Definisi
Prosesor Data Pribadi (data processor) adalah setiap orang, badan publik, atau organisasi internasional yang bertindak sendiri maupun bersama-sama dalam menjalankan pemrosesan data pribadi atas nama pengendali data pribadi. Kata kunci pembeda dari definisi ini adalah “atas nama” — prosesor data tidak menentukan sendiri tujuan atau cara pemrosesan, melainkan menjalankan instruksi yang diberikan pengendali data.
Contoh paling umum di lapangan adalah penyedia layanan cloud storage, penyedia sistem penggajian pihak ketiga, atau agensi pemasaran digital yang mengelola basis data pelanggan atas nama kliennya. Mereka menyentuh data pribadi setiap hari, tetapi tidak berwenang memutuskan sendiri untuk apa data itu dipakai — keputusan itu tetap berada di tangan pengendali data yang menyewa jasa mereka.
Status sebagai prosesor tidak membebaskan pihak tersebut dari tanggung jawab hukum. UU Pelindungan Data Pribadi tetap membebankan sejumlah kewajiban langsung kepada prosesor data, bukan sekadar meneruskan tanggung jawab seluruhnya kepada pengendali data yang mempekerjakannya.
Dasar Hukum
UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mendefinisikan prosesor data secara terpisah dari pengendali data justru karena keduanya punya peran dan tingkat tanggung jawab yang berbeda. Prosesor data menjalankan pemrosesan berdasarkan perintah pengendali data, dan hubungan kerja sama keduanya lazimnya dituangkan dalam perjanjian pemrosesan data (data processing agreement) yang memuat ruang lingkup, tujuan, jenis data, jangka waktu pemrosesan, serta kewajiban keamanan yang harus dipenuhi prosesor.
Keberadaan pasal yang secara khusus mengatur kewajiban prosesor data menunjukkan bahwa UU PDP tidak memandang prosesor sekadar “vendor teknis” yang bebas dari kewajiban hukum, melainkan pihak yang tetap harus menjaga keamanan dan kerahasiaan data pribadi yang diprosesnya, sekalipun bukan dialah yang menentukan tujuan pemrosesan tersebut.
Perbedaan dengan Pengendali Data Pribadi
Perbedaan mendasar antara prosesor dan pengendali data terletak pada siapa yang mengambil keputusan. Pengendali data menentukan mengapa data dikumpulkan dan bagaimana data akan dipakai — merekalah yang bertanggung jawab memastikan dasar pemrosesan datanya sah sejak awal. Prosesor data hanya menjalankan instruksi teknis dari pengendali, tanpa kewenangan mengubah tujuan pemrosesan sesuka hati sendiri.
Konsekuensinya, jika prosesor data memproses data pribadi di luar instruksi yang diberikan pengendali — misalnya menjual data pelanggan kliennya kepada pihak ketiga tanpa sepengetahuan pengendali — prosesor tersebut pada titik itu justru berubah status menjadi pengendali data untuk pemrosesan yang menyimpang tersebut, dengan konsekuensi tanggung jawab hukum yang lebih berat karena bertindak di luar kewenangannya.
Perbedaan ini juga menentukan siapa yang pertama kali dihubungi ketika subjek data ingin menggunakan haknya. Permintaan penghapusan atau koreksi data semestinya diajukan kepada pengendali data, bukan langsung ke prosesor, karena prosesor tidak berwenang mengambil keputusan sendiri atas permintaan tersebut — ia hanya bisa menjalankannya setelah menerima instruksi dari pengendali data yang bersangkutan.
Praktik di Lapangan
Dalam praktik bisnis sehari-hari, satu perusahaan sering berperan sebagai prosesor bagi beberapa klien sekaligus, misalnya penyedia layanan pengiriman pesan singkat massal yang menangani data nomor telepon dari puluhan perusahaan berbeda, atau vendor penyimpanan dokumen digital yang melayani banyak instansi pemerintah. Dalam situasi seperti ini, prosesor data wajib memastikan data milik satu klien tidak tercampur atau bocor ke klien lain, dan setiap instruksi pemrosesan diikuti persis sesuai perjanjian masing-masing klien, bukan disamaratakan dengan kebijakan internal prosesor sendiri.
Kesalahan yang sering terjadi di lapangan adalah prosesor data menganggap dirinya bebas melakukan analitik tambahan atas data yang dipegangnya — misalnya menggunakan data pelanggan kliennya untuk kepentingan riset produk milik prosesor sendiri — tanpa menyadari bahwa tindakan ini sudah melampaui kewenangannya sebagai prosesor dan berpotensi dianggap sebagai pemrosesan tanpa dasar hukum yang sah.
Hak dan Kewajiban Para Pihak
Prosesor data wajib memproses data hanya sesuai instruksi tertulis dari pengendali data, menjaga kerahasiaan dan keamanan data yang diprosesnya, tidak menggunakan data untuk tujuan lain di luar yang diinstruksikan, membantu pengendali data memenuhi permintaan subjek data terkait hak-haknya, serta menghapus atau mengembalikan seluruh data begitu masa kerja sama berakhir sesuai kesepakatan.
Pengendali data di sisi lain berkewajiban memberikan instruksi yang jelas dan sah kepada prosesor, memastikan prosesor yang dipilihnya punya kapasitas keamanan yang memadai sebelum menyerahkan data, serta tetap mengawasi kepatuhan prosesor selama masa kerja sama berlangsung — karena pengendali data pada akhirnya tetap ikut bertanggung jawab jika prosesor yang dipilihnya lalai menjaga data pelanggan.
Studi Kasus
Sebuah perusahaan asuransi menggunakan jasa perusahaan teknologi informasi pihak ketiga untuk mengelola basis data nasabah dan memproses klaim secara digital. Perjanjian pemrosesan data antara keduanya secara tegas membatasi bahwa data nasabah hanya boleh dipakai untuk keperluan pemrosesan klaim, dan perusahaan IT tersebut dilarang memakainya untuk tujuan pemasaran produk lain, sekalipun punya akses teknis penuh terhadap data tersebut.
Dalam kasus lain, sebuah penyedia layanan cloud storage yang menyimpan data untuk beberapa perusahaan kliennya mengalami kebocoran akibat kerentanan sistem yang belum ditambal. Sebagai prosesor data, penyedia ini wajib segera memberitahukan insiden tersebut kepada seluruh pengendali data yang datanya terdampak, dan masing-masing pengendali data selanjutnya bertanggung jawab meneruskan pemberitahuan tersebut kepada subjek data mereka masing-masing.
Sanksi
Prosesor data yang lalai menjaga keamanan data atau memproses data di luar instruksi pengendali dapat dikenai sanksi administratif serupa dengan yang berlaku bagi pengendali data, mulai dari peringatan tertulis hingga denda administratif. Jika kelalaian prosesor menimbulkan kerugian bagi subjek data, prosesor juga berpotensi digugat secara perdata, baik langsung oleh subjek data maupun lewat tuntutan ganti rugi dari pengendali data yang merasa dirugikan akibat kegagalan prosesor menjalankan kewajibannya sesuai perjanjian pemrosesan data yang telah disepakati.