Apa yang dimaksud dengan Perjanjian Pemrosesan Data (DPA)?​​ 

Hal-hal penting yang dapat diambil​​ 

• Apa itu DPA: Perjanjian pemrosesan data (DPA) mendefinisikan bagaimana pengendali dan pemroses menangani data pribadi, termasuk keamanan, kerahasiaan, dan peran masing-masing pihak.​​ 
• Ketika DPA diperlukan: Perusahaan membutuhkan DPA ketika penyedia pihak ketiga memproses data pribadi atas nama mereka.​​ 
• Mengapa DPA itu penting: DPA membantu perusahaan menetapkan ekspektasi untuk hubungan pemrosesan data.​​ 
• Pertimbangan kepatuhan: Perusahaan global perlu mempertimbangkan undang-undang privasi, termasuk persyaratan Peraturan Pelindungan Data Umum, saat mengelola hubungan dengan penyedia layanan pihak ketiga yang memproses data pribadi​​ 

Seiring perusahaan Anda berkembang ke pasar baru, kemungkinan Anda akan bekerja dengan semakin banyak penyedia pihak ketiga yang mendukung operasi Anda. Hubungan ini melibatkan akses ke data pribadi, jadi penting untuk memahami:​​ 

• • siapa yang dapat mengakses informasi tersebut​​ 
  • bagaimana pihak ketiga memprosesnya​​ 
  • perlindungan apa saja yang ada untuk melindunginya​​ 

Perjanjian pemrosesan data (DPA) membantu menetapkan harapan antara pengendali data dan pemroses. Kontrak hukum dan mengikat ini menguraikan bagaimana para pihak menangani data pribadi, termasuk cakupan pemrosesan, langkah-langkah keamanan, dan kewajiban yang harus diikuti oleh masing-masing pihak.​​ 

Sementara banyak yang mengaitkan DPA dengan Peraturan Perlindungan Data Umum (GDPR) Uni Eropa, undang-undang privasi lain di seluruh dunia dapat mencakup persyaratan serupa untuk melindungi dan mengelola data pribadi. Memahami kapan Anda membutuhkan DPA dapat membantu perusahaan Anda membangun strategi perlindungan data yang lebih kuat dan mendukung kewajiban privasi Anda di wilayah tempat Anda beroperasi. Dalam panduan ini, Anda akan mempelajari apa itu DPA, apa yang terlibat, kapan Anda membutuhkannya, dan lainnya.​​ 

Apa itu perjanjian pemrosesan data?​​ 

DPA adalah kontrak hukum antara pengendali data dan pemroses data yang menetapkan bagaimana data pribadi akan ditangani. Laporan ini menjelaskan tanggung jawab masing-masing pihak, termasuk:​​ 

• Jenis data pribadi yang dapat diakses oleh pemroses: DPA mengidentifikasi informasi yang terlibat dalam hubungan pemrosesan dan menentukan bagaimana pemroses dapat menggunakannya.​​ 
• Langkah-langkah keamanan yang harus diikuti oleh prosesor: Perjanjian dapat merinci persyaratan untuk melindungi data, seperti praktik kerahasiaan, kontrol akses, dan perlindungan lainnya.​​ 
• Tugas kedua belah pihak: DPA menetapkan harapan yang jelas bagi setiap pihak sepanjang hubungan pemrosesan, termasuk yang berkaitan dengan keamanan, kerahasiaan, dan kepatuhan.​​ 

Perusahaan menggunakan DPA saat bekerja dengan penyedia pihak ketiga yang memproses data pribadi atas nama mereka, mendukung berbagai operasi bisnis, dan membutuhkan akses ke informasi pribadi. Contohnya meliputi:​​ 

• TEKNOLOGI SUMBER DAYA MANUSIA: Platform SUMBER DAYA MANUSIA memproses informasi terkait anggota TIM, kandidat, dan aktivitas manajemen tenaga kerja.​​ 
• Manajemen email alih daya: Penyedia layanan email dapat memproses informasi kontak dan komunikasi.​​ 
• Akuntansi keuangan: Platform dan penyedia akuntansi dapat mengakses catatan keuangan, informasi karyawan, dan data bisnis lainnya sekaligus mendukung operasi keuangan.​​ 
• Pengumpulan data atau digitalisasi: Penyedia eksternal dapat membantu mengumpulkan, mengatur, atau mengonversi data ke dalam format digital yang lebih mudah diakses.​​ 
• Penyimpanan cloud: Penyedia cloud dapat menyimpan data pribadi dan cadangan bisnis atas nama perusahaan dan perlu mengikuti persyaratan keamanan yang disepakati untuk melindungi informasi tersebut.​​ 
• Dukungan penggajian: Penyedia penggajian memproses informasi sensitif pajak dan kompensasi yang diperlukan untuk mendukung pembayaran dan aktivitas terkait karyawan.​​ 
• Platform manajemen hubungan pelanggan (CRM): Penyedia CRM dapat memproses informasi pelanggan untuk mendukung penjualan, layanan, dan komunikasi.​​ 

