Ada empat kewajiban data protection officer.
Praktisi dan pakar hukum siber, Danrivanto Budhijanto dan Presiden ICCA, Seradesy Sumardi dalam acara Hukumonline Subscribers MeetUp bertema Peran DPO sebagai Kesiapan Perusahaan Jelang Pemberlakuan UU PDP di Jakarta, Senin (20/5/2024). Foto: RES
Profesi petugas pelindungan data pribadi (PDP) atau data protection officer (DPO) merupakan amanat yang diwajibkan dalam UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (PDP). Apalagi UU 27/2022 bakal berlaku pada Oktober 2024 mendatang. Secara umum, profesi ini bertugas mengawasi lembaga, di mana mereka bekerja agar lembaga tersebut mematuhi ketentuan peraturan perundangan pelindungan data pribadi.
Praktisi dan pakar hukum siber, Danrivanto Budhijanto menjelaskan perkembangan teknologi informasi tidak bisa dilepaskan dalam aktivitas manusia termasuk pada kegiatan bisnis. Dalam kondisi tersebut, penggunaan data pribadi seseorang menjadi bagian penting dalam teknologi informasi. Dia menyampaikan data pribadi menjadi penting untuk dijaga, karena memiliki nilai ekonomi yang ingin dimanfaatkan berbagai pihak.
“Tidak mungkin kita bicara data pribadi kalau tidak ada urusan ekonominya. Mereka ada algoritma sendiri yang laku dijual,” ujar Danrivanto dalam acara Hukumonline Subscribers MeetUp dengan topik ‘Peran DPO sebagai Kesiapan Perusahaan Jelang Pemberlakuan UU PDP’ di Jakarta, Senin (20/5/2024).
Danrivanto menyampaikan DPO berperan menjadi penghubung antara pemilik dengan pengendali serta pemroses data pribadi. Dengan demikian, DPO bertanggung jawab terhadap nilai ekonomis atau business value dari data pribadi.
“Jadi, di satu sisi data pribadi dilindungi sebagai hak asasi, tapi juga arahnya ekonomikal,” kata Danrivanto yang turut membagi-bagikan buku kepada peserta yang hadir dalam Hukumonline Subscribers MeetUp tersebut.
Danrivanto Budhijanto saat memaparkan peran DPO di depan audience. Foto: RES
Dia memaparkan, setidaknya terdapat empat kewajiban DPO. Pertama, menginformasikan dan memberikan saran kepada pengendali atau prosesor data pribadi agar mematuhi UU. Kedua, memantau dan memastikan kepatuhan terhadap UU dan kebijakan pengendali dan prosesor data pribadi.
Ketiga, memberikan saran mengenai penilaian dampak pelindungan data pribadi dan memantau kinerja pengendali dan prosesor data. Keempat, berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan data pribadi.
Ketua Departemen Hukum Teknologi Informasi dan Kekayaan Intelektual Fakultas Hukum Universitas Padjajaran itu menuturkan, DPO ditunjuk berdasarkan profesionalitas, pengetahuan mengenai hukum, praktik pelindungan data pribadi, dan kemampuan untuk memenuhi tugas-tugasnya. DPO juga dapat berasal dari dalam maupun luar pengendali atau prosesor data pribadi.
Di tempat yang sama, Presiden Indonesia Corporate Counsel Association (ICCA), Seradesy Sumardi mengatakan DPO merupakan profesi yang memiliki tanggung jawab besar dalam pelindungan data pribadi. Untuk itu, petugas yang ditunjuk menjadi DPO harus memahami UU PDP beserta UU terkait dan aturan pelaksananya.
Seradessy menegaskan pentingnya pembuatan konsen atau persetujuan penggunaan data pribadi secara eksplisit sehingga dapat dipahami para pihak khususnya pemilik data. Baginya, personal data tidaklah main-main. Terlebih lagi bicara soal biometrik, kesehatan harus ada spesifik proses.
“Intinya compliance,” ujarnya.
Strategi melaksanakan PDP
Perempuan berhijab yang juga menjabat Chief Legal Counsel L’Oreal itu menyampaikan terdapat strategi untuk melaksanakan pelindungan data pribadi agar berjalan efektif. Pertama, perusahaan perlu membentuk tim DPO yang kompeten dengan melibatkan divisi komersial.
Saradessy menjelaskan soal pentingnya membuat persetujuan penggunaan data pribadi secara eksplisit sehingga dapat dipahami para pihak khususnya pemilik data. Foto: RES
Dia menyarankan memilih ‘duta’ perubahan yang akan mendukung dari tim komersial, controller purchasing, digital, dan lainnya. Selanjutnya, perusahaan melalui tim DPO tersebut membuat kebijakan internal berdasarkan ketentuan yang berlaku. Agar memiliki kekuatan dalam menjalankan pelindungan data pribadi, perusahaan memilih DPO yang memiliki wewenang setara dengan level dan memiliki akses langsung ke manajemen.
Kedua, perusahaan juga perlu membuat program yang dapat diimplementasikan berdasarkan jenis kegiatan usaha organisasi atau perusahaan. Ketiga, bagi perusahaan yang baru memulai perjalanan menuju kepatuhan PDP dapat menunjuk konsultan hukum dengan memiliki kompetensi untuk memberikan nasihat hukum dan tempat berdiskusi membangun ketentuan internal.
Berdasarkan Keputusan Menteri Ketenagakerjaan (Kepmenaker) No.103 Tahun 2023 tentang Penetapan Standar Kompetensi Kerja Nasional Indonesia Kategori Informasi Dan Komunikasi Golongan Pokok Aktivitas Pemrograman, Konsultasi Komputer Dan Kegiatan Yang Berhubungan Dengan Itu Bidang Keahlian Pelindungan Data Pribadi, terdapat syarat penunjukan dan kompetensi profesi DPO.
Syarat penunjukan DPO, yaitu pejabat atau petugas tersebut harus ditunjuk berdasarkan kualitas profesional. Kemudian pengetahuan mengenai hukum dan praktik PDP, dan kemampuan untuk memenuhi tugas-tugasnya yang dibuktikan melalui sertifikasi terhadap kompetensi dan pengalaman kerja.
Sedangkan kompetensi seorang DPO, yaitu memiliki kompetensi merencanakan program, mengelola program, menjaga keberlangsungan program, serta merespons permintaan informasi serta insiden data pribadi secara mendalam. Dengan demikian, dapat dipertanggungjawabkan secara ilmiah dan hukum.