Audit, Assessment, and Compliance Monitoring
Domain ini menguji cara membuktikan kepatuhan melalui audit internal, pengukuran, dan tindak lanjut, bukan sekadar pernyataan patuh.
Cakupan audit PDP
- Register kegiatan pemrosesan dan kesesuaian dasar pemrosesan.
- Ketersediaan dan mutu DPIA untuk pemrosesan berisiko tinggi.
- Bukti persetujuan dan penanganan permintaan subjek data.
- Kontrak prosesor, transfer lintas batas, dan dokumentasi uji tuntas.
- Kontrol keamanan: hak akses, log, enkripsi, pengujian.
- Register insiden dan ketepatan pemberitahuan 3×24 jam.
- Pelatihan, kesadaran staf, dan penanganan keluhan.
Metode dan bukti
Uji petik sampel (misalnya 20 permintaan akses), wawancara pemilik proses, observasi kontrol, dan penelusuran dokumen. Temuan diberi peringkat risiko, pemilik, dan tenggat, lalu diverifikasi ulang. Audit berbeda dari DPIA: DPIA menilai risiko satu kegiatan pemrosesan, audit menilai kepatuhan program secara keseluruhan. Pengawas berwenang meminta data, melakukan pemeriksaan, dan menjatuhkan sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, hingga denda administratif maksimal 2% dari pendapatan tahunan.
Contoh terapan
Audit menemukan 30% lead pemasaran tanpa bukti persetujuan, fitur berbagi lokasi baru tanpa DPIA, dan satu kontrak vendor tanpa klausul kerahasiaan. Penalaran: temuan pertama berisiko tinggi karena tidak ada dasar pemrosesan - hentikan kampanye dan lakukan re-consent; temuan kedua menengah - selesaikan DPIA sebelum rilis lanjutan; temuan ketiga tinggi secara kontraktual - tambahkan amandemen. Setiap temuan dicatat dengan bukti, pemilik, dan tanggal verifikasi.
Jebakan
- Audit berbasis daftar dokumen tanpa uji petik dan bukti.
- Tidak ada tindak lanjut sehingga temuan berulang tahun berikutnya.
- Menyamakan audit dengan DPIA.
- Tidak mendokumentasikan komunikasi dan permintaan dari lembaga pengawas.