DPA menciptakan pemahaman bersama tentang bagaimana aktivitas pemrosesan akan terjadi. Lembaga ini dapat mengidentifikasi cakupan hubungan, menetapkan persyaratan keamanan, dan memperjelas bagaimana setiap organisasi harus menghadapi kewajiban privasinya.​​ 

Mengapa DPA penting?​​ 

DPA membantu perusahaan lebih memahami bagaimana pihak-pihak berbagi data dan menetapkan akuntabilitas untuk melindunginya. Dengan menetapkan tanggung jawab sebelum hubungan kontroler/prosesor dimulai, perusahaan membangun fondasi yang lebih kuat untuk mengelola persyaratan privasi dan mengurangi ketidakpastian.​​  

DPA dapat membantu bisnis beroperasi lebih efisien saat mereka berekspansi lintas negara dengan menciptakan ekspektasi yang konsisten tentang bagaimana pihak ketiga menangani data pribadi. Alih-alih menggantikan kebijakan privasi dan kewajiban kepatuhan perusahaan yang lebih luas, DPA adalah salah satu bagian dari pendekatan yang lebih luas untuk melindungi data pribadi.​​ 

Bagaimana Peraturan Pelindungan Data Umum memengaruhi perjanjian pemrosesan data​​ 

Peraturan Pelindungan Data Umum Uni Eropa memberikan penekanan lebih besar pada DPA dengan menetapkan persyaratan khusus untuk perjanjian antara pengendali data dan pemroses data. Berdasarkan Pasal 28 Peraturan Pelindungan Data Umum, pengendali harus bekerja sama dengan pemroses yang memberikan jaminan yang cukup untuk melindungi data dan perlu membuat kontrak yang mengatur tanggung jawab kedua belah pihak.​​ 

Persyaratan ini berlaku ketika Peraturan Pelindungan Data Umum mencakup aktivitas pemrosesan. Meskipun Peraturan Pelindungan Data Umum berasal dari UE, hal ini juga dapat diterapkan pada skenario di mana perusahaan di luar UE memproses data pribadi individu di dalam wilayah tersebut.​​ 

Perjanjian pemrosesan data di panggung global​​ 

Peraturan Pelindungan Data Umum adalah salah satu kerangka kerja data privasi yang paling dikenal luas di dunia. Perusahaan juga perlu mempertimbangkan komitmen kontrak serupa saat bekerja dengan penyedia pihak ketiga yang memproses data pribadi, bahkan ketika mereka tidak beroperasi di dalam Uni Eropa. Hukum privasi berbeda-beda antar negara, dan kewajiban organisasi bergantung pada:​​ 

• • tempat operasinya​​ 
  • data yang diproses​​ 
  • layanan apa yang disediakan​​ 

Mengetahui kapan perusahaan Anda membutuhkan DPA dapat membantu Anda menciptakan proses yang lebih jelas untuk melindungi data pribadi dan mendukung kebutuhan privasi Anda di mana pun Anda beroperasi.​​ 

Kapan perjanjian pemrosesan data diperlukan?​​ 

DPA diperlukan setiap kali satu organisasi memproses data pribadi atas nama organisasi lain. Di bawah Peraturan Pelindungan Data Umum, perusahaan membutuhkan DPA ketika berbagi data pribadi menciptakan hubungan pengendali-prosesor. Dalam situasi ini, perjanjian membantu mendefinisikan:​​ 

• • bagaimana penyedia dapat menggunakan informasi​​ 
  • perlindungan apa saja yang berlaku​​ 
  • bagaimana kedua pihak harus mendekati pengaturan tersebut.​​ 

Beberapa contoh umum ketika perusahaan membutuhkan DPA antara lain menggunakan:​​ 

• • penyedia penggajian​​ 
  • sebuah platform SUMBER DAYA MANUSIA​​ 
  • penyimpanan cloud​​ 
  • vendor teknologi lain yang dapat memproses data karyawan, pelanggan, atau bisnis​​ 

