Data Protection Principles and Lawful Bases for Processing
Domain ini menguji kemampuan memilih dasar pemrosesan yang tepat dan menerapkan prinsip pelindungan data pada setiap tahap siklus data.
Prinsip operasional
- Tujuan terbatas dan spesifik: ditetapkan sebelum pengumpulan, dinyatakan transparan, tidak diperluas diam-diam.
- Minimisasi: hanya data yang relevan dan proporsional.
- Akurasi: mekanisme koreksi tersedia dan data diperbarui.
- Pembatasan penyimpanan: retensi ditetapkan; data dimusnahkan saat tujuan tercapai atau masa retensi berakhir.
- Keamanan, kewajaran, akuntabilitas: kontrol teknis dan organisasi disertai bukti kepatuhan.
Enam dasar pemrosesan (Pasal 20 UU PDP)
- Persetujuan yang sah dan eksplisit; 2. Pemenuhan kewajiban perjanjian; 3. Pemenuhan kewajiban hukum pengendali; 4. Pelindungan kepentingan vital subjek data; 5. Pelaksanaan kewenangan/tugas publik; 6. Kepentingan sah lainnya melalui uji keseimbangan (legitimate interest assessment).
Persetujuan harus bebas, spesifik, terinformasi, dan eksplisit; tidak sah bila lahir dari paksaan, tipu daya, atau informasi menyesatkan, serta dapat ditarik kembali. Data spesifik dan data anak menuntut formalitas lebih tinggi, termasuk persetujuan orang tua/wali untuk anak.
Contoh terapan
Bank memproses NIK, foto KTP, dan data transaksi untuk pembukaan rekening. Dasar yang tepat: kewajiban hukum untuk identifikasi nasabah (rezim anti pencucian uang) dan pelaksanaan perjanjian untuk pengelolaan rekening. Alasan: consent tidak sesuai karena nasabah tidak punya pilihan nyata dan penarikan consent tidak boleh mematikan kewajiban bank; consent tetap dipakai untuk pemasaran produk pihak ketiga yang opsional.
Jebakan
- Menjadikan consent sebagai default untuk semua pemrosesan, termasuk yang diwajibkan hukum.
- Menganggap penarikan consent membatalkan pemrosesan yang sebelumnya sah (tidak berlaku surut).
- Memakai kepentingan sah untuk otoritas publik atau tanpa uji keseimbangan.
- Persetujuan dibundel dalam syarat dan ketentuan umum.