Kewajiban Pengendali & Prosesor Data: Checklist Wajib UU PDP Pasal 20-60
Audit PDP pertama sering gagal bukan karena breach, tapi karena tidak bisa tunjukkan ROPA. Dokumentasi = bukti.
10 Kewajiban Inti Pengendali Data
- Dasar hukum yang sah — consent, kontrak, kewajiban hukum, kepentingan vital/publik/sah
- Informasi transparan — privacy notice berbahasa Indonesia, mudah diakses
- ROPA — catat tujuan, kategori data/subjek, periode retensi, profil pengaman (wajib tampil saat audit)
- Keamanan (Pasal 35) — enkripsi, pseudonimisasi, kontrol akses, logging — security by design
- DPIA — wajib untuk risiko tinggi: data spesifik, skala besar, profiling sistematis
- DPO — tunjuk jika: instansi publik, inti bisnis adalah pemantauan skala besar, atau data spesifik skala besar
- Retensi & penghapusan — tidak simpan lebih lama dari tujuan; hapus/anonymisasi otomatis
- Kontrak prosesor — klausul perintah tertulis, kerahasiaan, bantu jawab hak subjek
- Transfer lintas negara — hanya jika negara tujuan tingkat pelindungan memadai atau ada safeguard
- Notifikasi 72 jam — breach ke subjek + Lembaga PDP (ha, nanti dibahas)
Prosesor: Tidak Kebal
Prosesor yang melampaui perintah tertulis = berubah status jadi pengendali — tanggung jawab penuh + sanksi.
Mini-Template ROPA (1 baris = 1 aktivitas)
| Aktivitas | Kategori Data | Dasar Hukum | Retensi | Kontrol | |—|—|—|—|—| | Onboarding nasabah mobile | NIK, foto, biometrik | Persetujuan + KYC POJK 12/2023 | 10 tahun pasca-tutup (OJK) | AES-256, RBAC, audit log |