Cross-Border Data Transfer and Third-Party Management
Domain ini menguji kemampuan mentransfer data ke luar negeri secara sah dan mengendalikan vendor yang memproses data atas nama organisasi.
Hierarki transfer luar negeri (Pasal 56 UU PDP)
- Negara tujuan memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi.
- Terdapat pengamanan yang memadai dan mengikat, misalnya klausul kontraktual, aturan perusahaan yang mengikat, atau skema sertifikasi.
- Persetujuan subjek data sebagai jalan terakhir bila dua opsi di atas tidak terpenuhi.
Selama penetapan resmi mengenai tingkat kesetaraan belum ada, organisasi harus mendokumentasikan uji kesetaraan sendiri atau memakai pengamanan kontraktual, bukan berasumsi.
Manajemen pihak ketiga
Perjanjian tertulis dengan prosesor wajib mengatur instruksi pemrosesan, larangan penggunaan untuk tujuan sendiri, kerahasiaan personel, kontrol keamanan, persetujuan sub-prosesor, bantuan pemenuhan hak subjek data dan DPIA, notifikasi insiden, hak audit, serta pengembalian atau penghapusan data saat kontrak berakhir. Uji tuntas sebelum kontrak, pemantauan berkala, dan pencatatan aliran data lintas batas adalah bukti akuntabilitas.
Contoh terapan
Perusahaan memakai layanan payroll SaaS dengan server di luar Indonesia dan belum ada penetapan kesetaraan resmi. Langkah: gunakan pengamanan kontraktual berupa perjanjian pemrosesan data dengan klausul transfer, enkripsi, dan hak audit tahunan, lalu dokumentasikan penilaiannya. Consent hanya dipakai bila pengamanan tersebut tidak dapat disepakati, dan harus eksplisit serta dapat ditarik.
Jebakan
- Menganggap negara tertentu otomatis adekuat tanpa dasar resmi.
- Menjadikan consent pilihan pertama, bukan terakhir.
- Vendor tanpa perjanjian pemrosesan tertulis dan tanpa klausul sub-prosesor.
- Tidak memantau transfer lanjutan yang dilakukan vendor.