"Data Protect Officer" Jangan jadi Formalitas

ORGANISASI yang memproses data pribadi dalam skala besar kini wajib menunjuk Pejabat Pelindungan Data Pribadi atau Data Protection Officer (DPO). Kewajiban tersebut diatur dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Meski ditunjuk oleh lembaga yang bersangkutan, UU PDP menegaskan bahwa kedudukan DPO bersifat independen.

Sejumlah pihak tercatat wajib memiliki DPO. Pertama, lembaga pemerintahan. Kedua, perusahaan yang memantau pemrosesan data secara teratur dan dalam skala besar, seperti perusahaan di bidang jasa keuangan, perbankan, dan telekomunikasi. Ketiga, perusahaan atau institusi yang memproses data spesifik, misalnya rumah sakit dan fasilitas pelayanan kesehatan lainnya.

Ketentuan mengenai DPO termuat dalam dua pasal, yakni Pasal 53 dan Pasal 54 UU PDP. Pasal 53 mengatur bahwa pengendali data pribadi dan prosesor data pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi (PDP). 

Kewajiban itu berlaku apabila pemrosesan data pribadi dilakukan untuk kepentingan pelayanan publik. Kewajiban yang sama juga berlaku bila kegiatan inti pengendali data pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas data pribadi dalam skala besar.

Pejabat atau petugas PDP tidak ditunjuk sembarangan. Penunjukan didasarkan pada profesionalitas, pengetahuan mengenai hukum dan praktik PDP, serta kemampuan memenuhi tugas-tugasnya. Pejabat atau petugas tersebut dapat berasal dari dalam maupun luar organisasi pengendali atau prosesor data pribadi.

Dosen Sekolah Teknik Elektro dan Informatika (STEI) Institut Teknologi Bandung, Agung Harsoyo, menyebutkan bahwa standar kompetensi DPO sebenarnya sudah tersedia. 

“Setahu saya, telah ada standar kompetensi DPO yang dikeluarkan oleh Kemenaker. Hal ini dapat dijadikan referensi oleh pengendali data pribadi maupun pemroses data pribadi,” ujarnya.

Menurut Agung, salah satu peran DPO adalah sebagai narahubung dengan Lembaga Pelindungan Data Pribadi (LPPDP). Adapun pengawasan dan pengendalian kepatuhan penerapan UU PDP dilakukan oleh lembaga tersebut. 

“Jadi, dari sisi governance, keberadaan LPPDP merupakan hal yang wajib,” katanya.

Sementara itu, pakar keamanan siber Alfons Tanujaya menilai keberadaan DPO sangat penting seiring makin besarnya peran data digital dalam organisasi maupun kehidupan sehari-hari. Kondisi itu, kata dia, turut meningkatkan ancaman terhadap data itu sendiri.

“Kalau di perusahaan yang mengelola data digitalnya banyak, memang seharusnya ada DPO. Itu standar yang bagus,” ujarnya.

Alfons menambahkan, keterbatasan tenaga di bidang ini justru membuka peluang. 

“Kalau kita kekurangan profesi ini, artinya membuka lowongan kerja. Ada peluang di bidang keamanan siber, dan DPO ada permintaannya. Itu sesuatu yang positif,” tuturnya.

Ia juga menanggapi anggapan bahwa kewajiban DPO saat ini terkesan sekadar formalitas. Menurut Alfons, hal itu masih dapat dimaklumi pada masa transisi, tetapi ke depan keberadaan DPO harus benar-benar diwujudkan. Pasalnya, sebelum UU PDP berlaku, aturan serupa belum pernah ada. 

“Tanpa adanya DPO, tidak ada orang yang fokus mengurusi data. Dengan DPO, jadi ada orang yang menangani data,” katanya.