DPA menetapkan ekspektasi yang jelas sebelum proses dimulai.​​ 

Kapan perjanjian pemrosesan data tidak diperlukan​​  

Tidak setiap hubungan yang melibatkan data pribadi memerlukan DPA. Skenario umum meliputi:​​ 

• Pengendali independen: Pihak ketiga independen dapat menentukan bagaimana dan mengapa mereka memproses data pribadi. Ini berarti mereka beroperasi dengan tanggung jawab privasi mereka sendiri, bukan bertindak sebagai pemroses.​​ 
• Penyedia layanan profesional: Beberapa penyedia, termasuk yang menawarkan layanan konsultasi hukum, akuntansi, dan keuangan, memiliki tanggung jawab kerahasiaan dan privasi yang terpisah berdasarkan sifat bisnis mereka.​​ 
• Hubungan akses data terbatas: Penyedia dapat mengakses data secara kebetulan tanpa memprosesnya atas nama organisasi lain.​​ 
• Otoritas publik dan badan regulasi: Perusahaan yang memproses data di bawah kewenangan hukum mereka sendiri tidak dapat beroperasi sebagai pemroses dan tidak memerlukan DPA.​​ 

Saat menentukan apakah Anda membutuhkan DPA, pertimbangkan:​​ 

• • siapa yang menentukan tujuan pemrosesan​​ 
  • siapa yang mengakses informasi​​ 
  • peran apa yang dimainkan setiap organisasi dalam hubungan​​ 

Memahami peran dalam perjanjian pemrosesan data​​ 

Dalam DPA, dua pihak memainkan peran yang berbeda: pengendali data dan pemroses data. Memahami perbedaan di antara keduanya dapat membantu Anda menentukan tugas masing-masing pihak ketika data pribadi berpindah antara dua perusahaan.​​ 

Apa itu pengendali data?​​ 

Pengendali data adalah organisasi yang menentukan mengapa dan bagaimana data diproses. Partai yang memutuskan:​​ 

• • informasi apa yang dikumpulkan​​ 
  • Mengapa ia mengumpulkannya​​ 
  • bagaimana prosesor dapat menggunakan data atas namanya​​ 

Misalkan perusahaan Anda bertindak sebagai pengendali data ketika mengumpulkan informasi pribadi dari pelanggan, anggota TIM, atau pihak lain untuk mendukung aktivitas bisnis. Jika Anda bekerja sama dengan penyedia pihak ketiga untuk memproses informasi tersebut, perusahaan Anda menentukan alasan penyedia tersebut memprosesnya.​​ 

Apa itu prosesor data?​​ 

Prosesor adalah organisasi yang memproses data pribadi atas nama pengendali. Dokumen ini tidak menentukan tujuan pemrosesan atau bagaimana data akan digunakan di luar instruksi pengendali. Harus mengikuti instruksi spesifik dari pengendali untuk pemrosesan.​​ 

Prosesor data dapat mencakup:​​  

• • penyedia teknologi​​ 
  • perusahaan layanan cloud​​ 
  • platform penggajian​​ 
  • vendor lain yang memproses data pribadi saat memberikan layanan​​ 

Pekerjaan mereka melibatkan mengikuti instruksi pemrosesan yang eksplisit sambil menjaga perlindungan yang sesuai.​​ 

Apa saja yang termasuk dalam perjanjian pemrosesan data?​​ 

DPA secara jelas mendefinisikan bagaimana perusahaan menangani data pribadi ketika seorang pengendali bekerja dengan prosesor. Detail pasti dapat berbeda tergantung pada undang-undang privasi yang berlaku. Sebagian besar DPA menangani area kunci terkait aktivitas pemrosesan data, langkah-langkah keamanan, dan tanggung jawab partai.​​ 

1. Detail tentang aktivitas pemrosesan data​​ 

DPA membantu kedua pihak memahami informasi apa yang termasuk dalam perjanjian dan bagaimana pemroses dapat menggunakannya. Perjanjian tersebut menjelaskan cakupan hubungan pemrosesan dan menentukan apa yang dapat dilakukan prosesor dengan data yang terlibat.​​ 

Rincian meliputi:​​ 

• • Jenis data pribadi yang dapat diproses​​ 
  • Kategori individu yang informasinya diproses​​ 
  • Tujuan dan sifat aktivitas pengolahan​​ 
  • Durasi keseluruhan hubungan pemrosesan​​ 
  • Instruksi yang jelas tentang bagaimana prosesor dapat menggunakan data​​ 
  • Persyaratan untuk mengembalikan atau menghapus data pribadi setelah hubungan berakhir.​​ 

