Pengendali Data Pribadi dan Prosesor Data adalah dua subjek hukum utama yang memiliki definisi, peran, serta tanggung jawab hukum yang berbeda secara signifikan dalam kerangka regulasi pelindungan data. Pengendali Data bertindak sebagai pihak yang menentukan tujuan dan melakukan kendali atas pemrosesan data pribadi, sedangkan Prosesor Data adalah pihak yang memproses data pribadi atas nama dan berdasarkan instruksi dari Pengendali Data.
Berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), pemahaman mengenai batasan peran kedua entitas ini sangat krusial bagi perusahaan, instansi pemerintah, maupun korporasi yang mengelola data pribadi subjek data di Indonesia guna menghindari sanksi administratif hingga pidana.
Perbedaan Utama Pengendali Data vs Prosesor Data
Untuk membedakan fungsi operasional dan tanggung jawab hukum antara kedua entitas tersebut, berikut adalah matriks perbandingan komprehensif berdasarkan regulasi perlindungan data yang berlaku:
| Parameter | Pengendali Data (Data Controller) | Prosesor Data (Data Processor) |
|---|---|---|
| Definisi Utama | Pihak yang menentukan tujuan dan melakukan kendali pemrosesan data pribadi. | Pihak yang memproses data pribadi atas nama Pengendali Data. |
| Penentu Kebijakan | Menentukan 'mengapa' (why) dan 'apa' (what) data diproses. | Menentukan 'bagaimana' (how) teknis pemrosesan dilakukan sesuai instruksi. |
| Hubungan dengan Subjek Data | Memiliki hubungan langsung dan bertanggung jawab langsung kepada pemilik data. | Umumnya tidak memiliki hubungan langsung dengan pemilik data (bekerja B2B). |
| Tanggung Jawab Hukum | Bertanggung jawab penuh atas keseluruhan siklus dan kepatuhan hukum pemrosesan data. | Bertanggung jawab melaksanakan instruksi dan menjaga keamanan sistem pemrosesan. |
| Contoh Nyata | Bank, Rumah Sakit, E-commerce, Perusahaan Fintek. | Penyedia layanan cloud server, vendor call center pihak ketiga, perusahaan payroll. |
Kewajiban Hukum Pengendali Data
Pengendali Data memikul beban pembuktian dan kepatuhan yang lebih berat karena mereka adalah penentu arah pemanfaatan data. Berdasarkan mandat undang-undang, kewajiban utama Pengendali Data meliputi:
- Legalitas Pemrosesan: Memastikan adanya dasar hukum yang sah (persetujuan, kewajiban kontrak, kepentingan sah, atau perintah undang-undang) sebelum mengumpulkan data.
- Pemberitahuan kepada Subjek Data: Menyampaikan informasi transparan mengenai tujuan pengumpulan, hak subjek data, dan jangka waktu penyimpanan data.
- Menunjuk Pejabat Pelindungan Data (DPO): Wajib mengangkat petugas khusus jika memenuhi kriteria pemrosesan data skala besar atau berisiko tinggi.
- Menjaga Keamanan Data: Menerapkan langkah pengamanan teknis dan organisasional untuk mencegah kebocoran data.
- Pelaporan Kebocoran: Wajib melaporkan kegagalan pelindungan data pribadi kepada lembaga berwenang dan subjek data dalam jangka waktu yang ditentukan undang-undang.
Kewajiban Hukum Prosesor Data
Meskipun bertindak atas instruksi pihak lain, Prosesor Data tetap memiliki tanggung jawab hukum yang independen dalam aspek teknis operasional:
- Kepatuhan Instruksi: Dilarang memproses data di luar ruang lingkup instruksi tertulis yang diberikan oleh Pengendali Data.
- Implementasi Keamanan: Bertanggung jawab penuh terhadap pengamanan infrastruktur IT, enkripsi, dan pencegahan akses ilegal pada sistem yang mereka operasikan.
- Kerahasiaan: Memastikan seluruh pegawai atau pihak yang berafiliasi dengan Prosesor Data menandatangani perjanjian kerahasiaan (NDA).
- Keterlibatan Sub-Prosesor: Tidak diperbolehkan menggunakan jasa pihak ketiga lain (sub-prosesor) tanpa izin tertulis dari Pengendali Data.
Mitigasi Risiko dan Kepatuhan Kontraktual
Dalam praktik bisnis modern, sebuah entitas dapat bertindak sebagai Pengendali Data dalam satu konteks, namun menjadi Prosesor Data dalam konteks yang lain. Oleh karena itu, penyusunan kontrak kerja sama (Data Processing Agreement / DPA) yang memuat klausul pembagian tanggung jawab, mekanisme audit keamanan, serta prosedur penanganan insiden sangat diperlukan guna memitigasi risiko hukum di kemudian hari.