederet kasus kebocoran data dan penggunaan data pribadi secara tidak bertanggung jawab, Pemerintah Indonesia saat ini tengah menggodok Rancangan Undang-Undang Pelindungan Data Pribadi (RUU PDP). Rencananya RUU yang telah dibahas selama 7 tahun tersebut ditargetkan untuk selesai pada November 2021.
Menyontek dari undang-undang data pribadi Uni Eropa, General Data Protection Regulation (GDPR), RUU PDP mewajibkan tiap lembaga pemroses data pribadi untuk memiliki Pejabat atau Petugas Yang Melaksanakan Fungsi Pelindungan Data Pribadi atau Data Protection Officer (DPO).
Dengan adanya kewajiban untuk menunjuk DPO, diprediksikan bahwa kedepannya terdapat peluang profesi baru di Indonesia dengan tingkat peminatannya sangat tinggi. Sama seperti halnya ketika GDPR baru disahkan, terdapat peningkatan sekitar 75 (tujuh puluh lima) ribu peminatan profesi DPO.
Prediksi tersebut menimbulkan banyak badan atau lembaga yang telah membuka sertifikasi DPO. Maka dari itu Eryck Budi Utama pakar atau ahli dalam bidang DPO menilai bahwa adalah hal yang sangat penting bagi Pemerintah untuk membuat peraturan untuk mencegah adanya badan-badan sertifikasi DPO ilegal dan mekanisme sertifikasi DPO.
“Menurut saya, sangat penting Pemerintah dan/atau Lembaga Pengawas Perlindungan Data Pribadi mengatur kompetensi dasar yang harus dimiliki oleh DPO dan mengatur mekanisme sertifikasi DPO,” ucapnya kepada Kliklegal.
Sertifikasi DPO
Banyaknya kualifikasi dan kemampuan yang harus dimiliki oleh DPO membuat Perusahaan pemroses data pribadi tidak dapat menunjuk DPO secara sembarangan.
DPO yang terlatih dan bersertifikat dapat memberikan perusahaan kepercayaan bahwa DPO tersebut dapat memenuhi tugasnya secara bertanggung jawab.
Sertifikasi bertujuan untuk memberikan kepastian dan kepercayaan bagi Perusahaan pemroses data pribadi bahwa orang tersebut telah lulus pelatihan dan memenuhi standar-standar yang harus dimiliki oleh DPO.
Selain itu, adanya DPO yang tersertifikasi dapat membantu negara untuk menegakkan efektivitas kepatuhan masyarakat maupun perusahaan pemroses data pribadi terhadap UU PDP.
Banyaknya kualifikasi dan kemampuan yang harus dimiliki oleh DPO mendorong banyak pihak untuk mendirikan badan atau lembaga sertifikasi DPO.
RUU PDP tidak mengatur secara eksplisit terkait dengan badan atau lembaga seperti apakah yang berwenang untuk memberikan sertifikasi DPO.
Hal itu berpotensi untuk menimbulkan suatu permasalahan baru, yakni banyaknya lembaga ilegal yang mengklaim dirinya adalah lembaga yang berwenang untuk mengeluarkan penilaian dan sertifikasi DPO.
Selain itu, apabila tidak adanya aturan terkait sertifikasi DPO, hal ini berpotensi menimbulkan banyak lembaga sertifikasi yang menetapkan standar penilaian DPO masing-masing.
Menurut Eryk, Pemerintah dan/atau Lembaga Pengawas Pelindungan Data Pribadi wajib untuk mengatur mekanisme sertifikasi DPO.
“Mengingat di RUU PDP tidak ada pasal yang menjelaskan secara eksplisit terkait hal tersebut, maka menurut opini saya pribadi Lembaga Pengawas dapat mengeluarkan sertifikasi DPO. Dalam implementasinya, Lembaga Pengawas dapat bekerja sama dengan Lembaga Sertifikasi Profesi (LSP) yang resmi terdaftar,” lanjut Eryk.
Lebih lanjut, hemat Eryk, untuk menentukan mekanisme sertifikasinya Lembaga Pengawas bersama Lembaga Sertifikasi Profesi dapat melakukan Forum Group Discussion (FGD).
Mekanisme sertifikasi yang dimaksud seperti misalnya persyaratan pengajuan DPO, uji kompetensi, dan perpanjangan tanda daftar DPO di Lembaga Pengawas.
“Adapun badan yang berwenang untuk mengeluarkan sertifikasi DPO adalah Lembaga Sertifikasi Profesi yang terdaftar secara resmi di Badan Nasional Sertifikasi Profesi,” tutup Eryk.
Pengaturan DPO dalam RUU PDP
RUU PDP menyebut DPO sebagai Pejabat atau Petugas Yang Melaksanakan Fungsi Pelindungan Data Pribadi.