Mendokumentasikan detail ini membantu perusahaan menetapkan ekspektasi sebelum proses dimulai. Para pihak dapat menggunakan detail tersebut sebagai titik acuan sepanjang hubungan.​​ 

2. Hak, tanggung jawab, dan instruksi pemrosesan​​ 

Perjanjian harus menguraikan apa yang harus dilakukan setiap pihak saat memproses data pribadi. Pengendali memberikan instruksi yang harus diikuti oleh prosesor. Pengolah harus melaksanakan aktivitas pemrosesan yang telah disepakati. DPA perlu menentukan bahwa pengendali, bukan prosesor, yang tetap mengendalikan data dan apa yang terjadi padanya.​​ 

DPA dapat menanganisi:​​  

• • Instruksi dari pengendali tentang bagaimana prosesor harus menggunakan data​​ 
  • Tanggung jawab prosesor saat melakukan aktivitas pemrosesan​​ 
  • Hak pengendali untuk mendapatkan informasi tentang aktivitas​​ 
  • Tugas masing-masing pihak terkait privasi, keamanan, dan kepatuhan​​ 

Jika disusun dengan benar, DPA dapat membantu kedua pihak memahami kewajiban masing-masing dan menghindari kebingungan.​​ 

3. Kerahasiaan dan keamanan​​ 

Ketentuan mengenai kerahasiaan dan langkah-langkah keamanan dapat menetapkan harapan untuk melindungi data pribadi. DPA harus menentukan ukuran apa yang akan digunakan oleh prosesor.​​ 

Tergantung pada layanan yang terlibat, langkah-langkah yang relevan dapat meliputi:​​ 

• • Menerapkan perjanjian kerahasiaan bagi individu yang mengakses data​​ 
  • Kontrol akses ketat yang membatasi siapa yang dapat melihat informasi​​ 
  • Praktik enkripsi data dan pseudonimisasi​​ 
  • Proses yang mendukung ketersediaan, ketahanan, dan pemulihan data​​ 
  • Tinjauan rutin dan pengujian keamanan​​ 

Langkah-langkah spesifik yang termasuk dalam DPA harus mencerminkan jenis informasi yang terlibat dan risiko yang terkait dengan aktivitas pemrosesan.​​ 

4. Persyaratan untuk subprosesor​​ 

Beberapa prosesor bekerja sama dengan penyedia lain untuk mendukung layanan mereka. Dikenal sebagai subprosesor, perusahaan-perusahaan ini mungkin perlu mengikuti persyaratan tambahan. DPA harus menyertakan instruksi untuk mengelola hubungan ini dan mencakup aturan tambahan yang berlaku ketika organisasi lain memproses data pribadi.​​ 

Ketentuan subprosesor mencakup:​​ 

• • Apakah prosesor memerlukan otorisasi sebelum berinteraksi dengan subprosesor​​ 
  • Kewajiban yang berlaku untuk subprosesor saat mereka memproses data​​ 
  • Bagaimana prosesor memantau kepatuhan subprosesor​​ 
  • Bagaimana prosesor mengkomunikasikan perubahan yang melibatkan subprosesor​​ 

Persyaratan yang jelas untuk subprosesor memberikan pengendali visibilitas lebih besar tentang bagaimana data pribadi bergerak di jaringan penyedia layanan yang lebih luas.​​ 

Dukungan untuk kewajiban privasi dan kepatuhan​​ 

Akhirnya, DPA perlu menjelaskan bagaimana prosesor dapat mendukung tanggung jawab privasi pengendali. Aktivitas prosesor yang berfokus pada dukungan dapat meliputi:​​ 

• • Membantu penilaian dampak perlindungan data​​  
  • Mendukung respons terhadap permintaan subjek data​​ 
  • Menyediakan informasi yang dibutuhkan untuk tinjauan kepatuhan dan audit​​ 
  • Membantu respons pelanggaran​​ 
  • Menyimpan catatan tentang aktivitas pemrosesan bila berlaku​​ 

Mendefinisikan detail ini sejak awal dapat membantu perusahaan merespons lebih cepat dan efektif jika muncul masalah privasi atau keamanan.​​ 

Apa yang terjadi setelah pelanggaran data di bawah Perjanjian Perlindungan Data (DPA)?​​ 

Jika pelanggaran data pribadi kemungkinan akan menimbulkan risiko terhadap hak dan kebebasan individu yang terdampak, perusahaan yang terlibat perlu mengambil tindakan spesifik dan segera. Perusahaan harus memberitahukan otoritas pengawas terkait dalam waktu 72 jam setelah mengetahui pelanggaran tersebut.​​ 

