Transfer Data Lintas Negara di UU PDP: Syarat, Safeguard & Negara Adekuat
Pakai cloud Singapore atau support center di India? UU PDP Pasal 56 mengaturnya — tidak bisa asal “asal aman”.
Hierarki Transfer yang Sah (Pasal 56)
Transfer ke luar Indonesia hanya jika salah satu terpenuhi:
- Negara tujuan tingkat pelindungan memadai (adequate) — daftar akan diterbitkan Lembaga PDP (mirip keputusan adequacy GDPR)
- Ada pelindungan memadai via safeguard — SCC (Standard Contractual Clauses), BCR (Binding Corporate Rules) atau kontrak mengikat
- Persetujuan eksplisit subjek setelah diinformasikan risiko transfer
- Pengecualian sempit: pelaksanaan kontrak, kepentingan vital/publik, atau penegakan hukum
Checklist Praktis untuk Enterprise
- Petakan data residency: DB, backup, log, analytics — di region mana?
- Kontrak cloud: pastikan ada SCC PDP-ID + audit right + breach 72 jam + lokasi pemrosesan eksplisit
- Jika SaaS US — tambahkan TIA (Transfer Impact Assessment) ringan: hukum akses pemerintah di negara tujuan
- Catat di ROPA kolom “transfer lintas negara = Ya/Tidak, dasar = SCC/Adquacy/Consent”
Kesalahan Fatal
- Menganggap sertifikat ISO 27001 vendor = adequacy — tidak.
- Transfer massal (bulk) hanya dengan consent app — consent harus per transfer, terinformasi, tidak skala ribuan tanpa assessment
Lihat DPIA untuk Transfer Risiko Tinggi → · Template SCC PDP — Request →