Dalam penjelasan Pasal 45 Ayat 1 RUU PDP, dijelaskan bahwa pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi adalah pejabat atau petugas yang bertanggung jawab untuk memastikan pemenuhan kepatuhan atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran pelindungan Data Pribadi.
Pasal 46 RUU PDP menjabarkan tugas-tugas dari menunjuk Pejabat atau Petugas Yang Melaksanakan Fungsi Pelindungan Data Pribadi yaitu:
- menginformasikan dan memberikan saran untuk Pengendali Data Pribadi atau Prosesor Data Pribadi agar mematuhi ketentuan dalam Undang-Undang ini;
- memantau dan memastikan kepatuhan terhadap Undang-Undang ini dan kebijakan Pengendali Data Pribadi atau Prosesor Data Pribadi, termasuk penugasan, tanggung jawab, peningkatan kesadaran dan pelatihan pihak yang terlibat dalam pemrosesan Data Pribadi, dan audit terkait;
- memberikan saran mengenai penilaian dampak pelindungan Data Pribadi dan memantau kinerja Pengendali Data Pribadi dan Prosesor Data Pribadi; dan
- berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan Data Pribadi, termasuk melakukan konsultasi mengenai mitigasi risiko dan/atau hal lainnya.
RUU PDP mengatur bahwa dalam hal tertentu setiap Pengendali dan Prosesor Data Pribadi wajib untuk menunjuk seorang DPO. Hal tertentu yang dimaksud dalam RUU PDP yakni:
- pemrosesan Data Pribadi untuk kepentingan pelayanan publik;
- kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan
- kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana.
Tiga keadaan tersebut juga diadopsi dari Pasal 37 ayat 1 GDPR.
Kualifikasi DPO
Tidak sembarang orang dapat ditunjuk untuk menjadi DPO. Pasal 45 Ayat 3 RUU PDP menjabarkan standar yang harus dimiliki oleh DPO yakni:
“Pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) harus ditunjuk berdasarkan kualitas profesional, pengetahuan mengenai hukum dan praktik pelindungan Data Pribadi, dan kemampuan untuk memenuhi tugas-tugasnya.”
RUU PDP tidak menjabarkan dengan detil seperti apa kualitas profesional DPO yang diharapkan.
Namun Indonesia dapat mengacu kepada Article 29 Working Party (WP29). WP29 adalah sebuah badan penasehat independen Uni Eropa untuk Pelindungan Data dan Privasi yang terdiri dari perwakilan tiap negara anggota Uni Eropa, the European Data Protection Supervisor dan Komisi Eropa.
WP29 telah membuat sebuah panduan untuk melengkapi GDPR, mengingat GDPR juga tidak merinci kualifikasi apa saja yang harus dimiliki seorang DPO. Dikarenakan WP29 hanya berbentuk panduan, maka sifatnya tidak mengikat dan tidak wajib.
Dalam panduan WP29 menjabarkan kemampuan profesional yang harus dimiliki oleh DPO, yaitu seperti memahami kultur organisasi, kemampuan kepemimpinan, kemampuan komunikasi yang baik, memiliki kredibilitas dan tidak memiliki atau tidak sedang terlibat dalam konflik kepentingan.
Eryk juga telah merangkum dari berbagai sumber dan menurutnya berikut adalah kompetensi yang harus dimiliki oleh DPO:
- Dapat melakukan pemetaan kebutuhan regulasi-regulasi yang terkait pelindungan data pribadi
- Dapat mengidentifikasi legal basis dari sebuah aktivitas pemrosesan data pribadi
- Dapat melakukan penilaian legitimate interest jika organisasi menggunakan itu sebagai landasan hukum untuk aktivitas pemrosesan tertentu
- Dapat menyusun prosedur dalam menangani permintaan akses subyek data / data subject access request (DSAR)
- Dapat menilai dan menentukan akses terhadap permintaan data dalam konteks untuk menjawab hak-hak subyek data yang diatur dalam regulasi pelindungan data /privasi
- Dapat menyusun kebijakan perlindungan data / privasi
- Dapat melakukan audit terhadap implementasi perlindungan data / privasi
- Dapat melakukan penilaian risiko terhadap aktivitas pemrosesan data pribadi
- Dapat menyusun prosedur privacy by design and default
- Dapat menentukan kriteria dan melakukan data protection impact assessment (DPIA)
- Dapat melakukan komunikasi yang baik dengan lembaga pengawas
- Dapat menyusun dan memberikan materi training dan awareness
Menyambut kedatangan UU PDP, Perusahaan harus mempersiapkan sumber daya manusianya yang berkompeten dalam bidang pelindungan data pribadi.
Selain itu, dengan prediksi kebutuhan DPO akan tinggi pasca UU PDP diundangkan, maka sertifikasi DPO juga harus diatur baik oleh Pemerintah untuk melindungi masyarakat maupun perusahaan dari permasalahan yang akan timbul. Dengan adanya aturan, maka akan tercapai kepastian hukum.
NR