Jika pelanggaran tersebut menimbulkan risiko tinggi, perusahaan juga harus memberitahu individu-individu tersebut. Jika perusahaan sudah memiliki protokol pengurangan risiko teknis dan organisasi yang efektif, pemberitahuan tidak diperlukan.​​ 

Misalnya sebuah perusahaan menggunakan penyedia pihak ketiga untuk menyimpan informasi pelanggan. Jika penyedia (prosesor) mengalami insiden keamanan yang mengungkap data pribadi, penyedia perlu memberitahu perusahaan (pengendali) agar organisasi dapat mengevaluasi pelanggaran tersebut dan menentukan langkah selanjutnya yang tepat.​​  

Tergantung pada situasi, perusahaan perlu memberitahukan regulator, individu yang terdampak, atau keduanya. Respons dapat bergantung pada faktor-faktor seperti:​​ 

• • informasi yang terlibat​​ 
  • jumlah orang yang terdampak​​ 
  • perlindungan yang sudah ada​​ 

Apa risiko jika tidak memenuhi persyaratan DPA?​​ 

1. Ketika undang-undang privasi mewajibkan perusahaan memiliki perjanjian pemrosesan data, gagal membuatnya dapat menimbulkan risiko kepatuhan. Berdasarkan Peraturan Pelindungan Data Umum, pengendali dan pemroses dapat dikenai sanksi jika mereka tidak memenuhi kewajiban data perlindungan, termasuk persyaratan terkait perjanjian pengendali-pemroses.​​ 
2. Jika terjadi pelanggaran data dan regulator menemukan organisasi tidak patuh, mereka dapat mengambil tindakan penegakan hukum. Tindakan potensial dapat meliputi:​​ 
   
   • • Peringatan atau teguran formal​​ 
     • Pembatasan sementara atau permanen pada aktivitas pemrosesan data​​ 
     • Denda administratif hingga EUR 20 juta atau 4% dari total pengeluaran tahunan perusahaan di seluruh dunia keluar masuk karyawan, mana yang lebih tinggi​​ 
3. Konsekuensi spesifik tergantung pada sifat pelanggaran, dampaknya terhadap individu yang terdampak, dan respons organisasi. Bagaimanapun juga, ketidakpatuhan dapat menimbulkan tantangan operasional dan reputasi.​​ 

Mengelola DPA di berbagai vendor, yurisdiksi, dan tim internal dapat menciptakan tantangan administratif tambahan bagi perusahaan yang sedang berkembang.​​ 

Tanpa pengawasan yang jelas, banyak yang kesulitan mengidentifikasi celah dalam praktik perlindungan data mereka dan merespons dengan cepat ketika masalah privasi muncul.​​ 

Menetapkan pendekatan terstruktur terhadap perjanjian pemrosesan data dapat membantu bisnis meningkatkan visibilitas, tetap konsisten, dan mendukung pertumbuhan yang bertanggung jawab lintas batas.​​ 

Bangun tim global dengan G-P​​ 

Saat membangun tim internasional, privasi data adalah pertimbangan penting. Bekerjalah dengan G-P untuk mendukung kebutuhan pekerjaan lintas batas Anda. Platform™ Global Employment kami membantu perusahaan mempekerjakan, onboarding, mengelola, dan membayar profesional di seluruh dunia saat menghadapi persyaratan ketenagakerjaan.​​  

Memiliki proses dan keahlian yang tepat dapat membantu organisasi Anda mengelola pertimbangan privasi data seiring pertumbuhan Anda. Sebagai Employer of Record global, G-P membantu Anda mempekerjakan dan membayar talenta di negara 180+ tanpa harus membentuk entitas lokal. Kami sangat serius dalam menjaga privasi data, membantu bisnis seperti milik Anda mendukung proses ketenagakerjaan internasional dan mengelola kebutuhan tenaga kerja lokal.​​ 

Di G-P, kami membantu Anda menyederhanakan proses perekrutan dengan menggabungkan teknologi dan keahlian manusia. Dengan Platform™ Global Employment kami, Anda dapat mempekerjakan dan onboarding anggota TIM baru Anda dengan lebih efisien, menghemat waktu dan menyederhanakan pendekatan Anda terhadap pertumbuhan.​​ 

Ajukan proposal hari ini, atau hubungi kami untuk mengetahui bagaimana G-P dapat mendukung strategi perekrutan global Anda.​​ 

Tanya Jawab Umum​​