DPIA Kapan Wajib dalam UU PDP? Panduan Penilaian Dampak Pelindungan Data

Luncurkan fitur skor kredit berbasis AI tanpa DPIA = risiko tinggi + Lembaga PDP bisa suruh hentikan pemrosesan.

Kapan DPIA Wajib? (interpretasi Pasal 35-36 + best practice GDPR)

Wajib jika risiko tinggi terhadap hak subjek, terutama:

  • Data spesifik skala besar (kesehatan, biometrik, finansial, 100k+ subjek)
  • Pemantauan sistematis wilayah publik (CCTV AI, face recognition)
  • Profiling/Scoring untuk keputusan legal/finansial (credit scoring, e-KYC, HR screening)
  • Teknologi baru (generative AI, IoT medis, blockchain identitas)
  • Transfer lintas negara risiko tinggi

Isi Minimal DPIA (1-2 halaman, bukan skripsi)

  1. Deskripsi sistematis — tujuan, alur data, pihak terlibat, retensi
  2. Necessity & proportionality — kenapa tidak bisa dengan data lebih sedikit?
  3. Penilaian risiko — likelihood x severity terhadap hak (privasi, diskriminasi, finansial)
  4. Mitigasi — enkripsi, pseudonimisasi, minimisasi, kontrol akses, logging, retention
  5. Sisa risiko — jika masih tinggi → konsultasi prior ke Lembaga PDP sebelum go-live

Template 1-Halaman (Snipeyes)

| Risiko | Skor Awal | Mitigasi | Skor Sisa | Owner | |—|—|—|—|—| | BOLA di API profil nasabah | Tinggi | ABAC + mTLS + log | Rendah | CTO |

Jangan lupakan re-DPIA — setiap perubahan tujuan, teknologi, atau vendor baru wajib update DPIA.

Download Template DPIA → · Kewajiban Pengendali Lengkap →