Data Protection Officer Roles, Governance, and Accountability
Domain ini menguji kewajiban penunjukan Pejabat Pelindungan Data Pribadi (PPDP/DPO), independensinya, dan tata kelola akuntabilitas.
Kapan DPO wajib
Penunjukan wajib bila pemrosesan dilakukan untuk pelayanan publik, kegiatan pemrosesan memiliki risiko tinggi, atau pemrosesan data pribadi berskala besar. DPO dapat berasal dari internal atau eksternal, dengan syarat memiliki pengetahuan hukum, keahlian, dan kemampuan menjalankan fungsi.
Peran dan tata kelola
- Menjadi titik kontak subjek data dan lembaga pengawas; menangani permintaan dan keluhan.
- Memantau kepatuhan, memberi masukan pada DPIA, dan mengawal dokumentasi (register pemrosesan, register insiden, catatan persetujuan).
- Melatih staf dan meninjau kebijakan.
- Bebas dari konflik kepentingan, melapor ke manajemen puncak, dengan sumber daya memadai.
Elemen akuntabilitas lain: kebijakan privasi tertulis, pemetaan alur data, privacy by design, kontrak vendor, program pelatihan, dan jejak keputusan manajemen.
Contoh terapan
Platform e-commerce dengan dua juta pengguna melakukan profiling rekomendasi dan menyimpan data pembayaran. Penalaran: skala besar dan profiling berisiko tinggi memenuhi dua pemicu, sehingga DPO wajib. DPO tidak boleh dirangkap kepala pemasaran karena fungsi pemantauan berbenturan dengan kepentingan penggunaan data untuk kampanye; DPO ditempatkan di bawah direktur kepatuhan dengan akses langsung ke direksi.
Jebakan
- Menunjuk DPO hanya setelah diminta pengawas.
- Merangkap DPO dengan kepala IT atau pemasaran tanpa analisis konflik kepentingan.
- Menganggap DPO penanggung jawab pribadi seluruh sanksi, padahal kewajiban hukum ada pada pengendali.
- DPO tanpa akses ke manajemen dan tanpa sumber daya.