Definisi
Pengendali Data Pribadi (data controller) adalah setiap orang, badan publik, atau organisasi internasional yang bertindak sendiri maupun bersama-sama dalam menentukan tujuan dan mengendalikan bagaimana data pribadi diproses. Kata kunci dalam definisi ini adalah “menentukan tujuan” — pihak yang memutuskan untuk apa data dikumpulkan, bagaimana data dipakai, dan berapa lama data disimpan, itulah yang berstatus pengendali data, terlepas dari siapa yang secara teknis mengoperasikan sistemnya.
Status pengendali data bisa melekat pada siapa saja: sebuah rumah sakit yang mengumpulkan data pasien, aplikasi e-commerce yang menyimpan data pembeli, sekolah yang mendata muridnya, hingga instansi pemerintah yang mengelola data warga. Yang menentukan bukan besar-kecilnya organisasi, melainkan peran mereka sebagai pihak yang mengambil keputusan atas pemrosesan data tersebut.
Satu entitas bisa saja berperan sebagai pengendali sekaligus prosesor data dalam konteks berbeda-beda. Misalnya sebuah bank adalah pengendali data atas informasi nasabahnya sendiri, tetapi bisa juga berperan sebagai prosesor ketika mengelola data untuk kepentingan mitra bisnis berdasarkan instruksi pihak lain.
Dasar Hukum
UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mendefinisikan pengendali data secara eksplisit dan membebankan sebagian besar kewajiban kepatuhan dalam undang-undang ini kepada pihak berstatus pengendali, bukan kepada prosesor. Logikanya sederhana: karena pengendali yang menentukan tujuan pemrosesan, merekalah yang paling bertanggung jawab memastikan tujuan tersebut sah secara hukum dan dijalankan dengan cara yang melindungi hak subjek data.
Kewajiban pengendali data yang diatur UU PDP mencakup memiliki dasar pemrosesan yang sah sebelum mengumpulkan data, menjaga kerahasiaan data yang diprosesnya, melakukan pemrosesan sesuai tujuan yang sudah disampaikan ke subjek data, menunjukkan bukti persetujuan bila pemrosesan didasarkan pada persetujuan, serta melindungi data dari akses tidak sah, kebocoran, atau penggunaan yang menyimpang dari tujuan awal.
Hak dan Kewajiban Para Pihak
Selain kewajiban menjaga kerahasiaan dan keamanan data, pengendali data juga wajib melayani permintaan subjek data terkait hak-haknya — mulai dari permintaan akses data, koreksi data yang keliru, penghapusan data, hingga permintaan penghentian pemrosesan. Pengendali data yang menggunakan jasa prosesor pihak ketiga tetap bertanggung jawab penuh atas kepatuhan pemrosesan data tersebut, sehingga wajib memastikan prosesor yang dipilihnya juga menerapkan standar keamanan yang memadai lewat perjanjian pemrosesan data yang mengikat.
Subjek data di sisi lain berhak menuntut pengendali data untuk transparan soal tujuan pengumpulan datanya, berhak menolak pemrosesan tertentu yang tidak sesuai kepentingannya, dan berhak mendapat pemberitahuan segera jika data mereka menjadi korban kebocoran atau kegagalan perlindungan data lainnya.
Pengendali data yang memproses data dalam skala besar, memproses data bersifat spesifik, atau kegiatan intinya berkaitan dengan pemantauan sistematis subjek data, umumnya diwajibkan menunjuk petugas atau fungsi yang bertanggung jawab atas kepatuhan pelindungan data. Petugas ini bertugas memastikan kebijakan internal perusahaan selaras dengan UU PDP, menjadi penghubung dengan otoritas pengawas, dan menangani permintaan subjek data terkait hak-haknya.
Perbedaan dengan Prosesor Data Pribadi
Pengendali data dan prosesor data sering disamakan padahal perannya berbeda secara mendasar. Pengendali data adalah pihak yang menentukan tujuan dan cara pemrosesan data — mereka yang memutuskan “kenapa” dan “bagaimana” data diproses. Prosesor data adalah pihak yang menjalankan pemrosesan tersebut berdasarkan instruksi pengendali — mereka hanya melaksanakan “apa yang diperintahkan”, tanpa kewenangan menentukan sendiri tujuan pemrosesannya.
Contoh paling mudah adalah hubungan antara perusahaan asuransi dan vendor teknologi informasi yang disewanya untuk mengelola sistem klaim. Perusahaan asuransi berstatus pengendali karena dialah yang menentukan data apa yang dikumpulkan dan untuk apa data itu dipakai, sementara vendor IT berstatus prosesor karena hanya menjalankan instruksi teknis sesuai perjanjian yang disepakati.
Ilustrasi Kasus
Sebuah platform marketplace besar berstatus pengendali data atas jutaan penggunanya, karena merekalah yang menentukan data apa saja yang dikumpulkan saat pendaftaran, bagaimana data transaksi dipakai untuk rekomendasi produk, dan berapa lama data tersebut disimpan. Ketika terjadi kebocoran data yang mengekspos nama dan nomor telepon jutaan pengguna, platform tersebut wajib memberitahukan insiden itu kepada seluruh pengguna terdampak dan otoritas berwenang, karena status pengendalinyalah yang membuat kewajiban notifikasi itu melekat, bukan pada vendor teknis yang mengelola servernya.
Dalam kasus lain, Bu Ratna mengajukan permintaan penghapusan datanya ke sebuah aplikasi pinjaman daring setelah tidak lagi menggunakan layanan tersebut selama bertahun-tahun. Karena aplikasi itu berstatus pengendali data, permintaan Bu Ratna wajib direspons langsung oleh mereka, meski data teknisnya sebenarnya disimpan di server milik penyedia cloud pihak ketiga yang hanya berperan sebagai prosesor.
Konsekuensi Hukum
Pengendali data yang lalai menjalankan kewajibannya menghadapi risiko sanksi administratif bertingkat, mulai dari peringatan tertulis hingga denda administratif yang dihitung berdasarkan skala pelanggaran dan pendapatan tahunan pelanggar. Selain sanksi administratif, pengendali data juga bisa digugat secara perdata oleh subjek data yang mengalami kerugian akibat kelalaian dalam menjaga kerahasiaan atau keamanan datanya, dan dalam kasus tertentu yang melibatkan unsur kesengajaan melawan hukum, pengendali data bisa turut menghadapi proses pidana bersama pihak yang benar-benar melakukan penyalahgunaan data tersebut.
Yang sering luput dipahami pelaku usaha kecil adalah bahwa status pengendali data tidak bergantung pada besar-kecilnya skala usaha. Sebuah toko daring rumahan yang menyimpan nomor telepon dan alamat pelanggannya di spreadsheet sederhana tetap berstatus pengendali data dengan kewajiban yang sama prinsipnya seperti perusahaan besar, meski tentu penerapan langkah keamanannya bisa disesuaikan dengan kapasitas usaha tersebut. Kelalaian menganggap kewajiban ini hanya berlaku untuk korporasi besar justru sering menjadi celah kebocoran data pelanggan pada usaha berskala kecil dan menengah.