Definisi
Data Protection Officer (DPO), atau dalam istilah undang-undang Indonesia disebut pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi, adalah orang yang ditunjuk oleh sebuah organisasi untuk mengawasi dan memastikan kepatuhan organisasi tersebut terhadap ketentuan perlindungan data pribadi. Keberadaan DPO menjadi salah satu kewajiban yang lahir dari undang-undang tentang pelindungan data pribadi, terutama bagi organisasi yang memproses data pribadi dalam skala besar atau data pribadi yang bersifat sensitif.
Peran DPO tidak sekadar administratif. Ia menjadi jembatan antara organisasi, subjek data, dan lembaga pengawas, sekaligus menjadi pihak yang memastikan setiap kebijakan dan produk baru organisasi sudah mempertimbangkan aspek perlindungan data sejak tahap perancangan. DPO idealnya dilibatkan sejak awal proses bisnis, bukan hanya diminta memberi persetujuan di akhir setelah sebuah sistem sudah selesai dibangun.
Karena posisinya yang strategis, DPO diharapkan memiliki independensi dalam menjalankan tugasnya, termasuk keberanian untuk menyampaikan keberatan atau rekomendasi yang mungkin bertentangan dengan kepentingan bisnis jangka pendek organisasi, demi memastikan kepatuhan jangka panjang terhadap hukum perlindungan data.
Dasar Hukum
Undang-undang tentang pelindungan data pribadi mewajibkan pengendali data pribadi dan prosesor data pribadi menunjuk pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi. Penunjukan ini harus didasarkan pada profesionalitas, pengetahuan mengenai hukum dan praktik perlindungan data pribadi, serta kemampuan nyata untuk menjalankan tugas-tugas yang dibebankan kepadanya, bukan sekadar penunjukan formalitas di atas kertas.
Ketentuan yang sama menegaskan bahwa DPO harus dapat menjalankan tugasnya secara independen. Ini berarti organisasi tidak boleh menekan atau memberi sanksi kepada DPO semata-mata karena ia menjalankan fungsi pengawasannya, termasuk ketika DPO menyampaikan temuan yang tidak menyenangkan bagi manajemen. DPO juga wajib menjaga kerahasiaan data pribadi yang diketahuinya selama menjalankan tugas.
Syarat dan Prosedur
Tidak semua organisasi wajib menunjuk DPO — kewajiban ini umumnya berlaku bagi pengendali data yang memproses data pribadi dalam skala besar, data yang bersifat sensitif, atau data yang berkaitan dengan pengawasan sistematis terhadap subjek data dalam jumlah signifikan, seperti bank, perusahaan asuransi, rumah sakit, dan platform digital dengan basis pengguna besar. Organisasi kecil dengan pemrosesan data yang terbatas biasanya tidak wajib memiliki DPO tersendiri, meski tetap wajib mematuhi kewajiban perlindungan data lainnya.
DPO bisa berasal dari internal organisasi atau disewa dari pihak eksternal sebagai konsultan. Setelah ditunjuk, organisasi wajib mempublikasikan kontak DPO agar subjek data dan lembaga pengawas bisa menghubunginya secara langsung terkait persoalan perlindungan data. Tugas DPO mencakup memberi saran kebijakan, memantau kepatuhan internal, melatih karyawan, menjadi titik kontak dengan lembaga pengawas, dan menangani permintaan dari subjek data seperti permintaan akses atau penghapusan data.
Ilustrasi
Sebuah bank menunjuk seorang DPO yang bertanggung jawab langsung kepada direksi, bukan kepada kepala divisi teknologi informasi, agar independensinya terjaga. DPO tersebut rutin mengaudit seluruh unit kerja yang memproses data nasabah, merancang kebijakan privasi yang sesuai dengan ketentuan yang berlaku, dan memastikan seluruh karyawan yang bersentuhan dengan data nasabah mendapat pelatihan berkala tentang perlindungan data pribadi.
Pada perusahaan teknologi yang mengelola data jutaan pengguna, DPO dilibatkan sejak tahap perancangan sebuah fitur baru yang akan mengumpulkan data lokasi pengguna. Sebelum fitur tersebut diluncurkan, DPO melakukan penilaian dampak perlindungan data dan merekomendasikan agar pengumpulan data lokasi hanya dilakukan setelah pengguna memberikan persetujuan yang jelas dan bisa ditarik kembali kapan saja.
Sanksi
Kegagalan menunjuk DPO bagi organisasi yang wajib memilikinya dapat dikategorikan sebagai bentuk ketidakpatuhan terhadap kewajiban perlindungan data pribadi, yang berpotensi dikenai sanksi administratif oleh lembaga pengawas perlindungan data, mulai dari peringatan tertulis hingga penghentian sementara kegiatan pemrosesan data, tergantung tingkat pelanggaran dan dampaknya terhadap subjek data.
Di sisi lain, organisasi yang membalas dendam atau memberi sanksi kepada DPO karena menjalankan fungsi pengawasannya secara jujur juga berpotensi dianggap melanggar prinsip independensi DPO yang dijamin undang-undang, yang bisa menambah beban ketidakpatuhan organisasi tersebut jika sampai diperiksa oleh lembaga pengawas.
Perbedaan dengan Compliance Officer
DPO sering disamakan dengan compliance officer atau petugas kepatuhan pada umumnya, padahal cakupan tugasnya berbeda. Compliance officer bertanggung jawab atas kepatuhan organisasi terhadap seluruh regulasi yang berlaku bagi bidang usahanya, mulai dari aturan keuangan, ketenagakerjaan, hingga lingkungan. DPO fokusnya jauh lebih spesifik: hanya pada kepatuhan terhadap hukum perlindungan data pribadi.
Dalam praktiknya, sebuah organisasi bisa saja memiliki compliance officer yang membawahi banyak bidang kepatuhan, sementara DPO tetap berdiri sebagai fungsi tersendiri yang independen, karena undang-undang menghendaki DPO punya jalur pelaporan dan kewenangan yang tidak tercampur dengan kepentingan bisnis lain di luar urusan perlindungan data.
Ke Mana Harus Mengurus
Subjek data yang ingin menggunakan haknya, misalnya meminta akses, koreksi, atau penghapusan data pribadinya, dapat menghubungi DPO organisasi bersangkutan lewat kontak resmi yang wajib dipublikasikan perusahaan di kebijakan privasinya. Jika permintaan tersebut tidak ditanggapi dalam waktu wajar atau ditolak tanpa alasan yang jelas, subjek data bisa meningkatkan pengaduannya ke lembaga pengawas perlindungan data pribadi yang berwenang menindaklanjuti sengketa antara subjek data dan pengendali data.
Bagi organisasi yang ingin menunjuk DPO namun belum memiliki sumber daya internal yang memadai, banyak firma konsultan hukum dan keamanan siber di Indonesia yang menyediakan jasa DPO eksternal, sehingga kewajiban ini tetap bisa dipenuhi tanpa harus merekrut karyawan tetap baru untuk posisi tersebut.