Perjanjian Pemrosesan Data GDPR: Klausul yang Benar-benar Berbobot

Mengapa perjanjian pemrosesan data ada

Menurut GDPR, pengendali menentukan mengapa dan bagaimana data pribadi diproses; prosesor bertindak atas instruksi terdokumentasi pengendali. Pasal 28 mewajibkan kontrak tertulis antara keduanya setiap kali prosesor menyentuh data pribadi, dan menjabarkan isi wajibnya.

Daftar itu adalah batas bawah, bukan templat. Perjanjian bertanda tangan yang menyalin sepuluh butir sebagai teks baku lalu membiarkan lampirannya kosong, secara fungsional bukan perjanjian sama sekali.

Isi yang wajib

Pasal 28(3) mewajibkan pencantuman pokok persoalan, durasi, sifat dan tujuan pemrosesan, jenis data pribadi dan kategori subjek data, serta kewajiban dan hak pengendali. Berikutnya sepuluh tugas konkret prosesor:

1. Memproses hanya atas instruksi terdokumentasi pengendali, termasuk untuk transfer ke negara ketiga.
2. Mengikat orang yang berwenang memproses dengan kewajiban kerahasiaan.
3. Menerapkan langkah keamanan yang diwajibkan Pasal 32.
4. Mematuhi syarat untuk melibatkan prosesor lain.
5. Membantu pengendali menanggapi permintaan hak subjek data.
6. Membantu pelaporan pelanggaran, keamanan, dan penilaian dampak.
7. Menghapus atau mengembalikan data pribadi pada akhir layanan.
8. Menyediakan semua informasi yang diperlukan untuk membuktikan kepatuhan.
9. Mengizinkan dan berkontribusi pada audit serta inspeksi.
10. Memberi tahu pengendali soal persyaratan hukum yang bertentangan sebelum memproses.

Perjanjian yang kehilangan salah satunya sudah tidak lengkap sejak awal. Namun kelengkapan adalah ujian mudah; pertanyaan yang lebih sulit ialah apakah klausulnya benar secara operasional.

Lampiran yang memikul beban

Tiga lampiran melakukan kerja sebenarnya. Uraian pemrosesan harus benar-benar menguraikan pemrosesan, bukan mengulang premis kontrak. Langkah teknis dan organisasi harus mencantumkan pengamanan konkret, karena inilah dokumen yang dibandingkan auditor dengan kenyataan. Daftar sub-pemroses harus mutakhir dan lengkap, sebab prosesor tidak boleh melibatkan sub-pemroses baru tanpa izin dan harus memberi pengendali kesempatan menolak.

Pola kegagalannya konsisten: lampiran langkah menyebut "enkripsi saat diam dan saat transit" sementara penyimpanan cadangan justru tidak terenkripsi, atau daftar sub-pemroses berumur dua tahun karena tidak ada yang memiliki tugas itu. Keduanya terbaca sebagai kelalaian, bukan itikad buruk, dan keduanya sepenuhnya bisa dicegah.

Sub-pemroses dan transfer internasional

Prosesor yang melibatkan sub-pemroses harus membebankan kewajiban perlindungan yang sama melalui kontrak. Izinnya bisa spesifik atau umum; bila umum, pengendali harus bisa menolak, dan prosesor harus memberi tahu rencana perubahan cukup awal agar penolakan itu berarti.

Transfer ke luar Kawasan Ekonomi Eropa memerlukan dasar hukumnya sendiri — keputusan kecukupan, atau pengamanan memadai seperti klausul kontrak standar 2021. Perjanjian pemrosesan data saja tidak mengizinkan transfer. Bila sub-pemroses berada di negara ketiga, mekanisme transfernya harus terdokumentasi dalam arsitektur yang sama dengan pemrosesannya, bukan ditempel belakangan.

Membuat perjanjiannya nyata

Tiga praktik memisahkan perjanjian yang berjalan dari yang hanya diarsipkan. Pertama: simpan daftar sub-pemroses di bawah kendali versi, dengan pemilik bernama dan tanggal tinjauan. Kedua: kaitkan tiap butir lampiran langkah ke kendali bernama yang muncul di dokumentasi keamanan Anda, agar keduanya bisa dibandingkan. Ketiga: lakukan verifikasi tahunan bahwa lampirannya masih menggambarkan apa yang terjadi — sebab nilai perjanjian pemrosesan data bukan pada tanda tangannya, melainkan pada apakah pembacanya akan mengenali operasi Anda.